Databehandleravtale (DPA) – Preferium AS

Sist oppdatert: 2. november 2025

1. Parter, formål, omfang og prioritet

Databehandler

Preferium AS («Preferium», «vi», «oss»)

Behandlingsansvarlig

Kunden som bestiller våre tjenester («Kunden», «du»)

Adresse

Produksjonsveien 18, 2. etasje, 1618 Fredrikstad · Post: Sponheimveien 19, 1613 Fredrikstad

Kontakt

post@preferium.no · +47 977 912 86

Avtalen regulerer vår behandling av personopplysninger på vegne av Kunden for alle tjenester vi tilbyr, herunder – men ikke begrenset til – SEO-/AI-optimalisering (inkl. Preferium AI SEO & AI-søk), bookingplattform, AI-chatbots, nettsideutvikling/hosting, nyhetstjeneste, SEO AI Artikler, AI-tech og IT-rådgivning, IT-support, videoproduksjon med AI, skytjenester (f.eks. Microsoft 365), grafisk design AI, tekstforfatter AI, logo-design, Google Ads og digitale betalingsløsninger.

Bare næringskunder (B2B): Preferium leverer Tjenester og denne DPA er utformet for næringskunder/organisasjoner. Kunden bekrefter å opptre i egenskap av virksomhet (ikke som forbruker) i relasjon til denne avtalen.

Formål: å sikre at behandlingen skjer i samsvar med GDPR, norsk rett og øvrige relevante regler, og å fastsette roller, ansvar, sikkerhet og samarbeidsprosesser mellom partene.

Rolleavgrensning: Denne DPA gjelder kun der Kunden er behandlingsansvarlig og Preferium opptrer som databehandler. Der Preferium er selvstendig behandlingsansvarlig (for eksempel for egne logger, regnskapsdata, tjenesteforbedring) eller der parter opptrer som felles behandlingsansvarlige, reguleres dette av vår personvernerklæring og/eller særskilt avtale.

Prioritet/konfliktregel: Ved motstrid mellom denne DPA og andre avtaler mellom partene (inkl. generelle vilkår/ToS), skal denne DPA ha forrang for forhold som gjelder personvern/databeskyttelse. For øvrige forhold (inkl. pris, betaling, generell ansvarsbegrensning) gjelder de generelle vilkårene, og ingenting i denne DPA utvider Preferiums ansvar utover det som følger der.

2. Definisjoner

• Personopplysninger: enhver opplysning om en identifisert/identifiserbar fysisk person.
• Behandling: enhver operasjon på personopplysninger (innsamling, lagring, bruk, utlevering, sletting m.m.).
• Behandlingsansvarlig: Kunden som fastsetter formål og midler.
• Databehandler: Preferium, som behandler på vegne av Kunden.
• Underbehandler: tredjepart engasjert av Preferium til deler av behandlingen.
• Sikkerhetstiltak (TOMs): tekniske/organisatoriske tiltak som beskytter personopplysninger.

3. Behandlingens art, varighet, formål, datatyper og registrerte

Art/natur: drift, hosting, lagring, strukturering, indeksering, feillogging, kundedialog, innholdsproduksjon og analyse/optimalisering – jf. Vedlegg A.

Varighet: i avtaleperioden for den enkelte tjeneste, samt kortere perioder etter opphør for sikkerhetskopier/logg iht. Vedlegg A/B.

Formål: levere avtalte tjenester (drift/sikkerhet, support, kommunikasjon, analyse/optimalisering) og oppfylle lovkrav.

Datatyper/Registrerte: typisk kontaktdata, tekniske data, bruksdata, meldingsinnhold, samt B2B-opplysninger om Kundens ansatte/representanter og besøkende/brukere – jf. Vedlegg A.

Behandling utover det som følger av denne DPA og vedlegg krever ny skriftlig avtale eller endret instruks som vi uttrykkelig har akseptert. Kunden skal ikke instruere oss til å behandle andre kategorier av personopplysninger enn det som er beskrevet i Vedlegg A/F, med mindre dette er skriftlig avtalt på forhånd.

