Databehandleravtale for nettside og Synlighetspakken

Versjon 22. oktober 2026.

Partene

1 · Hva vi behandler, og hvorfor

Formålet er å lage og drifte nettsiden din, når den er hos oss, å holde opplysningene om bedriften riktige, og, om du har Synlighetspakken, å holde Google-bedriftsprofilen din riktig og synlig. Vi behandler ikke opplysningene til noe annet.

Vi kommer borti disse opplysningene:

• Når nettsiden er hos oss: det du sender oss til siden, tekst og bilder, og navn, telefon og e-post til deg og dem hos deg som skal stå på siden.
• Når nettsiden er hos oss og du har gitt oss tilgang til Facebook-siden din under Sidetilgang eller med «Koble til Facebook» på velkomstsiden: det vi henter derfra til siden. Det er sidens navn, beskrivelse, kategori, nettadresse, telefon, adresse og åpningstider, innleggene med tekst, dato og bilde, bildene siden har lastet opp, og profilbildet og omslagsbildet. Innlegg fra bedriftens Instagram-konto henter vi bare når det er avtalt med deg. Vi henter aldri kommentarer, meldinger eller private profiler, og vi publiserer ingenting på Facebook eller Instagram. Det vi henter, lagres i bedriftens mappe hos oss. Nye innlegg og bilder fra Facebook-siden deres kommer på nettsiden av seg selv, én gang om dagen. Vi følger med, og tar bort det dere eller vi ikke vil ha der.
• Når nettsiden er hos oss og du har gitt oss tilgang til Facebook-siden din: hvilken side det gjelder, og en tilgangsnøkkel fra Facebook som lar oss hente fra den. Nøkkelen er kryptert på vår egen tjener og vises aldri. Kobler du siden med «Koble til Facebook», lagrer vi også Facebook-id-en til den som koblet, som en sjekksum (sha256), bare for å finne og slette det vi har når Facebook ber oss om det. Gir du oss tilgang til flere sider enn én, holder vi en tilgangsnøkkel til dem kryptert til vi har koblet den riktige, og høyst i sju dager.
• Med Synlighetspakken: bilder og tekst du sender oss til Google-profilen, med de som er avbildet eller nevnt der.
• E-post du og dem hos deg sender oss om siden eller profilen, og svarene våre.
• Når nettsiden er hos oss: IP-adressen til dem som besøker siden. Tjeneren logger den for å stoppe angrep, og sletter den etter ett døgn. Tellingen av besøk skjer uten IP-adresse. Utløser en besøkende et varsel om angrep, sendes adressen også til CrowdSec (punkt 5).
• Med Synlighetspakken: omtalene på Google-profilen din, med navnet til den som skrev dem, når vi lager utkast til svar som du godkjenner skriftlig.

Personene det gjelder er deg, dine ansatte og andre som er nevnt eller avbildet i det du sender oss eller det vi henter fra Facebook og eventuelt Instagram, de som besøker siden når den er hos oss, og de som skriver omtaler av bedriften din.

Når nettsiden er hos oss: siden har ingen skjemaer, ingen innlogging og ingen sporing. Skriftene ligger på samme tjener som siden, så ingen andre får vite hvem som besøker den.

Google-bedriftsprofilen er din egen hos Google, under vilkårene du selv har med Google. Vi arbeider i den med en rolle du gir oss, og bare så lenge du har tillegget.

Særlige kategorier, som helseopplysninger, ber vi deg ikke sende oss, og vi legger dem ikke ut på siden.

2 · Instruks

Vi behandler personopplysninger kun etter instruks fra deg, og denne avtalen er instruksen. Mener vi at noe du ber om bryter personvernreglene, sier vi fra med en gang. Vi bruker aldri opplysningene til våre egne formål, og ikke til å markedsføre oss selv eller andre.

3 · Taushetsplikt

Alle hos oss som får tilgang har taushetsplikt, og den gjelder også etter at avtalen er avsluttet. I dag er det én person.

