Databehandleravtale (DPA)

Databehandleravtale i henhold til personvernforordningen (GDPR) artikkel 28 nr. 3

Denne databehandleravtalen («Avtalen») er inngått mellom:

1. Behandlingsansvarlig: Kunden, slik denne er identifisert i hovedavtalen/abonnementsavtalen med Publisera («Behandlingsansvarlig» eller «Kunden»), og
2. Databehandler: Golten Marketing (org.nr. 937 095 023), Lyngnesvegen 48, 5354 Straume, e-post: personvern@publisera.no («Databehandler» eller «Publisera»).

Hver for seg omtalt som «Part» og samlet som «Partene».

Avtalen utgjør et bilag til og en integrert del av hovedavtalen om bruk av Publisera-tjenesten («Hovedavtalen»). Ved motstrid mellom Hovedavtalen og denne Avtalen går denne Avtalen foran for så vidt gjelder behandling av personopplysninger. Avtalen bygger på EU-kommisjonens standardklausuler for databehandleravtaler etter gjennomføringsbeslutning (EU) 2021/915.

1. Definisjoner

Begreper i denne Avtalen skal forstås i samsvar med definisjonene i forordning (EU) 2016/679 («GDPR» eller «personvernforordningen»), jf. personopplysningsloven (LOV-2018-06-15-38). Særlig gjelder:

• «Personopplysninger»: enhver opplysning om en identifisert eller identifiserbar fysisk person, jf. GDPR art. 4 nr. 1.
• «Behandling»: enhver operasjon som gjøres med personopplysninger, jf. GDPR art. 4 nr. 2.
• «Den registrerte»: den fysiske personen som personopplysningene gjelder.
• «Underdatabehandler»: enhver tredjepart som Databehandleren engasjerer til å behandle personopplysninger på vegne av Behandlingsansvarlig.
• «Brudd på personopplysningssikkerheten»: et sikkerhetsbrudd som definert i GDPR art. 4 nr. 12.
• «Tjenesten»: Publisera-plattformen for AI-assistert produksjon, planlegging og publisering av innhold til sosiale medier, slik den er beskrevet i Hovedavtalen.
• «SCC»: EU-kommisjonens standardkontraktbestemmelser for overføring av personopplysninger til tredjeland, vedtatt ved gjennomføringsbeslutning (EU) 2021/914.

2. Behandlingens formål, art og varighet

2.1 Databehandleren behandler personopplysninger på vegne av Behandlingsansvarlig utelukkende for å levere Tjenesten, det vil si: lagring og analyse av bilder og virksomhetsinformasjon, AI-assistert generering av markedsføringsinnhold (strategier, kalendere, bildetekster), innhenting av samtykke fra avbildede personer, og publisering av godkjent innhold til Kundens kontoer på sosiale medier.

2.2 Behandlingens art, formål, kategorier av registrerte og kategorier av personopplysninger er nærmere spesifisert i Bilag A, som utgjør Behandlingsansvarliges dokumenterte instruks etter GDPR art. 28 nr. 3 bokstav a.

2.3 Avtalen gjelder så lenge Databehandleren behandler personopplysninger på vegne av Behandlingsansvarlig, normalt fra Hovedavtalens ikrafttredelse til sletting/tilbakelevering etter punkt 10 er gjennomført.

3. Behandlingsansvarliges plikter og rettigheter

3.1 Behandlingsansvarlig bekrefter at den har rettslig grunnlag for behandlingen av personopplysningene som overlates til Databehandleren, og at instruksene gitt gjennom denne Avtalen og bruken av Tjenesten er lovlige.

3.2 Behandlingsansvarlig er ansvarlig for at avbildede personer (Kundens kunder, ansatte og andre) er gitt informasjon etter GDPR art. 13/14, og for at det foreligger gyldig grunnlag for markedsføringsbruk av bilder, herunder samtykke etter åndsverkloven § 104 der dette kreves. Tjenestens innebygde samtykkeflyt er et verktøy Databehandleren stiller til rådighet; ansvaret for å bruke det forblir hos Behandlingsansvarlig.

3.3 Behandlingsansvarlig skal ikke laste opp eller instruere behandling av særlige kategorier av personopplysninger (GDPR art. 9), opplysninger om straffedommer (art. 10) eller personopplysninger om barn under 13 år uten foreldresamtykke, med mindre dette er skriftlig avtalt med Databehandleren på forhånd.

4. Databehandlerens plikter

4.1 Instruks

Databehandleren skal bare behandle personopplysninger etter dokumentert instruks fra Behandlingsansvarlig, jf. GDPR art. 28 nr. 3 bokstav a. Denne Avtalen med bilag, Hovedavtalen og Behandlingsansvarliges bruk av funksjonene i Tjenesten utgjør instruksen. Dette gjelder også ved overføring av personopplysninger til tredjeland, med mindre annet kreves av unionsretten eller norsk rett som Databehandleren er underlagt; i så fall skal Databehandleren underrette Behandlingsansvarlig om dette rettslige kravet før behandlingen, med mindre slik underretning er forbudt av hensyn til viktige allmenne interesser.

