Databehandleravtale

1. Parter og avtalens plass i vilkårene

Databehandler er Heimark Digital Solutions, organisasjonsnummer 922611416, Sætervegen 4B, 5236 Rådal, som leverer MinAdventKalender. Kontakt: support@minadventkalender.io. Behandlingsansvarlig er virksomheten eller personen som oppretter eller overtar kalenderen, identifisert ved brukerkontoen og virksomhetsnavnet oppgitt for kalenderen. Den som aksepterer på vegne av en virksomhet, bekrefter å ha fullmakt til dette.

Avtalen er et vedlegg til vilkårene for MinAdventKalender og inngås elektronisk sammen med virksomhetens bruksvilkår under oppsett av den første bedriftskalenderen. Akseptteksten viser uttrykkelig til denne avtalen, og kunden bekrefter virksomhetens juridiske navn og sin fullmakt i samme steg. Den dekker alle kalendere for samme navngitte virksomhet på kontoen, også i gratis prøveperioder. Kontoregistrering alene inngår ikke denne avtalen. Private kalendere til rent personlig eller familiemessig bruk krever ikke databehandleravtale; dersom bruken er på vegne av en virksomhet, skal kunden velge bedriftskalender og inngå avtalen før slik behandling.

Avtalen reguleres av personopplysningsloven og personvernforordningen (GDPR), særlig artikkel 28. Ved motstrid om behandling av personopplysninger går denne avtalen foran øvrige tjenestevilkår. Den begrenser ikke registrertes rettigheter eller ansvar som følger av ufravikelig lov.

2. Behandlingen som omfattes

Formålet er å opprette, drifte og dele digitale kalendere og administrere deltakelse på kundens instruks. Behandlingen omfatter innsamling, lagring, organisering, visning, tilgangsstyring, utsendelse av kalenderrelaterte meldinger, registrering av lukeåpninger og quizsvar, vinneruttrekning, statistikk, eksport, support og sletting. Bare funksjoner kunden tar i bruk omfattes. Innhold vises til den målgruppen kunden velger gjennom publisering og tilgangsinnstillinger.

Registrerte kan være kundens ansatte, kunder, medlemmer, inviterte mottakere, deltakere, redaktører og personer omtalt i kalenderinnhold. Opplysningene kan omfatte navn, e-postadresse, telefonnummer, team eller avdeling, bruker- og deltakeridentifikatorer, invitasjoner, tilgangsopplysninger, quizsvar, poeng, vinnere, lukeåpninger, aktivitetstidspunkter, markedsføringsvalg og dokumentasjon av disse, samt tekst og bilder kunden legger inn. Tekniske opplysninger som IP-adresse og forespørselslogger kan inngå når det er nødvendig for levering og sikkerhet.

Kunden skal ikke legge inn særlige kategorier av personopplysninger etter artikkel 9, opplysninger om straffbare forhold etter artikkel 10 eller fødselsnummer. Tjenesten er ikke tilrettelagt for slik behandling. Valg av KI-funksjoner innebærer instruks om å behandle det innholdet kunden sender inn for å lage forslag til tekst, design eller bilder; kunden skal unngå personopplysninger i slike forespørsler.

Oppdraget varer fra aksept og så lenge MinAdventKalender oppbevarer personopplysninger på kundens vegne, inkludert nødvendig avvikling etter at tjenesten avsluttes. At en kalender arkiveres eller en betalt periode utløper, opphever ikke forpliktelsene etter denne avtalen.

3. Kundens ansvar og dokumenterte instrukser

Kunden bestemmer formål, målgruppe, innhold, tilgang, registreringsfelter og hvor lenge opplysningene skal brukes. Kunden skal ha gyldig behandlingsgrunnlag, gi de registrerte nødvendig informasjon, ivareta deres rettigheter og sørge for at opplysningene er relevante og lovlig innhentet. Eventuelt samtykke til markedsføring skal innhentes og dokumenteres særskilt; aksept av disse vilkårene er ikke et markedsføringssamtykke.

Denne avtalen, kundens valg i tjenesten og skriftlige henvendelser fra autoriserte kontaktpersoner utgjør de dokumenterte instruksene. Ytterligere instrukser sendes til support@minadventkalender.io. MinAdventKalender skal bare behandle opplysninger etter disse instruksene, også ved overføringer til tredjeland, med mindre bindende EU/EØS-rett krever noe annet. Kunden skal da varsles før behandlingen, med mindre loven forbyr slik varsling.