4. Instruksjonsmyndighet og ulovlige instruksjoner

Vi behandler kun personopplysninger på dokumenterte instruksjoner fra Kunden. Ved uklar, urealiserbar eller ulovlig instruks varsler vi uten ugrunnet opphold og kan suspendere behandlingen til instruksen er avklart. Der lov krever annen behandling, informerer vi Kunden med mindre lov forbyr det.

Vi kan kreve rimelig kompensasjon for arbeid med å vurdere og implementere nye eller endrede instruksjoner som avviker fra opprinnelig avtale, med mindre arbeidet skyldes forhold på vår side. Vi kan avvise instruksjoner som etter vår rimelige vurdering er uforenlige med gjeldende rett eller denne DPA.

5. Konfidensialitet

Alle personer som får tilgang til personopplysninger på våre vegne er underlagt konfidensialitetsforpliktelser. Tilgang gis etter «minste privilegium» og oppheves ved rolleendring/avslutning. Konfidensialiteten varer også etter avtalens opphør.

6. Sikkerhetstiltak (TOMs)

Vi implementerer egnede tiltak i samsvar med GDPR art. 32. Overordnet beskrivelse finnes i Vedlegg B (kryptering, tilgangsstyring, segmentering, logging/overvåking, backup/beredskap, sårbarhetshåndtering, sikker utvikling, leverandørstyring, opplæring, dataminimering). Tiltak vurderes og oppdateres jevnlig.

Til tross for de sikkerhetstiltak som iverksettes, kan vi ikke garantere fullstendig sikkerhet eller fravær av hendelser. Kunden er ansvarlig for sikkerhetsnivået i egne systemer, på egne enheter og for egne brukeres praksis, inkludert passordrutiner, tilgangsstyring og konfigurasjon av integrasjoner.

7. Underbehandlere (autorisasjon, varsel og innsigelsesrett)

Vi har generell autorisasjon til å benytte underbehandlere. Vi varsler vesentlige endringer (ny/bytte/avslutning) minst 15 dager før iverksettelse, med mindre nødsituasjon tilsier kortere varsel.

• Kunden kan fremme begrunnet innsigelse innen fristen. Vi vurderer rimelige alternativer. Ved fortsatt uenighet kan Kunden terminere berørt tjeneste for fremtidige perioder uten gebyr fra endringstidspunktet. Allerede leverte og forhåndsbetalte perioder refunderes ikke.
• Vi sikrer at underbehandlere bindes til vilkår som ikke er mindre strenge enn denne DPA (art. 28(4)).
• Navngitt liste gis på forespørsel via ordinært kontaktpunkt.

8. Bistand (DSR-SLA/DPIA/forhåndsdrøfting)

• DSR-SLA: Henvendelser fra registrerte som vi mottar, videresendes til Kunden uten ugrunnet opphold og senest innen 2 arbeidsdager. Vi bistår videre «uten ugrunnet opphold» med passende tiltak.
• DPIA/prior consultation: Vi gir rimelig bistand til DPIA og forhåndsdrøfting der nødvendig. Med mindre forholdet skyldes vårt avtalebrudd, kan slik bistand, og annen bistand utover det som følger av ordinær drift/support, faktureres etter medgått tid.
• Opplysningsansvar: Kunden er ansvarlig for lovlig grunnlag, transparens (inkl. CMP/cookies), dataminimering og kvalitet av data.
• Records (art. 30(2)): Vi fører nødvendige behandlingsprotokoller som databehandler der det kreves.

9. Myndighetsforespørsler og datasikkerhetsbrudd (klassifisering og ≤ 24 t varsel)

10. Internasjonale overføringer (EØS-preferanse, SCC/DPF/TIA)

Preferium prioriterer EØS-lokasjon der funksjonelt likeverdig alternativ finnes. Når overføring utenfor EØS er nødvendig, benytter vi gyldige mekanismer, herunder EUs Standard Contractual Clauses (2021/914) (relevante moduler) og/eller EU-US Data Privacy Framework for sertifiserte mottakere, med supplerende tiltak basert på Transfer Impact Assessments (TIA).

Dersom lovgivning, regulatoriske beslutninger eller praktiske forhold gjør det umulig eller uforholdsmessig byrdefullt å opprettholde internasjonale overføringer på samme måte, kan vi midlertidig stanse eller permanent avvikle berørt behandling eller funksjonalitet. Kunden kan da si opp den berørte tjenesten for fremtidige perioder, men har ikke krav på erstatning eller refusjon for allerede leverte eller betalte perioder.