Databehandleren skal umiddelbart underrette Behandlingsansvarlig dersom Databehandleren mener at en instruks er i strid med GDPR eller andre personvernbestemmelser, jf. GDPR art. 28 nr. 3 siste ledd.

4.2 Konfidensialitet

Databehandleren skal sikre at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til konfidensialitet eller er underlagt lovbestemt taushetsplikt, jf. GDPR art. 28 nr. 3 bokstav b. Tilgang til personopplysninger begrenses til personell som trenger tilgangen for å levere Tjenesten (behovsprinsippet).

4.3 Sikkerhet (GDPR art. 32)

Databehandleren skal gjennomføre alle tiltak som kreves etter GDPR art. 32, jf. art. 28 nr. 3 bokstav c. De tekniske og organisatoriske tiltakene som er implementert per Avtalens dato er beskrevet i Bilag B. Databehandleren kan oppdatere tiltakene over tid, forutsatt at sikkerhetsnivået samlet sett ikke svekkes.

4.4 Bruk av underdatabehandlere

4.4.1 Behandlingsansvarlig gir Databehandleren en generell skriftlig forhåndsgodkjenning til å engasjere underdatabehandlere, jf. GDPR art. 28 nr. 2. Gjeldende liste over underdatabehandlere fremgår av Bilag C og av den til enhver tid oppdaterte oversikten på www.publisera.no/subprocessors.

4.4.2 Databehandleren skal varsle Behandlingsansvarlig om planlagte endringer som gjelder tillegg eller utskifting av underdatabehandlere minst 30 dager før endringen trer i kraft, slik at Behandlingsansvarlig kan motsette seg endringen. Dersom Behandlingsansvarlig på saklig grunnlag motsetter seg endringen og Partene ikke finner en løsning, kan Behandlingsansvarlig si opp Hovedavtalen med virkning fra endringstidspunktet.

4.4.3 Databehandleren skal pålegge enhver underdatabehandler de samme forpliktelsene til vern av personopplysninger som følger av denne Avtalen, gjennom en skriftlig avtale, jf. GDPR art. 28 nr. 4. Databehandleren forblir fullt ansvarlig overfor Behandlingsansvarlig for underdatabehandlerens oppfyllelse av forpliktelsene.

4.5 Bistand ved de registrertes rettigheter

Databehandleren skal, idet det tas hensyn til behandlingens art, bistå Behandlingsansvarlig med egnede tekniske og organisatoriske tiltak, så langt dette er mulig, slik at Behandlingsansvarlig kan oppfylle sin plikt til å svare på anmodninger fra de registrerte om utøvelse av rettighetene i GDPR kapittel III (innsyn, retting, sletting, begrensning, dataportabilitet og protest), jf. GDPR art. 28 nr. 3 bokstav e. Anmodninger som Databehandleren mottar direkte fra registrerte, videresendes til Behandlingsansvarlig uten ugrunnet opphold, med mindre annet følger av lov.

4.6 Bistand etter GDPR art. 32–36

Databehandleren skal bistå Behandlingsansvarlig med å sikre overholdelse av forpliktelsene etter GDPR art. 32 til 36 (sikkerhet, melding av brudd til tilsynsmyndighet og registrerte, personvernkonsekvensvurdering og forhåndsdrøfting), idet det tas hensyn til behandlingens art og den informasjonen Databehandleren har tilgang til, jf. GDPR art. 28 nr. 3 bokstav f.

4.7 Brudd på personopplysningssikkerheten

Databehandleren skal underrette Behandlingsansvarlig uten ugrunnet opphold etter å ha fått kjennskap til et brudd på personopplysningssikkerheten, jf. GDPR art. 33 nr. 2. Underretningen skal så langt mulig inneholde informasjonen angitt i GDPR art. 33 nr. 3 (bruddets art, kategorier og omtrentlig antall registrerte og registreringer, sannsynlige konsekvenser, og iverksatte/foreslåtte tiltak). Databehandleren skal dokumentere alle brudd og samarbeide med Behandlingsansvarlig om håndteringen. Det er Behandlingsansvarlig som vurderer melding til Datatilsynet (art. 33) og underretning til de registrerte (art. 34).

