Databehandleravtale

Versjon 1.0 · Gjelder fra 6. september 2026

Sist oppdatert 15. september 2026: Anthropic lagt til som underdatabehandler for den valgfrie KI-assistenten (punkt 7 og 8).

Denne avtalen inngås etter personvernforordningen (GDPR) artikkel 28 mellom håndverksbedriften som oppretter konto i DriftFlow («Kunden», behandlingsansvarlig) og [FYLL INN foretaksnavn], org.nr [FYLL INN org.nr] («DriftFlow», databehandler). Avtalen aksepteres av Kundens administrator ved registrering, og tidspunkt og versjon lagres. Den er en del av vilkårene for bruk. Ved motstrid om personvern går denne avtalen foran.

1. Formålet med behandlingen

DriftFlow lagrer, viser, organiserer og utleverer (som PDF, e-post og delelenker) personopplysninger som Kunden registrerer, for at Kunden skal kunne dokumentere jobber, holde kunderegister, føre timer, fakturere, drive FDV og håndtere avvik. DriftFlow behandler opplysningene bare for dette formålet og bare etter Kundens instruks.

Kundens instruks er denne avtalen, vilkårene og Kundens egen bruk av funksjonene i tjenesten. Ytterligere instrukser gis skriftlig til support@driftflow.no.

2. Behandlingens art og varighet

Art: lagring, strukturering, visning, søk, utlevering til mottakere Kunden velger, sletting og anonymisering. Behandlingen skjer automatisert i tjenesten. DriftFlows personell ser opplysninger bare ved feilsøking og support.

Varighet: fra kontoen opprettes til den slettes etter punkt 11.

3. Kategorier av registrerte

• Kundens kunder (private og næringsdrivende) og deres kontaktpersoner
• Byggeiere og andre mottakere av rapporter og fakturaer
• Kundens ansatte og brukere
• Personer som melder avvik via byggets QR-lenke
• Personer som forekommer i bilder og dokumenter Kunden laster opp

4. Kategorier av personopplysninger

• Identifikasjon og kontakt: navn, organisasjonsnummer, kontaktperson, e-post, telefon, adresse
• Innhold: jobber, kravpunkter, kommentarer, hvem som utførte hva, bilder fra arbeidsstedet (ofte private hjem), PDF-vedlegg som datablad og kvitteringer, FDV-dokumenter
• Økonomi: fakturaer, fakturalinjer, betalingsstatus, timeføringer, varer
• Avvik: beskrivelse, sted, alvorlighet, navn og e-post til melder
• Tekniske: tidspunkt for registreringer, e-postadresser rapporter er sendt til

Tjenesten er ikke laget for særlige kategorier av personopplysninger (GDPR art. 9), fødselsnummer eller opplysninger om straffbare forhold. Kunden skal ikke registrere slike, heller ikke i fritekst eller på bilder.

5. DriftFlows plikter

DriftFlow skal:

1. Behandle personopplysningene bare etter dokumentert instruks fra Kunden, og aldri for egne formål. Krever lov at DriftFlow behandler opplysningene på annen måte, varsles Kunden før behandlingen, med mindre loven forbyr det.
2. Varsle Kunden straks dersom en instruks etter DriftFlows vurdering strider mot GDPR eller annen personvernlovgivning.
3. Sikre at alle som har tilgang til opplysningene er underlagt taushetsplikt gjennom avtale eller lov.
4. Gjennomføre tekniske og organisatoriske tiltak etter GDPR art. 32, minst de i vedlegg A.
5. Bistå Kunden med å svare på henvendelser fra registrerte om innsyn, retting, sletting, begrensning, portabilitet og protest, gjennom funksjoner i tjenesten (eksport, anonymisering av kunde, sletting av bruker) og ellers innen 10 virkedager etter skriftlig forespørsel.
6. Bistå Kunden med å oppfylle pliktene i GDPR art. 32 til 36 (sikkerhet, bruddvarsling, konsekvensvurdering, forhåndsdrøfting) ut fra behandlingens art og den informasjonen DriftFlow har.
7. Varsle Kunden om brudd på personopplysningssikkerheten uten ugrunnet opphold og senest 48 timer etter at DriftFlow ble kjent med bruddet, slik at Kunden kan overholde sin 72-timersfrist til Datatilsynet. Varselet sendes til Kundens administratorer og skal beskrive bruddets art, berørte kategorier og antall, sannsynlige konsekvenser, tiltak, og kontaktpunkt hos DriftFlow. Informasjon som ikke er tilgjengelig ved første varsel, ettersendes.
8. Stille til rådighet informasjonen Kunden trenger for å påvise at forpliktelsene i art. 28 overholdes, og muliggjøre og bidra til revisjoner etter punkt 9.
9. Etter Kundens valg slette eller tilbakelevere alle personopplysninger når tjenesten opphører, etter punkt 11.
10. Føre protokoll over behandlingsaktiviteter etter art. 30 nr. 2.

6. Kundens plikter

Kunden er ansvarlig for at:

• behandlingen har rettslig grunnlag, og at de registrerte får informasjon etter GDPR art. 13 og 14 (for eksempel i Kundens egen personvernerklæring eller i avtalen med sluttkunden)
• opplysningene som registreres er korrekte, relevante og ikke går lenger enn formålet krever
• bilder tas hensynsfullt: av arbeidet, ikke av personer, og at beboer er informert om at det tas bilder for dokumentasjon
• egne brukere administreres forsvarlig, at tilgang fjernes når ansatte slutter, og at tofaktor vurderes for administratorer
• delelenker og portallenker bare gis til dem som skal ha innsyn
• Kunden selv oppfyller oppbevaringsplikter etter bokføringsloven og bygningslovgivningen, og laster ned eksport før kontoen slettes

7. Underdatabehandlere

Kunden gir generell forhåndsgodkjenning til bruk av underdatabehandlere. Gjeldende liste:

DriftFlow pålegger underdatabehandlerne de samme forpliktelsene som i denne avtalen, og er ansvarlig overfor Kunden for deres oppfyllelse.

