Databehandler­avtale

01Partene og avtalen

1.1 Partene. Denne databehandleravtalen gjelder når Larsen Utvikling, enkeltpersonforetak, org.nr. 937 464 819, behandler personopplysninger på vegne av kunden gjennom Hilsa. Kunden er behandlingsansvarlig, og Larsen Utvikling er databehandler. Partene står i vedlegg I.

1.2 En del av vilkårene. Avtalen er en del av vilkårene for Hilsa på hilsa.no/vilkar, og bruker de samme ordene. Kunden godtar den sammen med vilkårene i appen. Versjonen, tidspunktet, brukeren som godtok og kundens org.nr. lagres, og kunden kan laste ned avtalen som PDF. Avtalen er dermed skriftlig i elektronisk form, slik personvernforordningen artikkel 28 nr. 9 krever.

1.3 Standardavtalevilkårene. Avtalen bygger på EUs standardavtalevilkår mellom behandlingsansvarlige og databehandlere, fastsatt i Kommisjonens gjennomføringsbeslutning (EU) 2021/915. De står i punkt 14, ordrett slik de er kunngjort på norsk i EØS-tillegget til Den europeiske unions tidende nr. 12 av 27. februar 2025, med valgene partene har gjort. Vedleggene i punkt 15-18 er en del av standardavtalevilkårene. I standardavtalevilkårene er kunden «den behandlingsansvarlige» og Larsen Utvikling «databehandleren».

1.4 Forholdet mellom delene. Punkt 1-13 utfyller standardavtalevilkårene, slik vilkår 2 bokstav b tillater. Ved motstrid går standardavtalevilkårene foran (vilkår 4). I spørsmål om personvern går databehandleravtalen foran resten av vilkårene for Hilsa.

02Behandlingen

2.1 Hva Larsen Utvikling gjør. Larsen Utvikling behandler opplysninger om abonnentene for å levere Hilsa til kunden: utsending av nyhetsbrev, påmelding med dobbel bekreftelse, samtykker og avmelding, klikkmåling for dem som har samtykket til det, statistikk og eksport. Vedlegg II beskriver hvem opplysningene gjelder, hvilke opplysninger det er, formålene og hvor lenge opplysningene lagres.

2.2 Hvor. Kontakter og innhold lagres på servere i Sverige og Finland. Punkt 8 sier når opplysninger kan bli overført til eller gjort tilgjengelige fra USA.

2.3 Ingen sensitive opplysninger. Kunden skal ikke legge helseopplysninger eller andre særlige kategorier av personopplysninger (personvernforordningen artikkel 9), eller opplysninger om straffedommer og lovbrudd (artikkel 10), i egne felt, tagger eller andre steder i Hilsa (vilkårene for Hilsa punkt 4.2). Avtalen forutsetter derfor at behandlingen ikke omfatter sensitive opplysninger etter vilkår 7.5.

03Larsen Utviklings plikter

3.1 Instrukser. Kundens dokumenterte instrukser etter vilkår 7.1 er denne avtalen, vilkårene for Hilsa, og valgene kunden gjør i Hilsa, for eksempel hva som sendes, til hvem og når, og hva som slettes. Fristene for lagring i vedlegg II er en del av instruksene. Andre instrukser gir kunden skriftlig.

3.2 Tilgang og taushetsplikt. I det daglige har bare innehaveren av Larsen Utvikling tilgang til kundens opplysninger i produksjonen. Den betrodde personen i beredskapsplanen (punkt 5.7) har nødtilgang. Alle som får tilgang, har taushetsplikt (vilkår 7.4 bokstav b). Når Larsen Utvikling hjelper kunden med en sak, kan innehaveren logge inn som et av kundens medlemmer i høyst 30 minutter, med en begrunnelse som lagres. Imens kan det ikke sendes eller eksporteres. Eiere og administratorer ser hver supportinnlogging under Innstillinger i appen: hvem fra Hilsa som logget inn, som hvilket medlem, når, og begrunnelsen. Eieren får varsel hver gang. Endringer gjort i en supportøkt merkes i revisjonsloggen.

3.3 Henvendelser fra de registrerte. Hilsa har verktøy for innsyn, eksport, retting og sletting av kontakter, og samtykkebevis per kontakt (vilkår 8 bokstav b). Samtykkebeviset leveres som JSON, som er det fullstendige beviset, og som PDF når teksten kan gjengis nøyaktig i PDF-ens skrift. Får Larsen Utvikling en henvendelse fra en registrert om kundens opplysninger, sendes den til kunden uten opphold (vilkår 8 bokstav a). Kunden gir Larsen Utvikling tillatelse til å svare den registrerte at henvendelsen er sendt videre til kunden, som er ansvarlig.

3.4 Protokoll. Larsen Utvikling fører protokoll over behandlingen som databehandler (personvernforordningen artikkel 30 nr. 2), og gir kunden et utdrag på forespørsel.

04Sikkerhet

Larsen Utvikling gjennomfører minst tiltakene i vedlegg III (vilkår 7.4). Larsen Utvikling kan endre tiltakene, men ikke slik at sikkerheten blir lavere.

05Underdatabehandlere

5.1 Generell tillatelse. Kunden gir Larsen Utvikling generell tillatelse til å bruke underdatabehandlerne på lista på hilsa.no/underleverandorer (vilkår 7.7 bokstav a, alternativ 2, og vedlegg IV).

5.2 Varsel. Larsen Utvikling varsler planlagte endringer i lista, altså nye underdatabehandlere eller bytte av en, minst 30 dager før underdatabehandleren tas i bruk. Fristen gjelder underdatabehandlerne Larsen Utvikling selv bruker, altså dem på lista. Punkt 5.4 gjelder underleverandørene deres. Varselet sendes på e-post til eieren og vises i appen. Det sier hvem underdatabehandleren er, hva den skal gjøre, hvor opplysningene skal behandles og grunnlaget for en eventuell overføring.

5.3 Protest. Kunden kan protestere skriftlig før underdatabehandleren tas i bruk. Partene skal da prøve å finne en løsning. Finner de ingen, kan kunden si opp avtalen uten gebyr, med virkning senest fra dagen underdatabehandleren tas i bruk. Kunden får da tilbake det som er betalt for tiden etter at avtalen sluttet (vilkårene for Hilsa punkt 6.8).

5.4 Underleverandørene til underdatabehandlerne. Underdatabehandlerne bruker selv underleverandører, etter sine egne lister og med sine egne frister for varsel. Lista på hilsa.no/underleverandorer lenker til listene deres, og tillatelsen i punkt 5.1 gjelder også disse underleverandørene. Larsen Utvikling melder seg på varslene om endringer der det er mulig. Får Larsen Utvikling vite om en endring som rammer kundens opplysninger, varsler Larsen Utvikling kunden så snart som mulig, på samme måte som i punkt 5.2. Fristen følger da underdatabehandlerens frist, og kan være kortere enn 30 dager. Kunden kan protestere og si opp som i punkt 5.3.

5.5 Vercels egne formål. Vercel er selv behandlingsansvarlig for bruksdata og metadata som lages når tjenestene til Vercel brukes, i den grad dataene er personopplysninger, og behandler dem etter sin egen personvernerklæring (databehandleravtalen til Vercel punkt 4).

5.6 Domeneshops egne formål. Domeneshop er selv behandlingsansvarlig for loggene fra e-postserverne og adresseboka i webmail, med tidspunkt, IP-adresser og e-postadresser, og behandler dem etter sin egen personvernerklæring (vilkårene til Domeneshop, Tillegg 1).

