UTKAST – til godkjenning

PersonvernerklæringDatabehandleravtaleUnderleverandørerVilkårCookies

Databehandleravtale – Spokes

UTKAST v0.1 – 10. oktober 2026. Bygger på strukturen i Datatilsynets mal for databehandleravtale og kravene i personvernforordningen (GDPR) art. 28. Ikke juridisk rådgivning – skal gjennomgås av advokat før bruk. [FYLL INN] = ikke avklart.

Avtaleversjon: DBA-2026-10-v0.1 (versjonsnummeret lagres sammen med verkstedets aksept)

Parter

Behandlingsansvarlig: Verkstedet som har registrert seg som kunde av Spokes
Navn: [verkstedets navn] · Org.nr.: [org.nr.] · Adresse: [adresse]
(heretter «Verkstedet»)

Databehandler: Sprocket 3PL AS, org.nr. 933 863 328, Prost Krags veg 29, 2080 Eidsvoll, e-post [email protected] (heretter «Spokes»)

Avtalen inngås elektronisk når Verkstedet aksepterer den ved registrering eller i appen. Aksepten registreres med versjon, tidspunkt, bruker og verksted. Avtalen er en del av og gjelder ved siden av vilkårene for bruk av Spokes («Hovedavtalen»). Ved motstrid går denne avtalen foran i spørsmål om personvern.

1. Avtalens hensikt

Avtalen regulerer Spokes' behandling av personopplysninger på vegne av Verkstedet, slik at behandlingen oppfyller personvernforordningen (forordning (EU) 2016/679, «GDPR») og personopplysningsloven, særlig art. 28 nr. 3.

2. Formål og omfang

2.1 Spokes behandler personopplysninger kun for å levere tjenesten Spokes til Verkstedet: timebestilling og venteliste, verkstedordre, planlegging, kommunikasjon med Verkstedets kunder (SMS/e-post), pristilbud og godkjenning, statusside for kunden, bilder og notater (inkludert tale til tekst), betalingsbekreftelse og kasse-/regnskapskobling som Verkstedet selv slår på, kundestøtte og drift/sikkerhet.

2.2 Spokes skal ikke bruke opplysningene til egne formål, herunder markedsføring, salg, profilering eller trening av KI-modeller. Spokes kan lage anonym, aggregert statistikk om bruk av tjenesten (for eksempel antall bookinger) som ikke kan knyttes til enkeltpersoner.

3. Instrukser

3.1 Spokes skal kun behandle personopplysningene etter dokumenterte instrukser fra Verkstedet. Denne avtalen, Hovedavtalen og Verkstedets valg og innstillinger i Spokes (for eksempel lagringstid, utsendelser, integrasjoner) utgjør Verkstedets instrukser.

3.2 Spokes skal straks varsle Verkstedet dersom Spokes mener en instruks er i strid med GDPR eller annen personvernlovgivning (art. 28 nr. 3 annet ledd).

3.3 Dersom Spokes etter EØS-rett eller nasjonal rett er pålagt å behandle opplysningene på annen måte, skal Spokes varsle Verkstedet før behandlingen, med mindre loven forbyr slik varsling.

4. Opplysningstyper og registrerte

Se Vedlegg A.

5. De registrertes rettigheter

5.1 Spokes skal, så langt det er mulig, bistå Verkstedet med tekniske og organisatoriske tiltak slik at Verkstedet kan besvare forespørsler fra registrerte (art. 12–22), herunder innsyn, retting, sletting, begrensning og dataportabilitet.

5.2 Spokes stiller funksjoner til rådighet for at Verkstedet selv kan eksportere (maskinlesbart, JSON) og anonymisere en kundes opplysninger. Funksjonene dekker også app-dokumentene (jobber, meldinger, notater, talenotat-tekst og bilder), jf. GAP.md G1 (rettet, venter på produksjonssetting).

5.3 Mottar Spokes en forespørsel direkte fra en registrert, skal Spokes uten ugrunnet opphold sende den videre til Verkstedet og ikke svare selv, med mindre Verkstedet har gitt fullmakt.

6. Informasjonssikkerhet

6.1 Spokes skal gjennomføre egnede tekniske og organisatoriske tiltak etter art. 32, se Vedlegg C.

6.2 Spokes skal dokumentere tiltakene og jevnlig teste, analysere og vurdere hvor effektive de er.

7. Taushetsplikt

Kun personer hos Spokes som trenger tilgang for å levere tjenesten, skal ha tilgang til personopplysningene. Alle med tilgang er underlagt taushetsplikt, også etter at arbeidsforholdet eller oppdraget er avsluttet. Tilgang til et verksteds data for kundestøtte skjer bare via tidsbegrenset, begrunnet og logget støttetilgang.

8. Tilgang til dokumentasjon og revisjon

8.1 Spokes skal gjøre all informasjon som er nødvendig for å vise at forpliktelsene i art. 28 er oppfylt, tilgjengelig for Verkstedet.

