Oversettelse av den tyske teksten. Det er ikke utført en egen landsspesifikk juridisk gjennomgang.

← Bruksvilkår

Databehandleravtale

Avtale etter artikkel 28 GDPR · Versjon 2026-09. Den tyske versjonen er rettslig avgjørende. Denne oversettelsen inngår i organisasjonsavtalen bare sammen med den avgjørende tyske teksten.

mellom organisasjonen angitt i tilbudet («behandlingsansvarlig» eller «kunde») og PrismaWorks, innehaver Fabien Sombrofsky, Braune-Moor-Str. 1b, 49844 Bawinkel, Tyskland («databehandler» eller «oppdragstaker»).

1. Gjenstand og varighet

Databehandleren behandler personopplysninger for den behandlingsansvarlige når Equinora brukes til administrasjon av klubb, stall, medlemmer, oppstallører, kommunikasjon, arrangementer, fremmøte, arbeid eller økonomi. Gjenstand, omfang og varighet følger organisasjonsavtalen, bestilte funksjoner og denne avtalen. Behandlingen varer normalt i lisensperioden, i tillegg til en avtalt periode for eksport og sletting.

2. Behandlingens art, formål, opplysninger og personer

Formålet er teknisk levering av Equinora på vegne av den behandlingsansvarlige. Opplysninger kan omfatte grunn- og kontaktopplysninger, medlemskap, roller, kontrakter, søknader, bestillinger, oppgaver, kommunikasjon, kurs, ventelister, hjelperroller, fremmøte, QR-innsjekking, arbeidstid, godtgjørelsesregler, data for lønnsforberedelse, tilordning av hester og oppstallører, avgifter, fakturaer, betalinger, purringer, regnskapsdata, SEPA-fullmakter og bankopplysninger, dokumenter, bilder, notater, revisjons- og sikkerhetsdata.

Registrerte kan være medlemmer, søkere, oppstallører, hesteeiere, foresatte, styremedlemmer, ansatte, hjelpere, kontaktpersoner, betalere og andre brukere. Særlige kategorier av personopplysninger etter artikkel 9 er ikke et ordinært behandlingsformål og kan bare legges inn når det er nødvendig, lovlig og tiltenkt den aktuelle funksjonen.

3. Instrukser

Opplysninger behandles bare etter dokumenterte instrukser, med mindre loven krever behandling. Kontrakten, denne avtalen, innstillinger og handlinger fra autoriserte administratorer og instrukser i tekstform regnes som dokumenterte instrukser. Databehandleren varsler den behandlingsansvarlige dersom en instruks anses ulovlig, og kan stanse gjennomføringen til saken er avklart.

4. Databehandlerens plikter

• Bare personell bundet av taushetsplikt og med passende opplæring benyttes.
• Tiltakene i vedlegg 1 opprettholdes og gjennomgås.
• Den behandlingsansvarlige får rimelig bistand med registrertes forespørsler, konsekvensvurderinger, konsultasjoner og sikkerhetsplikter.
• Personvernbrudd som gjelder oppdragsdata, meldes uten ugrunnet opphold med tilgjengelige opplysninger etter artikkel 33 nr. 3.
• Nødvendige registre opprettholdes, og det samarbeides med tilsynsmyndighetene.

5. Den behandlingsansvarliges plikter

Den behandlingsansvarlige har fortsatt ansvar for lovlighet, åpenhet, riktighet, samtykker og fullmakter samt passende tilgangsstyring. Tilgang må begrenses til autoriserte personer, tofaktorbeskyttelse aktiveres etter risiko og tilgang fjernes raskt når ansvarsoppgaver opphører.

6. Underdatabehandlere

Den behandlingsansvarlige gir generell godkjenning til vedlegg 2. Planlagte vesentlige endringer varsles normalt minst 30 dager på forhånd. Den behandlingsansvarlige kan protestere av en saklig personverngrunn. Hvis det ikke finnes en rimelig løsning, kan den berørte tjenesten avsluttes. Underdatabehandlere bindes av avtaler med tilsvarende beskyttelse, og databehandleren er fortsatt ansvarlig for dem.