5.7 Vilkår 7.7 bokstav e er ikke oppfylt. Ingen av underdatabehandlerne på lista har i sine standardvilkår et vilkår om begunstiget tredjepart som gir kunden rett til å si opp avtalen med dem og kreve sletting eller tilbakelevering hvis Larsen Utvikling opphører eller blir insolvent. Larsen Utvikling oppfyller derfor ikke vilkår 7.7 bokstav e i dag. Larsen Utvikling ber om vilkåret der det kan forhandles, og varsler kunden når det er på plass. Til da gjør Larsen Utvikling dette. Det gir kunden noe av det samme, men ikke en egen rett overfor underdatabehandlerne:

• Kunden kan når som helst eksportere kontaktene, samtykkeloggen og samtykkebevisene selv i appen (punkt 9.1).
• Larsen Utvikling har en skriftlig beredskapsplan hos en betrodd person. Personen har skriftlig fullmakt og tilgang til å handle for Larsen Utvikling overfor underdatabehandlerne og kundene hvis innehaveren dør eller blir varig ute av stand til å drive Hilsa, eller hvis Larsen Utvikling opphører eller blir insolvent.
• Etter planen varsler den betrodde personen kunden, holder Hilsa i drift i minst 30 dager så kunden kan eksportere, sletter kundens opplysninger hos hver underdatabehandler, og bekrefter slettingen overfor kunden (vilkår 10 bokstav d). Avmeldingen virker hele tiden.
• Planen prøves én gang i året.

Punktet erstatter ikke vilkår 7.7 bokstav e, og endrer ikke pliktene etter det.

06Brudd på personopplysningssikkerheten

6.1 Frister. Larsen Utvikling varsler kunden uten ugrunnet opphold etter vilkår 9.2. Det første varselet sendes innen 24 timer etter at Larsen Utvikling har slått fast at kundens opplysninger er rammet. Uansett sendes det senest 48 timer etter at Larsen Utvikling fikk kjennskap til bruddet. Er det ikke avklart da hvilke kunder som er rammet, varsles alle kundene som kan være rammet.

6.2 Slik varsles kunden. Varselet sendes på e-post til eieren og vises i appen. Hver kunde som er rammet, varsles for seg. Mer informasjon sendes etter hvert som den blir kjent.

6.3 Innhold og bistand. Hva varselet skal inneholde, står i vilkår 9.2 og vedlegg III. Larsen Utvikling bistår kunden med varsel til Datatilsynet og de registrerte etter vilkår 9.1. Kontaktpunktet er personvern@hilsa.no.

6.4 Rutinen. Larsen Utvikling har en skriftlig rutine for brudd, med maler for varslene, og fører en logg over alle brudd, også dem som ikke varsles.

07Revisjon

7.1 Dokumentasjon først. På forespørsel gir Larsen Utvikling kunden beskrivelsen av tiltakene i vedlegg III, lagringstidene, lista over underdatabehandlere, et utdrag av protokollen, og rapportene underdatabehandlerne gjør tilgjengelige, så langt vilkårene deres tillater det. Gir en underdatabehandler rapportene bare under taushetsplikt, viser Larsen Utvikling kunden hvordan de kan bes om (vilkår 7.6 bokstav c).

7.2 Revisjon og inspeksjon. Kunden kan kreve revisjon, også inspeksjon, med rimelige mellomrom, og når det er tegn på at avtalen ikke følges (vilkår 7.6 bokstav c og d). Før en revisjon får kunden dokumentasjonen i punkt 7.1, og kunden avgjør om den er nok. Kunden varsler minst 30 dager før. Revisjonen skjer på kundens kostnad. Den skjer normalt som en digital gjennomgang, med dokumenter, skjermdeling og samtaler. Inspeksjon i lokalene kan skje når en digital gjennomgang ikke er nok. Den som gjennomfører revisjonen, skal ha taushetsplikt.

7.3 Tilsynsmyndigheter. Fristen på 30 dager gjelder ikke når en tilsynsmyndighet krever tilgang.

08Overføring til land utenfor EØS

8.1 USA. Kontakter og innhold lagres på servere i Sverige og Finland. Bekreftelses-e-posten til den som melder seg på, sendes med Postmark fra USA. Noen underleverandører er amerikanske selskaper, så opplysninger kan bli overført til eller gjort tilgjengelige fra USA, på grunnlag av EUs rammeverk for dataoverføring (DPF) og EUs standardkontrakter, slik lista over underdatabehandlere viser for hver av dem.

8.2 Instruks og grunnlag. Kunden gir instruks om overføringene som følger av lista over underdatabehandlere (vilkår 7.8 bokstav a). Grunnlaget er Kommisjonens beslutning om rammeverket for dataoverføring mellom EU og USA (gjennomføringsbeslutning (EU) 2023/1795), og EUs standardkontrakter for overføring (gjennomføringsbeslutning (EU) 2021/914), slik lista viser for hver underdatabehandler (vilkår 7.8 bokstav b).

8.3 Hvis grunnlaget faller bort. Faller et grunnlag for overføring bort, varsler Larsen Utvikling kunden uten ugrunnet opphold, og sørger for et nytt grunnlag eller en annen underdatabehandler.

09Eksport og sletting

9.1 Eksport. Kunden velger tilbakelevering etter vilkår 10 bokstav d ved å eksportere opplysningene i appen. Kunden kan eksportere kontaktene, samtykkeloggen og samtykkebevisene når som helst mens avtalen varer, og i 30 dager etter at den er slutt. Eieren eller en administrator laster ned eksporten direkte fra appen, og Larsen Utvikling lagrer den ikke som fil. En supportøkt kan ikke eksportere. Lagres en eksportfil likevel, for eksempel en samlet eksport når kontoen avsluttes, slettes den etter 7 dager.

9.2 Sperrelista. Sperrelista over avmeldte og andre sperrede adresser lagres som HMAC, og kan ikke tas med ut. I de 30 dagene kan kunden sjekke andre lister mot den.

9.3 Sletting. Når de 30 dagene er over, slettes kundens opplysninger i produksjonen: i databasen, i bildelageret, hos Amazon SES og i sperrelista for bekreftelsene hos Postmark (returene). Ber kunden om det, slettes de tidligere, unntatt det som ligger hos Postmark. Postmark sletter bekreftelses-e-postene og hendelsene av seg selv etter 45 dager. En spam-klage står i sperrelista hos Postmark så lenge Larsen Utvikling bruker Postmark, fordi Postmark ikke lar Larsen Utvikling fjerne den. Larsen Utvikling bekrefter slettingen skriftlig overfor eieren når den er gjort (vilkår 10 bokstav d). Samsvarsjournalen, med ID-er, HMAC og adressene til nye påmeldinger, slettes automatisk etter minst 65 dager.

9.4 Sikkerhetskopiene. Databasen kopieres hver dag. Kopiene slettes automatisk, og opplysningene er borte fra dem ca. 60 dager etter at de ble slettet i produksjonen. Til da gjelder standardavtalevilkårene for dem (vilkår 10 bokstav d). Blir databasen gjenopprettet fra en kopi, er utsendingen låst, og bare avmeldingen er åpen. Avmeldinger, slettinger, sperrer og trukne samtykker til klikkmåling fra samsvarsjournalen gjøres på nytt, og utsendingene stemmes av mot hendelsene fra Amazon SES, før utsendingen åpnes igjen.

9.5 Stengt konto. Stenges kontoen etter en prøveperiode uten plan eller etter mislykket betaling, har kunden de samme 30 dagene til eksport fra kontoen ble stengt (vilkårene for Hilsa punkt 6.4 og 6.6).

9.6 Larsen Utviklings egne opplysninger. Opplysningene i punkt 10 slettes etter fristene der.

10Larsen Utviklings egne formål

10.1 Lukket liste. For formålene under bestemmer Larsen Utvikling selv formålet og midlene, og er behandlingsansvarlig (personvernforordningen artikkel 4 nr. 7), ikke databehandler. Lista er lukket, og opplysningene brukes ikke til noe annet. Opplysninger om abonnentene brukes aldri til Larsen Utviklings egen analyse eller markedsføring, bare som anonyme tall.

