Databehandleravtale

Sist oppdatert 11. oktober 2026. Avtalen er inngått etter personvernforordningen (GDPR) artikkel 28 og er en del av vilkårene for bruk.

1. Partene og roller

Behandlingsansvarlig: firmaet som bruker tjenesten («firmaet»).
Databehandler: Kvikk Kompetanse AS, org.nr. 836 427 912, Aunåsveien 92, 7387 Singsås, post@cantio.no («leverandøren»).

Firmaet er behandlingsansvarlig for personopplysningene om sine kunder, kundenes kontaktpersoner og sine ansatte som legges inn i tjenesten. Leverandøren behandler dem på vegne av firmaet. For brukerkontoene (innlogging) er leverandøren selv behandlingsansvarlig, se personvernerklæringen.

2. Formål og varighet

Leverandøren skal behandle opplysningene bare for å levere tjenesten beskrevet i vilkårene: lagre og vise henvendelser, kunder, saker, tilbud, tilleggsarbeid, oppgaver, kalender, bilder og historikk, og sende og hente e-post via firmaets egen postkasse når firmaet har koblet den til.

Avtalen gjelder så lenge firmaet bruker tjenesten, og til opplysningene er slettet eller levert tilbake etter punkt 12.

3. Typer opplysninger og registrerte

Registrerte:

firmaets kunder (privatpersoner og enkeltpersonforetak)
kontaktpersoner hos bedriftskunder
firmaets ansatte og andre brukere av tjenesten, inkludert mannskap som er satt opp på jobber
andre personer som nevnes i saker, e-post eller notater

Typer opplysninger:

navn, telefon, e-post, adresse, postnummer og sted, org.nr.
saksinnhold: beskrivelse av jobb, adresse for jobben, tilbud, priser, tilleggsarbeid og kundens svar og kommentarer
historikk: notater, samtaler, e-post og statusendringer, med hvem som gjorde hva og når
bilder, blant annet av kunders hjem og byggeplasser, og dokumenter (PDF av godkjente tilbud og tilleggsarbeid)
frie notater og tekstfelt der firmaet selv bestemmer innholdet
e-post som hentes inn fra firmaets postkasse (fra en valgt mappe) og e-post som sendes derfra
oppgaver, jobbperioder, sjekklister, daglogg og mannskapsplan

Tjenesten er ikke laget for særlige kategorier av personopplysninger (art. 9) eller fødselsnummer. Firmaet skal ikke legge slikt inn uten at det er nødvendig, og er selv ansvarlig hvis det gjøres.

4. Leverandørens plikter og instruks

Leverandøren skal:

bare behandle opplysningene etter dokumentert instruks fra firmaet. Denne avtalen, vilkårene og firmaets bruk av funksjonene i tjenesten er instruksen
si fra hvis en instruks etter leverandørens vurdering er i strid med personvernregelverket
ikke bruke opplysningene til egne formål, til analyse, markedsføring eller til å trene modeller
ikke utlevere opplysninger til tredjeparter, med mindre loven krever det. Krever en myndighet utlevering, varsler leverandøren firmaet først, så langt loven tillater

5. Taushetsplikt

Alle hos leverandøren som kan få tilgang til opplysningene, er underlagt taushetsplikt, og tilgangen er begrenset til dem som trenger den for å drifte og støtte tjenesten. Taushetsplikten gjelder også etter at avtalen er avsluttet. Leverandøren leser ikke firmaets data uten et driftsbehov, for eksempel feilsøking, eller en forespørsel fra firmaet. Skal leverandøren se innholdet i firmaets konto for å hjelpe, må en administrator i firmaet først gi støttetilgang for en begrenset tid (1–8 timer) i innstillingene, og alt som gjøres i støtteøkten, logges.

