Personvern

Databehandleravtale

Versjon 1. Gjelder fra 25. oktober 2026.

Denne avtalen er et vedlegg til vilkårene for Bits & Bytes og gjelder mellom

• kunden (behandlingsansvarlig), slik kunden er oppgitt i bestillingen, og
• Elverum Digital, org.nr. 932 885 190, Rebækkas gate 21, 1534 Moss, som driver Bits & Bytes (databehandler, heretter «vi»).

1. Formål og omfang

1.1 Avtalen skal sikre at behandlingen av personopplysninger vi gjør på vegne av kunden, oppfyller personvernforordningen (GDPR) artikkel 28 nr. 3 og 4 og personopplysningsloven.

1.2 Avtalen gjelder behandlingen som er beskrevet i vedlegg 2. Den gjelder ikke opplysninger om kundens kontaktpersoner som vi behandler for å levere og fakturere tjenesten. Der er vi selv behandlingsansvarlige, se personvernerklæringen på bitsandbytes.no/personvern.

1.3 Avtalen bygger på EU-kommisjonens standard avtalevilkår (gjennomføringsbeslutning (EU) 2021/915). Partene kan ikke endre innholdet, bare oppdatere vedleggene. Det hindrer ikke at avtalen står sammen med vilkårene eller får tillegg, så lenge de ikke strider mot avtalen.

1.4 Ved motstrid mellom denne avtalen og vilkårene gjelder denne avtalen for behandling av personopplysninger.

2. Beskrivelse av behandlingen

Hvilke opplysninger, hvem de gjelder, formålet og hvor lenge de lagres, står i vedlegg 2.

3. Våre plikter

3.1 Instrukser. Vi behandler personopplysninger bare etter dokumenterte instrukser fra kunden. Instruksene er denne avtalen, vilkårene, valgene kunden gjør i tjenesten (for eksempel hvilke skjema, tjenester og påminnelser som er slått på) og skriftlige beskjeder fra kunden. Unntaket er når norsk lov eller EØS-retten krever at vi behandler opplysningene. Da sier vi fra til kunden før behandlingen, med mindre loven forbyr det. Mener vi at en instruks bryter personvernregelverket, sier vi straks fra.

3.2 Formålsbegrensning. Vi bruker opplysningene bare til formålene i vedlegg 2. Vi selger dem aldri og bruker dem ikke til egen markedsføring. Sammenstilte tall uten personopplysninger, som antall bestillinger, medlemmer og besøk, kan vi bruke til å følge opp kundeforholdet og lage månedsrapporten til kunden.

3.3 Varighet. Avtalen gjelder så lenge vi behandler personopplysninger for kunden.

3.4 Sikkerhet. Vi har tekniske og organisatoriske tiltak som gir et sikkerhetsnivå som passer til risikoen. Tiltakene står i vedlegg 3. Bare personer som trenger tilgang for å levere tjenesten, får tilgang, og de har taushetsplikt.

3.5 Særlige kategorier. Tjenesten er ikke laget for særlige kategorier av personopplysninger (for eksempel helseopplysninger) eller opplysninger om straffbare forhold. Kunden skal ikke be om slike opplysninger i skjema, bestilling eller kundekort. Trenger kunden det, for eksempel for å registrere hensyn ved en behandling, må partene avtale ekstra tiltak skriftlig først.

3.6 Dokumentasjon og kontroll. Vi gir kunden informasjonen som trengs for å vise at avtalen og artikkel 28 følges. Kunden kan be om revisjon eller inspeksjon. Den varsles minst 30 dager i forveien, gjøres i vanlig arbeidstid, høyst én gang i året med mindre det er grunn til å tro at avtalen er brutt, og betales av kunden. Kunden kan bruke en uavhengig revisor med taushetsplikt. Kontroll hos underleverandørene skjer ved at vi viser til deres egne revisjonsrapporter og sertifiseringer.

3.7 Underleverandører. Kunden gir oss generell tillatelse til å bruke underleverandørene i vedlegg 4. Vi varsler kunden på e-post minst 30 dager før vi legger til eller bytter en underleverandør. Kunden kan protestere innen fristen. Finner vi ikke en løsning, kan kunden si opp avtalen før endringen gjelder, uten kostnad. Vi pålegger underleverandørene de samme pliktene som i denne avtalen, og vi er ansvarlige overfor kunden for at de oppfyller dem.

3.8 Overføring utenfor EØS. Vi overfører personopplysninger utenfor EØS bare når det er et gyldig grunnlag etter GDPR kapittel V. Det er for eksempel at mottakeren er sertifisert under EU-US Data Privacy Framework, eller at vi har inngått EUs standardkontrakter med mottakeren. Hvilke underleverandører det gjelder, står i vedlegg 4.

4. Hjelp til kunden

4.1 Får vi en henvendelse direkte fra en person som opplysningene gjelder, for eksempel om innsyn eller sletting, sender vi den videre til kunden uten ugrunnet opphold. Vi svarer ikke selv, med mindre kunden ber oss om det.

