Databehandleravtale

Behandlervilkår etter GDPR artikkel 28. Versjon 2026-08-23. Avtalen gjelder for hvert PrivyLedger-workspace fra første bruk — ingen mot-signatur kreves. Kan lastes ned til arkivet.

DATABEHANDLERAVTALE
PrivyLedger — behandlertjenester etter GDPR artikkel 28

Mellom:
  Kunden («Behandlingsansvarlig»), identifisert ved sitt PrivyLedger-workspace, og
  Vassbrekke AS, org.nr 835 834 212, Norge («Behandler»).

Ikrafttredelse: ved første bruk av PrivyLedger av den behandlingsansvarliges konto.
Versjon: 2026-08-23. Gjeldende versjon publiseres alltid på https://privyledger.com/nb/dpa (engelsk: https://privyledger.com/dpa).

1. ROLLER OG VIRKEOMRÅDE
1.1 Den behandlingsansvarlige fastsetter formål og midler for behandling av personopplysninger som legges inn i PrivyLedger (leverandørposter, kontaktpersoner, DSAR-saker, notater).
1.2 Behandleren behandler slike personopplysninger utelukkende for å levere PrivyLedger-tjenesten (hosting, lagring, sikkerhetskopi, visning, eksport) og etter den behandlingsansvarliges dokumenterte instruksjoner. Ytterligere instruksjoner kan gis via workspace-innstillinger eller skriftlig varsel.
1.3 Hver part overholder sine plikter etter forordning (EU) 2016/679 (GDPR) som innlemmet i EØS-avtalen, og gjeldende norsk personvernlovgivning.

2. ART OG FORMÅL MED BEHANDLINGEN
Gjenstand: leverandør-/behandlerregister og tilhørende kontodata som den behandlingsansvarlige legger inn.
Varighet: så lenge workspace består, til sletting av den behandlingsansvarlige, eller til kontoen avsluttes.
Kategorier av registrerte: den behandlingsansvarliges personell og kontaktpersoner hos den behandlingsansvarliges leverandører.
Kategorier av opplysninger: navn, jobb-e-post, roller, fritekstnotater den behandlingsansvarlige velger å legge inn, kontolegitimasjon (hashet).

3. PERSONELL HOS BEHANDLER
Behandleren sørger for at personer som er autorisert til å behandle personopplysningene har forpliktet seg til taushetsplikt eller er underlagt en passende lovbestemt taushetsplikt.

4. UNDERLEVERANDØRER
4.1 Den behandlingsansvarlige gir generell skriftlig tillatelse til underleverandørene listet på https://privyledger.com/nb/subprocessors per ikrafttredelsesdato.
4.2 Behandleren varsler den behandlingsansvarlige om planlagte endringer i underleverandører via den publiserte siden (oppdatert med endringslogg og forhåndsvarsel) i tilstrekkelig tid til å protestere.
4.3 Den behandlingsansvarlige kan protestere mot en ny underleverandør på saklig personvernmessig grunnlag innen 30 dager etter publisering. Nås ingen løsning, kan den behandlingsansvarlige si opp den berørte tjenesten med forholdsmessig refusjon.
4.4 Behandleren pålegger de samme personvernpliktene som i denne avtalen på hver underleverandør ved kontrakt, og er fortsatt ansvarlig for deres ytelse.

5. OVERFØRINGER UTENFOR EØS
5.1 Kjernebehandling (applikasjon, database, sikkerhetskopier) skjer på infrastruktur drevet av behandleren i Norge/EØS. Registerdata overføres ikke utenfor EØS av behandleren.
5.2 Der en listet underleverandør behandler utenfor EØS (for tiden: kortbehandling hos Stripe), bygger overføringen på EU–US Data Privacy Framework der sertifisert, eller Standard Contractual Clauses (kommisjonsbeslutning 2021/914), supplert med egnede tekniske tiltak. Gjeldende liste oppgir status per underleverandør.
5.3 Hvis en adequacy-beslutning som er lagt til grunn etter 5.2 ugyldiggjøres, vurderer behandleren alternativer uten ugrunnet opphold, iverksetter tilleggstiltak der det er mulig, og varsler berørte behandlingsansvarlige.

6. DE REGISTRERTES RETTIGHETER
Behandleren bistår den behandlingsansvarlige, tatt i betraktning behandlingens art, ved å bruke workspace-verktøyene (eksport, sletting, redigering) slik at den behandlingsansvarlige kan svare på henvendelser uten ugrunnet opphold. Behandleren videresender henvendelser som kommer direkte fra registrerte til den behandlingsansvarlige og svarer ikke utover å bekrefte videresending.

7. SIKKERHETSTILTAK
Behandleren opprettholder de tekniske og organisatoriske tiltakene beskrevet på https://privyledger.com/nb/security, inkludert: kryptering i transit (TLS), scrypt-hashed legitimasjon, hashed økt-token, rollebasert tilgang, ratebegrensning, minste privilegium på vert, og jevnlige avhengighetsoppdateringer. Tiltakene gjennomgås løpende og oppdateres når tjenesten utvikles; vesentlige endringer gjenspeiles på sikkerhetssiden.

8. BISTAND OG ANSVARLIGHET
Behandleren gir informasjonen som med rimelighet er nødvendig for å vise overholdelse av artikkel 28 (denne avtalen, den publiserte underleverandørlisten og sikkerhetssiden utgjør den informasjonen). Der den behandlingsansvarliges tilsynskontekst krever mer bistand enn dette, ytes den til rimelige kommersielle satser. Behandleren stiller til rådighet all informasjon som er nødvendig for å vise overholdelse av artikkel 28(3)(h) og bidrar til revisjoner, inkludert inspeksjoner, i samsvar med artikkel 28(3)(h) GDPR: som førstelinjebevis fører behandleren en datert intern behandlingsprotokoll (ROPA) tilgjengelig på forespørsel, publiserer sikkerhetsgjennomgangen, og gir aktivitetsloggen (hvem gjorde hva, når) gjennom produktet. Revisjoner på stedet eller av tredjepart utover dette materialet imøtekommes der den behandlingsansvarliges tilsyn krever det, på den behandlingsansvarliges kostnad og ikke mer enn én gang per år, med 30 dagers varsel.

9. BRUDDVARSLING
Når behandleren blir kjent med et personvernbrudd som rammer den behandlingsansvarliges data, varsles den behandlingsansvarlige uten ugrunnet opphold og innen 72 timer, med beskrivelse av bruddets art, berørte kategorier, sannsynlige konsekvenser og tiltak. Varsel går til workspace-admin(e).

10. SLETTING ELLER TILBAKELEVERING
Ved opphør av den behandlingsansvarliges konto sletter behandleren workspace-data innen 30 dager, etter oppbevaringsplanen i personvernerklæringen, med mindre EØS-/norsk rett krever lagring (f.eks. regnskapsopplysninger etter bokføringsloven). Den behandlingsansvarlige kan eksportere all registerdata når som helst før opphør med innebygd eksport.

11. REVISJONER
Den publiserte dokumentasjonen (henvisningene i avsnitt 7–8) er det primære revisjonsbeviset. Ut over det ytes det etter avsnitt 8.

12. ANSVAR OG RANGERING
Denne avtalen er del av PrivyLedgers vilkår. Ved motstrid om behandling av personopplysninger går denne avtalen foran. Ansvar følger vilkårene.

KONTAKT
Vassbrekke AS — personvernkontakt publisert på https://privyledger.com/nb/privacy og https://privyledger.com/.well-known/security.txt