10.2 Kundens rolle. Kunden har en berettiget interesse i at Hilsa er trygg og får e-posten fram, og gir opplysningene videre til disse formålene. Kunden forteller abonnentene om dem i sin personvernerklæring, og malen i Hilsa har teksten. Larsen Utviklings personvernerklæring på hilsa.no/personvern beskriver dem også.

10.3 Brukerkontoer og tilgang.

• Opplysninger: navn, e-postadresse, passord som hash, oppsettet for totrinnsinnlogging og passnøklene til brukerne, engangskodene for et andre steg som HMAC, og medlemskap og roller.
• Grunnlag: avtale (personvernforordningen artikkel 6 nr. 1 bokstav b) for avtaleparten, og berettiget interesse (bokstav f) for andre brukere.
• Hvor lenge: så lenge brukeren er med hos en kunde, og 30 dager til. En konto som ikke er bekreftet, og ikke er med hos en kunde, slettes etter 7 dager. Engangskodene slettes etter 24 timer. Invitasjoner, med adressen til den som inviteres, virker i 7 dager, og slettes 30 dager etter at de gikk ut.
• Interesseavveining: Brukerne trenger en konto for å gjøre arbeidet kunden har gitt dem. Opplysningene er få, og brukes bare til innlogging og tilgang.

10.4 Avtalen og faktureringen.

• Opplysninger: kundens navn, org.nr., adresse og e-postadresse, abonnementet, betalingene og fakturaene (gjennom Stripe), og hvem som godtok hvilken versjon av vilkårene, og når.
• Grunnlag: avtale og rettslig plikt (bokstav b og c, og bokføringsloven).
• Hvor lenge: regnskapsmaterialet i 5 år etter utgangen av regnskapsåret (bokføringsloven § 13). Aksepten av vilkårene, med kundens org.nr. og datoen avtalen sluttet, i 3 år og 6 måneder etter utgangen av regnskapsåret da avtalen sluttet. Resten slettes med kundens data, også ID-ene til hendelsene fra Stripe.
• Stripe: Stripe er selv behandlingsansvarlig for blant annet å avdekke svindel og følge reglene mot hvitvasking, etter Stripes egen personvernerklæring. Stripe får ingen opplysninger om abonnentene, og er derfor ikke underdatabehandler.

10.5 Kundestøtte og henvendelser.

• Opplysninger: e-post til Larsen Utvikling og meldinger fra kontaktskjemaet, med navn, e-postadresse og det som står i meldingen.
• Grunnlag: avtale, eller berettiget interesse (bokstav f).
• Hvor lenge: 12 måneder. Vedlegg med opplysninger om abonnentene behandles på kundens vegne, og slettes når saken er løst.
• Hvor: postkassen ligger hos Domeneshop, i Oslo. Domeneshop har ikke sikkerhetskopier som en del av tjenesten, men kan i noen tilfeller gjenopprette slettet e-post. Hvor lenge en slik kopi kan finnes etter at en e-post er slettet, har Domeneshop ikke oppgitt.
• Interesseavveining: Den som skriver, venter svar, og saken må kunne følges opp.

10.6 Vern mot misbruk.

• Opplysninger: godkjenningskøen, med forhåndsvisning av brevet, antall mottakere og kilden, og hvordan en importert liste er satt sammen, uten adressene. Tillitsnivået til kunden, og brukte kortnavn som HMAC.
• Grunnlag: berettiget interesse (bokstav f).
• Hvor lenge: så lenge kunden er kunde, og 30 dager til. Brukte kortnavn lagres for alltid, bare som HMAC, så ingen kan ta en annen virksomhets kortnavn.
• Interesseavveining: Én kundes misbruk kan stanse utsendingen for alle kundene. Kontrollen bruker mest opplysninger om kunden og tall om lista, og Larsen Utvikling ser ikke adressene i en import.

10.7 Sikkerhetslogger og revisjonslogg.

• Opplysninger: IP-adresse og nettleser i innloggingsøkter og i begrensningen av forsøk, forespørselsloggene hos Vercel med stien og søkeparametrene (også tokens i lenker), nettleser og region, og revisjonsloggen over hvem som gjorde hva, med bare ID-er. Visningen av supportinnlogginger, med navnet på den som logget inn fra Hilsa, navnet på medlemmet, tidspunktet og begrunnelsen (punkt 3.2). Feilmeldinger hos Sentry, der personopplysninger er fjernet før de sendes.
• Grunnlag: berettiget interesse (bokstav f).
• Hvor lenge: tekniske sikkerhetslogger til de utløper, og aldri over 90 dager. Loggene hos Vercel i 1 dag. Feilmeldingene hos Sentry etter Sentrys frist for planen, i dag 30 dager, og aldri over 90 dager. Revisjonsloggen i 3 år. Visningen av supportinnlogginger i høyst 3 år, og aldri lenger enn kundens data.
• Interesseavveining: Loggene trengs for å verne Hilsa og kundens data mot angrep og misbruk, og for å vise hvem som har hatt tilgang til kundens data. Kunden har selv interesse i å se når Hilsa har vært logget inn. Loggene slettes raskt, bortsett fra revisjonsloggen, som bare har ID-er, og visningen av supportinnlogginger.

10.8 Den felles lista over hard bounce.

• Opplysninger: e-postadressen som HMAC, med en nøkkel for hele Hilsa, for adresser som ikke finnes. Tellingen av midlertidige bounces på rad, også som HMAC.
• Grunnlag: berettiget interesse (bokstav f).
• Hvor lenge: 12 måneder etter siste harde bounce, eller til personen selv melder seg på igjen og bekrefter. Tellingen: 12 måneder etter siste midlertidige bounce.
• Interesseavveining: E-post til adresser som ikke finnes, skader leveringen for alle kundene, og kan få Amazon Web Services til å stanse utsendingen. Lista er pseudonymisert, og ingen kunde ser at en adresse har vært brukt hos en annen kunde. Sperren utløper, og en opphevet sperre gir aldri abonnement eller samtykke. Personen har selv nytte av at det ikke sendes e-post til en adresse som ikke virker.

10.9 Grensen for bekreftelses-e-poster.

• Opplysninger: e-postadressen og IP-adressen, bare som HMAC.
• Grunnlag: berettiget interesse (bokstav f).
• Hvor lenge: høyst 24 timer.
• Interesseavveining: Grensen hindrer at noen bruker påmeldingssidene til å fylle en annens innboks med bekreftelses-e-poster, på tvers av kundene.

11Den felles lista over hard bounce

11.1 Selvstendig ansvar. Larsen Utvikling er behandlingsansvarlig for den felles lista over hard bounce (punkt 10.8).

11.2 Hvis ansvaret er felles. Kommer en tilsynsmyndighet eller en domstol til at Larsen Utvikling og kundene er felles behandlingsansvarlige for lista (personvernforordningen artikkel 26), gjelder denne fordelingen mellom partene:

• Larsen Utvikling bestemmer hvordan lista virker, sørger for sikkerheten, svarer på henvendelser fra de registrerte om lista, og gir informasjonen om lista i sin personvernerklæring.
• Kunden svarer for sin egen sperreliste og sine egne utsendinger, og forteller abonnentene om lista i sin personvernerklæring.
• Får kunden en henvendelse om den felles lista, sender kunden den til Larsen Utvikling uten ugrunnet opphold.
• Det viktigste i fordelingen gjøres tilgjengelig for de registrerte i Larsen Utviklings personvernerklæring (artikkel 26 nr. 2).
• De registrerte kan likevel utøve rettighetene sine overfor hver av partene (artikkel 26 nr. 3).