MinAdventKalender skal straks si fra dersom en instruks etter vår vurdering strider mot personvernregelverket, og stanse den berørte behandlingen til forholdet er avklart. Opplysningene skal ikke selges, brukes til våre egne markedsføringsformål eller til generell modelltrening på vårt initiativ.

4. Taushetsplikt og sikkerhet

Tilgang skal begrenses til autoriserte personer som trenger opplysningene for oppdraget. Disse skal være underlagt taushetsplikt i avtale eller lov, også etter at oppdraget avsluttes. Kunden styrer egne redaktør- og deltakertilganger og skal beskytte innloggingsopplysninger.

MinAdventKalender skal opprettholde egnede tekniske og organisatoriske tiltak etter artikkel 32. Tiltakene skal omfatte kryptert overføring, tilgangskontroll og adskillelse mellom kunder, begrensning av administratorrettigheter, sikker håndtering av nøkler og passord, sikkerhetsoppdateringer, logging av sikkerhetshendelser, sikkerhetskopiering og rutiner for gjenoppretting og sletting. Tiltakenes effekt skal vurderes og testes regelmessig ut fra risiko.

Løsningen bruker HTTPS, Supabase-autentisering og tilgangsregler i databasen (Row Level Security), samt tilgangskontroll i serverfunksjoner. Detaljert dokumentasjon av gjeldende tiltak, gjenoppretting og kontrollrutiner skal gjøres tilgjengelig for kunden på forespørsel. Endringer skal ikke redusere avtalt beskyttelsesnivå.

5. Underleverandører og overføring utenfor EØS

Kunden gir generell skriftlig tillatelse til bruk av underdatabehandlerne i oversikten nedenfor for de angitte funksjonene. MinAdventKalender skal inngå skriftlige avtaler som pålegger dem minst de samme personvernforpliktelsene som her, vurdere tilstrekkelige garantier og være ansvarlig overfor kunden for deres oppfyllelse.

Kunden skal varsles på kontoens kontaktadresse i rimelig tid før en underdatabehandler legges til eller erstattes. Varselet skal beskrive leverandøren, oppdraget, behandlingsstedene og planlagt dato, og gi kunden en reell mulighet til å fremme saklig begrunnede personverninnsigelser før endringen gjennomføres. Partene skal søke en løsning. Kan innsigelsen ikke løses, kan kunden avslutte den berørte tjenesten før endringen trer i kraft og få opplysningene tilbakelevert eller slettet.

Databaseprosjektet er plassert i Irland (EU). Dette er ikke en garanti for at all behandling skjer innenfor EØS: hosting, e-post, support, KI og leverandørenes egne underleverandører kan innebære behandling i andre land, blant annet USA. Overføring eller fjerntilgang fra land utenfor EØS skal bare skje etter dokumentert instruks og med gyldig grunnlag etter GDPR kapittel V, for eksempel en relevant beslutning om tilstrekkelig beskyttelsesnivå eller EUs standard personvernbestemmelser med nødvendige tilleggstiltak.

MinAdventKalender skal på forespørsel dokumentere aktuelle behandlingssteder, overføringsgrunnlag, vurderinger og tilleggstiltak. Aksept av denne avtalen er ikke et generelt samtykke til overføringer uten slikt grunnlag.

6. Bistand og avvik

MinAdventKalender skal, hensyntatt behandlingens art og tilgjengelig informasjon, bistå kunden med innsyn, retting, sletting, begrensning, dataportabilitet og andre rettigheter etter GDPR kapittel III. Henvendelser fra registrerte om kundens opplysninger skal videresendes uten ugrunnet opphold og ikke besvares på kundens vegne uten instruks, med mindre lov krever det.

MinAdventKalender skal bistå med kundens plikter etter artikkel 32–36, herunder sikkerhet, vurdering av personvernkonsekvenser, forhåndsdrøfting og meldinger til tilsynsmyndighet og registrerte.