7. Internasjonale overføringer

Behandling utenfor EØS skjer bare etter artikkel 44 og følgende i GDPR, for eksempel en beslutning om tilstrekkelig beskyttelsesnivå, EUs standardavtaleklausuler eller et relevant unntak. Regionsangivelser gjelder konfigurerbare kjernetjenester; autentisering, støtte, sikkerhet eller metadata kan behandles andre steder etter leverandørvilkårene.

8. Revisjoner

Databehandleren gir informasjon som er nødvendig for å dokumentere etterlevelse. Med rimelig varsel kan den behandlingsansvarlige revidere én gang i året og i tillegg ved saklig grunn, selv eller gjennom en revisor med taushetsplikt. Revisjoner skal være forholdsmessige, beskytte andre kunder og fortrinnsvis bruke eksisterende dokumentasjon. Uforholdsmessig ekstraarbeid kan faktureres etter forhåndsavtale.

9. Retting, sletting og tilbakelevering

Oppdragsdata rettes, slettes eller begrenses etter dokumentert instruks når den behandlingsansvarlige ikke kan gjøre dette i tjenesten. Tilgjengelige eksportfunksjoner kan brukes i den varslede overgangsperioden etter opphør. Deretter slettes eller tilbakeleveres data, med mindre loven krever oppbevaring. Sikkerhetskopier overskrives i normal syklus og har begrenset tilgang frem til da.

10. KI-funksjoner

Portalens generelle hjelpeassistent og KI-tekstforslag er for tiden deaktivert; ingen data sendes nå til DeepSeek. Senere reaktivering eller fremtidig KI-behandling av personlige oppdragsdata krever en ny personvernvurdering og ved behov en egen avtale, dokumentert instruks samt et leverandør- og overføringsrammeverk i samsvar med artikkel 28 og artikkel 44 og følgende i GDPR.

11. Ansvar og forrang

Artikkel 82 GDPR og organisasjonsavtalen gjelder. Denne avtalen har forrang i spørsmål om behandling på vegne av andre. Ufravikelig personvernrett berøres ikke.

12. Inngåelse og endringer

Avtalen kan inngås elektronisk; tilbud, ordrebekreftelse, organisasjons-ID, akseptert versjon og tidsstempel kan tjene som dokumentasjon. Endringer i plikter etter artikkel 28 avtales i tekstform. Rent tekniske vedlegg kan oppdateres dersom beskyttelsen ikke reduseres og den behandlingsansvarlige informeres.

Vedlegg 1 – Tekniske og organisatoriske tiltak

• Profesjonelle datasenter- og hostingleverandører med fysiske sikkerhetsrutiner.
• Individuelle kontoer, autentisering, tofaktorbekreftelse der aktivert, utløp av økter og kontosperring.
• Organisasjonsseparasjon, rolle- og tilgangskontroll, minste privilegium, serverkontroller og logging av økonomitilgang og sikkerhetsrelevante organisasjonsendringer.
• TLS under overføring; SEPA-IBAN-er lagres i tillegg med autentisert applikasjonskryptering; hemmeligheter holdes på serversiden.
• Transaksjonell håndtering av kritiske operasjoner, sikkerhetskopiering og gjenoppretting av infrastruktur, overvåking, feillogging og kontrollerte utrullinger.
• Logisk organisasjonsseparasjon, offentlige speil bare etter uttrykkelig aktivering samt definerte slette- og oppbevaringsprosesser.
• Regelmessig og hendelsesstyrt gjennomgang av tilganger, avhengigheter, regler og sikkerhetskontroller.

Vedlegg 2 – Godkjente underdatabehandlere

• Google Ireland Limited / Google Cloud and Firebase, Irland: autentisering, database, filer, serverfunksjoner og overvåking; konfigurerbare kjernedata i EU-/Frankfurt-regioner, underlagt Googles avtalebaserte overføringsmekanismer.
• Strato AG, Tyskland: nettsidehosting og levering av system-e-post.
• Expo, Inc., USA: valgfri push-levering og teknisk infrastruktur for appoppdateringer, underlagt passende overføringsgarantier.

For tiden ikke i bruk: API-tjenesten til Hangzhou DeepSeek Artificial Intelligence Co., Ltd., Kina, er teknisk deaktivert for KI-hjelp og generelle tekstforslag og mottar nå ingen data. Kravene i punkt 10 gjelder før reaktivering.

Avtaleversjon 2026-09 · Sist oppdatert: 2. september 2026