11. Lagring, tilbakelevering og sletting (inkl. slettesertifikat)

• Lagringstid: så lenge tjenesten krever det. Typiske tider i Vedlegg A (f.eks. driftslogger inntil 12 mnd., AI-chat inntil 6 mnd.).
• Opphør: ved opphør eller på skriftlig instruks returnerer vi Kundens personopplysninger eller sletter dem innen 30 dager (med mindre lov krever lengre oppbevaring). Sikkerhetskopier overskrives iht. normal syklus (normalt innen 90 dager).
• Anonymisering: Der det er forenlig med Kundens instruksjoner og lov, kan vi anonymisere data i stedet for å slette, slik at data ikke lenger utgjør personopplysninger.
• Bekreftelse: sletting kan bekreftes med slettesertifikat på forespørsel.

12. Revisjon og dokumentinnsyn (audit-rammer)

Vi stiller nødvendig informasjon til disposisjon for å påvise etterlevelse av art. 28. Kunden kan, én gang per 12-månedersperiode, gjennomføre revisjon med 30 dagers varsel, som hovedregel som fjernrevisjon i ordinær arbeidstid og innen rimelig omfang. På-stedet-revisjon skjer kun der lov/regulator krever det eller ved vesentlig avvik.

Vi kan henvise til uavhengige tredjepartsrapporter/sertifiseringer/egenvurderinger der tilgjengelig, og slik dokumentasjon skal normalt være tilstrekkelig med mindre tilsynsmyndighet pålegger ytterligere tiltak. Revisjonskostnader bæres av Kunden med mindre vesentlige avvik skyldes Preferium.

Revisjoner skal ikke gi Kunden tilgang til andre kunders data eller til konfidensiell informasjon om våre sikkerhetsmekanismer utover det som er nødvendig. Den som utfører revisjon skal være bundet av taushetsplikt overfor Preferium.

13. Rettigheter, ansvar, ansvarsbegrensning og skadesløshet

• Kundens ansvar: lovlig grunnlag, transparens (inkl. CMP/cookies), dataminimering, korrekthet, lovlige instruksjoner. Kunden er primært kontaktpunkt for registrerte og overfor tilsynsmyndigheter for den behandlingen denne DPA omfatter.
• Preferiums ansvar: etterlevelse av denne DPA, art. 28-plikter og gjennomføring av TOMs.
• Ingen modelltrening: Preferium benytter ikke Kundens personopplysninger til modelltrening/produktutvikling uten Kundens uttrykkelige skriftlige samtykke.
• Ansvarsbegrensning (B2B): I den utstrekning ansvar kan begrenses etter gjeldende rett, er vårt samlede ansvar overfor Kunden etter denne DPA og tilhørende avtaler begrenset til NOK 0 (null). Dersom en slik null-grense ikke kan håndheves etter ufravikelig rett, er ansvaret uansett begrenset til det laveste av (a) beløp Kunden har betalt for den berørte tjenesten de siste 12 månedene, og (b) NOK 25 000. Vi er ikke ansvarlige for indirekte tap/følgeskader/tap av data/inntekt, omdømme eller forventede besparelser.
• Forbrukere (B2C): Ufravikelige regler gjelder. Ingenting her begrenser ansvar som ikke kan begrenses.
• Samspill med hovedavtale: Dersom det er avvik mellom denne DPA og hovedvilkårenes ansvarsbegrensninger, skal den strengeste (laveste) totale ansvarsrammen for Preferium gjelde. Ingenting i denne DPA innebærer at Preferium påtar seg større ansvar enn det som følger av hovedvilkårene.
• Skadesløshet: Kunden holder Preferium skadesløs for krav, bøter, sanksjoner, tap og kostnader (inkl. rimelige advokatutgifter) som springer ut av Kundens instruksjoner, materiale, lovbrudd, manglende rettsgrunnlag, CMP-feil, uriktige eller ufullstendige informasjonstekster eller brudd på tredjepartsvilkår.