Brudd på personopplysningssikkerheten skal varsles til kundens kontaktadresse uten ugrunnet opphold etter at vi blir kjent med bruddet. Varselet skal beskrive hendelsen, berørte opplysninger og registrerte, sannsynlige følger, tiltak og kontaktpunkt så langt dette er kjent. Manglende opplysninger skal ettersendes fortløpende. Vi skal dokumentere hendelsen, begrense skade og samarbeide om oppfølging. Kunden avgjør om bruddet skal meldes til Datatilsynet eller registrerte; vår varsling skal gjøre det mulig å overholde lovens frister.

7. Tilbakelevering, sletting og opphør

Kunden kan instruere om sletting tidligere enn tjenesteperiodens utløp. Ved opphør skal kunden kunne velge tilbakelevering av personopplysningene i et alminnelig, maskinlesbart format og deretter sletting, eller direkte sletting. Eksport og sletting kan bestilles fra support@minadventkalender.io, også for opplysninger som ikke er tilgjengelige i kalenderens eksportfunksjon.

MinAdventKalender skal gjennomføre tilbakelevering eller sletting uten ugrunnet opphold etter avklart instruks. Kunden skal få bekreftet omfang, fremgangsmåte og konkret tidspunkt for gjennomføring, også for kopier hos underdatabehandlere. Sikkerhetskopier skal holdes utilgjengelige for vanlig bruk frem til sletting etter dokumentert rotasjon; gjeldende rotasjon og siste slettedato skal oppgis ved avvikling. Opplysninger skal ikke beholdes på ubestemt tid med henvisning til sikkerhetskopiering. Ved gjenoppretting skal sletteinstruksen gjennomføres på nytt. Gjennomført sletting, inkludert kopier, skal bekreftes skriftlig på forespørsel.

Dersom EU/EØS-rett krever videre oppbevaring, skal kunden informeres om grunnlag og varighet med mindre loven forbyr det. Opplysningene skal isoleres og bare behandles for dette lovpålagte formålet. Taushetsplikt, sikkerhet og øvrige relevante forpliktelser gjelder frem til opplysningene er slettet.

8. Dokumentasjon, kontroll og mislighold

MinAdventKalender skal gjøre tilgjengelig informasjon som er nødvendig for å påvise etterlevelse av artikkel 28, og muliggjøre og bidra til revisjoner og inspeksjoner utført av kunden eller en revisor kunden har utpekt. Kontroll avtales med rimelig varsel og taushetsplikt, med hensyn til sikkerhet og andre kunders opplysninger. Ved hendelser eller krav fra tilsyn skal nødvendig kontroll kunne gjennomføres raskt. Dokumentasjon eller standardrapporter kan brukes der de dekker kontrollbehovet, men erstatter ikke lovfestet rett til inspeksjon.

Kunden kan kreve retting og stanse berørt behandling ved brudd på avtalen. Ved vesentlig mislighold eller manglende tilstrekkelige garantier kan kunden avslutte den berørte tjenesten. Avtalen begrenser ikke tilsynsmyndighetenes myndighet eller ansvar og erstatningsrett etter GDPR.

9. Egne formål, endringer og kontakt

MinAdventKalender er selv behandlingsansvarlig for egen kontoadministrasjon, fakturering, dokumentasjon av avtaleaksept og behandling for egne formål beskrevet i personvernerklæringen. Denne avtalen gir ikke et nytt behandlingsgrunnlag for slike formål. Betalingsleverandører og valgfrie markedsføringstjenester må vurderes etter sin faktiske rolle og omfattes ikke automatisk av kundens databehandleroppdrag.

Avtaleversjon og tidspunkt for aksept registreres med brukerkontoen, virksomhetens navn og kalenderen som avtalen først ble inngått fra. Samme virksomhetsnavn på samme konto bruker den eksisterende avtalen; andre virksomheter og nye avtaleversjoner krever særskilt aksept. Kunden skal bruke virksomhetens korrekte juridiske navn. Vesentlige endringer skal varsles før de trer i kraft. En ny versjon endrer ikke dokumentasjonen av hva kunden tidligere har akseptert. Behandling utenfor avtalte instrukser krever ny instruks eller avtale.

Kontakt for instrukser, personvernspørsmål, kontroll og avvik er support@minadventkalender.io. Kunden skal holde kontoens kontaktadresse oppdatert.

Vedlegg: underdatabehandlere

Oversikten gjelder funksjonene beskrevet over. En valgfri funksjon brukes bare når den er aktivert. Leverandørlenkene supplerer denne avtalen og erstatter ikke våre forpliktelser.