Databehandleravtale (DPA) – Preferium AS

Sist oppdatert: 2. november 2025

1. Parter, formål, omfang og prioritet

Databehandler

Preferium AS («Preferium», «vi», «oss»)

Behandlingsansvarlig

Kunden som bestiller våre tjenester («Kunden», «du»)

Adresse

Produksjonsveien 18, 2. etasje, 1618 Fredrikstad · Post: Sponheimveien 19, 1613 Fredrikstad

Kontakt

post@preferium.no · +47 977 912 86

Avtalen regulerer vår behandling av personopplysninger på vegne av Kunden for alle tjenester vi tilbyr, herunder – men ikke begrenset til – SEO‑/AI‑optimalisering (inkl. Preferium AI SEO & AI‑søk), bookingplattform, AI‑chatbots, nettsideutvikling/hosting, nyhetstjeneste, SEO AI Artikler, AI‑tech og IT‑rådgivning, IT‑support, videoproduksjon med AI, skytjenester (f.eks. Microsoft 365), grafisk design AI, tekstforfatter AI, logo‑design, Google Ads og digitale betalingsløsninger.

Formål: å sikre at behandlingen skjer i samsvar med GDPR, norsk rett og øvrige relevante regler, og å fastsette roller, ansvar, sikkerhet og samarbeidsprosesser mellom partene.

Prioritet/konfliktregel: Ved motstrid mellom denne DPA og andre avtaler (inkl. ToS), skal denne DPA ha forrang for forhold som gjelder personvern/databeskyttelse.

2. Definisjoner

• Personopplysninger: enhver opplysning om en identifisert/identifiserbar fysisk person.
• Behandling: enhver operasjon på personopplysninger (innsamling, lagring, bruk, utlevering, sletting m.m.).
• Behandlingsansvarlig: Kunden som fastsetter formål og midler.
• Databehandler: Preferium, som behandler på vegne av Kunden.
• Underbehandler: tredjepart engasjert av Preferium til deler av behandlingen.
• Sikkerhetstiltak (TOMs): tekniske/organisatoriske tiltak som beskytter personopplysninger.

3. Behandlingens art, varighet, formål, datatyper og registrerte

Art/natur: drift, hosting, lagring, strukturering, indeksering, feillogging, kundedialog, innholdsproduksjon og analyse/optimalisering – jf. Vedlegg A.

Varighet: i avtaleperioden for den enkelte tjeneste, samt kortere perioder etter opphør for sikkerhetskopier/logg iht. Vedlegg A/B.

Formål: levere avtalte tjenester (drift/sikkerhet, support, kommunikasjon, analyse/optimalisering) og oppfylle lovkrav.

Datatyper/Registrerte: typisk kontaktdata, tekniske data, bruksdata, meldingsinnhold, samt B2B‑opplysninger om Kundens ansatte/representanter og besøkende/brukere – jf. Vedlegg A.

4. Instruksjonsmyndighet og ulovlige instruksjoner

Vi behandler kun personopplysninger på dokumenterte instruksjoner fra Kunden. Ved uklar, urealiserbar eller ulovlig instruks varsler vi uten ugrunnet opphold og kan suspendere behandlingen til instruksen er avklart. Der lov krever annen behandling, informerer vi Kunden med mindre lov forbyr det.

5. Konfidensialitet

Alle som får tilgang er underlagt konfidensialitetsforpliktelser. Tilgang gis etter «minste privilegium» og oppheves ved rolleendring/avslutning. Konfidensialiteten varer etter avtalens opphør.

6. Sikkerhetstiltak (TOMs)

Vi implementerer egnede tiltak i samsvar med GDPR art. 32. Overordnet beskrivelse finnes i Vedlegg B (kryptering, tilgangsstyring, segmentering, logging/overvåking, backup/beredskap, sårbarhetshåndtering, sikker utvikling, leverandørstyring, opplæring, dataminimering). Tiltak vurderes og oppdateres jevnlig.

7. Underbehandlere (autorisasjon, varsel og innsigelsesrett)

Vi har generell autorisasjon til å benytte underbehandlere. Vi varsler vesentlige endringer (ny/bytte/avslutning) minst 15 dager før iverksettelse, med mindre nødsituasjon tilsier kortere varsel.

