Databehandleravtale

Oppdatert: 2. november 2026 · Avtale om databehandling etter art. 28 i GDPR og art. 9 i den sveitsiske personvernloven (nLPD) mellom deg som kunde og TEISENDA GmbH.

1. Gjenstand, parter og varighet

Denne avtalen gjelder når du bruker plattformen TEISENDA Hosting og vi i den forbindelse behandler personopplysninger på dine vegne. Du er da behandlingsansvarlig, TEISENDA GmbH, Alte Zwillikerstrasse 9, 8908 Hedingen, Sveits («vi»), er databehandler.

Avtalen er en del av bruksavtalen (vilkår, punkt 10) og går foran vilkårene. Den gjelder så lenge bruksavtalen løper, og deretter inntil vi har slettet alle opplysninger fra oppdraget.

Denne avtalen omfatter ikke opplysningene som vi selv er behandlingsansvarlige for: kontoen din, administrasjonen av Spaces, faktureringen og plattformens sikkerhet. For dette gjelder personvernerklæringen.

2. Behandlingens art, formål og omfang

Formålet er å stille plattformen til rådighet for deg slik bruksavtalen bestemmer. I detalj:

Plattformen er ikke innrettet for særlige kategorier av personopplysninger (art. 9 i GDPR, for eksempel helseopplysninger). Behandle slike opplysninger der bare hvis tiltakene i vedlegg 1 er tilstrekkelige for dette.

3. Instrukser

Vi behandler opplysningene bare etter dine dokumenterte instrukser. Disse følger av bruksavtalen, av denne avtalen og av det du stiller inn og foranlediger i plattformen eller via en tilkoblet applikasjon. Anser vi en instruks for å være ulovlig, gir vi deg beskjed.

4. Konfidensialitet

Tilgang til opplysningene har hos oss bare personer som trenger den for sine oppgaver og har forpliktet seg til konfidensialitet.

5. Sikkerhet ved behandlingen

Vi treffer de tekniske og organisatoriske tiltakene i vedlegg 1. Vi kan videreutvikle dem så lenge beskyttelsesnivået ikke synker.

6. Underdatabehandlere

Du samtykker i at vi benytter underdatabehandlerne i vedlegg 2. Vi forplikter dem kontraktsmessig til de samme pliktene som vi har overfor deg, og står inne for dem.

Vil vi benytte en ytterligere underdatabehandler eller erstatte en, varsler vi dette minst 30 dager i forveien: på denne siden og per e-post til e-postadressen for fakturaer i ditt Space, uten registrerte fakturaopplysninger til medlemmene med rollen Eier. Du kan av viktige grunner gjøre innsigelse. Kan vi ikke unnvære leverandøren, kan du si opp bruksavtalen til den dagen endringen trer i kraft.

7. Bistand

Henvender en registrert seg til oss med en anmodning om opplysningene dine, videresender vi den til deg. Vi bistår deg innenfor rimelighetens grenser med å besvare anmodninger fra registrerte og oppfylle dine plikter knyttet til sikkerhet, melding av brudd og vurderinger av personvernkonsekvenser.

8. Brudd på personopplysningssikkerheten

Fastslår vi at sikkerheten for opplysningene dine er brutt, melder vi dette til deg uten ugrunnet opphold, senest 48 timer etter at vi ble kjent med det, og opplyser det vi vet: hva som har skjedd, hvilke opplysninger som er berørt, og hva vi har gjort for å motvirke det. Meldingen sendes til e-postadressen for fakturaer i ditt Space, uten registrerte fakturaopplysninger til medlemmene med rollen Eier.

9. Sletting og tilbakelevering

Merker du et Space for sletting, sletter vi det med alt innhold endelig etter 30 dager. Sletter du et prosjekt, er det endelig slettet inkludert versjoner og sikkerhetskopier; det finnes ingen frist for gjenoppretting. Er driften av et Space satt på pause etter at et abonnement er avsluttet, sletter vi nettstedene tidligst 30 dager etter pausen og først etter to advarsler per e-post.

