Databehandleravtale

Jeg lagrer og viser nettstedet ditt, teller besøk uten informasjonskapsler, tar imot skjemaer og bestillinger, sender e-post på dine vegne, tar sikkerhetskopi og gir deg brukerstøtte. Jeg behandler opplysningene bare for å levere Nettgata til deg.

Opplysningene gjelder besøkende på nettstedet ditt, folk som sender deg meldinger eller forespørsler, kundene i nettbutikken, de som melder seg på nyhetsbrevet ditt, og brukerne du gir tilgang til studioet.

Det kan være navn, e-postadresse, telefonnummer og adresse, meldinger, ordre og hva som er kjøpt, betalingsmåte og betalingsstatus, påmeldinger til nyhetsbrev, IP-adresser og tekniske logger, og innloggings- og endringslogger for brukerne dine.

Nettgata er ikke laget for helseopplysninger eller andre særlige kategorier av personopplysninger. Du skal ikke be om slike opplysninger i skjemaene uten at vi har avtalt det først.

Denne avtalen, vilkårene og valgene du gjør i studioet er instruksene dine. Jeg følger dem og bruker ikke opplysningene til noe annet, heller ikke til markedsføring eller til å trene AI-modeller.

Mener jeg at en instruks bryter personvernreglene, sier jeg fra med en gang. Krever loven at jeg gir opplysninger til andre, for eksempel til politiet, sier jeg fra til deg først, med mindre loven forbyr det.

Du er ansvarlig for at du har lov til å behandle opplysningene, for at personvernerklæringen din stemmer, og for å svare dem som ber om innsyn eller sletting. Jeg hjelper deg med det.

Jeg har taushetsplikt om opplysningene, også etter at avtalen er slutt. I dag er det bare jeg som har administratortilgang. Får noen andre tilgang, for eksempel en innleid utvikler, skal de ha samme taushetsplikt, og de regnes som en ny underleverandør.

Jeg ser bare på opplysningene dine når det trengs for drift og feilretting, eller når du ber om hjelp.

All trafikk går kryptert over HTTPS, og databasen og bildelageret er kryptert hos leverandørene. Passord lagres bare som en hash som ikke kan leses tilbake, og alle brukere kan slå på tofaktor.

Hvert nettsted har sine egne data, og hver forespørsel sjekkes mot nettstedet den gjelder. Endringer i studioet logges. Gjentatte innloggingsforsøk og skjemaspam stoppes automatisk, og IP-adresser lagres da bare som en kort kode.

Nettgata tar sikkerhetskopi hver natt, og sikkerhetskopier eldre enn 30 dager slettes. Hemmelige nøkler ligger aldri i koden.

Jeg følger med på sikkerhetsvarsler for programvaren Nettgata bruker, og oppdaterer når det trengs.

Du gir meg en generell tillatelse til å bruke underleverandørene under. Hver av dem har en databehandleravtale med meg som gir minst samme vern som denne avtalen.

Vil jeg ta i bruk en ny underleverandør eller bytte ut en, sier jeg fra på e-post minst 30 dager før. Du kan protestere. Finner vi ikke en løsning, kan du si opp abonnementet før endringen og få tilbake det du har betalt for tiden etterpå.

Cloudflare, Inc. (USA). Kjører nettstedene og studioet, sender sidene fra datasenteret nærmest den besøkende, stopper angrep, gir kundedomenene sertifikat og lagrer bildene. All trafikk til nettstedene går gjennom Cloudflare, også IP-adresser og det som sendes i skjemaer og bestillinger. Tekniske logger lagres i inntil sju dager. Forespørsler behandles i datasenteret nærmest den besøkende, for norske besøkende normalt i Europa. Bildelageret er satt opp i Vest-Europa. Overføring til USA bygger på EUs standardkontraktsbestemmelser i Cloudflares databehandleravtale, og Cloudflare er sertifisert under EU-U.S. Data Privacy Framework.

Neon, LLC, et Databricks-selskap (USA). Driver databasen der sider, innstillinger, henvendelser, kunder og ordre lagres. Alt som lagres i plattformen, også personopplysninger i henvendelser, ordre og kundelister. Databasen ligger hos Amazon Web Services i Frankfurt i Tyskland, som Neon bruker til driften. Dataene lagres i EU. Neon og Amazon er amerikanske selskaper, og brukerstøtte kan skje fra USA. Det bygger på EUs standardkontraktsbestemmelser og EU-U.S. Data Privacy Framework.