12Ansvar

Ansvaret mellom partene for brudd på denne avtalen og personvernregelverket følger vilkårene for Hilsa punkt 8, med det egne taket for personvernkrav i punkt 8.4 der. Begrensningene gjelder bare mellom partene, og begrenser ikke de registrertes rett til erstatning etter personvernforordningen artikkel 82. Hver part bærer selv overtredelsesgebyr som blir ilagt den (vilkårene for Hilsa punkt 8.6).

13Varighet, endringer og lovvalg

13.1 Varighet. Avtalen gjelder så lenge Larsen Utvikling behandler personopplysninger på vegne av kunden, også etter at vilkårene for Hilsa er sagt opp, til opplysningene er slettet eller tilbakelevert.

13.2 Endringer. Larsen Utvikling kan endre punkt 1-13 og opplysningene i vedleggene etter vilkårene for Hilsa punkt 12.1. Standardavtalevilkårene i punkt 14 endres ikke (vilkår 2 bokstav a). Endringer i lista over underdatabehandlere følger punkt 5.

13.3 Overdragelse, lovvalg og verneting. Overdragelse følger vilkårene for Hilsa punkt 11, og lovvalg og verneting følger punkt 13 der.

14Standardavtalevilkårene

Dette er standardavtalevilkårene i vedlegget til Kommisjonens gjennomføringsbeslutning (EU) 2021/915 av 4. juni 2021, ordrett fra den norske teksten i EØS-tillegget til Den europeiske unions tidende nr. 12 av 27. februar 2025, s. 1010-1015. Partene har valgt

• alternativ 1, personvernforordningen (EU) 2016/679, i vilkår 1 bokstav a, vilkår 8 bokstav c nr. 4 og vilkår 9
• alternativ 2, generell skriftlig tillatelse, i vilkår 7.7 bokstav a, med en frist på 30 dager.

Vilkår 5 er valgfritt, og brukes ikke.

AVSNITT I

Vilkår 1 – Formål og virkeområde

a) Formålet med disse standardavtalevilkårene (heretter kalt «vilkår») er å sikre samsvar med artikkel 28 nr. 3 og 4 i europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning).

b) De behandlingsansvarlige og databehandlerne oppført i vedlegg I er blitt enige om disse vilkårene for å sikre samsvar med artikkel 28 nr. 3 og 4 i forordning (EU) 2016/679 og/eller artikkel 29 nr. 3 og 4 i forordning (EU) 2018/1725.

c) Disse vilkårene gjelder for behandling av personopplysninger som angitt i vedlegg II.

d) Vedlegg I–IV er en integrert del av vilkårene.

e) Disse vilkårene berører ikke forpliktelsene som den behandlingsansvarlige er underlagt i henhold til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

f) Disse vilkårene sikrer ikke i seg selv at forpliktelsene i forbindelse med internasjonale overføringer i samsvar med kapittel V i forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725 oppfylles.

Vilkår 2 – Vilkårenes uforanderlighet

a) Partene forplikter seg til å ikke endre vilkårene, unntatt for å tilføye eller oppdatere informasjon i vedleggene.

b) Dette hindrer ikke partene i å ta med standardavtalevilkårene fastsatt i disse vilkårene i en mer omfattende avtale eller tilføye andre vilkår eller ytterligere garantier, forutsatt at de ikke direkte eller indirekte er i strid med vilkårene eller innskrenker de registrertes grunnleggende rettigheter eller friheter.

Vilkår 3 – Fortolkning

a) Dersom det i disse vilkårene brukes begreper som er definert i forordning (EU) 2016/679 eller forordning (EU) 2018/1725, skal disse begrepene ha samme betydning som i den aktuelle forordningen.

b) Disse vilkårene skal leses og fortolkes på bakgrunn av bestemmelsene i forordning (EU) 2016/679 eller forordning (EU) 2018/1725.

c) Disse vilkårene skal ikke fortolkes på en måte som er i strid med rettighetene og pliktene fastsatt i forordning (EU) 2016/679 eller forordning (EU) 2018/1725, eller på en måte som berører de registrertes grunnleggende rettigheter eller friheter.

Vilkår 4 – Hierarki

Ved konflikt mellom disse vilkårene og bestemmelser i relaterte avtaler mellom partene som gjelder når disse vilkårene avtales, eller som senere inngås, har disse vilkårene forrang.

Vilkår 5 – Valgfritt – Inntredelsesvilkår

Ikke brukt.

AVSNITT II – PARTENES FORPLIKTELSER

Vilkår 6 – Beskrivelse av behandlingen

Nærmere opplysninger om behandlingsaktivitetene, spesielt kategoriene av personopplysninger og formålene som personopplysningene behandles på vegne av den behandlingsansvarlige for, er angitt i vedlegg II.

Vilkår 7 – Partenes forpliktelser

7.1. Instrukser

a) Databehandleren skal bare behandle personopplysninger på dokumenterte instrukser fra den behandlingsansvarlige, med mindre det kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren omfattes av. I så fall skal databehandleren underrette den behandlingsansvarlige om dette rettslige kravet før opplysningene behandles, med mindre loven forbyr dette av hensyn til viktige allmenne interesser. Den behandlingsansvarlige kan også gi etterfølgende instrukser i hele den tiden som personopplysningene behandles. Disse instruksene skal alltid dokumenteres.

b) Databehandleren skal umiddelbart underrette den behandlingsansvarlige dersom databehandleren mener instrukser gitt av den behandlingsansvarlige er i strid med forordning (EU) 2016/679 eller forordning (EU) 2018/1725 eller gjeldende personvernbestemmelser i Unionen eller medlemsstatene.

7.2. Formålsbegrensning

Databehandleren skal bare behandle personopplysningene for det eller de spesifikke formålene med behandlingen, som fastsatt i vedlegg II, med mindre vedkommende mottar andre instrukser fra den behandlingsansvarlige.

7.3. Varigheten av behandlingen av personopplysninger

Databehandleren skal bare behandle opplysningene i tidsrommet angitt i vedlegg II.

7.4. Sikkerhet ved behandlingen

a) For å sikre personopplysningenes sikkerhet skal databehandleren minst gjennomføre de tekniske og organisatoriske tiltakene angitt i vedlegg III. Dette omfatter å verne opplysningene mot et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ikke-autorisert utlevering av eller tilgang til opplysningene (heretter kalt «brudd på personopplysningssikkerheten»). Ved vurdering av egnet sikkerhetsnivå skal partene ta behørig hensyn til den tekniske utviklingen, gjennomføringskostnadene, behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene som behandlingen innebærer for de registrerte.

b) Databehandleren skal gi sitt personale tilgang til personopplysningene som behandles, bare i den grad det er strengt nødvendig for å gjennomføre, forvalte og overvåke avtalen. Databehandleren skal sikre at personer som er autorisert til å behandle de mottatte personopplysningene, har forpliktet seg til å behandle dem konfidensielt eller er underlagt en egnet lovfestet taushetsplikt.

7.5. Sensitive opplysninger

Dersom behandlingen omfatter personopplysninger som avdekker rasemessig eller etnisk opprinnelse, politisk oppfatning, religiøs eller filosofisk overbevisning eller fagforeningsmedlemskap, genetiske eller biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en persons seksuelle forhold eller seksuelle orientering eller opplysninger om straffedommer og lovovertredelser (heretter kalt «sensitive opplysninger»), skal databehandleren anvende særlige begrensninger og/eller ytterligere garantier.

