Databehandleravtale

Versjon 2026-09-25

Standardavtale. Dette er databehandleravtalen JTV INVEST AS inngår med alle kunder av Nettkapsler. Fra 6. september 2026 aksepteres den eksplisitt ved registrering av konto, sammen med vilkårene; versjonen som ble akseptert, lagres på kontoen og vises under Profil. Kunder som registrerte seg før dette, har avtalen som del av tjenestens vilkår. Avtalen kan lastes ned, fylles ut og signeres av begge parter der kunden ønsker et signert eksemplar. Kunder med egne krav kan kontakte post@nettkapsler.no.

1. Parter

Behandlingsansvarlig («Kunden»): den virksomheten som har opprettet konto i Nettkapsler og bruker tjenesten på sine nettsteder. Navn, organisasjonsnummer og adresse er de som er registrert på kontoen.

Databehandler («Leverandøren»): JTV INVEST AS, org.nr. 934605985, Saupstadringen 25B, 7078, e-post post@nettkapsler.no.

2. Bakgrunn og formål

Leverandøren leverer Nettkapsler: et cookie-banner som innhenter og dokumenterer samtykke til informasjonskapsler på Kundens nettsteder, styrer Google Consent Mode v2 og fører en samtykkelogg. Banneret kan i tillegg, når Kunden ikke har slått det av for nettstedet, gjøre en stikkprøvebasert teknisk observasjon av hvilke informasjonskapsler, lagringsnøkler og tredjepartsverter som finnes på Kundens sider (passiv observasjon), som grunnlag for Kundens cookie-erklæring. For å gjøre dette behandler Leverandøren personopplysninger om besøkende på Kundens nettsteder på vegne av Kunden.

Denne avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28 nr. 3 og regulerer Leverandørens behandling av personopplysninger på vegne av Kunden. Ved motstrid går denne avtalen foran øvrige vilkår for tjenesten.

3. Behandlingens art, formål og varighet

4. Leverandørens plikter

Leverandøren skal:

1. bare behandle personopplysninger etter dokumenterte instrukser fra Kunden. Bruk av tjenesten slik den er dokumentert, samt innstillinger Kunden gjør i dashbordet, regnes som instruks;
2. ikke bruke opplysningene til egne formål;
3. sikre at personer med tilgang til opplysningene er underlagt taushetsplikt;
4. gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak, jf. punkt 7;
5. bistå Kunden, så langt det er mulig og tatt hensyn til behandlingens art, med å svare på henvendelser fra registrerte som utøver sine rettigheter;
6. bistå Kunden med å oppfylle pliktene etter GDPR artikkel 32–36 (sikkerhet, brudd, vurdering av personvernkonsekvenser), tatt hensyn til behandlingens art og informasjonen Leverandøren har;
7. slette eller tilbakelevere opplysningene ved avtalens opphør, jf. punkt 9;
8. gjøre tilgjengelig informasjonen som er nødvendig for å påvise at pliktene i artikkel 28 er oppfylt, og muliggjøre revisjon, jf. punkt 10;
9. straks underrette Kunden dersom en instruks etter Leverandørens syn er i strid med GDPR eller annen personvernlovgivning.

5. Kundens plikter

Kunden er ansvarlig for at behandlingen har et lovlig grunnlag, for innholdet i sin egen personvernerklæring og cookie-informasjon, for å sette riktige kategorier og tekster i banneret, og for å sørge for at script som krever samtykke faktisk er koblet til riktig kategori. Kunden bestemmer oppbevaringstiden for samtykkeloggen.

6. Underdatabehandlere

Kunden gir en generell godkjenning til at Leverandøren bruker underdatabehandlere. Den til enhver tid gjeldende listen finnes på https://app.nettkapsler.no/underleverandorer. Leverandøren varsler Kunden på e-post minst 30 dager før en ny underdatabehandler tas i bruk for samtykkedata. Kunden kan innen fristen motsette seg endringen; dersom partene ikke finner en løsning, kan Kunden si opp tjenesten uten ytterligere kostnad.