Planlagte endringer varsles Kundens administratorer på e-post eller i tjenesten minst 30 dager før endringen. Kunden kan komme med innsigelser innen fristen. Blir partene ikke enige, kan Kunden si opp tjenesten med virkning fra endringen, uten kostnad ut over påløpt periode.

8. Overføring til land utenfor EØS

Personopplysningene lagres og behandles i EU. Fordi Supabase og Vercel er amerikanske selskaper, kan support-tilgang og nettverksruting innebære overføring til USA. KI-assistenten (Anthropic) behandler forespørslene i USA; den er valgfri og kan slås av av Kundens administrator under Firma. Grunnlaget er EU-kommisjonens standardavtaler (SCC) inntatt i leverandørenes databehandleravtaler, og for Vercel i tillegg EU-US Data Privacy Framework. DriftFlow skal ikke overføre opplysninger til andre tredjeland uten Kundens skriftlige instruks, med mindre det følger av lov.

9. Revisjon

Kunden, eller en uavhengig revisor Kunden utpeker, kan revidere DriftFlows etterlevelse av denne avtalen én gang per år, eller oftere ved konkret mistanke om avvik eller pålegg fra tilsynsmyndighet. Revisjon varsles skriftlig minst 30 dager i forveien, skjer i ordinær arbeidstid og uten unødig forstyrrelse av driften. Kunden dekker egne kostnader, og DriftFlows medgåtte tid etter gjeldende timepris, med mindre revisjonen avdekker vesentlige brudd hos DriftFlow. DriftFlow kan først oppfylle revisjonsplikten ved å legge frem dokumentasjon, herunder underleverandørenes rapporter.

10. Ansvar

Hver part er ansvarlig for egne brudd på GDPR og denne avtalen etter GDPR art. 82. Ansvarsbegrensningen i vilkårene gjelder også for brudd på denne avtalen, med unntak av administrative gebyrer som skyldes partens eget brudd, og skade voldt ved forsett eller grov uaktsomhet.

11. Opphør og sletting

Når Kunden sletter kontoen (Firma → Slett firmaet) slettes alle Kundens data umiddelbart og permanent: databaserader, bilder og dokumenter i fillageret. Kunden skal laste ned dataeksport (Firma → Last ned dataeksport) først, og bekrefter ved sletting at oppbevaringsplikten etter bokføringsloven og bygningslovgivningen er Kundens eget ansvar.

DriftFlow sletter aldri Kundens data automatisk. Har Kunden vært uten tilgang (utløpt prøveperiode eller abonnement) i 6 måneder, sender DriftFlow én påminnelse til administratorene om at dataene fortsatt lagres, med valget mellom eksport, sletting eller fortsatt abonnement. Sletting eller anonymisering skjer bare på Kundens instruks, og alltid slik at opplysninger Kunden er lovpålagt å oppbevare kan tas ut først.

DriftFlow beholder etter sletting bare: aksept av vilkår (tidspunkt, versjon, e-post) i 3 år som avtaledokumentasjon, og opplysninger DriftFlow selv er lovpålagt å oppbevare, for eksempel DriftFlows egne fakturaer til Kunden i 5 år etter bokføringsloven.

12. Varighet og endringer

Avtalen gjelder så lenge Kunden har konto. Endringer varsles som beskrevet i vilkårene, minst 30 dager før de gjelder. Versjon og dato står øverst.

Vedlegg A: Tekniske og organisatoriske sikkerhetstiltak

Tilgangskontroll. Innlogging med e-post eller telefonnummer og passord. Passord lagres som scrypt-hash. Valgfri tofaktor (TOTP) med krypterte hemmeligheter og hashede reservekoder. Roller (administrator/ansatt). Sperring etter 5 mislykkede forsøk per e-post og 30 per IP-adresse i 15 minutter. Sesjoner i signerte HttpOnly-cookies med 30 dagers levetid.

Isolasjon mellom kunder. Alle data er knyttet til et firma. Hver databasespørring i hver rute filtrerer på innlogget firma, og eierskap sjekkes ved oppslag på underliggende objekter. Radnivåsikkerhet er aktivert på alle tabeller. Ingen offentlig API mot databasen.

Kryptering. TLS på all trafikk. Data kryptert i hvile hos Supabase (AWS). Tofaktor-hemmeligheter kryptert med AES-256-GCM.

Fillager. Privat bøtte. Ingen offentlige URL-er. Nedlasting via signerte lenker gyldige i 60 sekunder. Bilder valideres ved opplasting.

Delelenker. Rapport- og portallenker består av 48 tilfeldige heksadesimale tegn, kan byttes ut, og er merket noindex.

Logging og overvåking. Alle serverfeil logges og varsles DriftFlow. Feillogg slettes etter 30 dager. Ingen loggføring av innhold i personopplysninger ut over det som trengs for feilsøking.

Sikkerhetshoder. X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy og HSTS.

Organisatorisk. Tilgang til produksjonsdata er begrenset til DriftFlows eiere. Hemmeligheter ligger bare i miljøvariabler, aldri i kode. Skjemaendringer gjøres som navngitte migrasjoner. Bruddrutine med 48-timers varsel til Kunden.

Sikkerhetskopi. Sikkerhetskopiering følger Supabase sitt oppsett for prosjektet. [FYLL INN: automatisk backup krever betalt Supabase-plan, se advokat- og driftsliste.]