Databehandleravtale
Versjon 12. oktober 2026.
Når trengs denne
Når vi behandler personopplysninger på vegne av en kunde, skal oppgaven og ansvaret avklares i en databehandleravtale. Avtalen tilpasses tjenesten, opplysningene og leverandørene som faktisk er involvert.
Om vi er databehandler, avhenger av hva tjenesten faktisk er. At vi ser personopplysninger mens vi løser en IT-oppgave, er ikke alene nok til å avgjøre det.
Privatpersoner trenger ikke denne. Da holder personvernerklæringen.
Gjelder det nettside og Synlighetspakken, bruk avtalen for den tjenesten i stedet.
Partene
| Behandlingsansvarlig (kunden) | __________, org.nr __________ |
|---|---|
| Databehandler | HOLMESTRANDIT AS, org.nr. 938 342 121 |
| Avtalen gjelder fra | __________ |
| Kontaktpunkt hos kunden | __________ |
| Kontaktpunkt hos oss | personvern@holmestrandit.no, telefon 995 60 122 |
Kunden bestemmer hva opplysningene skal brukes til. HolmestrandIT behandler dem kun etter instruks fra kunden.
Alle henvendelser om innsyn, retting, sletting og avvik går til kontaktpunktene over.
1 · Hva vi behandler, og hvorfor
| Formål | Å levere IT-støtte: feilretting, oppsett, drift og rådgivning |
|---|---|
| Varighet | Så lenge oppdragsforholdet varer |
| Typer opplysninger | Navn, telefon og e-post til dem hos kunden vi har kontakt med. E-post om oppdraget, og svarene våre. Det vi ser i filer, e-post og systemer på maskinene vi arbeider på, når vi gjør det kunden har bedt om. |
| Kategorier personer | Kundens ansatte og andre vi har kontakt med hos kunden, og de som er nevnt i filene og systemene vi arbeider i, som kundens kunder. |
Særlige kategorier, som helseopplysninger, behandler vi bare når det er avtalt særskilt og skriftlig før arbeidet begynner.
2 · Instruks
Vi behandler personopplysninger kun etter dokumentert instruks fra kunden, inkludert denne avtalen. Mener vi en instruks bryter personvernregelverket, sier vi fra med en gang.
Vi bruker aldri opplysningene til egne formål.
3 · Taushetsplikt
Alle som får tilgang til opplysningene hos oss har taushetsplikt. Taushetsplikten gjelder også etter at avtalen er avsluttet.
4 · Sikkerhet
Vi gjennomfører egnede tekniske og organisatoriske tiltak, blant annet:
- Tilgang kun for dem som trenger det, og kun så lenge det trengs.
- Kryptert forbindelse ved fjernhjelp, med økt som kunden selv starter og kan avbryte.
- Fjernhjelp går gjennom egen server, ikke gjennom en tredjepartstjeneste.
- Ingen opptak av fjernhjelpsøkter.
- E-posten med kunden ligger i postkassen vår og i saksverktøyet vårt, som kjører på vår egen server.
- Utstyr med diskkryptering og skjermlås.
5 · Underleverandører
Vi bruker disse underdatabehandlerne:
| Hvem | Hva | Hvor |
|---|---|---|
| Domeneshop | Postkassen vår, der e-post og meldinger fra skjemaet havner | Norge |
| Resend | Sender e-posten fra kontaktskjemaet, og e-post fra oss til kunden | EU og USA |
| Anthropic (Claude) | Leser nye henvendelser i saksverktøyet vårt, og foreslår hva de gjelder og et utkast til svar | USA |
Resend er sertifisert under rammeverket for personvern mellom EU og USA (EU-US Data Privacy Framework), og det er grunnlaget når opplysninger går til Resend i USA. Listen over sertifiserte selskaper er sjekket 12. oktober 2026. For Anthropic er grunnlaget EUs standard personvernbestemmelser (modul 2 og 3), som er en del av Anthropics databehandleravtale.
Vil vi bytte eller legge til en underleverandør, varsler vi kunden minst 30 dager i forveien. Kunden kan protestere, og da finner vi en annen løsning eller avslutter den delen av oppdraget.
Vi står ansvarlig overfor kunden for det underleverandørene gjør.
6 · Hjelp til kunden
Vi bistår kunden med:
- Å svare på krav fra personer om innsyn, retting eller sletting.
- Å ivareta sikkerheten i behandlingen.
- Vurderinger av personvernkonsekvenser der det trengs.
7 · Avvik
Oppdager vi et brudd på personopplysningssikkerheten, varsler vi kunden uten ugrunnet opphold, og senest innen 24 timer etter at vi ble kjent med det.
Varselet beskriver hva som har skjedd, hvilke opplysninger som er berørt, sannsynlige følger og hva vi gjør med det. Det er kunden som melder til Datatilsynet, siden det er kunden som er behandlingsansvarlig.
8 · Når avtalen avsluttes
Ved avslutning sletter vi alle personopplysninger vi har på kundens vegne, eller leverer dem tilbake dersom kunden ønsker det. Kunden velger hvilken av delene innen 30 dager.
Vi beholder ingenting utover det loven eventuelt pålegger oss, som regnskapsdokumentasjon.
9 · Revisjon
Kunden kan be om dokumentasjon på at vi følger avtalen. Vi svarer innen rimelig tid og legger til rette for revisjon dersom kunden krever det.
10 · Lovvalg
Norsk rett gjelder. Vi avtaler ikke et bestemt verneting, så en eventuell tvist føres der loven ellers bestemmer.
Signatur
| For kunden | For HolmestrandIT |
|---|---|
| Sted og dato: __________ | Sted og dato: __________ |
| Navn: __________ | Navn: __________ |
| Signatur: | Signatur: |