4 · Sikkerhet

Dette er tiltakene, og de er de faktiske, ikke en liste med gode hensikter:

• Når nettsiden er hos oss: siden ligger på vår egen tjener, og forbindelsen til den er kryptert, med sertifikat fra Let's Encrypt.
• E-posten med deg ligger i postkassen vår og i saksverktøyet vårt, som kjører på vår egen tjener.
• Google-profilen arbeider vi i med vår egen pålogging og totrinns innlogging. Du eier profilen og kan fjerne oss når du vil. Slutter tillegget, fjerner vi oss selv innen syv virkedager.
• Tilgang bare til det vi trenger, og bare så lenge vi trenger den.
• Utstyret vårt har diskkryptering og skjermlås.

5 · Underleverandører

Vi bruker disse, og ingen andre, til denne tjenesten:

Resend, Cloudflare, Inc. og Meta Platforms, Inc. er sertifisert under rammeverket for personvern mellom EU og USA (EU-US Data Privacy Framework), og det er grunnlaget når opplysninger går til dem i USA. For Anthropic er grunnlaget EUs standard personvernbestemmelser (modul 2 og 3), som er en del av Anthropics databehandleravtale. Listen over sertifiserte selskaper er sjekket 12. oktober 2026. CrowdSec bruker adressene også til en felles liste over angripere, og er etter sine egne vilkår felles behandlingsansvarlig for den listen sammen med dem som bruker tjenesten. CrowdSec lagrer hos blant andre AWS og Google, og grunnlaget når opplysninger går ut av EU, er EUs standard personvernbestemmelser. Vilkårene til CrowdSec er lest 4. oktober 2026.

Vil vi bytte eller legge til en underleverandør, varsler vi deg minst 30 dager i forveien. Du kan protestere, og da finner vi en annen løsning eller avslutter den delen av oppdraget. Vi står ansvarlig overfor deg for det de gjør.

6 · Hjelp til deg

Vi bistår deg med å svare på krav fra personer om innsyn, retting eller sletting, også når det gjelder noen som er nevnt eller avbildet på siden. Ber du oss fjerne et bilde eller en tekst fra siden, gjør vi det. Vi bistår deg også med å ivareta sikkerheten i behandlingen.

7 · Avvik

Oppdager vi et brudd på personopplysningssikkerheten, varsler vi deg uten ugrunnet opphold, og senest innen 24 timer etter at vi ble kjent med det. Varselet sier hva som har skjedd, hvilke opplysninger som er berørt, hva følgene sannsynligvis er, og hva vi gjør med det.

Det er du som melder til Datatilsynet, fordi det er du som er behandlingsansvarlig. Vi gir deg det du trenger for å gjøre det innen fristen på 72 timer.

8 · Når avtalen avsluttes

Vi fjerner oss selv fra Google-profilen din innen syv virkedager om du har hatt Synlighetspakken.

Når nettsiden er hos oss: vi tar ned siden slik avtalen om nettside sier. Tilgangsnøkkelen til Facebook-siden din og Facebook-id-en sletter vi samme dag som siden tas ned, eller før, om du ber om det, også når du ber Facebook om det ved å fjerne appen vår der. Innholdet siden er bygget fra, tekst og bilder, også det vi har hentet fra Facebook og eventuelt Instagram, tar vi vare på i seks måneder etter at siden er tatt ned, så du kan få det med deg, slik avtalen om nettside sier. Deretter sletter vi det vi har av personopplysninger på dine vegne innen 30 dager.

Har du Synlighetspakken alene, sletter vi det vi har av personopplysninger på dine vegne innen 30 dager etter at avtalen er avsluttet.

Vil du heller ha det utlevert før, sier du fra, og da får du det.

Vi beholder ingenting utover det loven pålegger oss, som regnskapsdokumentasjon i fem år etter bokføringsloven.

9 · Revisjon

Du kan be om dokumentasjon på at vi følger denne avtalen, og vi svarer innen rimelig tid. Krever du revisjon, legger vi til rette for den.

10 · Lovvalg

Norsk rett gjelder. Vi avtaler ikke et bestemt verneting, så en eventuell tvist føres der loven ellers bestemmer.