6. Sikkerhetstiltak

Leverandøren har disse tiltakene på plass:

Isolasjon mellom firma. Flere firma deler en database, men alle spørringer avgrenses automatisk til innlogget brukers firma.
Tilgangsstyring. Tre roller: administrator, bruker og håndverker. Bare administratorer kan endre firmainnstillinger, brukere, e-postkobling og eksport. Håndverkere ser bare egne jobber og aldri priser eller økonomi.
Tofaktor-innlogging. Brukerne kan slå på tofaktor-innlogging (engangskode fra en app).
Passord. Lagres bare som hash (aldri i klartekst). Minimum 10 tegn ved bytte.
Innloggingsbegrensning. Antall innloggingsforsøk begrenses per e-post og IP-adresse.
Kryptert lagring av e-postlegitimasjon. Brukernavn og passord til firmaets IMAP/SMTP lagres kryptert i databasen og vises aldri igjen i grensesnittet.
Kryptert overføring. Produksjonsdrift kjører med TLS (https). Sertifikat hentes og fornyes automatisk.
Hemmelige lenker. Lenker til tilbud, tilleggsarbeid, status og kalenderfeed bruker lange tilfeldige nøkler og kan nullstilles.
Vern mot misbruk av e-postkoblingen. Koblingen kan som standard ikke brukes mot interne nettverksadresser.
Historikk (revisjonslogg). Endringer på saker og kunder, som statusendringer, notater og kundens svar, logges med bruker og tidspunkt.
Tilgangslogg (sikkerhetslogg). Leverandøren lagrer IP-adresse (kryptert), kildeport, tidspunkt og nettleser for innlogging og sikkerhetsrelevante handlinger, også svar via kundelenker (for eksempel aksept av tilbud), i 12 måneder av sikkerhetshensyn. For denne loggen er leverandøren selv behandlingsansvarlig (berettiget interesse, GDPR art. 6 nr. 1 f). Den kan utleveres til politiet etter formell begjæring; leverandøren utleverer bare det som er bedt om og varsler firmaet når det er tillatt.
Sikkerhetskopi. Daglig sikkerhetskopi av databasen, opplastede filer (bilder og PDF) og konfigurasjon, som lagres i Finland (Helsingfors), atskilt fra tjeneren i Norge (UpCloud Oy, Object Storage). Databasen og konfigurasjonen krypteres (age) før de forlater tjeneren, og nøkkelen som kan lese dem, ligger ikke på tjeneren. Kopiene oppbevares i 14 dager. Opplastede filer krypteres også (rclone crypt) før de lagres i Finland. Filer som er slettet eller endret, kan hentes tilbake i 14 dager.

Leverandøren gjennomgår tiltakene jevnlig og kan forbedre dem. Tiltakene skal ikke svekkes uten at firmaet får beskjed.

7. Underleverandører

Leverandøren bruker underleverandører bare etter firmaets generelle forhåndsgodkjenning. Gjeldende oversikt står på siden for underleverandører.

Leverandøren varsler firmaets administrator på e-post minst 30 dager før en ny underleverandør tas i bruk eller en eksisterende byttes.
Firmaet kan protestere innen varselfristen med saklig grunn. Hvis partene ikke finner en løsning, kan firmaet si opp avtalen uten ekstra kostnad før endringen trer i kraft.
Leverandøren pålegger underleverandører de samme forpliktelsene som i denne avtalen og er ansvarlig overfor firmaet for deres behandling.

Firmaets egen e-postleverandør (IMAP/SMTP) er ikke leverandørens underleverandør. Firmaet har selv avtalen og ansvaret.

8. Overføring utenfor EØS

Opplysningene lagres i Norge (Stavanger) hos UpCloud Oy. En sikkerhetskopi lagres i Finland (Helsingfors), innenfor EØS. Leverandøren overfører ikke personopplysninger til land utenfor EØS og bruker ingen underleverandører som gjør det. Skrifter og skript til grensesnittet ligger på leverandørens egen tjener, og grensesnittet henter ingenting fra tredjeparter.

Skulle dette endre seg, skjer det bare med gyldig overføringsgrunnlag (kapittel V i GDPR) og etter varsel etter punkt 7.