8.2 Verkstedet kan, med minst 30 dagers varsel og høyst én gang per år (oftere ved avvik eller pålegg fra tilsynsmyndighet), gjennomføre eller la en uavhengig revisor gjennomføre revisjon. Spokes kan i første omgang oppfylle kravet med skriftlig dokumentasjon og underleverandørenes sertifiseringer/revisjonsrapporter. Kostnader: [FYLL INN – vanlig: hver part dekker egne kostnader].

9. Varsling ved avvik

9.1 Spokes skal varsle Verkstedet uten ugrunnet opphold, og senest innen 24 timer [FYLL INN: bekreft frist – maks 48 t anbefales], etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Verkstedets opplysninger.

9.2 Varselet skal så langt mulig inneholde: hva som har skjedd og når, hvilke kategorier og omtrent hvor mange registrerte og opplysninger som berøres, sannsynlige konsekvenser, tiltak som er eller vil bli gjort, og kontaktperson. Informasjon som ikke er kjent ennå, ettersendes fortløpende.

9.3 Det er Verkstedet som behandlingsansvarlig som melder til Datatilsynet (innen 72 timer, art. 33) og eventuelt varsler de registrerte (art. 34). Spokes bistår med nødvendig informasjon. Se også Spokes' avviksplan.

10. Underleverandører (underdatabehandlere)

10.1 Verkstedet gir med denne avtalen generell skriftlig forhåndsgodkjenning til at Spokes bruker underleverandørene som står i Vedlegg B (oppdatert liste på spokes.no/underleverandorer).

10.2 Spokes skal varsle Verkstedet på e-post minst 30 dager før nye underleverandører tas i bruk eller eksisterende byttes. Verkstedet kan protestere skriftlig innen fristen av saklige grunner. Fører protesten ikke frem, kan Verkstedet si opp Hovedavtalen med virkning fra endringen uten ekstra kostnad.

10.3 Spokes skal pålegge underleverandørene de samme personvernforpliktelsene som i denne avtalen, gjennom skriftlig avtale (art. 28 nr. 4). Spokes er ansvarlig overfor Verkstedet for underleverandørenes oppfyllelse.

10.4 Tjenester som Verkstedet selv kobler til med egen konto (for eksempel Tripletex, Fiken, SumUp, Stripe Terminal, Vipps MobilePay eller nettbutikk), er ikke Spokes' underleverandører. Overføring dit skjer etter Verkstedets instruks, og Verkstedet er ansvarlig for eget avtaleforhold med disse.

11. Overføring til land utenfor EU/EØS

11.1 Spokes lagrer databasen og filer i EU (Cloudflare D1 og R2 med EU-jurisdiksjon).

11.2 Overføring til eller tilgang fra land utenfor EØS skal bare skje når det er et gyldig grunnlag etter GDPR kapittel V, for eksempel en beslutning om tilstrekkelig beskyttelsesnivå (herunder EU–US Data Privacy Framework for sertifiserte selskaper) eller EU-kommisjonens standardkontraktsbestemmelser med nødvendige tilleggstiltak. Grunnlaget per underleverandør står i Vedlegg B.

12. Bistand med konsekvensvurderinger og forhåndsdrøftinger

Spokes skal bistå Verkstedet med å oppfylle art. 32–36, herunder ved vurdering av personvernkonsekvenser (DPIA) og forhåndsdrøftinger med Datatilsynet, ut fra behandlingens art og informasjonen Spokes har. Spokes stiller sin egen DPIA-vurdering av tjenesten til rådighet.

13. Tilbakelevering og sletting

13.1 Ved opphør av Hovedavtalen kan Verkstedet i 30 dager eksportere sine data i et vanlig, maskinlesbart format.

13.2 Etter fristen sletter Spokes Verkstedets personopplysninger fra produksjonssystemene innen 30 dager, og fra sikkerhetskopier når disse roterer ut (i dag inntil 30 dager for krypterte sikkerhetskopier og 30 dager for databasens tidsreise-gjenoppretting). Spokes bekrefter slettingen skriftlig på forespørsel.

13.3 Spokes kan beholde opplysninger som Spokes er rettslig forpliktet til å lagre (for eksempel regnskapsdata om abonnementet), men kun for det formålet.

14. Mislighold

Ved mislighold gjelder Hovedavtalens bestemmelser om mislighold og ansvar. [FYLL INN: ansvarsbegrensning, avklares med advokat.] Hver part er ansvarlig overfor de registrerte og tilsynsmyndighetene etter GDPR art. 82–84.

15. Varighet og opphør

Avtalen gjelder så lenge Spokes behandler personopplysninger på vegne av Verkstedet. Pliktene i punkt 7 og 13 gjelder også etter opphør.