Filene til nettstedene dine laster du opp selv; ta vare på din egen versjon. En eksportfunksjon tilbyr plattformen ikke; inntil slettingen kan du lese enkeltfiler via Connector.

I sikkerhetskopiene finnes slettede opplysninger fortsatt til den aktuelle versjonen utløper: for plattformens database 7 daglige og 4 ukentlige versjoner, for de driftede nettstedene 14 daglige, 8 ukentlige og 6 månedlige.

10. Dokumentasjon og kontroller

Vi stiller til rådighet den informasjonen du trenger for å dokumentere at denne avtalen overholdes. Er den ikke tilstrekkelig, kan du etter varsel i rimelig tid selv eller via en revisor som har forpliktet seg til konfidensialitet, gjennomføre kontroller, så lenge driften og andre kunders opplysninger forblir beskyttet.

11. Behandlingssted og overføring til utlandet

Serverne står hos Hetzner i Tyskland (Falkenstein) og Finland (Helsingfors). Vi får tilgang til opplysningene fra Sveits og fra EUs medlemsstater; for Sveits foreligger en beslutning om tilstrekkelig beskyttelsesnivå fra EU-kommisjonen. Til andre land overfører vi ikke opplysninger fra oppdraget.

Kobler du Claude eller ChatGPT til ditt Space, sendes opplysninger etter din instruks til leverandøren du har valgt. Leverandøren er ikke vår underdatabehandler; din egen avtale med leverandøren gjelder.

12. Ansvar og sluttbestemmelser

For ansvaret mellom deg og oss gjelder punkt 12 i vilkårene, i den grad loven tillater det; de registrertes krav etter art. 82 i GDPR berøres ikke. For øvrig gjelder vilkårenes lovvalg og verneting også for denne avtalen, med mindre ufravikelig personvernrett bestemmer noe annet.

Vedlegg 1 – Tekniske og organisatoriske tiltak

• Plassering. Serverne for plattformen, driftsnoden og Connector står hos Hetzner i Falkenstein (Tyskland), overvåkingen i Helsingfors (Finland). Foran de driftede nettstedene ligger det ikke noe CDN.
• Innlogging på plattformen. Passord lagrer vi bare som hash. Kontoer kan beskyttes med en annen faktor (autentiseringsapp, reservekoder). Gjentatte mislykkede innloggingsforsøk begrenses. Før særlig vidtrekkende handlinger, for eksempel sletting av et Space, krever plattformen en ny bekreftelse av identiteten.
• Rettigheter. Roller i Spacet regulerer hvem som har lov til hva. Hver forespørsel via Connector kontrollerer plattformen med hensyn til konto, tilkobling, Space, medlemskap og rolle. Private nettsteder er bare tilgjengelige for innloggede medlemmer av Spacet som de er delt med.
• Tilgang til serverne. Serverne administreres bare via et kryptert internt nettverk. Gjentatte mislykkede forsøk fører til automatisk sperring.
• Tilgang i forbindelse med support. Ansatte i TEISENDA får tilgang til en kundekonto bare når kunden ber om det; hver tilgang logges.
• Overføring. Forbindelser til plattformen, til Connector og til de driftede nettstedene går kryptert via HTTPS. For egne domener stiller vi TLS-sertifikater til rådighet. Connectorens tilgangstokener lagrer vi bare som hash.
• Logger. Plattformen fører en logg over sikkerhetsrelevante handlinger og for hvert prosjekt en logg over endringer. Systemloggene til serverne analyseres løpende med hensyn til angrep og forstyrrelser.
• Sikkerhetskopier. Daglig sikkerhetskopiering, kryptert før den forlater serveren, på en lagringstjeneste hos Hetzner.
• Betalingsopplysninger. Kortnumre behandles bare av betalingsleverandøren; hos oss lagres de ikke.

Vedlegg 2 – Underdatabehandlere

Øvrige tjenesteleverandører vi benytter (e-postutsending, DNS, betaling), behandler bare opplysninger som vi selv er behandlingsansvarlige for; de står i personvernerklæringen.