Databehandleravtale

Sist oppdatert 2. oktober 2026

Denne databehandleravtalen («avtalen») er inngått mellom virksomheten som har opprettet konto i 1-5.io («behandlingsansvarlig» eller «kunden») og World of eCom AS, organisasjonsnummer 935 198 399, C. J. Hambros plass 2, 0164 Oslo, Norge («databehandler» eller «1-5.io»). Avtalen er en del av vilkårene for 1-5.io og oppfyller kravene i personvernforordningen (GDPR) artikkel 28 nr. 3. Den trer i kraft når kunden aksepterer vilkårene, og gjelder uten ny underskrift.

1. Gjenstand, varighet, art og formål

1. Gjenstand. Databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige når tjenesten 1-5.io brukes til å be kunder om vurderinger og følge opp tilbakemeldinger.
2. Varighet. Behandlingen varer så lenge kunden har en konto og avtale om tjenesten, og frem til opplysningene er slettet eller levert tilbake etter punkt 9.
3. Art. Lagring, organisering, overføring, visning, eksport, anonymisering og sletting av opplysninger, samt utsending av SMS og e-post.
4. Formål. Å levere tjenesten: sende omtaleforespørsler på SMS og e-post, motta og lagre vurderinger, håndtere interne saker for vurderinger på 1 til 3 stjerner, videresende fornøyde kunder til omtaleplattformer, levere statistikk, eksport og integrasjoner.

2. Kategorier av registrerte og personopplysninger

1. Registrerte: den behandlingsansvarliges kunder og andre personer som mottar en omtaleforespørsel; den behandlingsansvarliges ansatte og andre brukere som får tilgang til tjenesten.
2. Personopplysninger: navn, mobilnummer, e-postadresse, vurdering (1 til 5 stjerner), kommentar (for 1 til 3 stjerner), saksbehandlingshistorikk, meldingslogg (SMS og e-post: mottaker, tidspunkt, innhold, leveringsstatus, avmelding), webhook- og API-data som den behandlingsansvarlige sender inn, og for brukere navn, e-postadresse, rolle, innloggingslogg og revisjonslogg.
3. Det er ikke meningen at særlige kategorier av personopplysninger (art. 9) skal behandles. Kommentarer er fritekst, og den behandlingsansvarlige skal oppfordre kundene til ikke å oppgi slike opplysninger.

3. Den behandlingsansvarliges plikter

1. Den behandlingsansvarlige har ansvar for at det finnes rettslig grunnlag for behandlingen og for å kontakte mottakerne, herunder samtykke eller berettiget interesse, og for å oppfylle informasjonsplikten overfor de registrerte, samt kravene i markedsføringsloven og ekomloven.
2. Avtalen og tjenestens funksjoner utgjør den behandlingsansvarliges fullstendige og dokumenterte instruks ved avtalens inngåelse. Ytterligere instrukser skal gis skriftlig og være rimelige i forhold til tjenestens art.

4. Databehandlerens plikter

1. Dokumenterte instrukser. Databehandleren behandler opplysningene bare etter dokumenterte instrukser fra den behandlingsansvarlige, også ved overføring til tredjeland, med mindre unionsretten eller nasjonal rett pålegger noe annet. I så fall varsles den behandlingsansvarlige før behandlingen, med mindre loven forbyr slikt varsel. Databehandleren varsler hvis en instruks etter hans vurdering strider mot personvernreglene.
2. Konfidensialitet. Alle som har tilgang til opplysningene hos databehandleren, er underlagt taushetsplikt eller en passende lovbestemt konfidensialitetsplikt, og får tilgang bare når det er nødvendig.
3. Sikkerhetstiltak (art. 32). Databehandleren har gjennomført passende tekniske og organisatoriske tiltak, blant annet:
   • kryptert forbindelse (HTTPS/TLS) mellom brukere og tjenesten;
   • passord lagret som scrypt-hash, aldri i klartekst;
   • valgfri tofaktorautentisering (TOTP) for brukerkontoer;
   • rollebasert tilgangsstyring (agent, leder, eier) og minste privilegium;
   • innloggingslogg og revisjonslogg over handlinger i kontoen;
   • e-postbekreftelse av brukere;
   • innloggingscookie som er HttpOnly og SameSite, og begrenset levetid på sesjoner (14 dager);
   • frekvensbegrensning per telefonnummer, stille timer (21 til 08) og avmeldingsfunksjon (lenke, og STOPP for SMS) for å hindre uønsket kontakt;
   • automatisk anonymisering etter oppbevaringstid som den behandlingsansvarlige velger (30 til 1825 dager, standard 365), sletting per sak, eksport av alle data og kontosletting;
   • hosting hos leverandør i EU, og begrenset tilgang for ansatte;
   • API-nøkler med begrenset tilgang og rutiner for rask utbedring av sårbarheter.
   Tiltakene vurderes jevnlig og kan forbedres, men uten at sikkerhetsnivået reduseres vesentlig.
4. Bistand ved de registrertes rettigheter. Databehandleren bistår den behandlingsansvarlige, ved passende tekniske og organisatoriske tiltak, med å besvare forespørsler fra registrerte om innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse. Funksjoner for eksport og sletting er tilgjengelige i tjenesten. Henvender en registrert seg direkte til databehandleren, videresendes forespørselen uten ugrunnet opphold, og databehandleren svarer ikke selv uten instruks.
5. Bistand ved sikkerhet, vurderinger og forhåndsdrøfting. Databehandleren bistår med å oppfylle forpliktelsene etter art. 32 til 36, herunder personvernkonsekvensvurderinger (DPIA) og forhåndsdrøfting med tilsynsmyndigheten, tatt i betraktning behandlingens art og informasjonen databehandleren har tilgang til.
6. Varsling om brudd. Databehandleren varsler den behandlingsansvarlige uten ugrunnet opphold og senest 48 timer etter at han har fått kjennskap til et brudd på personopplysningssikkerheten. Varselet sendes til e-postadressen til kontoens eier og skal så langt mulig beskrive bruddets art, kategorier og omtrentlig antall berørte, sannsynlige konsekvenser og tiltak som er gjort eller foreslått. Opplysninger kan gis fortløpende. Det er den behandlingsansvarlige som melder til tilsynsmyndigheten og de registrerte, og databehandleren bistår.
7. Sletting eller tilbakelevering. Se punkt 9.
8. Dokumentasjon. Databehandleren fører en oversikt over behandlingsaktiviteter som databehandler (art. 30 nr. 2) og stiller informasjon som er nødvendig for å vise at pliktene i artikkel 28 er oppfylt, til rådighet.

