Databehandleravtale
Utkast — til juridisk gjennomgang. Ikke en inngått avtale.
Oppdatert: 2026-10-27
Dette offentlige utkastet er et utgangspunkt for en avtale etter GDPR artikkel 28, ikke en bekreftelse på at alle vilkår eller leverandøravtaler er ferdigstilt.
1. Roller og omfang
Bedriftskunden bestemmer formål og behandlingsgrunnlag for personopplysninger i dokumenter og signeringsinstrukser. Bullseye Labs AS (registrert som Kefas AS, org.nr. 928 769 879, Norge) er databehandler for behandling etter kundens instruks, og selvstendig behandlingsansvarlig for kontoadministrasjon, sikkerhet og fakturering. Rollene må avklares for hver behandlingsaktivitet.
2. Behandlingsinstrukser
Behandlingen omfatter mottak av dokumenter, innhenting og registrering av signaturer, levering, feilsøking og avtalt sletting eller tilbakelevering. Opplysningene kan omfatte dokumentinnhold, navn, e-post, mobilnummer, signaturbilder og signeringsbevis (IP-adresse, enhetsinformasjon og tidsstempel). Registrerte er kundens ansatte, signerere og personer omtalt i dokumentene. Ikke send særlige kategorier personopplysninger uten særskilt avtalt omfang og sikkerhetstiltak.
3. Konfidensialitet og sikkerhet
Den endelige avtalen skal kreve taushetsplikt for autorisert personell, tilgang begrenset til nødvendig behandling, sikker overføring, beskyttet signaturlagring og egnede organisatoriske tiltak. Delte visninger maskerer kontaktopplysninger; signereren og kontoeieren kan se opplysninger de har rett til. Sikkerhetstiltak må dokumenteres og vurderes opp mot kundens risiko.
4. Underdatabehandlere og internasjonale overføringer
Tjenesten bruker Lovable Cloud, Mailgun EU, Twilio og en ekstern signeringstjeneste; Stripe håndterer betaling. Roller, avtalepart, behandlingssteder og eventuelle øvrige underleverandører må bekreftes i endelig vedlegg. Avtalen skal kreve varsel om endringer, rimelig mulighet til å protestere, tilsvarende databehandlerforpliktelser og gyldig overføringsgrunnlag når data forlater EØS. Ikke legg til grunn at alle leverandører er databehandlere eller at alle overføringer er dekket.
5. Bistand, hendelser og kontroll
Den endelige avtalen skal regulere bistand ved rettighetsforespørsler, sikkerhetsvurderinger og myndighetskrav, varsling av brudd på personopplysningssikkerheten uten ugrunnet opphold, og informasjon og forholdsmessige kontrollrettigheter etter GDPR artikkel 28. Kontaktpunkter og rutiner for hendelser må avtales før inngåelse.
6. Varighet, tilbakelevering og sletting
Behandlingen varer i avtalt tjenesteperiode. Ved opphør må endelig avtale fastsette tilbakelevering eller sletting, lovpålagte unntak, håndtering av sikkerhetskopier og signeringstjenestens faktiske lagringsregler. Dette utkastet lover ingen verifisert lagringstid for PDF-er. Kunden bør lagre den leverte signerte kopien. Kopier i Fiken følger kundens avtaler med Fiken.
Kontakt: support@smoothsign.cc · Personvern