Vercel Inc. (USA). Databasen er bestilt gjennom Vercel Marketplace. Vercel fakturerer databasen og kan endre og slette databasekontoen. Innholdet i databasen ligger hos Neon, ikke hos Vercel, men Vercel har administrativ tilgang til databasekontoen. Administrasjonen skjer fra USA. Overføring til USA bygger på EUs standardkontraktsbestemmelser i Vercels databehandleravtale.

Sendinblue SAS, som driver Brevo (Frankrike). Sender e-post fra plattformen, som ordrebekreftelser, varsler om nye henvendelser og nyhetsbrev. Navn og e-postadresse til mottakeren, og innholdet i e-posten. Brevo lagrer dataene i EU, i Frankrike og Belgia. Noen av Brevos underleverandører er i USA og India. Overføringene bygger på EUs standardkontraktsbestemmelser, og for USA også på EU-U.S. Data Privacy Framework.

Anthropic Ireland, Limited, og Anthropic, PBC (USA). Lager forslagene i den ukentlige AI-rapporten og i AI-teamet. Ingenting endres før kunden trykker Godkjenn. Innholdet på nettstedet, varene og samlede tall. Navn, e-post, adresser og meldinger fra kundenes kunder sendes ikke til Anthropic. Behandlingen skjer i USA. Anthropic sletter det som sendes inn innen 30 dager, med unntak for saker om misbruk. Overføring til USA bygger på EUs standardkontraktsbestemmelser i Anthropics databehandleravtale.

Vipps MobilePay, Klarna og Posten Bring er ikke underleverandører. Butikken har egne avtaler med dem, og de er selv behandlingsansvarlige for opplysningene de får.

Fiken er heller ikke underleverandør. Kobler du til Fiken, sender jeg bestillingene dit fordi du har bedt om det, og hvordan Fiken behandler dem, følger av avtalen du har med Fiken.

Jeg overfører bare personopplysninger til land utenfor EØS når det finnes et gyldig grunnlag etter personvernforordningen kapittel V, som EU-U.S. Data Privacy Framework eller EUs standardkontraktsbestemmelser. Faller et slikt grunnlag bort, sier jeg fra og finner en løsning, eller bytter leverandør.

Ber noen om innsyn, retting, sletting eller å få ut opplysningene sine, kan du gjøre det meste selv i studioet. Det du ikke kan gjøre selv, hjelper jeg deg med.

Oppdager jeg et brudd på personopplysningssikkerheten som gjelder opplysningene dine, varsler jeg deg uten unødig opphold og senest innen 48 timer. Varselet sier hva som har skjedd, hvilke opplysninger og hvor mange som er berørt, hva det kan føre til og hva jeg har gjort. Da har du det du trenger for å melde fra til Datatilsynet innen 72 timer.

Skal du vurdere personvernkonsekvenser, eller drøfte noe med Datatilsynet, gir jeg deg informasjonen du trenger om hvordan Nettgata virker.

Du kan be om dokumentasjonen du trenger for å se at jeg følger avtalen. Vil du gjennomføre en revisjon selv eller med en uavhengig revisor, avtaler vi det med minst 30 dagers varsel, og du dekker egne kostnader.

For underleverandørene bruker vi deres egne revisjonsrapporter og sertifiseringer.

Når abonnementet er slutt, kan du laste ned dataene dine i 30 dager. Deretter sletter jeg dem. Sikkerhetskopier slettes etter hvert som de blir eldre enn 30 dager, så alt er borte senest 60 dager etter at abonnementet sluttet. Vil du ha dataene slettet før, sier du fra.

Jeg tar ikke vare på personopplysninger for deg etter dette, med mindre loven krever det.

Oppfyller jeg ikke denne avtalen eller kravene i personvernforordningen, kan du si opp abonnementet med umiddelbar virkning og få tilbake det du har betalt for tiden etterpå.

Ansvar for skade følger personvernforordningen artikkel 82. Ellers gjelder ansvarsbegrensningen i vilkårene så langt loven tillater det. Avtalen følger norsk rett.