4.8 Revisjon og dokumentasjon

Databehandleren skal gjøre tilgjengelig for Behandlingsansvarlig all informasjon som er nødvendig for å påvise at forpliktelsene i GDPR art. 28 er oppfylt, og skal muliggjøre og bidra til revisjoner, herunder inspeksjoner, som gjennomføres av Behandlingsansvarlig eller en revisor på dennes vegne, jf. GDPR art. 28 nr. 3 bokstav h. Revisjon skal varsles skriftlig minst 30 dager i forveien, gjennomføres i ordinær arbeidstid, ikke forstyrre driften unødig, og maksimalt skje én gang per år med mindre tilsynsmyndighet krever det eller det foreligger mistanke om brudd. Hver Part bærer egne kostnader ved revisjon. Revisor skal undertegne konfidensialitetserklæring.

5. Overføring til tredjeland

5.1 Databehandleren benytter underdatabehandlere etablert i land utenfor EØS, primært USA, jf. Bilag C. Overføring skjer bare når det foreligger et gyldig overføringsgrunnlag etter GDPR kapittel V (art. 44–49):

• Adekvansbeslutning (GDPR art. 45), herunder EU–US Data Privacy Framework (DPF) for amerikanske mottakere som er sertifisert under rammeverket, eller
• EU-kommisjonens standardkontraktbestemmelser (SCC) etter gjennomføringsbeslutning (EU) 2021/914 (GDPR art. 46 nr. 2 bokstav c), modul 2 (behandlingsansvarlig til databehandler) eller modul 3 (databehandler til databehandler) avhengig av kjeden, supplert med tilleggstiltak der en vurdering av overføringen tilsier det.

5.2 For hver overføring til tredjeland er det utarbeidet en Transfer Impact Assessment (TIA) i tråd med EU-domstolens avgjørelse i sak C-311/18 (Schrems II) og EDPB Recommendations 01/2020. Oversikt over overføringer, mekanismer og TIA-er gjøres tilgjengelig for Behandlingsansvarlig på forespørsel.

5.3 Databehandleren skal underrette Behandlingsansvarlig dersom et overføringsgrunnlag bortfaller eller settes til side, og skal i så fall uten ugrunnet opphold etablere et alternativt gyldig grunnlag eller stanse overføringen.

6. Taushetsplikt

Begge Parter skal bevare taushet om konfidensiell informasjon mottatt fra den andre Parten i forbindelse med denne Avtalen. Taushetsplikten gjelder også etter Avtalens opphør.

7. Ansvar

7.1 Partenes ansvar for brudd på denne Avtalen reguleres av ansvarsbestemmelsene i Hovedavtalen, med mindre annet følger av ufravikelig lov.

7.2 Ansvarsfordelingen overfor de registrerte følger GDPR art. 82: Databehandleren er ansvarlig for skade forårsaket av behandlingen bare dersom den ikke har oppfylt forpliktelser i GDPR som spesifikt retter seg mot databehandlere, eller har handlet utenfor eller i strid med Behandlingsansvarliges lovlige instrukser.

7.3 Overtredelsesgebyr ilagt av tilsynsmyndighet (GDPR art. 83) bæres av den Part som gebyret retter seg mot.

8. Meldinger og kontaktpunkter

Meldinger etter denne Avtalen sendes skriftlig til:

• Databehandler: personvern@publisera.no
• Behandlingsansvarlig: den e-postadressen som er registrert som administrativ kontakt i Tjenesten.

9. Varighet og oppsigelse

9.1 Avtalen trer i kraft når den er akseptert av Behandlingsansvarlig og gjelder så lenge Databehandleren behandler personopplysninger på vegne av Behandlingsansvarlig.

9.2 Avtalen kan ikke sies opp separat fra Hovedavtalen så lenge Databehandleren behandler personopplysninger for Behandlingsansvarlig. Oppsigelse av Hovedavtalen medfører at denne Avtalen opphører når sletting/tilbakelevering etter punkt 10 er gjennomført.

9.3 Ved vesentlige endringer i Avtalen (ny versjon) skal Behandlingsansvarlig varsles og akseptere den nye versjonen. Versjonsnummer og aksepttidspunkt registreres.

10. Sletting og tilbakelevering ved opphør

10.1 Ved opphør av tjenestene knyttet til behandling skal Databehandleren, etter Behandlingsansvarliges valg, slette eller tilbakelevere alle personopplysninger og slette eksisterende kopier, jf. GDPR art. 28 nr. 3 bokstav g, med mindre unionsretten eller norsk rett krever at personopplysningene lagres videre (for eksempel regnskapsmateriale etter bokføringsloven § 13).

10.2 Med mindre Behandlingsansvarlig instruerer noe annet skriftlig, gjennomføres sletting senest 90 dager etter opphør av Hovedavtalen. Opplastede bilder og generert innhold slettes senest 30 dager etter anmodning om sletting. Opplysninger som oppbevares på lovpålagt grunnlag, holdes adskilt, behandles ikke for andre formål, og slettes når oppbevaringsplikten utløper.