7.6. Dokumentasjon og overholdelse

a) Partene skal kunne vise at de overholder disse vilkårene.

b) Databehandleren skal omgående og på egnet måte behandle forespørsler fra den behandlingsansvarlige om behandlingen av opplysninger i samsvar med disse vilkårene.

c) Databehandleren skal gi den behandlingsansvarlige tilgang til all informasjon som er nødvendig for å vise at forpliktelsene fastsatt i disse vilkårene, og som følger direkte av forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725, er overholdt. På anmodning fra den behandlingsansvarlige skal databehandleren også muliggjøre og bidra til revisjoner av behandlingsaktivitetene som omfattes av disse vilkårene, med rimelige mellomrom eller dersom det er tegn som tyder på manglende overholdelse. Når det treffes beslutning om en gjennomgåelse eller revisjon, kan den behandlingsansvarlige ta hensyn til relevante sertifiseringer som databehandleren har.

d) Den behandlingsansvarlige kan velge å gjennomføre revisjonen selv eller bruke en uavhengig revisor. Revisjonene kan også omfatte inspeksjoner i databehandlerens lokaler eller fysiske installasjoner og skal, når det er relevant, gjennomføres med rimelig varsel.

e) Partene skal på anmodning gjøre informasjonen nevnt i dette vilkåret, herunder resultatene av eventuelle revisjoner, tilgjengelig for vedkommende tilsynsmyndigheter.

7.7. Bruk av underdatabehandlere

a) ALTERNATIV 2: GENERELL SKRIFTLIG TILLATELSE: Databehandleren har den behandlingsansvarliges generelle tillatelse til å engasjere underdatabehandlere som er oppført på en omforent liste. Databehandleren skal spesifikt underrette den behandlingsansvarlige skriftlig om eventuelle planlagte endringer av listen i form av tilføyelse eller utskiftning av underdatabehandlere minst 30 dager i forveien, slik at den behandlingsansvarlige får tilstrekkelig tid til å protestere mot slike endringer før den eller de aktuelle underdatabehandlerne engasjeres. Databehandleren skal gi den behandlingsansvarlige den informasjonen som er nødvendig for at den behandlingsansvarlige skal kunne utøve sin rett til å protestere.

b) Dersom databehandleren engasjerer en underdatabehandler til å utføre spesifikke behandlingsaktiviteter (på vegne av den behandlingsansvarlige), skal det skje i form av en avtale som i det vesentlige pålegger underdatabehandleren de samme forpliktelsene med hensyn til vern av opplysninger som de som databehandleren er pålagt i samsvar med disse vilkårene. Databehandleren skal sikre at underdatabehandleren oppfyller de forpliktelsene som databehandleren er underlagt i henhold til disse vilkårene og i henhold til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

c) Databehandleren skal på anmodning fra den behandlingsansvarlige gi den behandlingsansvarlige en kopi av en slik underdatabehandleravtale og eventuelle etterfølgende endringer. I den grad det er nødvendig for å beskytte forretningshemmeligheter eller annen konfidensiell informasjon, herunder personopplysninger, kan databehandleren redigere avtaleteksten før det utleveres en kopi.

d) Databehandleren skal ha det fulle ansvaret overfor den behandlingsansvarlige for oppfyllelsen av underdatabehandlerens forpliktelser i samsvar med dennes avtale med databehandleren. Databehandleren skal underrette den behandlingsansvarlige dersom underdatabehandleren ikke oppfyller sine avtalefestede forpliktelser.

e) Databehandleren skal bli enig med underdatabehandleren om et vilkår om begunstiget tredjepart, slik at dersom databehandleren faktisk eller rettslig har opphørt å eksistere eller er blitt insolvent, skal den behandlingsansvarlige ha rett til å si opp avtalen med underdatabehandleren og gi denne instruks om å slette eller tilbakelevere personopplysningene.

7.8. Internasjonale overføringer

a) Databehandleren kan bare overføre opplysninger til et tredjeland eller en internasjonal organisasjon på grunnlag av dokumenterte instrukser fra den behandlingsansvarlige eller for å oppfylle et spesifikt krav i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt, og overføringen skal skje i samsvar med kapittel V i forordning (EU) 2016/679 eller forordning (EU) 2018/1725.

b) Den behandlingsansvarlige samtykker i at dersom databehandleren engasjerer en underdatabehandler i samsvar med vilkår 7.7. til å utføre spesifikke behandlingsaktiviteter (på vegne av den behandlingsansvarlige), og disse behandlingsaktivitetene omfatter en overføring av personopplysninger som omhandlet i kapittel V i forordning (EU) 2016/679, kan databehandleren og underdatabehandleren sikre samsvar med kapittel V i forordning (EU) 2016/679 ved å bruke standardavtalevilkår vedtatt av Kommisjonen i samsvar med artikkel 46 nr. 2 i forordning (EU) 2016/679, forutsatt at vilkårene for å bruke disse standardavtalevilkårene er oppfylt.

Vilkår 8 – Bistand til den behandlingsansvarlige

a) Databehandleren skal uten opphold underrette den behandlingsansvarlige om enhver anmodning fra den registrerte. Databehandleren skal ikke svare på anmodningen selv, med mindre den behandlingsansvarlige har gitt tillatelse til dette.

b) Databehandleren skal bistå den behandlingsansvarlige med å oppfylle dennes forpliktelse til å svare på anmodninger fra registrerte om å utøve sine rettigheter, idet det tas hensyn til behandlingens art. Når databehandleren oppfyller sine forpliktelser i samsvar med bokstav a) og b), skal instruksene fra den behandlingsansvarlige følges.

c) I tillegg til databehandlerens forpliktelse til å bistå den behandlingsansvarlige i henhold til vilkår 8 bokstav b) skal databehandleren også bistå den behandlingsansvarlige med å sikre at forpliktelsene nedenfor oppfylles, idet det tas hensyn til behandlingens art og informasjonen som databehandleren har tilgang til:

1) Forpliktelsen til å foreta en vurdering av hvilke konsekvenser de planlagte behandlingsaktivitetene vil ha på vernet av personopplysninger (heretter kalt «vurdering av personvernkonsekvenser»), dersom det er sannsynlig at en type behandling vil føre til en høy risiko for fysiske personers rettigheter og friheter.

2) Forpliktelsen til å rådføre seg med vedkommende tilsynsmyndigheter før behandlingen dersom en vurdering av personvernkonsekvenser tilsier at behandlingen vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen.

3) Forpliktelsen til å sikre at personopplysningene er korrekte og oppdatert, ved uten opphold å underrette den behandlingsansvarlige dersom databehandleren får kjennskap til at personopplysningene som vedkommende behandler, ikke er korrekte eller er foreldede.

4) Forpliktelsene i artikkel 32 i forordning (EU) 2016/679.

d) Partene skal i vedlegg III fastsette egnede tekniske og organisatoriske tiltak der det kreves at databehandleren skal bistå den behandlingsansvarlige ved anvendelsen av dette vilkåret, samt virkeområdet og omfanget av den nødvendige bistanden.

Vilkår 9 – Underretning om brudd på personopplysningssikkerheten

Dersom det oppstår et brudd på personopplysningssikkerheten, skal databehandleren samarbeide med og bistå den behandlingsansvarlige, slik at den behandlingsansvarlige kan oppfylle sine forpliktelser i henhold til artikkel 33 og 34 i forordning (EU) 2016/679 eller artikkel 34 og 35 i forordning (EU) 2018/1725, alt etter hva som er relevant, idet det tas hensyn til behandlingens art og informasjonen som databehandleren har tilgang til.

