Avtalen som regulerer hvordan en leverandør får behandle personopplysninger på dine vegne.
Dere er behandlingsansvarlig, og det ansvaret kan ikke settes bort selv om jobben gjøres av andre. Avtalen må liste underleverandører — det er her folk snubler: leverandøren er norsk, men bruker amerikansk sky, e-postutsending og AI-API. Da er data ute av EØS likevel.
Relaterte begreper: GDPR · Personopplysning · Dataminimering