14. Varighet, oppsigelse og endringer

• Varighet: fra ikrafttreden og så lenge vi behandler personopplysninger for Kunden.
• Oppsigelse: skriftlig varsel 1 måned. Ved opphør gjelder §11 for tilbakelevering/sletting. Oppsigelse av hovedavtale eller berørte tjenester innebærer normalt også opphør av denne DPA for den aktuelle behandlingen.
• Endringer: Vi kan oppdatere denne DPA for å reflektere lovendringer eller tekniske/organisatoriske justeringer. Mindre redaksjonelle presiseringer som ikke reduserer våre forpliktelser kan gjøres uten særskilt varsel og publiseres på våre nettsider. Vesentlige endringer som reduserer våre forpliktelser krever Kundens skriftlige samtykke eller adgang til å terminere berørt tjeneste for fremtidige perioder uten gebyr fra endringstidspunktet. Allerede leverte og forhåndsbetalte perioder refunderes ikke.

15. Lovvalg, verneting og kontakt

Avtalen reguleres av norsk rett. Tvister søkes løst i minnelighet; hvis ikke, avgjøres saken av Oslo tingrett.

Kontakt (personvern/databehandling): post@preferium.no · +47 977 912 86

Vedlegg A – Datatyper/registrerte per tjeneste

Vedlegg B – Sikkerhetstiltak (TOMs)

• Kryptering: TLS i transitt; kryptering i hvile der mulig/egnet; nøkkelhåndtering/rotasjon.
• Tilgangsstyring: minste privilegium, MFA der relevant, periodisk revurdering av tilganger.
• Nettverk/system: brannmurer, segmentering, anti-DDoS, herding og patching.
• Logging/overvåking: sentral logg, alarmer, revisjonsspor for sensitive hendelser.
• Backup/beredskap: regelmessige sikkerhetskopier, gjenopprettingstester, dokumenterte planer.
• Sikker utvikling: kodegjennomgang, avhengighetskontroll, sårbarhetsskanning, separasjon av miljøer.
• Leverandørstyring: avtalefestede krav, vurdering av underbehandlere, minste nødvendig dataflyt.
• Opplæring: jevnlig sikkerhets-/personvernopplæring for relevante roller.
• Dataminimering/lagring: minst mulig datamengde, korte loggtider, sletting/anonymisering ved behov.
• Fysisk sikkerhet: datasenterkontroller forvaltes av infrastrukturleverandører.

Vedlegg C – Underbehandlere (kategorier og prosess)

Kategorier: drift/hosting/CDN/sikkerhet, e-post/skjema/chat, analyse/innsikt, betalingsleverandører, språk-/AI-tjenester, profesjonelle rådgivere. Underbehandlere bindes til vilkår som ikke er mindre strenge enn denne DPA. Navngitt liste gis på forespørsel via kundekontakt. Varslings- og innsigelsesprosess følger §7.

Vedlegg D – Bruddhåndtering: innhold, kanaler og tidslinje

• Kanal: Preferiums dedikerte incident-kanal (oppgitt i avtale/ordre) med kopi til ordinær kontakt.
• T0 (oppdagelse): isoler hendelsen, aktiver IR-prosedyre.
• T+24 t (senest): første varsel med foreløpige fakta/tiltak; «Høy» alvorlighet varsles straks.
• Fortløpende: oppdateringer, root cause, korrigerende tiltak og læringspunkter.
• Innhold i varsel: hendelsesbeskrivelse, berørte data/systemer, konsekvenser, tiltak, anbefalt oppfølging, kontaktpunkt.

Vedlegg E – Overføringsmekanismer og «docking»

Ved internasjonale overføringer benyttes SCC (EU 2021/914) – typisk Modul 2 (Behandlingsansvarlig→Databehandler) og Modul 3 (Databehandler→Underbehandler) – og/eller EU-US DPF for sertifiserte mottakere, med supplerende tiltak basert på TIA. Denne DPA kan «dockes» til slike modulære avtaler ved henvisning.

Vedlegg F – Begrensede data og forbudte kategorier

• Ikke forventet: særlige kategorier (helse, religion, biometriske data m.m.), barns data, betalingskortdata i råform, nasjonale ID-nr. utover strengt nødvendig.
• Kunden skal ikke sende slike data i kanaler eller felter som ikke er egnet. Oppdages slikt, vil vi – der mulig – avgrense/slette raskt og varsle Kunden.