9.1 Brudd på opplysningssikkerheten som gjelder opplysninger som behandles av den behandlingsansvarlige

Dersom det oppstår et brudd på personopplysningssikkerheten som gjelder opplysninger som behandles av den behandlingsansvarlige, skal databehandleren bistå den behandlingsansvarlige med å

a) underrette vedkommende tilsynsmyndigheter om bruddet på personopplysningssikkerheten uten ugrunnet opphold etter at den behandlingsansvarlige har fått kjennskap til det, dersom det er relevant (med mindre det ikke er sannsynlig at bruddet på personopplysningssikkerheten vil medføre en risiko for fysiske personers rettigheter og friheter),

b) innhente følgende informasjon som i henhold til artikkel 33 nr. 3 i forordning (EU) 2016/679 skal angis i den behandlingsansvarliges underretning, og som minst skal omfatte

1) personopplysningenes art, herunder, når det er mulig, kategoriene av og omtrentlig antall berørte registrerte og registreringer av personopplysninger,

2) de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten,

3) tiltakene som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.

Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, skal den første underretningen inneholde informasjonen som er tilgjengelig på det tidspunktet, og ytterligere informasjon skal gis uten ugrunnet opphold etter hvert som den blir tilgjengelig.

c) oppfylle, i henhold til artikkel 34 i forordning (EU) 2016/679, forpliktelsen til å underrette den registrerte uten ugrunnet opphold om bruddet på personopplysningssikkerheten, dersom det er sannsynlig at dette bruddet vil medføre en høy risiko for fysiske personers rettigheter og friheter.

9.2 Brudd på opplysningssikkerheten som gjelder opplysninger som behandles av databehandleren

Dersom det oppstår et brudd på personopplysningssikkerheten som gjelder opplysninger som behandles av databehandleren, skal databehandleren underrette den behandlingsansvarlige uten ugrunnet opphold etter å ha fått kjennskap til bruddet. Underretningen skal minst inneholde

a) en beskrivelse av bruddets art (herunder, dersom det er mulig, kategoriene av og omtrentlig antall berørte registrerte og registreringer av personopplysninger),

b) nærmere opplysninger om et kontaktpunkt der mer informasjon om bruddet på personopplysningssikkerheten kan fås,

c) de sannsynlige konsekvensene av bruddet og tiltakene som er truffet, eller som det foreslås å treffe for å håndtere bruddet, herunder for å redusere eventuelle skadevirkninger av det.

Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, skal den første underretningen inneholde informasjonen som er tilgjengelig på det tidspunktet, og ytterligere informasjon skal gis uten ugrunnet opphold etter hvert som den blir tilgjengelig.

Partene skal i vedlegg III fastsette alle de andre elementene som databehandleren skal framlegge når denne bistår den behandlingsansvarlige i samsvar med den behandlingsansvarliges forpliktelser i henhold til artikkel 33 og 34 i forordning (EU) 2016/679.

AVSNITT III – SLUTTBESTEMMELSER

Vilkår 10 – Manglende overholdelse av vilkårene og oppsigelse

a) Uten at det berører bestemmelsene i forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725, kan den behandlingsansvarlige dersom databehandleren ikke oppfyller sine forpliktelser i henhold til disse vilkårene, gi databehandleren instruks om å innstille behandlingen av personopplysninger fram til sistnevnte overholder disse vilkårene eller avtalen sies opp. Databehandleren skal uten opphold informere den behandlingsansvarlige dersom vedkommende ikke er i stand til å overholde disse vilkårene, uansett hva årsaken er.

b) Den behandlingsansvarlige har rett til å si opp avtalen i den grad den gjelder behandling av personopplysninger i samsvar med disse vilkårene, dersom

1) den behandlingsansvarlige har innstilt databehandlerens behandling av personopplysninger i henhold til bokstav a), og dersom overholdelsen av disse vilkårene ikke er gjenopprettet innen en rimelig frist og under alle omstendigheter senest en måned etter innstillingen,

2) databehandleren i vesentlig eller vedvarende grad ikke overholder disse vilkårene eller sine forpliktelser i henhold til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725,

3) databehandleren ikke overholder en bindende beslutning truffet av en vedkommende domstol eller vedkommende tilsynsmyndigheter i henhold til disse vilkårene eller forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

c) Databehandleren skal ha rett til å si opp avtalen i den grad den gjelder behandling av personopplysninger i henhold til disse vilkårene, dersom den behandlingsansvarlige etter å ha blitt underrettet av databehandleren om at vedkommendes instrukser er i strid med gjeldende rettslige krav i samsvar med vilkår 7.1 bokstav b), insisterer på at instruksene følges.

d) Etter oppsigelse av avtalen skal databehandleren etter den behandlingsansvarliges valg slette alle personopplysninger som er behandlet på vegne av den behandlingsansvarlige, og bekrefte overfor den behandlingsansvarlige at dette er gjort, eller tilbakelevere alle personopplysningene til den behandlingsansvarlige og slette eksisterende kopier, med mindre det i unionsretten eller medlemsstatenes nasjonale rett kreves at personopplysningene lagres. Fram til opplysningene er slettet eller tilbakelevert, skal databehandleren fortsatt sikre at disse vilkårene overholdes.

15Vedlegg I – Liste over parter

Behandlingsansvarlig(e)

1. Navn: Kunden, med det juridiske navnet og org.nr. som står i Hilsa, hentet fra Enhetsregisteret.

Adresse: Kundens forretningsadresse, slik den står i Hilsa.

Kontaktpersonens navn, stilling og kontaktopplysninger: Eieren av kontoen i Hilsa, med navnet og e-postadressen som står der. Har kunden personvernombud, kan kunden sende kontaktopplysningene til personvern@hilsa.no.

Underskrift og inntredelsesdato: Kunden godtar avtalen i appen. Tidspunktet, brukeren og org.nr. lagres (punkt 1.2).

Databehandler(e)

1. Navn: Larsen Utvikling, enkeltpersonforetak, org.nr. 937 464 819, som leverer Hilsa.

Adresse: Martin Lillebys vei 60, 1639 Gamle Fredrikstad.

Kontaktpersonens navn, stilling og kontaktopplysninger: Stian Larsen, innehaver, personvern@hilsa.no. Larsen Utvikling har ikke personvernombud.

Underskrift og inntredelsesdato: Larsen Utvikling er bundet av avtalen fra kunden godtar den.

16Vedlegg II – Beskrivelse av behandlingen

Kategorier av registrerte som får sine personopplysninger behandlet

• abonnentene: personer som har meldt seg på kundens nyhetsbrev på påmeldingssiden, med QR-koden, i kiosken eller i skjemaet på kundens nettside, eller som kundens ansatte har registrert etter at personen selv ba om det
• personer som har meldt seg på, men ikke bekreftet påmeldingen ennå
• kundens kunder som kunden har importert med unntaket for eksisterende kunder i markedsføringsloven § 15 tredje ledd («Kunder uten samtykke»)
• personer som har meldt seg av eller bedt om sletting, i form av en pseudonymisert rest
• kundens ansatte og brukere, når de registrerer en kontakt eller får en testutsending
• personer som er nevnt eller vises i innholdet kunden lager, for eksempel i et nyhetsbrev.

Kategorier av personopplysninger som behandles

• e-postadresse, og navn hvis personen har oppgitt det
• interessene personen har valgt, og taggene og de egne feltene kunden har laget
• kilden til kontakten, og for importerte kontakter grunnlaget, datoen for siste kjøp, hva som ble kjøpt, hvordan adressen ble samlet inn, og dokumentasjonen kunden har lastet opp
• samtykkehistorikken: påmelding, bekreftelse, avmelding, ny påmelding og samtykke til klikkmåling, med tidspunkt, kanal, versjonen av teksten personen så, IP-adresse og nettleser ved påmelding på nett, og hvilken ansatt som registrerte en kontakt
• utsendingene: hvilke brev personen har fått, levering, bounce og klage, og hendelsene fra Amazon SES med mottakeradressen, emnet og headerne i e-posten. For bekreftelses-e-postene: e-posten og hendelsene hos Postmark
• klikk, bare for dem som har samtykket til klikkmåling: brevet, lenken, tidspunktet, og om klikket kom fra en robot, uten IP-adresse og nettleser
• sperrer: e-postadressen som HMAC med kundens nøkkel, og årsaken. Sperrelistene hos Amazon SES og Postmark har adressen i klartekst etter bounce og klage
• innholdet kunden lager: tekst, bilder og logoer i brevene og på sidene, som kan inneholde personopplysninger.

