Databehandleravtale

Standard databehandleravtale mellom kunden (behandlingsansvarlig) og Spire (databehandler), etter personvernforordningen artikkel 28. Inngås i dashbordet med Signering.

Sist oppdatert 1. september 2026. Spire er et fiktivt selskap; teksten er et eksempel og ikke juridisk rådgivning.

1. Parter og formål

Avtalen inngås mellom kunden som behandlingsansvarlig og Spire Teknologi AS som databehandler. Den regulerer Spires behandling av personopplysninger på vegne av kunden gjennom tjenesten, og gjelder så lenge vilkårene gjelder. Ved motstrid går denne avtalen foran vilkårene for det som gjelder personopplysninger.

Avtalen signeres elektronisk i dashbordet. Enterprise-kunder kan bruke egen mal etter avtale.

2. Behandlingen

Produkt	Kategorier av registrerte	Opplysninger	Formål
Oppslag	Rolleinnehavere og rettighetshavere i virksomheter	Navn, fødselsår, rolle, eierandel	Kundens oppslag og overvåking av virksomheter
Faktura	Privatpersoner som faktureres, kontaktpersoner hos mottakere	Navn, adresse, e-post, beløp, KID	Utsending, purring og betalingsmatching
Signering	Signatarer	Navn, e-post, mobil, fødselsdato (eID), IP-adresse, dokumentinnhold	Signering og signaturbevis
Varsling	Mottakere av meldinger	Mobilnummer, e-post, enhets-ID, meldingsinnhold	Utsending og leveringsrapport
Adresse	Hjemmelshavere (der tillatt)	Navn knyttet til eiendom	Eiendomsinformasjon for godkjente formål
Alle	Kundens ansatte og brukere	Navn, e-post, handlinger i dashbord og API	Tilgangsstyring og revisjonsspor

Behandlingen omfatter lagring, overføring, strukturering og sletting, og skjer i Norge. Varigheten følger av lagringstidene og kundens valg.

3. Instruks

Spire behandler personopplysninger bare etter dokumentert instruks fra kunden. Instruksen er denne avtalen, vilkårene, dokumentasjonen og de konkrete API-kallene kunden gjør. Mener Spire at en instruks er i strid med loven, sier vi fra uten ugrunnet opphold.

Spire kan behandle opplysningene for egne formål bare når loven krever det (for eksempel bokføring) og varsler da kunden, med mindre loven forbyr det.

4. Sikkerhet

Spire har et styringssystem for informasjonssikkerhet sertifisert etter ISO 27001 og gjennomfører tiltakene beskrevet på sikkerhetssiden: kryptering i transport og i ro, tilgangskontroll med minst mulig tilgang, logging av all tilgang, to datasentre i Norge, årlig penetrasjonstest og opplæring av ansatte. Alle som behandler opplysninger er underlagt taushetsplikt.

Tiltakene kan endres, men ikke svekkes vesentlig uten varsel til kunden.

5. Underleverandører

Kunden gir en generell godkjenning til underleverandørene i listen tilgjengelig fra sikkerhetssiden: datasentre i Norge, Peppol-aksesspunkt, eID-leverandør, teleoperatører, e-postleverandør og betalingsleverandør. Alle er bundet av databehandleravtaler med minst like strenge krav som denne.

Nye underleverandører varsles minst 30 dager før de tas i bruk. Kunden kan protestere innen fristen; finner vi ikke en løsning, kan kunden si opp avtalen uten kostnad. Ingen underleverandør behandler opplysninger utenfor EØS.

6. Bistand

Spire bistår kunden med å svare på henvendelser fra registrerte (innsyn, retting, sletting) innen 10 virkedager, og med vurderinger av personvernkonsekvenser og forhåndsdrøftinger med tilsynsmyndigheten så langt det er rimelig. Bistand utover det som er beskrevet i dokumentasjonen kan faktureres etter timepris.

7. Avvik

Ved brudd på personopplysningssikkerheten varsler Spire kunden uten ugrunnet opphold og senest innen 24 timer etter at vi ble kjent med bruddet, med den informasjonen vi har: hva som skjedde, hvilke opplysninger og registrerte som er berørt, konsekvenser og tiltak. Vi oppdaterer etter hvert som vi vet mer, og bistår med melding til Datatilsynet og de registrerte.

8. Revisjon

Kunden kan be om dokumentasjon på etterlevelse: ISO 27001-sertifikat, penetrasjonstestrapport under NDA, liste over underleverandører og svar på sikkerhetsspørreskjema. Kunden eller en uavhengig revisor kan gjennomføre revisjon hos Spire én gang i året med 30 dagers varsel, på kundens kostnad, under taushetsplikt og uten tilgang til andre kunders data.

9. Sletting

Ved opphør av avtalen eksporterer kunden sine data innen 60 dager. Deretter sletter Spire alle personopplysninger behandlet på vegne av kunden, inkludert i sikkerhetskopier innen 35 dager, med unntak for det loven krever at vi oppbevarer (fakturaer etter bokføringsloven, signaturbevis). Sletting bekreftes skriftlig på forespørsel.