Databehandleravtale

Sist endret 27. mai, 2026

I henhold til personopplysningslovens § 13, jf. § 15 og personopplysningsforskriftens kapittel to, inngås følgende avtale mellom

COMPANY_NAME (org.nr: COMPANY_ORGNO), heretter kalt behandlingsansvarlig eller kunde

og

Booktech AS (org.nr: 929 495 330), heretter kalt databehandler eller leverandør, som leverandør av bookingløsning eller nettsideløsning, heretter kalt tjenesten.

1. Avtalens hensikt

Avtalen regulerer rettigheter og plikter etter Lov av 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven), og forskrift av 15. desember 2000 nr. 1265 (personopplysningsforskriften).

Avtalen regulerer databehandler sin håndtering av personopplysninger på
vegne av den behandlingsansvarlige, herunder innsamling, lagring og utlevering, i forbindelse med bruken av tjenesten.

Avtalen skal sikre at personvernet til de registrerte (studenter, ansatte, osv.) ikke krenkes ved behandling av personopplysninger i tjenesten.

Vilkårene i denne avtalen går foran vilkår i andre avtaler inngått mellom behandlingsansvarlig og leverandøren knyttet til tjenesten.

2. Formål og formålsbegrensning

Formålet med leverandøren sin behandling av personopplysninger på vegne av behandlingsansvarlig, er å levere og administrere tjenesten.

Personopplysninger som leverandøren behandler i tjenesten vil ikke bli
brukt til andre formål enn dette.

3. Personopplysninger som behandles

Personopplysninger er opplysninger og informasjon som kan knyttes til deg som enkeltperson. Det kan eksempelvis være navn, e-postadresse, kontonummer eller liknende.

Personopplysninger som vi samler inn og behandler vil vi i de fleste tilfeller hente direkte fra deg, for eksempel i forbindelse med bestilling. Andre steder vi kan samle opplysninger direkte fra deg er for eksempel når du gir tilbakemelding i våre digitale kanaler eller når du har vært i kontakt med oss.

Leverandøren behandler følgende personopplysninger på vegne av behandlingsansvarlig i tjenesten:

  • Data som lagres ved bestillinger:
    • Hva som bestilles
    • Dato og klokkeslett
    • Tilleggsopplysninger som skrives inn i inndatafelt og kommentarfelt.
    • Epostadresse
    • Navn
    • Telefonnr
    • Melding
    • IP-adresser

4. Databehandlers plikter

Leverandøren vil følge de instrukser for behandling av personopplysninger som behandlingsansvarlig har bestemt skal gjelde. Den behandlingsansvarliges instrukser er uttømmende beskrevet i denne avtalen.

Behandlingsansvarlig har rett til tilgang til og innsyn i de personopplysninger som leverandøren håndterer på dennes vegne. Det samme gjelder for alle IT-løsninger som leverandøren benytter til behandling av personopplysninger i tjenesten. Leverandøren vil gi nødvendig bistand til dette.

Leverandøren vil bistå den behandlingsansvarlig ved ivaretakelse av den registrertes rettigheter, spesielt innsyn i, retting og sletting av personopplysninger, jf. personopplysningsloven kapittel III og IV.
5. Bruk av underleverandør
Leverandøren benytter følgende underleverandører eller andre tredjeparter til behandling av personopplysninger i forbindelse med administrasjon og levering av tjenesten:

  • NetClient Services AS (jCloud)
    Leverer hosting av leverandørens servere.
    Databehandleravtale: https://jcloud.no/privacy/dpa/
  • Google
    Leverer webanalyseverktøy på nettsider.

Leverandøren kan ta i bruk nye underleverandører så sant disse følger vilkårene i denne avtalen.

6. Sikkerhet

Leverandøren vil til enhver tid sørge for at informasjonssikkerheten til personopplysninger som behandles på vegne av behandlingsansvarlig i tjenesten, er tilfredsstillende, jf. personopplysningsloven § 13 og personopplysningsforskriften kapittel to.

Leverandøren vil dokumentere arbeidet med informasjonssikkerhet etter forespørsel fra behandlingsansvarlig.

Leverandøren gjør jevnlig risikovurderinger av behandlingen av personopplysninger i tjenesten. Nødvendige tekniske, fysiske eller organisatoriske sikringstiltak vil bli etablert for å forhindre ødeleggelse og tap eller uautorisert endring, eksponering og tilgang til personopplysninger.

Avviksmelding etter personopplysningsforskriftens § 2-6 skal skje ved at leverandøren melder avviket til behandlingsansvarlig. Behandlingsansvarlig har ansvaret for at avviksmelding sendes Datatilsynet.

Leverandøren vil loggføre all autorisert og forsøk på uautorisert bruk av personopplysninger i tjenesten, jf. Personopplysningsforskriften § 2-16.

Kun ansatte hos leverandøren som har tjenstlige behov for tilgang til personopplysningene i tjenesten, har slik tilgang. Leverandøren vil dokumentere rutiner og retningslinjer for tilgangsstyring på forespørsel fra behandlingsansvarlig.

Ansatte hos leverandøren har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til iht. denne avtalen. Taushetsplikten gjelder også etter avtalens opphør.

7. Sikkerhetsrevisjoner

Leverandøren vil jevnlig gjennomføre sikkerhetsrevisjoner av behandlingen av personopplysninger i tjenesten.

Behandlingsansvarlig kan selv gjennomføre sikkerhetsrevisjoner av tjenesten hos leverandøren. Leverandøren vil gi behandlingsansvarlig
nødvendige bistand ved slike revisjoner. Kostnadene som dette medfører for leverandøren vil faktureres behandlingsansvarlig.

8. Sletting av personopplysninger

Ved opphør av denne avtalen vil leverandøren slette alle personopplysninger som behandles på vegne av behandlingsansvarlig og som omfattes av denne avtalen.

9. Avtalens varighet

Avtalen gjelder så lenge leverandøren behandler personopplysninger på
vegne av behandlingsansvarlig.

Ved brudd på denne avtale kan den behandlingsansvarlige pålegge leverandøren å stoppe den videre behandlingen av personopplysninger med øyeblikkelig virkning.

10. Lovvalg og verneting

Avtalen er underlagt norsk rett og partene vedtar Nedre Telemark tingrett som verneting. Dette gjelder også etter opphør av avtalen.