Versjon 1.5 · Sist oppdatert: 30. august 2026
Denne databehandleravtalen inngås som vedlegg til kundeavtalen og regulerer Veldias behandling av personopplysninger på kundens vegne (GDPR art. 28).
Avtalen gjelder personopplysninger Veldia behandler på kundens vegne gjennom kundens publiserte nettside.
For kundens egne kontakt-, abonnements-, betalings- og akseptopplysninger er Veldia behandlingsansvarlig. Denne behandlingen er beskrevet i personvernerklæringen.
Formålet er å levere kundens publiserte nettside og kontaktskjema.
Behandlingen omfatter mottak, overføring, lagring, tilgjengeliggjøring for kunden, sikkerhetskopiering, sikring, feilsøking, eksport og sletting.
Behandlingen varer så lenge kundeavtalen og nødvendig avvikling løper.
Registrerte:
Opplysninger:
Bookingflaten er ikke en del av det tjenesten omfatter ved launch, og Veldia lover den ikke som en funksjon. Den er likevel teknisk tilgjengelig og kan derfor motta opplysninger om besøkende. Behandlingen er tatt inn her i stedet for å være udekket, og den følger de samme instruksene, fristene og rettighetene som kontaktskjemaet.
Tjenesten er ikke ment for særlige kategorier personopplysninger. Kunden skal ikke bruke standardskjemaet til slike opplysninger.
Mottar Veldia slike opplysninger likevel, skal Veldia begrense videre behandling, varsle kunden og slette eller håndtere opplysningene etter kundens lovlige instruks.
Veldia behandler opplysningene bare etter kundens dokumenterte instrukser. Kundeavtalen, denne DPA-en og kundens lovlige bruk av funksjonene utgjør instruksen.
Veldia kan bare behandle opplysninger utenfor instruksen når dette kreves av EU/EØS-rett eller norsk rett som Veldia er underlagt. Veldia informerer kunden om kravet før behandlingen, med mindre loven forbyr slik informasjon av hensyn til viktige allmenne interesser.
Instruksen omfatter ikke bruk til Veldias egne formål.
Overføring til tredjeland skjer bare etter dokumentert instruks og gyldig overføringsgrunnlag.
Veldia varsler kunden umiddelbart dersom en instruks etter Veldias vurdering er i strid med GDPR eller andre personvernregler.
Personer med tilgang skal være bundet av taushetsplikt.
Veldia skal gjennomføre egnede tekniske og organisatoriske tiltak etter GDPR artikkel 32, tilpasset risikoen. Tiltakene i vedlegg A er del av avtalen.
Kunden gir generell forhåndsgodkjenning til følgende underdatabehandlere for besøkerdata:
| Leverandør | Funksjon | Hovedregion / særtrekk |
|---|---|---|
| Neon | Database for henvendelser | Frankfurt, EU |
| Cloudflare | CDN, edgelevering og nødvendig sikkerhet; R2 der det brukes | R2 EU-jurisdiksjon; edge globalt |
| Fly.io | Applikasjonsdrift | Stockholm, EU |
| Scaleway | E-postvarsling med henvendelsen til kunden | Paris, EU |
Veldia skal ha bindende avtaler med underdatabehandlerne med tilsvarende databeskyttelsesplikter.
Veldia varsler kunden før en underdatabehandler legges til eller erstattes, slik at kunden kan protestere på saklig personverngrunnlag. Finner partene ikke en løsning, kan kunden avslutte den berørte tjenesten.
SMS-varsling til kunden inneholder ikke besøkerens navn, kontaktopplysninger eller melding og er derfor ikke del av underdatabehandlerlisten. Endres SMS-innholdet slik at besøkerdata overføres, skal DPA-en og listen oppdateres før endringen brukes.
Det brukes ingen AI-chatbot mot kundens besøkende.
Kjernedata lagres i EU/EØS.
Cloudflares globale edge kan behandle nødvendige tekniske opplysninger utenfor EU/EØS.
Veldia skal bruke gyldig overføringsgrunnlag etter GDPR kapittel V, for eksempel en gyldig adekvansbeslutning når mottakeren er omfattet, eller standard personvernbestemmelser med nødvendige tilleggstiltak.
Overføringsgrunnlaget dokumenteres i Veldias leverandørregister og gjøres tilgjengelig for kunden på forespørsel.
Kontakthenvendelser oppbevares som standard i tolv måneder og slettes deretter. Det samme gjelder bookinger.
Kunden kan instruere Veldia om tidligere sletting av enkeltopplysninger, alle henvendelser eller alle bookinger. Veldia følger instruksen så langt loven tillater og produktet teknisk kan gjennomføre den.
Veldia bistår, så langt det er mulig og relevant, med:
Kunden er ansvarlig for å besvare den registrerte og for eventuelle meldinger til myndighet eller registrerte.
Veldia varsler kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd som gjelder opplysninger behandlet på kundens vegne.
Varslet skal, så langt informasjonen er tilgjengelig, beskrive:
Informasjon kan gis trinnvis dersom alt ikke er kjent samtidig.
Ved opphør velger kunden om besøkerdata skal:
Kundens valg gis før eller ved opphør. Svarer kunden ikke innen den avtalte avviklingsperioden, kan Veldia slette data.
Retur eller sletting omfatter både kontakthenvendelser og bookinger.
Etter eventuell retur slettes data og kopier i Veldias egne systemer innen 30 dager, med mindre EU/EØS-rett eller norsk rett krever videre lagring.
Driftslogger hos underdatabehandlerne kan ha egne oppbevaringstider som Veldia ikke styrer. Veldia oppgir den enkelte leverandørens frist i denne avtalen når den er bekreftet, og lover ikke på leverandørens vegne at alle slike spor er borte innen 30 dager.
Veldias egne avtale-, betalings- og publiseringsbevis omfattes ikke av dette punktet fordi Veldia er behandlingsansvarlig for dem.
Veldia gjør tilgjengelig informasjon som er nødvendig for å dokumentere etterlevelse.
Kunden eller kundens uavhengige revisor kan gjennomføre rimelig kontroll med forhåndsvarsel og uten unødig påvirkning på andre kunder, sikkerhet eller konfidensialitet. Begrensningen gjelder ikke etter alvorlig hendelse eller krav fra tilsynsmyndighet.
Kunden bærer egne og Veldias rimelige merkostnader ved en særskilt revisjon, med mindre revisjonen avdekker et vesentlig avvik som Veldia er ansvarlig for.
Kunden skal:
Kunden kan gi instrukser innenfor tjenestens avtalte formål og kreve dokumentasjon etter denne avtalen.
DPA-en gjelder så lenge Veldia behandler opplysninger på kundens vegne.
Norsk rett gjelder. Verneting følger kundeavtalen.
Tiltakene omfatter blant annet:
Listen beskriver tiltakskategorier og gir ikke tilgang til informasjon som kan svekke sikkerheten for tjenesten eller andre kunder.