Juridisk

Databehandleravtale for Datamynt AS — generell del

Versjon 1, 21. oktober 2026.

Dette er den generelle delen av databehandleravtalen, som er lik for alle Datamynts tjenester. Sammen med den hører et bilag for hver tjeneste: Bilag A beskriver behandlingen, Bilag B sikkerhetstiltakene for tjenesten og Bilag C hvilke av underleverandørene tjenesten bruker. Teksten under er til lesing; avtalen inngås med den versjonen og det bilaget som oppgis ved signering.

Utkast — bør gjennomgås av jurist før første signering.

1. Partene og hva avtalen gjelder

Databehandler er Datamynt AS, org.nr. 936 017 207, Maridalsveien 163, 0461 Oslo.

Behandlingsansvarlig er kunden som bruker en tjeneste fra Datamynt og som er oppgitt ved signering.

Avtalen gjelder når Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig for å levere tjenesten. Den er databehandleravtalen etter personvernforordningen (GDPR) artikkel 28.

Avtalen består av denne generelle delen, som er lik for alle Datamynts tjenester, og et tjenestebilag for den tjenesten Behandlingsansvarlig bruker:

• Bilag A: behandlingen — formål, art, hvilke registrerte og hvilke opplysninger, varighet og lagringstid.
• Bilag B: sikkerhetstiltak som gjelder særskilt for tjenesten.
• Bilag C: hvilke underleverandører tjenesten bruker.

Står noe i tjenestens vilkår i strid med denne avtalen, gjelder denne avtalen for behandlingen av personopplysninger. Bilaget går foran den generelle delen bare der den generelle delen sier at bilaget kan bestemme noe annet.

Opplysninger om Behandlingsansvarliges egne brukere av tjenesten (for eksempel navn og e-post til innlogging og fakturering) behandler Databehandler som behandlingsansvarlig selv, etter personvernerklæringen for tjenesten. De er ikke omfattet av denne avtalen.

2. Ord i avtalen

Ord som «personopplysninger», «behandling», «registrert», «brudd på personopplysningssikkerheten» og «underleverandør» (underdatabehandler) betyr det samme som i personvernforordningen. «Personvernregelverket» er personopplysningsloven med personvernforordningen og annen lov som gjelder behandlingen.

3. Formål og art

Databehandler behandler personopplysningene bare for å levere tjenesten slik den er beskrevet i Bilag A, og bare så lenge avtalen gjelder.

Databehandler bruker ikke opplysningene til egne formål, til markedsføring, til profilering eller til å trene maskinlæringsmodeller, og selger dem ikke.

4. Instrukser

Databehandler behandler personopplysningene bare etter dokumenterte instrukser fra Behandlingsansvarlig. Denne avtalen, Behandlingsansvarliges innstillinger i tjenesten og Behandlingsansvarliges bruk av tjenesten og API-et er instruksene. Andre instrukser gis skriftlig.

Databehandler sier fra uten ugrunnet opphold dersom en instruks etter Databehandlers syn er i strid med personvernregelverket.

Krever lov at Databehandler behandler opplysningene på en annen måte, sier Databehandler fra til Behandlingsansvarlig før behandlingen, med mindre loven forbyr det.

5. Taushetsplikt

Alle som behandler personopplysningene på vegne av Databehandler, har taushetsplikt, enten etter lov eller etter skriftlig avtale. Taushetsplikten gjelder også etter at arbeidet for Databehandler er slutt.

Bare de som trenger det for å drifte, feilsøke og gi brukerstøtte for tjenesten, får tilgang til personopplysningene, og bare til de opplysningene de trenger.

6. Sikkerhet

Databehandler gjennomfører tekniske og organisatoriske tiltak etter artikkel 32, tilpasset risikoen ved behandlingen. For alle tjenestene gjelder dette:

• all trafikk til og fra tjenesten går kryptert (HTTPS),
• tilgang til systemer og data gis bare personer som trenger den, og administrative kontoer er personlige,
• nøkler og passord holdes utenfor kildekoden,
• programvare og avhengigheter holdes oppdatert, og sikkerhetsfeil rettes etter alvorlighet,
• sikkerhetskopier tas og oppbevares slik Bilag B beskriver,
• endringer i tjenesten gjennomgås før de settes i drift.

Tiltak som gjelder særskilt for tjenesten, står i Bilag B. Databehandler vurderer tiltakene på nytt når tjenesten endres, og etter et brudd.

7. Underleverandører

Behandlingsansvarlig gir Databehandler generell skriftlig tillatelse til å bruke underleverandører.

Datamynts liste over underleverandører står på datamynt.no/underleverandorer. Bilag C sier hvilke av dem tjenesten bruker. Behandlingsansvarlig godkjenner de underleverandørene som står i Bilag C når avtalen inngås.

Databehandler varsler Behandlingsansvarlig på e-post minst 30 dager før en underleverandør legges til eller byttes ut for tjenesten. Behandlingsansvarlig kan protestere innen fristen. Kommer partene ikke til enighet, kan Behandlingsansvarlig si opp avtalen og slutte å bruke tjenesten før endringen gjelder.

Databehandler inngår skriftlig avtale med hver underleverandør som pålegger den de samme pliktene om personvern som Databehandler har etter denne avtalen, og er ansvarlig overfor Behandlingsansvarlig for at underleverandøren oppfyller dem.

