Databehandleravtale

Versjon 1 · gjelder fra 30.09.2026 · Skriv ut eller lagre som PDF

Denne databehandleravtalen («Avtalen») regulerer Datamynts behandling av personopplysninger på vegne av Kunden når Kunden bruker webanalysetjenesten Sporløs.

1. Parter

• Behandlingsansvarlig: virksomheten som har opprettet konto i Sporløs, slik den er registrert i kontoen («Kunden»).
• Databehandler: Datamynt AS, org.nr 936 017 207, Maridalsveien 163, 0461 Oslo («Datamynt»).

2. Inngåelse

Avtalen inngås elektronisk når Kunden oppretter konto og godtar vilkårene, jf. GDPR art. 28 nr. 9. Datamynt lagrer tidspunktet og hvilken versjon som ble godtatt. Kunden kan be om et signert eksemplar på post@sporlos.no.

Har partene signert en egen databehandleravtale (for eksempel KS' standardavtale), gjelder den foran denne.

3. Bakgrunn og formål

Sporløs er laget for å ikke samle inn personopplysninger: tjenesten bruker ingen informasjonskapsler, lagrer ikke IP-adresser og bruker ingen vedvarende identifikatorer. Avtalen gir likevel Kunden fulle garantier etter GDPR art. 28 for den begrensede behandlingen som skjer (se Bilag A), slik at Kunden kan dokumentere etterlevelse.

4. Datamynts plikter (GDPR art. 28 nr. 3)

Datamynt skal:

1. Kun behandle personopplysninger etter dokumenterte instrukser fra Kunden, herunder det som følger av Avtalen og tjenestens konfigurasjon. Datamynt varsler Kunden dersom en instruks anses å være i strid med personvernregelverket.
2. Sikre konfidensialitet: kun personell med tjenstlig behov får tilgang, og de er underlagt taushetsplikt.
3. Iverksette sikkerhetstiltak etter GDPR art. 32 (se Bilag B).
4. Bare bruke underleverandørene i Bilag C. Planlagte endringer varsles Kunden på e-post minst 30 dager i forveien. Kunden kan motsette seg endringen og si opp tjenesten med virkning før endringen trer i kraft.
5. Bistå Kunden med egnede tekniske og organisatoriske tiltak for å besvare henvendelser om de registrertes rettigheter (innsyn, retting, sletting mv.).
6. Bistå Kunden med å oppfylle pliktene etter art. 32–36 (sikkerhet, avviksvarsling, personvernkonsekvensvurdering og forhåndsdrøfting), ut fra behandlingens art og opplysningene Datamynt har tilgjengelig.
7. Ved opphør slette personopplysningene, med mindre lagring er pålagt (se punkt 8).
8. Gjøre tilgjengelig informasjonen som trengs for å vise at pliktene etter art. 28 etterleves, og muliggjøre revisjoner (se punkt 9).

5. Avvik (brudd på personopplysningssikkerheten)

Datamynt varsler Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd, med tilstrekkelig informasjon til at Kunden kan oppfylle sin varslingsplikt til Datatilsynet (art. 33) og eventuelt de registrerte (art. 34).

6. Overføring til tredjeland

Personopplysninger behandles og lagres i Norge (se Bilag C). Det skjer ingen overføring ut av EØS. En eventuell endring krever varsel etter punkt 4 d og et gyldig overføringsgrunnlag etter GDPR kapittel V.

7. De registrertes rettigheter

Henvendelser fra registrerte som Datamynt mottar direkte, videreformidles til Kunden uten ugrunnet opphold. Datamynt svarer ikke registrerte på egen hånd uten instruks.

8. Sletting

Kunden kan be om sletting av ett nettsted eller hele kontoen, i tjenesten eller på post@sporlos.no. Dataene slettes da fra tjenesten umiddelbart. Kopier i nattlige sikkerhetskopier slettes automatisk, senest 35 dager etter.

Avsluttes kundeforholdet uten at Kunden har slettet selv, slettes dataene innen 90 dager etter at avtaleforholdet er avsluttet, slik salgsbetingelsene sier. Kunden kan laste ned sine data som CSV før det.

9. Revisjon og dokumentasjon

Datamynt gir Kunden informasjonen som trengs for å dokumentere etterlevelse, og muliggjør revisjon (egen eller ved uavhengig revisor) med rimelig varsel, inntil én gang per år eller ved mistanke om brudd. Sporløs er åpen kildekode, så behandlingens art kan etterprøves direkte.

10. Varighet

Avtalen gjelder så lenge Datamynt behandler personopplysninger på vegne av Kunden, og uansett så lenge tjenesteavtalen løper.

11. Endringer

Datamynt kan publisere nye versjoner av Avtalen. Endringer som svekker Kundens vern, varsles minst 30 dager i forveien, og Kunden kan si opp før de trer i kraft. Tidligere versjoner gis ut på forespørsel.

12. Lovvalg og verneting

Norsk rett. Verneting er Oslo tingrett.

Bilag A — Behandlingens art, formål og omfang

Formål	Aggregert webanalyse (besøksstatistikk) for Kundens nettsted(er)
Behandlingens art	Innsamling av anonyme hendelsesdata. IP-adresse og nettleserinformasjon (User-Agent) brukes flyktig til a) en daglig-roterende enveis-hash for å telle unike besøkende og b) oppslag av land og fylke. IP-adresse og User-Agent lagres aldri.
Registrerte	Besøkende på Kundens nettsted
Opplysninger	Sidesti, henvisningskilde (vertsnavn), grov enhets-, nettleser- og OS-type, land og fylke, daglig-roterende hash. Ingen direkte identifikatorer, ingen informasjonskapsler, ingen posisjon under fylkesnivå.
Varighet	Tjenesteavtalens løpetid. Hashen lages med et tilfeldig salt som byttes og forkastes hvert døgn, så besøk kan ikke kobles på tvers av dager.

Bilag B — Sikkerhetstiltak (GDPR art. 32)

• Ingen lagring av IP-adresser. Dagens salt er tilfeldig og forkastes etter døgnet.
• Ingen informasjonskapsler, vedvarende identifikatorer eller fingerprinting hos de besøkende.
• Geografi bevisst begrenset til land og fylke, ikke by, for å hindre re-identifisering.
• All trafikk over TLS (HTTPS). Databasen er ikke eksponert mot internett.
• Innlogging med passord (lagret som hash) eller Google/Microsoft. Innlogginger kan trekkes tilbake, mislykkede forsøk strupes, og ingen økt varer mer enn 30 dager.
• Drift på Datamynts egen server i Oslo, uten ekstern hostingleverandør.
• Nattlige sikkerhetskopier på Datamynts egne maskiner i Oslo, på to adresser, og gjenopprettet på prøve hver natt.
• Åpen kildekode, slik at alt over kan etterprøves.

Bilag C — Underleverandører

Ingen. Drift og sikkerhetskopier skjer på Datamynts egne maskiner i Oslo.

Datamynt AS · org.nr 936 017 207 · Maridalsveien 163, 0461 Oslo · post@sporlos.no
Databehandleravtale versjon 1 · gjelder fra 2026-09-30