Databehandleravtale

1. Behandling og varighet

Behandlingen varer så lenge kundeforholdet består og omfatter drift, lagring, sikkerhetskopiering, kommunikasjon, fakturering, integrasjoner og andre funksjoner Kunden slår på. Formålet er å levere tjenesten etter Kundens dokumenterte instrukser.

2. Registrerte og opplysninger

Behandlingen kan gjelde Kundens ansatte, medlemmer, kunder, leverandører og kontaktpersoner. Opplysningene kan omfatte navn, kontaktopplysninger, roller, avtaler, bestillinger, økonomi- og betalingsopplysninger, kommunikasjon og bruksdata. Særlige kategorier skal ikke legges inn uten særskilt skriftlig avtale.

3. Kundens instrukser og ansvar

Kunden bestemmer formål og hjelpemidler, skal ha gyldig behandlingsgrunnlag og er ansvarlig for at instruksene er lovlige. Valg i tjenesten, integrasjoner, supporthenvendelser og skriftlige avtaler regnes som dokumenterte instrukser. Leverandøren varsler dersom en instruks etter vår vurdering strider mot personvernregelverket.

4. Leverandørens plikter

• behandle opplysninger bare etter dokumenterte instrukser og sikre konfidensialitet,
• ha egnede tekniske og organisatoriske sikkerhetstiltak,
• bistå med innsyn, retting, sletting, dataportabilitet, risikovurderinger og kontakt med tilsynsmyndighet,
• varsle Kunden uten ugrunnet opphold ved brudd på personopplysningssikkerheten, og
• gjøre nødvendig dokumentasjon tilgjengelig for kontroll og revisjon.

5. Sikkerhet

Tilgang begrenses etter rolle og organisasjon, data krypteres under overføring, sensitive handlinger logges, og administrative tilganger sikres med sterk autentisering der dette er tilgjengelig. Sikkerhetstiltakene vurderes mot risiko og oppdateres når tjenesten endres.

6. Underdatabehandlere

Kunden gir generell godkjenning til underdatabehandlerne nedenfor. Vesentlige endringer varsles minst 30 dager før de tas i bruk, slik at Kunden kan protestere på saklig grunnlag. Lista er sist oppdatert 16. oktober 2026.

• Supabase (AWS) – Database, autentisering og lagring; Alle opplysninger i tjenesten; EU (Irland, eu-west-1)
• Vercel – Drift av applikasjonen (hosting); Trafikkdata; applikasjonsdata i transitt; EU-funksjoner / USA (SCC)
• Resend – Utsending av e-post; E-postadresse, navn, meldingsinnhold; USA (SCC)
• Sveve – Utsending av SMS (inkl. engangskoder); Telefonnummer, meldingsinnhold; Norge
• Stripe – Kortbetaling; Betalingsdata (kortdata lagres hos Stripe, aldri hos oss); EU/USA (SCC)
• Vipps MobilePay – Vipps-betaling og -bekreftelser; Telefonnummer, betalingsdata; Norge
• Anthropic – AI-funksjoner: assistenten, sortering av e-post og berikelse — styres av organisasjonens AI-nivå (standard: automatisk); Tekst i forespørselen og org-data funksjonen henter for å svare (e-post: avsender, emne og utdrag); USA (SCC)
• TypeSafe AI (Jev) – Beslutningsstøtte for e-post: er en e-post viktig for virksomheten, og er avsenderen kunde eller leverandør — styres av AI-nivået og formålene; Strukturelle trekk (ingen personopplysninger). Bare når virksomheten selv slår på «Jev med tekst»: avsenderens visningsnavn og domene, emne og et utdrag på 400 tegn — aldri e-postadressen eller hele e-posten; USA (SCC; ingen trening på data)
• 1881 (Digitale Medier 1881 AS) – Telefonoppslag ved berikelse av ukjente numre; Telefonnummer; Norge
• OpenAI – Tale-til-tekst (diktering, kun ved bruk); Lydklipp som transkriberes; USA (SCC)

7. Overføringer utenfor EØS

Opplysninger lagres primært i EU/EØS. Overføringer utenfor EØS skal ha gyldig overføringsgrunnlag, som EU-kommisjonens standard personvernbestemmelser, og nødvendige supplerende tiltak.

8. Sletting og retur

Ved opphør returneres eller slettes Kundens personopplysninger etter Kundens valg, med mindre lov krever videre oppbevaring. Sikkerhetskopier fases ut etter ordinær rotasjon og holdes utilgjengelige for vanlig bruk.

9. Dokumentasjon og revisjon

Leverandøren gir informasjon som er nødvendig for å påvise etterlevelse. Kunden kan gjennomføre en rimelig, varslet revisjon når dokumentasjonen ikke er tilstrekkelig. Kunden dekker egne kostnader og skal ivareta andre kunders sikkerhet og konfidensialitet.

10. Rang og kontakt

Ved motstrid om behandling av personopplysninger går denne databehandleravtalen foran de generelle vilkårene. Kontakt: kurt@tomorrowtoo.no.