Leverandøren inngår skriftlig avtale med hver underdatabehandler som pålegger den de samme forpliktelsene som i denne avtalen, og er fullt ansvarlig overfor Kunden for underdatabehandlerens oppfyllelse.

7. Sikkerhet

Leverandøren har blant annet følgende tiltak:

• all trafikk krypteres med TLS, både mot dashbordet, widgeten og API-et;
• rå IP-adresser lagres ikke; det lagres en saltet hash som ikke kan reverseres;
• oppføringer i samtykkeloggen redigeres aldri av applikasjonen; de anonymiseres eller slettes bare etter Kundens oppbevaringsregel, ved sletting av nettsted/konto, eller ved en dokumentert administrativ operasjon;
• data lagres hos Hetzner Online GmbH i datasenter i Falkenstein, Tyskland (EU), med tilgangskontroll;
• passord lagres hashet; tilgang til dashbordet krever e-postbekreftelse;
• tilgang til produksjonsmiljøet er begrenset til personell med driftsansvar;
• sikkerhetskopi av databasen tas manuelt, ukentlig, og lagres på en separat privat server i Finland (EØS). Automatisert sikkerhetskopiering med testet gjenoppretting er planlagt, og punktet oppdateres når det er på plass.

8. Brudd på personopplysningssikkerheten

Leverandøren varsler Kunden uten ugrunnet opphold etter å ha fått kjennskap til et brudd på personopplysningssikkerheten som gjelder Kundens opplysninger, slik at Kunden kan overholde sin egen frist etter GDPR artikkel 33. Varselet sendes til e-postadressene til kontoens brukere og skal, så langt informasjonen er tilgjengelig, beskrive bruddets art, hvilke kategorier og omtrentlig antall registrerte og opplysninger som er berørt, sannsynlige konsekvenser, tiltak som er gjort eller foreslås, og et kontaktpunkt. Informasjon som ikke er tilgjengelig ved første varsel, gis trinnvis så snart den foreligger.

9. Sletting og tilbakelevering

Kunden kan når som helst eksportere hele samtykkeloggen (CSV eller JSON) fra dashbordet. Når Kunden sletter et nettsted, slettes nettstedets samtykkelogg og tekniske funn. Når Kunden sletter kontoen, slettes alle opplysninger umiddelbart, med unntak av det Leverandøren er rettslig forpliktet til å beholde (fakturagrunnlag etter bokføringsloven, som ligger hos Stripe) og en slettemarkør uten personopplysninger (intern konto-ID, Stripe-kunde-ID, antall og tidspunkt). Sikkerhetskopier av databasen tas for tiden manuelt, ukentlig, og lagres på en separat privat server i Finland (EØS); slettede opplysninger kan finnes i en sikkerhetskopi inntil den slettes eller erstattes.

10. Revisjon

Kunden har rett til å få dokumentasjon på at Leverandøren oppfyller denne avtalen, og kan én gang per år, med minst 30 dagers varsel, gjennomføre eller la en uavhengig tredjepart gjennomføre revisjon av behandlingen. Revisjonen skal ikke forstyrre driften unødig, og Kunden dekker egne kostnader.

11. Overføring til land utenfor EØS

Samtykkedata lagres og behandles i Tyskland, og i sikkerhetskopier i Finland (begge EØS). Overføring utenfor EØS skjer bare dersom det er et gyldig overføringsgrunnlag etter GDPR kapittel V, og Kunden er varslet i tråd med punkt 6.

12. Ansvar og varighet

Ansvar mellom partene følger GDPR artikkel 82 og tjenestens øvrige vilkår. Avtalen gjelder så lenge Leverandøren behandler personopplysninger på vegne av Kunden, og opphører automatisk når kontoen er slettet og opplysningene er slettet etter punkt 9.

13. Lovvalg og verneting

Avtalen er underlagt norsk rett. Tvister løses ved Leverandørens alminnelige verneting.

For Kunden

Virksomhet: ______________________________ Org.nr.: _______________

Navn og stilling: ______________________________

Sted og dato: ______________________________ Signatur: ______________________________

For Leverandøren – JTV INVEST AS

Navn og stilling: ______________________________

Sted og dato: ______________________________ Signatur: ______________________________