Databehandleravtale

1. Parter og roller

Kunden — virksomheten som bruker Avently — er behandlingsansvarlig. Avent Digital AS (org.nr 915 920 934) er databehandler. Avtalen regulerer vår behandling av personopplysninger på vegne av kunden, jf. GDPR artikkel 28, og gjelder som vedlegg til bruksvilkårene.

2. Hva vi behandler, og hvorfor

Vi behandler henvendelser fra kundens kontaktskjema — navn, e-post, telefon, meldingstekst og eventuelle egendefinerte felt — for å lagre henvendelsen og varsle kunden på e-post. I tillegg behandler vi innhold kunden legger inn på nettstedet, som kan inneholde personopplysninger (for eksempel ansatte med bilde). Registrerte er besøkende på kundens nettsted og personer omtalt i innholdet.

Har kunden nettbutikk-tillegget, behandler vi i tillegg ordreopplysninger: kjøperens navn, e-post, telefonnummer og leveringsadresse slik Vipps oppgir dem, hva som er bestilt, beløpene og betalingsstatusen. Formålet er å vise ordrene for kunden, sende ordrebekreftelse og kvittering på kundens vegne, og varsle kunden om nye bestillinger. Betalingen skjer i kundens egen Vipps-avtale; vi har aldri rådighet over pengene, og Vipps MobilePay AS er selvstendig behandlingsansvarlig for selve betalingen.

Henvendelsene brukes utelukkende til dette. De inngår ikke i vårt eget kunderegister, brukes ikke til vår markedsføring, sendes ikke til AI-tjenester, og varselet går kun til mottakeradressen kunden selv har satt — aldri i kopi til oss.

3. Kundens ansvar

Kunden er ansvarlig for at innsamlingen har gyldig behandlingsgrunnlag, at skjemaene ikke ber om flere opplysninger enn nødvendig, og for å besvare de registrertes forespørsler om innsyn, retting og sletting. Vi bistår med uthenting og sletting, se punkt 7. Særlige kategorier personopplysninger (helse, etnisitet o.l.) skal ikke samles inn via plattformen.

4. Våre plikter

Vi behandler personopplysninger kun etter dokumenterte instrukser fra kunden — denne avtalen og innstillingene i plattformen. Vi sikrer at personer med tilgang er underlagt taushetsplikt, iverksetter egnede tekniske og organisatoriske tiltak (punkt 6), og bistår kunden med personvernkonsekvensvurderinger der det er relevant.

Vi har ikke løpende innsyn i innholdet i henvendelsene. I administrasjonen vises de bare som metadata — nettsted, tidspunkt og språk. Innholdet i én henvendelse åpnes kun når det trengs for support, feilsøking eller for å stanse misbruk, med oppgitt grunn, og hver åpning loggføres med hvem, når og hvorfor.

Ved brudd på personopplysningssikkerheten varsler vi kunden uten ugrunnet opphold, med den informasjonen kunden trenger for å vurdere melding til Datatilsynet. 72-timersfristen påhviler kunden som behandlingsansvarlig.

5. Underdatabehandlere

Kunden godkjenner disse underdatabehandlerne ved avtaleinngåelse: Supabase (database og innlogging, servere i EU/Irland), Vercel (hosting og drift, funksjoner i EU/Dublin med CDN-kant i Stockholm), Resend (utsending av varsel-e-post), Anthropic (AI-behandling av nettstedsinnhold — aldri av henvendelser), en dedikert server innenfor EØS for sikkerhetskopier, og Microsoft Clarity (besøksanalyse, kun der kunden selv har slått det på og besøkende har samtykket). Bytte eller tillegg varsles minst 30 dager i forveien, og kunden kan protestere på saklig grunnlag.

Kjernedriften — lagring av henvendelser og innhold — skjer innenfor EØS. Der en underdatabehandler behandler data utenfor EØS, skjer overføringen på grunnlag av EU-kommisjonens standardkontrakter (SCC) eller EU-US Data Privacy Framework.

6. Sikkerhet

Kryptering i transitt (TLS) og i hvile. Radnivåsikkerhet i databasen og tilgangskontroll per nettsted, slik at én kundes data aldri er tilgjengelig for en annen. Personlige innlogginger uten delte passord, automatisk overvåking med varsling, versjonerte sikkerhetskopier med angremulighet, revisjonslogg over administrativ åpning av henvendelser, og spam-beskyttelse på skjemaene som begrenser uønsket datainnsamling.

7. Sletting og utlevering

Kunden kan selv se, eksportere og slette enkelthenvendelser under Henvendelser i kundepanelet, og laste ned nettstedets tekst, innstillinger og henvendelser (bilder som lenker) i maskinlesbart format under Min konto. Henvendelser og innhold utleveres også på forespørsel. Å stoppe abonnementet sletter ingenting: nettstedet tas av lufta ved periodeslutt, og vi fortsetter å lagre nettstedet (tekst, bilder og innstillinger) og henvendelsene på kundens vegne etter denne avtalen, så kunden kan starte igjen. Henvendelser slettes uansett automatisk 24 måneder etter at de kom inn, jf. personvernerklæringen. Ordrer fra nettbutikken er regnskapsmateriale for kunden og lagres i fem år etter utgangen av regnskapsåret (bokføringsloven § 13); bestillinger som aldri ble betalt, slettes etter 30 dager. Kunden kan eksportere ordrene under Ordrer i kundepanelet, og et nettsted med ordrer slettes ikke for godt før ordrene er eksportert. Sletter kunden kontoen, legges nettstedene kunden eier alene i papirkurven i 30 dager og slettes deretter for godt, med henvendelser og bilder. Sikkerhetskopiene roterer ut, slik at alle kundens personopplysninger er slettet senest 90 dager etter at kontoen ble slettet. Mottar vi en sletteforespørsel fra en registrert som gjelder kundens data, videreformidler vi den til kunden i stedet for å slette på eget initiativ.

8. Revisjon

Kunden kan be om dokumentasjon på etterlevelse: denne avtalen, underdatabehandlernes avtaler og beskrivelse av sikkerhetstiltakene, og om utdrag av loggen over når vi har åpnet henvendelser fra kundens nettsted, og hvorfor. Fysisk revisjon kan avtales ved begrunnet behov, for kundens regning.

9. Varighet

Avtalen gjelder så lenge vi behandler personopplysninger på kundens vegne. Punkt 7 om sletting og utlevering gjelder også etter opphør.