Sensitive personopplysninger som behandles (dersom det er relevant), og begrensninger eller garantier som er brukt, og som fullt ut tar hensyn til opplysningenes art og risikoene som er involvert, for eksempel streng formålsbegrensning, tilgangsbegrensninger (herunder bare tilgang for personale som har fått spesialopplæring), registrering av tilgangen til opplysningene, begrensninger for videreoverføring eller ytterligere sikkerhetstiltak.

Ingen. Kunden skal ikke legge sensitive opplysninger inn i Hilsa (punkt 2.3).

Behandlingens art

Innsamling gjennom påmelding, registrering og import, lagring, organisering i tagger og grupper, utsending av e-post på kundens vegne fra kundens avsender gjennom Amazon SES, og av bekreftelses-e-postene gjennom Postmark, mottak av hendelser om levering, bounce og klage, telling av klikk for dem som har samtykket, statistikk, visning av sider på hilsapost.no, eksport, retting og sletting, og sikkerhetskopiering.

Formål som personopplysningene behandles for på vegne av den behandlingsansvarlige

• sende kundens nyhetsbrev til abonnentene
• ta imot påmeldinger med dobbel bekreftelse, og dokumentere samtykker og avmeldinger
• respektere avmeldinger, klager og sperrer
• telle klikk for dem som har samtykket til det, og vise samlet statistikk
• vise påmeldingssiden, preferansesiden, avmeldingssiden og nettversjonene av brevene
• gi kunden verktøy for innsyn, eksport, retting og sletting
• ta sikkerhetskopier, og gjenopprette ved feil.

Behandlingens varighet

Så lenge avtalen varer, og til eksportperioden på 30 dager er over (punkt 9). Innenfor det lagres opplysningene så lenge som dette:

For behandling som utføres av (under)databehandlere angis også gjenstanden for behandlingen og behandlingens art og varighet

Lista over underdatabehandlere (vedlegg IV) viser hva hver underdatabehandler gjør, og hvor. De behandler opplysningene så lenge avtalen varer, og ikke lenger enn fristene over.

17Vedlegg III – Tekniske og organisatoriske tiltak, herunder tekniske og organisatoriske tiltak for å sikre opplysningenes sikkerhet

Larsen Utvikling er et enkeltpersonforetak, og Hilsa drives av innehaveren. Larsen Utvikling har ingen egne servere.

1. Isolasjon mellom kundene

• Alle kundene ligger i én database (PostgreSQL). Hver tabell med kundens data har kundens ID, og radsikkerhet (row level security) er slått på og tvunget (FORCE) for alle slike tabeller. Databasen viser bare radene til kunden som er satt for transaksjonen. Er ingen kunde satt, vises ingen rader.
• Kunden settes for hver transaksjon først etter at det er sjekket at brukeren er medlem hos kunden.
• Fremmednøklene inneholder kundens ID, så en rad aldri kan peke på en annen kundes data.
• Appen bruker en databaserolle som ikke eier noe, og som ikke kan omgå radsikkerheten.
• Egne tester prøver å nå andre kunders data fra hver tabell og hvert endepunkt, og kjører ved hver endring.

2. Utsendingen

• Hver kunde har sin egen tenant i Amazon SES, med eget omdømme og egen sperreliste for bounce og klager.
• Hver kunde sender fra sin egen avsenderidentitet, signert med DKIM.
• Bekreftelses-e-postene sendes gjennom Postmark, i en egen strøm for bekreftelsene, uten måling av åpninger og klikk. Avviser Postmark en adresse fordi den står i sperrelista der, sendes bekreftelsen gjennom Amazon SES, så en sperre hos én kunde ikke stopper bekreftelsen fra en annen.
• Hilsas egne e-poster sendes fra en egen AWS-konto. Testmiljøene sender fra en tredje konto, som bare kan sende til godkjente testadresser.
• Rett før hver e-post sendes, sjekkes det at mottakeren fortsatt abonnerer og ikke er sperret.
• En e-post med ukjent utfall sendes aldri automatisk på nytt.

3. Hvor opplysningene behandles

• Databasen: PostgreSQL på servere hos Hetzner i Finland, i datasenteret ved Helsingfors.
• Utsendingen, køene, samsvarsjournalen og sikkerhetskopiene: Amazon Web Services i Stockholm (eu-north-1).
• Appen, bildene og tilstanden til jobbene: Vercel i Stockholm (arn1). Bildene mellomlagres i Vercels nettverk i flere land når de vises, og Vercel kan ha tilgang fra USA.
• E-post til Larsen Utvikling på @hilsa.no, også henvendelser til kundestøtten: Domeneshop i Oslo.
• Feilmeldinger, med bare ID-er, faste koder og stakkspor, uten adresser, IP-adresser og nettadresser: Sentry i Frankfurt (EU-regionen).
• Bekreftelses-e-postene: Postmark i USA, hos Amazon Web Services og Deft.
• Tilgang fra USA: punkt 8.

4. Innlogging og tilgang for kundens brukere

• Brukerne må bekrefte e-postadressen.
• Alle brukere kan slå på totrinnsinnlogging, og appen anbefaler det for eier og admin. Når totrinnsinnlogging slås på, avsluttes brukerens andre økter.
• Innloggingsforsøk begrenses.
• Rollene eier, admin og redaktør gir bare den tilgangen rollen trenger. En redaktør kan ikke endre innstillinger, eksportere alle kontaktene eller slette mange samtidig.
• Invitasjoner utløper etter 7 dager.
• Eieren av en konto får e-post når en passnøkkel legges til eller totrinnsinnlogging slås på.
• Innloggingscookien gjelder bare app.hilsa.no.

5. Larsen Utviklings tilgang

• I det daglige har bare innehaveren tilgang til produksjonen. Den betrodde personen i beredskapsplanen har nødtilgang, og har skrevet under på taushetsplikt.
• Innloggingen til Hilsas kontoer i AWS krever totrinnsinnlogging hver gang, og kontoene har ingen egen root-tilgang.
• Appen får tilgang til AWS med kortlivede nøkler (OIDC), uten lagrede nøkler, og hver rolle har bare de rettighetene den trenger.
• Endringer i infrastrukturen gjøres som kode (OpenTofu), og vises som en plan før de gjennomføres.
• Hemmeligheter lagres kryptert hos Vercel. Produksjonen er atskilt fra testmiljøene, og bare produksjonen har ekte personopplysninger.
• Administrasjonen av Hilsa er en egen app med egen innlogging og egen databasetilgang, bak Vercels tilgangskontroll og med påkrevd totrinnsinnlogging.
• Innlogging som et av kundens medlemmer varer høyst 30 minutter, krever en begrunnelse, og lar ikke Larsen Utvikling sende eller eksportere. Eiere og administratorer ser hver innlogging i appen, eieren får varsel, og endringer i økten merkes i revisjonsloggen.
• I godkjenningen av en import ser Larsen Utvikling hvordan lista er satt sammen, men ikke adressene.