5. Underleverandører

1. Generell godkjenning. Den behandlingsansvarlige gir databehandleren en generell godkjenning til å bruke underleverandører. Underleverandørene som er godkjent ved avtalens inngåelse, er oppført i tabellen under.
2. Varsel om endringer. Databehandleren varsler den behandlingsansvarlige skriftlig (e-post til kontoens eier eller varsel i tjenesten) minst 30 dager før en ny underleverandør tas i bruk eller en eksisterende erstattes.
3. Innsigelsesrett. Den behandlingsansvarlige kan innen 30 dager motsette seg endringen med saklig begrunnelse knyttet til personvern. Partene forsøker å finne en løsning. Hvis det ikke lar seg gjøre, kan den behandlingsansvarlige si opp avtalen om tjenesten med virkning fra datoen endringen trer i kraft, uten kostnad og med refusjon av forhåndsbetalt beløp for tiden etter opphør.
4. Vilkår. Databehandleren pålegger hver underleverandør i en skriftlig avtale de samme databeskyttelsesforpliktelsene som i denne avtalen, og er fullt ansvarlig overfor den behandlingsansvarlige for underleverandørens oppfyllelse.

6. Overføring til tredjeland

1. Databehandleren overfører bare personopplysninger til land utenfor EØS i samsvar med GDPR kapittel V, i dag til USA via Twilio, med grunnlag i EU-kommisjonens standardkontraktsklausuler og eventuelt EU-US Data Privacy Framework, og med tilleggstiltak der det er nødvendig.
2. Den behandlingsansvarlige gir sin instruks om slike overføringer i den utstrekning de er nødvendige for å levere tjenesten (blant annet SMS- og e-postutsending). Kopi av garantiene utleveres på forespørsel.

7. Revisjon og kontroll

1. Databehandleren gir den behandlingsansvarlige informasjon som er nødvendig for å vise at pliktene i artikkel 28 er oppfylt, og tillater og bidrar til revisjoner, herunder inspeksjoner, utført av den behandlingsansvarlige eller en uavhengig revisor den behandlingsansvarlige har valgt.
2. Revisjon skal varsles minst 30 dager i forveien, skje i vanlig arbeidstid, ikke forstyrre driften uforholdsmessig, og være underlagt taushetsplikt. Hver revisjon er normalt begrenset til én per år, med mindre det har vært et brudd eller tilsynsmyndigheten krever det. Den behandlingsansvarlige dekker egne kostnader, og kostnader hos databehandleren utover rimelig tid dekkes av den behandlingsansvarlige. Databehandleren kan i første omgang vise etterlevelse gjennom dokumentasjon, sertifiseringer eller revisjonsrapporter, dersom dette er tilstrekkelig for formålet.

8. Ansvar

Ansvaret mellom partene følger vilkårene for tjenesten, herunder ansvarsbegrensningen. Dette påvirker ikke de registrertes rett til erstatning etter GDPR artikkel 82 eller tilsynsmyndighetenes kompetanse. Hver part bærer sin andel av ansvaret overfor de registrerte i samsvar med art. 82 nr. 4 og 5, og har regressrett som følger av loven.

9. Sletting og tilbakelevering ved opphør

1. Ved opphør av avtalen om tjenesten kan den behandlingsansvarlige eksportere alle data (JSON eller CSV) i en periode på 30 dager.
2. Deretter sletter eller anonymiserer databehandleren alle personopplysninger, og sletter eksisterende kopier innen ytterligere 30 dager, med mindre unionsretten eller nasjonal rett krever lagring. Opplysninger i sikkerhetskopier overskrives i henhold til normal rotasjon, og er i mellomtiden beskyttet av denne avtalen.
3. Den behandlingsansvarlige kan når som helst slette enkeltsaker eller hele kontoen i tjenesten, og kan velge oppbevaringstid (30 til 1825 dager) som styrer automatisk anonymisering. Databehandleren bekrefter sletting skriftlig på forespørsel.

10. Varighet og opphør av avtalen

Avtalen gjelder så lenge databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige. Punkt om konfidensialitet, ansvar og sletting gjelder også etter opphør. Ved vesentlig brudd på avtalen kan den behandlingsansvarlige suspendere behandlingen og si opp avtalen om tjenesten.

11. Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister avgjøres av norske domstoler med Oslo tingrett som verneting, i tråd med vilkårene for tjenesten. Avtalen skal tolkes i samsvar med GDPR og personopplysningsloven, og ved motstrid går GDPR foran.

12. Kontakt

Henvendelser om behandlingen og om brudd sendes til [email protected]. Databehandler: World of eCom AS, C. J. Hambros plass 2, 0164 Oslo.