10.3 Databehandleren skal på forespørsel skriftlig bekrefte at sletting er gjennomført.

11. Lovvalg og verneting

Avtalen er underlagt norsk rett. Tvister søkes løst i minnelighet; dersom dette ikke fører frem, er Bergen tingrett verneting, i samsvar med Hovedavtalen.

---

Bilag A — Behandlingens art og formål

A.1 Formål med behandlingen

Levering av Tjenesten: AI-assistert produksjon av markedsføringsinnhold for Behandlingsansvarliges virksomhet og publisering av godkjent innhold til Behandlingsansvarliges kontoer på sosiale medier (Instagram og Facebook via Meta Graph API). Dette omfatter:

• Lagring og organisering av bilder og videoer i et mediebibliotek
• AI-analyse av bilder (innholdsbeskrivelse og ansiktsdeteksjon for samtykkebehov — ikke ansiktsgjenkjenning/biometri)
• AI-generering av innholdsstrategi, publiseringskalender og bildetekster
• Innhenting og dokumentasjon av samtykke fra avbildede personer
• Planlagt og direkte publisering til sosiale medier
• Innhenting av statistikk om publisert innhold

A.2 Behandlingens art

Innsamling, registrering, organisering, strukturering, lagring, tilpasning, analyse (herunder AI-basert bilde- og tekstanalyse), gjenfinning, bruk, utlevering ved publisering, sammenstilling og sletting.

A.3 Kategorier av registrerte

A.4 Kategorier av personopplysninger

Særlige kategorier (GDPR art. 9): Behandles ikke og skal ikke lastes opp, jf. Avtalens punkt 3.3.

A.5 Varighet

Så lenge Hovedavtalen løper, deretter sletting/tilbakelevering etter Avtalens punkt 10.

---

Bilag B — Tekniske og organisatoriske sikkerhetstiltak (GDPR art. 32)

Tiltakene nedenfor er implementert i Tjenesten per Avtalens dato.

B.1 Kryptering

• Kryptering i transitt: All trafikk til og fra Tjenesten går over HTTPS/TLS.
• Kryptering av tilgangsnøkler: Meta access tokens krypteres med AES-256-GCM før lagring; de lagres aldri i klartekst.
• Passord: Hashes med bcrypt (12 runder). Klartekstpassord lagres aldri.
• Hemmeligheter: Sammenligning av hemmeligheter (tokens, signaturer) skjer med konstant-tid-sammenligning for å forhindre timing-angrep.

B.2 Tilgangskontroll og dataisolasjon

• Rollebasert tilgangskontroll (RBAC): Roller for kunde, administrator og superadministrator. Kundebrukere har bare tilgang til portalen; administrative funksjoner krever administratorrolle.
• Kundedataisolasjon: Alle kundevendte API-endepunkter verifiserer at innlogget bruker har tilgang til den aktuelle kundens data før data leveres.
• Rutebeskyttelse: Sentral tilgangskontroll beskytter alle innloggede ruter.

B.3 Applikasjonssikkerhet

• Inputvalidering: All input valideres med skjemavalidering før behandling.
• Injeksjonsbeskyttelse: Brukerinput i databasespørringer saneres gjennom en sentral spørringsbygger.
• Rate limiting: Distribuert rate limiting på autentiserings- og API-endepunkter beskytter mot brute force og misbruk.
• Feilhåndtering: Interne feilmeldinger eksponeres aldri til klienter; feildetaljer logges kun internt.

B.4 AI-spesifikke tiltak

• Innholdssikkerhet (fail-closed): AI-generert innhold gjennomgår automatisk sikkerhetskontroll. Ved feil i kontrollen flagges innholdet for manuell gjennomgang — det godkjennes aldri automatisk.
• AI-hendelseslogg: Alle AI-kall logges med formål og kontekst for sporbarhet.
• Menneskelig kontroll: Innhold publiseres ikke uten at Behandlingsansvarlig har godkjent det.

B.5 Logging og overvåking

• Revisjonslogg (audit log): Administrative handlinger logges med bruker, handling og tidspunkt.
• Feilovervåking: Verktøy for feillogging og driftsovervåking benyttes i produksjon.

B.6 Organisatoriske tiltak

• Tilgang til produksjonsdata begrenses til personell med tjenstlig behov.
• Underdatabehandlere er bundet av databehandleravtaler, jf. Bilag C.
• Sikkerhetstiltak og hendelseshåndtering dokumenteres og gjennomgås løpende.

---

Bilag C — Underdatabehandlere

Generell forhåndsgodkjenning etter Avtalens punkt 4.4 gjelder underdatabehandlerne i den til enhver tid oppdaterte listen på www.publisera.no/subprocessors.

Per 2026-10-08 benyttes følgende underdatabehandlere:

Endringer i listen varsles Behandlingsansvarlig minst 30 dager før de trer i kraft, jf. Avtalens punkt 4.4.2.