6. Pseudonymisering og kryptering

• Sperrelistene lagrer e-postadressene som HMAC, med en nøkkel per kunde. Nøklene lagres ikke i databasen. Den felles lista over hard bounce har en egen nøkkel.
• Lenkene i e-postene og på sidene bruker signerte tokens som bare gjelder ett formål, og som ikke har personopplysninger i klartekst.
• Passord lagres bare som hash, og det samme gjelder tokens som lagres for å bekrefte e-postadresser.
• All trafikk til Hilsa går over HTTPS, med HSTS.
• Forbindelsen til databasen krever TLS, og sertifikatet sjekkes.
• Sikkerhetskopiene er kryptert. Tilstanden til jobbene er kryptert for hver kjøring.

7. Logger

• Appen logger ikke e-postadresser eller andre personopplysninger, bare nivå og kode.
• Jobbene får bare ID-er inn og ut, og feilmeldinger vaskes før de lagres. Testene sjekker det.
• Forespørselsloggene hos Vercel lagres i 1 dag.
• Larsen Utvikling bruker ikke KI-tjenestene til Vercel med kundens opplysninger. KI-verktøy, også verktøy for å skrive kode, får aldri kundens opplysninger fra produksjonen, verken fra databasen, loggene eller e-post til kundestøtten.
• Feil sendes til Sentry i EU fra serveren, ikke fra nettleseren. Adresser, IP-adresser, nettadresser, informasjonskapsler og feilmeldinger fra databasen fjernes før sending, og det er ikke opptak av økter.
• Revisjonsloggen registrerer innlogging som kunden, endringer av roller, avsender og domene, eksport og sletting, med bare ID-er.

8. Sikkerhetskopier og gjenoppretting

• Databasen kopieres hver dag. Kopiene lagres kryptert i 30 dager, og som eldre versjoner i 30 dager til. Høyst 24 timer med data kan gå tapt.
• Samsvarsjournalen har alle avmeldinger, slettinger, sperrer og samtykker siden siste kopi, med ID-er og HMAC, og e-postadressen bare for nye påmeldinger. Den har også hver versjon av tekstene kunden publiserer for påmeldingen, så journalen kan spilles av selv om kopien er eldre enn teksten. Appen kan bare skrive til den, og den slettes automatisk etter 65 dager, alltid etter den eldste kopien.
• Etter en gjenoppretting er utsendingen låst, og bare avmeldingen er åpen, til journalen er spilt av og utsendingene er stemt av mot hendelsene fra Amazon SES, så avmeldinger, slettinger og trukne samtykker ikke kommer tilbake.
• Avmeldingen virker også når databasen er nede. Den skrives først til journalen og en kø.
• Gjenopprettingen er testet.

9. Vern av sidene, skjemaene og innholdet

• Påmeldingene har grenser for antall forespørsler, et skjult felt, en tidsfelle og ALTCHA ved mistanke, uten informasjonskapsler.
• Påmeldingssiden svarer det samme uansett om adressen finnes, så ingen kan sjekke hvem som står på lista.
• Klikk videresendes bare til lenker som finnes i brevet. Det er ingen åpne viderekoblinger.
• Sidene har sikkerhetsheadere (HSTS, CSP, frame-ancestors, Referrer-Policy og X-Content-Type-Options).
• Innhold forhåndsvises i en sandkasse, SVG gjøres om til PNG, lenker sjekkes mot tillatte typer, og eksporten er vernet mot CSV-injeksjon.
• Hendelsene fra Amazon SES hentes fra en kø, uten et offentlig endepunkt. Hendelser fra Stripe sjekkes mot signaturen.

10. Utvikling og oppdateringer

• Bygget stopper ved kritiske sårbarheter i avhengighetene.
• Avhengighetene holdes oppdatert automatisk (Renovate, månedlig, uten automatisk sammenslåing) og sjekkes mot kjente sårbarheter ved hvert bygg.
• Lokalt, i testene, på forhåndsvisninger og på staging finnes bare syntetiske data.
• Hver endring går gjennom testene før den tas i bruk.
• Hilsa gjør en grundig intern sikkerhetsgjennomgang før registreringen åpnes for alle, og bestiller en ekstern sikkerhetstest når Hilsa har betalende kunder.
• Sikkerhetsfunn kan meldes etter hilsa.no/.well-known/security.txt.

11. Dataminimering og lagring

• Importfila lagres aldri. Cellene ligger i databasen i høyst 24 timer, eller 72 timer når importen venter på godkjenning.
• Det er ingen åpningspiksel. Klikk telles bare med eget samtykke, uten IP-adresse og nettleser, og vises bare som samlet statistikk.
• Fristene i vedlegg II gjennomføres av jobber som sletter automatisk.
• Når en kontakt slettes, fjernes adressen også fra sperrelistene hos Amazon SES, og en retur fra sperrelista for bekreftelsene hos Postmark. Postmark lar ikke Larsen Utvikling fjerne en spam-klage.

12. Fysisk sikkerhet

• Opplysningene ligger i datasentrene til underdatabehandlerne i vedlegg IV, og den fysiske sikkerheten følger deres tiltak.

13. Rutiner og ansvarlighet

• Larsen Utvikling fører protokoll som behandlingsansvarlig og som databehandler. Protokollen finnes hos Larsen Utvikling, og kunden kan få et utdrag på forespørsel (punkt 3.4).
• Larsen Utvikling har en rutine for brudd, med maler og en logg over alle brudd.
• En beredskapsplan sier hva som skjer hvis innehaveren ikke kan drive Hilsa (punkt 5.7). Den ligger hos en betrodd person, og eksporten er alltid tilgjengelig for kunden.
• Hvert kvartal sjekkes rammeverket for dataoverføring til USA, og det finnes en reserveplan hvis det faller. Overføringsvurderingen og reserveplanen finnes hos Larsen Utvikling og kan fås på forespørsel.
• En fast, automatisk test viser at avmelding, trukket samtykke til måling og sletting fortsatt respekteres etter import, køer og gjenoppretting.

For overføringer til (under)databehandlere beskrives også de særlige tekniske og organisatoriske tiltakene som (under)databehandleren skal treffe for å kunne bistå den behandlingsansvarlige

Underdatabehandlerne bistår etter sine egne databehandleravtaler med Larsen Utvikling, med sine egne tekniske og organisatoriske tiltak. Lista i vedlegg IV lenker til underdatabehandlernes egne opplysninger.

Beskrivelse av de særlige tekniske og organisatoriske tiltakene som databehandleren skal treffe for å kunne bistå den behandlingsansvarlige

• Rettighetene til de registrerte: Hilsa har verktøy for innsyn, eksport, retting og sletting per kontakt, samtykkebevis per kontakt som JSON (det autoritative beviset) og som PDF når teksten kan gjengis nøyaktig (D88), og eksport av alle kontaktene med samtykkeloggen.
• Brudd: I tillegg til det vilkår 9.2 krever, sier varselet hvilke av kundens opplysninger som er rammet, når bruddet skjedde og ble oppdaget, årsaken hvis den er kjent, og hva Larsen Utvikling gjør. Hver kunde som er rammet, varsles for seg (punkt 6).
• Vurdering av personvernkonsekvenser og forhåndsdrøfting: Larsen Utvikling gir kunden beskrivelsen av behandlingen, tiltakene, lagringstidene og underdatabehandlerne.

18Vedlegg IV – Liste over underdatabehandlere

Kunden har gitt generell tillatelse etter vilkår 7.7 bokstav a, alternativ 2 (punkt 5). Den omforente lista er lista over underleverandører på hilsa.no/underleverandorer, slik den gjaldt da kunden godtok avtalen, med endringene som er varslet etter vilkår 7.7 bokstav a og punkt 5.

For hver underdatabehandler viser lista juridisk navn, adresse, kontaktpunkt, hva den gjør, hvor opplysningene behandles og grunnlaget for overføring, med lenke til underdatabehandlerens egen liste over sine underleverandører.