4.2 Vi hjelper kunden med å

• svare på krav om innsyn, retting, sletting, begrensning, dataportabilitet og protest,
• vurdere personvernkonsekvenser (DPIA) og forhåndsdrøfte med Datatilsynet, når det er nødvendig,
• holde opplysningene riktige, blant annet ved å rette eller slette når kunden ber om det,
• oppfylle sikkerhetskravene i GDPR artikkel 32.

4.3 Hjelp som går ut over det tjenesten gjør av seg selv, og som tar mer enn en time, kan vi fakturere etter timepris. Vi avtaler prisen med kunden på forhånd.

5. Brudd på personopplysningssikkerheten

5.1 Oppdager vi et brudd på sikkerheten for opplysninger vi behandler for kunden, varsler vi kunden uten ugrunnet opphold, og senest 48 timer etter at vi ble kjent med det. Varselet sendes til e-postadressen kunden har oppgitt, og vi ringer kontaktpersonen.

5.2 Varselet beskriver, så langt vi vet det:

• hva som har skjedd, hvilke typer opplysninger og omtrent hvor mange personer og opplysninger det gjelder,
• hvem kunden kan kontakte hos oss,
• sannsynlige konsekvenser,
• hva vi har gjort eller foreslår for å stoppe bruddet og begrense skaden.

Det vi ikke vet ennå, sender vi så snart vi vet det.

5.3 Vi hjelper kunden med å melde bruddet til Datatilsynet innen 72 timer og eventuelt varsle de berørte.

5.4 Brudd hos kunden selv, for eksempel en ansatt som deler innloggingen sin, varsler kunden oss om, så vi kan hjelpe.

6. Avtaletid, oppsigelse og sletting

6.1 Avtalen følger kundeforholdet og opphører når vi har slettet eller levert tilbake opplysningene etter punkt 6.3.

6.2 Bryter vi avtalen, kan kunden be oss stanse behandlingen til avtalen følges. Gjør vi ikke det innen rimelig tid, og senest innen én måned, kan kunden si opp med umiddelbar virkning.

6.3 Når kundeforholdet er avsluttet, kan kunden i 90 dager be om å få opplysningene utlevert i et vanlig format, for eksempel CSV. Deretter sletter vi dem, også kopier, med mindre lov krever at vi oppbevarer dem. Opplysningene forsvinner fra sikkerhetskopien 30 dager etter sletting, se vedlegg 3. På forespørsel bekrefter vi skriftlig at opplysningene er slettet.

7. Ansvar

Ansvar mellom partene følger vilkårene punkt 13. Overfor de registrerte gjelder GDPR artikkel 82.

8. Lovvalg

Avtalen følger norsk rett, og tvister løses som i vilkårene punkt 17.

Vedlegg 1. Partene

Vedlegg 2. Behandlingen

Hvilke deler som gjelder, avhenger av hva kunden har i pakken og har slått på.

Formål: å drive kundens nettside og tjenestene i pakken, sende bekreftelser, påminnelser og varsler, gi kunden oversikt, og lage månedsrapporten.

Hva vi gjør: lagrer, viser, sender, sikkerhetskopierer, retter og sletter, etter kundens bruk av tjenesten. Vi går bare inn i opplysningene når kunden ber om hjelp, eller når det trengs for å rette en feil eller håndtere et sikkerhetsbrudd.

Vedlegg 3. Sikkerhetstiltak

• Kryptert forbindelse (HTTPS) på alle nettsider, skjema og innlogginger.
• Databasen for kundenes data og lagringen av bilder ligger i EU (Cloudflare D1 og R2 med jurisdiksjon EU). Bilder ligger i en privat lagring som ikke er åpen fra nettet.
• Hver kundes opplysninger er merket med kunden. Tjenesten viser bare kundens egne data til kundens brukere.
• Kunden og kundens ansatte logger inn med engangskode på e-post eller passkey (Face ID eller fingeravtrykk). Det finnes ingen passord som kan lekke. Koder og økter lagres bare som enveiskode (SHA-256), koden gjelder i 10 minutter, og etter 5 feil forsøk må det bes om ny kode. PIN låser bare opp en enhet som allerede er logget inn.
• Skjema er beskyttet mot roboter med Cloudflare Turnstile.
• Forespørsler slettes automatisk etter 12 måneder.
• Nøkler til underleverandørene ligger kryptert hos Cloudflare, ikke i koden.
• Bare medarbeidere i Bits & Bytes som trenger det for å levere tjenesten, har administratortilgang. De har taushetsplikt.
• Totrinnsinnlogging på alle administratorkontoer hos underleverandørene der leverandøren tilbyr det.
• Sikkerhetskopi: databasen kan gjenopprettes til et hvilket som helst tidspunkt de siste 30 dagene (Cloudflare D1 Time Travel). Eldre tilstander finnes ikke.

Vedlegg 4. Underleverandører

Stripe, Tripletex og Pipedrive er ikke med her. Vi bruker dem bare til vårt eget kundeforhold med kunden, og der er vi behandlingsansvarlige.