16. Endringer

Spokes kan endre avtalen med 30 dagers skriftlig varsel når endringen skyldes lovendring, pålegg eller ny underleverandør (pkt. 10). Andre vesentlige endringer krever ny aksept. Ny versjon og tidspunkt for aksept registreres.

17. Kontaktpersoner

18. Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister løses ved Verkstedets [FYLL INN: eller Spokes'] alminnelige verneting, med mindre partene avtaler noe annet. [FYLL INN: avklares med advokat.]

Vedlegg A – Behandlingen

Kategorier av registrerte - Verkstedets kunder (personer som bestiller time, leverer sykkel, står på venteliste eller får tilbud) - Verkstedets ansatte og brukere i Spokes (for opplysninger som behandles på vegne av Verkstedet, som arbeidstid og fravær)

Kategorier av personopplysninger - Kontaktinformasjon: navn, mobilnummer, e-post - Sykkel: merke/modell, type, rammenummer, farge, årsmodell, notater - Oppdrag: ønsket tid, feilbeskrivelse, arbeid og deler, pristilbud, godkjenning/avvisning med tidspunkt, status, plassering i verkstedet, QR-merke - Arbeidsnotater fra mekaniker, også tekst fra talenotater (transkribert med Cloudflare Workers AI, Whisper; lydopptaket lagres ikke) - Bilder av sykkelen (når bildelagring er aktivert) - Meldinger til og fra kunden (SMS/e-post), leveringsstatus, mottakeradresse lagres maskert - Betalingsbekreftelse: beløp, tidspunkt, betalingsmåte og referanse fra kassesystemet (ingen kortnummer) - Samtykker og preferanser (markedsføring, varsler) med historikk - Ansatte: navn, rolle, arbeidsdager/timer, fravær (ferie, syk, fri, kurs) - Tekniske logger: revisjonslogg (hvem gjorde hva, uten selve personopplysningen), feillogger

Særlige kategorier (art. 9) og opplysninger om straffbare forhold (art. 10): Skal ikke behandles. Fravær av typen «syk» registreres uten diagnose. Verkstedet skal ikke skrive helseopplysninger i fritekstfelt eller talenotater.

Behandlingens art: innsamling via bookingskjema/app, lagring, strukturering, oppslag, utsending av SMS/e-post, transkribering av tale, anonymisering og sletting.

Varighet / lagringstid: Så lenge avtalen varer. Kundeopplysninger anonymiseres automatisk etter verkstedets valgte lagringstid (standard 60 måneder uten aktivitet, valgbart 6–120 måneder). Revisjonslogg 12 måneder. Avsluttede ventelisteoppføringer 90 dager. [FYLL INN: øvrige frister, se behandlingsprotokoll.md.]

Lokasjon: Database og filer i EU (Cloudflare EU-jurisdiksjon). Se Vedlegg B.

Vedlegg B – Godkjente underleverandører

Se underleverandorer.md (publiseres på spokes.no/underleverandorer). Per avtaleversjon DBA-2026-10-v0.1:

Vedlegg C – Sikkerhetstiltak (fra kildekode og driftsdokumentasjon per 10.10.2026)

• Adskillelse: hver forespørsel sjekker medlemskap i verkstedet; alle tabeller har verksted-id og sammensatte fremmednøkler; andre verksteders data svarer «ikke funnet». Testet med automatiske tester.
• Innlogging: passord hashet med PBKDF2; økt-cookie __Host-, HttpOnly, Secure, SameSite=Lax; økter maks 30 dager / 7 dager uten bruk; utlogging av alle enheter; valgfri tofaktor (TOTP); progressiv sperre ved feilforsøk; robotsjekk (Turnstile).
• CSRF-vern og CORS begrenset til Spokes' egne domener; streng Content-Security-Policy, HSTS og X-Frame-Options på nettstedet.
• Kryptering: HTTPS/TLS overalt; integrasjonsnøkler og enkelte koder krypteres med AES-GCM og nøkkel per verksted; offentlige lenker (statusside, tilbud) bruker lange tilfeldige tokens som bare lagres som hash. Kryptering i hvile hos Cloudflare [FYLL INN: bekreft].
• Hastighetsbegrensning på innlogging, offentlige skjema, API, tale og import.
• Revisjonslogg over endringer og innsyn/eksport/anonymisering (uten selve personopplysningene); støttetilgang er tidsbegrenset (60 min), begrunnet og logget.
• Sikkerhetskopi: krypterte (AES-256) nattlige eksporter, 30 dagers oppbevaring, testet gjenoppretting; Cloudflare D1 tidsreise 30 dager. [FYLL INN: lagringssted for sikkerhetskopier og ekstra kopi.]
• Overvåking: helsesjekk av API, app, nettsted og admin med varsling på e-post.
• Planlagt før lansering (se SECURITY-ROADMAP.md): obligatorisk tofaktor for administratorer, Cloudflare Access foran admin, WAF-regler, Turnstile i håndhevingsmodus, DMARC-håndheving.