9. Bistand til firmaet

Leverandøren hjelper firmaet med å oppfylle de registrertes rettigheter (innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse) ved hjelp av funksjonene i tjenesten:

Eksport av kunder, saker og historikk (CSV) og alt samlet (ZIP), under Innstillinger
Sletting av en kunde med tilhørende saker, og anonymisering av en kunde der firmaet må beholde saker eller dokumenter. Slettede kunder og saker ligger i papirkurven i 30 dager før de slettes for godt

Hvis en registrert henvender seg til leverandøren direkte, henviser leverandøren vedkommende til firmaet, og sender ikke svar i sak uten firmaets samtykke. Leverandøren hjelper også firmaet med vurderinger av personvernkonsekvenser og forhåndsdrøftelser med Datatilsynet, i rimelig omfang. Leverandørens tid utover det som er vanlig støtte, kan faktureres etter avtale på forhånd.

10. Personvernbrudd

Leverandøren varsler firmaet uten ugrunnet opphold, og senest 48 timer etter at leverandøren ble kjent med et brudd på personopplysningssikkerheten som gjelder firmaets opplysninger. Det gir firmaet tid til å melde fra til Datatilsynet innen 72 timer, slik GDPR art. 33 krever.

Varselet skal så langt det er kjent inneholde: hva som har skjedd, hvilke opplysninger og omtrent hvor mange registrerte som berøres, sannsynlige følger, og hva leverandøren har gjort eller foreslår. Leverandøren hjelper firmaet med vurdering, melding og eventuell varsling av de registrerte, og dokumenterer bruddet.

11. Revisjon og kontroll

Leverandøren gir firmaet den informasjonen som trengs for å vise at avtalen følges, og bidrar til revisjoner, inkludert inspeksjoner, som firmaet eller en uavhengig revisor firmaet utpeker, gjennomfører. Firmaet varsler minst 30 dager i forveien, tar hensyn til driften og dekker egne kostnader. Revisoren må ha taushetsplikt. Revisjon kan normalt gjøres som skriftlig dokumentasjon og spørsmål først.

12. Sletting og tilbakelevering ved opphør

Når avtalen opphører, velger firmaet om opplysningene skal leveres tilbake (eksport i CSV/ZIP) før de slettes. Leverandøren sletter firmaets data senest 30 dager etter opphør, med mindre firmaet ber om noe annet. Slettingen gjøres automatisk når fristen er ute. Sikkerhetskopier overskrives i rutinen for sikkerhetskopi, senest 14 dager etter slettingen. På forespørsel bekrefter leverandøren slettingen skriftlig. Leverandøren kan beholde opplysninger leverandøren selv har lovpålagt plikt til å lagre.

13. Overdragelse til ny leverandør

Hvis tjenesten overdras til en annen leverandør (se vilkårene, punkt 14), overtar den nye leverandøren rollen som databehandler og alle plikter etter denne avtalen, med samme sikkerhetsnivå, underleverandører og lagringssted inntil firmaet er varslet om noe annet etter punkt 7 og 8. Firmaet varsles skriftlig minst 30 dager før overdragelsen, med navn, organisasjonsnummer og kontaktopplysninger til den nye leverandøren.

Firmaet kan motsette seg overdragelsen ved å si opp avtalen med virkning fra overdragelsestidspunktet. Da gjelder punkt 12 om tilbakelevering og sletting, og opplysningene overføres ikke til den nye leverandøren ut over det som trengs for å gjennomføre eksport og sletting. Den tidligere leverandøren sletter sine kopier av firmaets opplysninger når overdragelsen er gjennomført, og bekrefter det skriftlig på forespørsel.

14. Ansvar

Ansvar etter denne avtalen følger ansvarsreglene i vilkårene. Hver av partene har det ansvaret GDPR pålegger dem. Bøter eller erstatning kan kreves regressert mot den som er ansvarlig for bruddet, i den grad loven tillater det

15. Endringer, lovvalg og kontakt

Endringer i avtalen gjøres på samme måte som endringer i vilkårene. Avtalen er underlagt norsk rett, og vernetinget følger vilkårene. Ved motstrid går denne avtalen foran vilkårene når det gjelder personopplysninger.

Kontakt for personvern hos leverandøren: post@cantio.no.