• Kunden kan fremme begrunnet innsigelse innen fristen. Vi vurderer rimelige alternativer. Ved fortsatt uenighet kan Kunden terminere berørt tjeneste uten gebyr fra endringstidspunktet (forhåndsbetalt periode refunderes ikke).
• Vi sikrer at underbehandlere bindes til vilkår som ikke er mindre strenge enn denne DPA (art. 28(4)).
• Navngitt liste gis på forespørsel via ordinært kontaktpunkt.

8. Bistand (DSR‑SLA/DPIA/forhåndsdrøfting)

• DSR‑SLA: Henvendelser fra registrerte som vi mottar, videresendes til Kunden uten ugrunnet opphold og senest innen 2 arbeidsdager. Vi bistår videre «uten ugrunnet opphold» med passende tiltak.
• DPIA/prior consultation: Vi gir rimelig bistand til DPIA og forhåndsdrøfting der nødvendig. Med mindre forholdet skyldes vårt avtalebrudd, kan slik bistand faktureres.
• Opplysningsansvar: Kunden er ansvarlig for lovlig grunnlag, transparens (inkl. CMP/cookies), dataminimering og kvalitet av data.
• Records (art. 30(2)): Vi fører nødvendige behandlingsprotokoller som databehandler der det kreves.

9. Myndighetsforespørsler og datasikkerhetsbrudd (klassifisering og ≤ 24 t varsel)

10. Internasjonale overføringer (EØS‑preferanse, SCC/DPF/TIA)

Preferium prioriterer EØS‑lokasjon der funksjonelt likeverdig alternativ finnes. Når overføring utenfor EØS er nødvendig, benytter vi gyldige mekanismer, herunder EUs Standard Contractual Clauses (2021/914) (relevante moduler) og/eller EU‑US Data Privacy Framework for sertifiserte mottakere, med supplerende tiltak basert på Transfer Impact Assessments (TIA).

11. Lagring, tilbakelevering og sletting (inkl. slettesertifikat)

• Lagringstid: så lenge tjenesten krever det. Typiske tider i Vedlegg A (f.eks. driftslogger inntil 12 mnd., AI‑chat inntil 6 mnd.).
• Opphør: ved opphør eller på skriftlig instruks returnerer vi Kundens personopplysninger eller sletter dem innen 30 dager (med mindre lov krever lengre oppbevaring). Sikkerhetskopier overskrives iht. normal syklus (normalt innen 90 dager).
• Bekreftelse: sletting kan bekreftes med slettesertifikat på forespørsel.

12. Revisjon og dokumentinnsyn (audit‑rammer)

Vi stiller nødvendig informasjon til disposisjon for å påvise etterlevelse av art. 28. Kunden kan, én gang per 12‑månedersperiode, gjennomføre revisjon med 30 dagers varsel, som hovedregel som fjernrevisjon i ordinær arbeidstid og innen rimelig omfang. På‑stedet‑revisjon skjer kun der lov/regulator krever det eller ved vesentlig avvik. Vi kan henvise til uavhengige tredjepartsrapporter/egenvurderinger der tilgjengelig. Revisjonskostnader bæres av Kunden med mindre vesentlige avvik skyldes Preferium.

13. Rettigheter, ansvar, ansvarsbegrensning og skadesløshet

• Kundens ansvar: lovlig grunnlag, transparens (inkl. CMP/cookies), dataminimering, korrekthet, lovlige instruksjoner. Kunden er primært kontaktpunkt for registrerte.
• Preferiums ansvar: etterlevelse av denne DPA, art. 28‑plikter og gjennomføring av TOMs.
• Ingen modelltrening: Preferium benytter ikke Kundens personopplysninger til modelltrening/produktutvikling uten Kundens skriftlige samtykke.
• Ansvarsbegrensning (B2B): I den utstrekning ansvar kan begrenses etter gjeldende rett, er vårt samlede ansvar overfor Kunden begrenset til NOK 0 (null). Dersom en slik null‑grense ikke kan håndheves etter ufravikelig rett, er ansvaret uansett begrenset til det laveste av (a) beløp Kunden har betalt for den berørte tjenesten de siste 12 månedene, og (b) NOK 25 000. Vi er ikke ansvarlige for indirekte tap/følgeskader/tap av data/inntekt.
• Forbrukere (B2C): Ufravikelige regler gjelder. Ingenting her begrenser ansvar som ikke kan begrenses.
• Skadesløshet: Kunden holder Preferium skadesløs for krav/tap som springer ut av Kundens instruksjoner, materiale, lovbrudd, manglende rettsgrunnlag, CMP‑feil eller brudd på tredjepartsvilkår.