Tjenester som Behandlingsansvarlig selv kobler til (for eksempel en betalingsløsning, et regnskapssystem eller en innloggingsleverandør i Behandlingsansvarliges navn), er ikke Databehandlers underleverandører. Behandlingsansvarlig har egne avtaler med dem, og Databehandler henter og sender opplysninger til dem på Behandlingsansvarliges instruks.

8. Overføring ut av EØS

Databehandler overfører personopplysninger ut av EØS bare slik Bilag C og listen på datamynt.no/underleverandorer beskriver, og bare med et gyldig overføringsgrunnlag etter kapittel V i personvernforordningen. Andre overføringer krever Behandlingsansvarliges skriftlige samtykke.

9. Hjelp med de registrertes rettigheter

Databehandler hjelper Behandlingsansvarlig, så langt det er mulig, med å oppfylle de registrertes rettigheter: innsyn, retting, sletting, begrensning, dataportabilitet og protest. Bilag A sier hvordan opplysningene kan hentes ut og slettes i tjenesten.

Får Databehandler en henvendelse direkte fra en registrert, sendes den videre til Behandlingsansvarlig uten ugrunnet opphold. Databehandler svarer ikke den registrerte selv uten instruks.

10. Hjelp med sikkerhet og vurderinger

Databehandler hjelper Behandlingsansvarlig med å oppfylle pliktene i artikkel 32 til 36: sikkerhet, varsling av brudd, vurdering av personvernkonsekvenser (DPIA) og forhåndsdrøfting med Datatilsynet, ut fra behandlingens art og den informasjonen Databehandler har.

11. Brudd på personopplysningssikkerheten

Databehandler varsler Behandlingsansvarlig uten ugrunnet opphold, og senest innen 48 timer etter at vi ble kjent med bruddet, når et brudd på personopplysningssikkerheten gjelder Behandlingsansvarliges opplysninger. Behandlingsansvarlig har da sin frist på 72 timer til å varsle Datatilsynet.

Varselet sendes til e-postadressen som har signert denne avtalen, og til den som er satt opp som kontakt for tjenesten. Så langt det er kjent sier varselet:

• hva som har skjedd, og når,
• hvilke kategorier opplysninger og registrerte det gjelder, og omtrent hvor mange,
• sannsynlige konsekvenser,
• hva Databehandler har gjort og vil gjøre for å stanse bruddet og begrense skadene,
• hvem Behandlingsansvarlig kan kontakte hos Databehandler.

Opplysninger som ikke er kjent ennå, ettersendes så snart de er kjent. Databehandler fører en logg over alle brudd, også dem som ikke varsles, og hjelper Behandlingsansvarlig med varsling til Datatilsynet og de registrerte. Databehandler varsler ikke Datatilsynet eller de registrerte på vegne av Behandlingsansvarlig uten at det er avtalt.

12. Opphør, tilbakelevering og sletting

Når avtalen opphører, velger Behandlingsansvarlig om personopplysningene skal leveres tilbake eller slettes. Bilag A sier hvordan opplysningene kan hentes ut, og hvor lang tid Databehandler har på slettingen.

Har Bilag A ikke en annen frist, sletter Databehandler opplysningene senest 90 dager etter opphør, også i sikkerhetskopiene etter hvert som de byttes ut. Lov kan kreve at opplysninger oppbevares lenger. Da oppbevares bare det loven krever, og bare så lenge loven krever det.

Databehandler bekrefter slettingen skriftlig når Behandlingsansvarlig ber om det.

13. Revisjon og dokumentasjon

Databehandler gir Behandlingsansvarlig den informasjonen som trengs for å vise at pliktene i artikkel 28 er oppfylt. Databehandler fører protokoll over behandlingen etter artikkel 30 nr. 2.

Databehandler gir adgang til revisjoner og inspeksjoner, også gjennom en uavhengig revisor som Behandlingsansvarlig velger og som har taushetsplikt. En revisjon varsles minst 30 dager før, skjer i vanlig arbeidstid og høyst én gang i året, med mindre et brudd eller Datatilsynet gir grunn til mer. Behandlingsansvarlig dekker egne kostnader ved revisjonen.

14. Varighet

Avtalen gjelder fra den er signert og så lenge Databehandler behandler personopplysninger for Behandlingsansvarlig i tjenesten. Punktene om taushetsplikt, sletting og revisjon gjelder så lenge Databehandler har opplysningene.

15. Endringer og versjoner

Endringer i avtalen gjøres skriftlig og gjelder fra begge parter har godtatt dem. En endret tekst får et nytt versjonsnummer og sendes til signering på samme måte som denne. Tidligere versjoner endres aldri.

Når avtalen signeres elektronisk, oppgis versjonsnummeret og SHA-256-fingeravtrykket til den generelle delen og bilaget i det som signeres.

En ny underleverandør etter punkt 7 krever ikke ny signatur. Bilag C oppdateres og får nytt versjonsnummer når varslingsfristen er ute.

16. Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister avgjøres av Oslo tingrett, om partene ikke blir enige på annen måte.

17. Kontakt

Databehandler: personvern@datamynt.no. Behandlingsansvarlig: e-postadressen som har signert denne avtalen, og den som er satt opp som kontakt for tjenesten.

Versjon og fingeravtrykk

SHA-256-fingeravtrykket til teksten for denne versjonen (filen databehandleravtale-generell-v1.md):

f3ec318a84f2a7e719fb6ee3b791e601e1eb60483b6286e6271e387407aa474e

Spørsmål om avtalen: personvern@datamynt.no.