14. Varighet, oppsigelse og endringer

• Varighet: fra ikrafttreden og så lenge vi behandler personopplysninger for Kunden.
• Oppsigelse: skriftlig varsel 1 måned. Ved opphør gjelder §11 for tilbakelevering/sletting.
• Endringer: Vi kan oppdatere denne DPA for å reflektere lovendringer eller tekniske/organisatoriske justeringer. Vesentlige endringer som reduserer våre forpliktelser krever Kundens skriftlige samtykke eller adgang til å terminere berørt tjeneste uten gebyr fra endringstidspunktet.

15. Lovvalg, verneting og kontakt

Avtalen reguleres av norsk rett. Tvister søkes løst i minnelighet; hvis ikke, avgjøres saken av Oslo tingrett.

Kontakt (personvern/databehandling): post@preferium.no · +47 977 912 86

Vedlegg A – Datatyper/registrerte per tjeneste

Vedlegg B – Sikkerhetstiltak (TOMs)

• Kryptering: TLS i transitt; kryptering i hvile der mulig/egnet; nøkkelhåndtering/rotasjon.
• Tilgangsstyring: minste privilegium, MFA der relevant, periodisk revurdering av tilganger.
• Nettverk/system: brannmurer, segmentering, anti‑DDoS, herding og patching.
• Logging/overvåking: sentral logg, alarmer, revisjonsspor for sensitive hendelser.
• Backup/beredskap: regelmessige sikkerhetskopier, gjenopprettingstester, dokumenterte planer.
• Sikker utvikling: kodegjennomgang, avhengighetskontroll, sårbarhetsskanning, separasjon av miljøer.
• Leverandørstyring: avtalefestede krav, vurdering av underbehandlere, minste nødvendig dataflyt.
• Opplæring: jevnlig sikkerhets‑/personvernopplæring for relevante roller.
• Dataminimering/lagring: minst mulig datamengde, korte loggtider, sletting/anonymisering ved behov.
• Fysisk sikkerhet: datasenterkontroller forvaltes av infrastrukturleverandører.

Vedlegg C – Underbehandlere (kategorier og prosess)

Kategorier: drift/hosting/CDN/sikkerhet, e‑post/skjema/chat, analyse/innsikt, betalingsleverandører, språk‑/AI‑tjenester, profesjonelle rådgivere. Underbehandlere bindes til vilkår som ikke er mindre strenge enn denne DPA. Navngitt liste gis på forespørsel via kundekontakt. Varslings‑ og innsigelsesprosess følger §7.

Vedlegg D – Bruddhåndtering: innhold, kanaler og tidslinje

• Kanal: Preferiums dedikerte incident‑kanal (oppgitt i avtale/ordre) med kopi til ordinær kontakt.
• T0 (oppdagelse): isoler hendelsen, aktiver IR‑prosedyre.
• T+24 t (senest): første varsel med foreløpige fakta/tiltak; «Høy» alvorlighet varsles straks.
• Fortløpende: oppdateringer, root cause, korrigerende tiltak og læringspunkter.
• Innhold i varsel: hendelsesbeskrivelse, berørte data/systemer, konsekvenser, tiltak, anbefalt oppfølging, kontaktpunkt.

Vedlegg E – Overføringsmekanismer og «docking»

Ved internasjonale overføringer benyttes SCC (EU 2021/914) – typisk Modul 2 (Behandlingsansvarlig→Databehandler) og Modul 3 (Databehandler→Underbehandler) – og/eller EU‑US DPF for sertifiserte mottakere, med supplerende tiltak basert på TIA. Denne DPA kan «dockes» til slike modulære avtaler ved henvisning.

Vedlegg F – Begrensede data og forbudte kategorier

• Ikke forventet: særlige kategorier (helse, religion, biometriske data m.m.), barns data, betalingskortdata i råform, nasjonale ID‑nr. utover strengt nødvendig.
• Kunden skal ikke sende slike data i kanaler eller felter som ikke er egnet. Oppdages slikt, vil vi – der mulig – avgrense/slette raskt og varsle Kunden.