Sist oppdatert 23. oktober 2026
Databehandleravtale for byrå
1.Formål og instruks
Databehandleren skal bare behandle personopplysninger for å levere Myntskatt til byrået, slik tjenesten er beskrevet i vilkårene, og etter byråets dokumenterte instrukser. Bruken av tjenesten (import, beregning, rapporter, kontroll, granskning, invitasjoner, arkivering og sletting) utgjør byråets instruks. Mener databehandleren at en instruks er i strid med personvernregelverket, skal byrået varsles straks.
2.Hvilke opplysninger og registrerte
- Registrerte: byråets klienter, og ansatte i byrået som bruker tjenesten.
- Opplysninger: navn og e-post, transaksjoner med kryptoaktiva (tidspunkt, type, mynt, antall, verdi, adresser og ID-er), lommebokadresser, krypterte API-nøkler, beregninger og rapporter, endringslogg og granskningsresultater.
- Særlige kategorier (art. 9) skal ikke registreres i tjenesten. Byrået skal ikke legge slike opplysninger i notatfelt.
- Varighet: så lenge byrået bruker tjenesten, og til opplysningene er slettet etter punkt 9.
3.Taushetsplikt
Alle som behandler opplysningene på vegne av databehandleren, har taushetsplikt. Bare personer som trenger det for drift, feilsøking eller support, får tilgang, og bare så langt det er nødvendig.
4.Sikkerhet
Databehandleren gjennomfører tiltak etter art. 32, blant annet:
- lagring i EU (Frankfurt) og kryptert overføring (HTTPS/TLS);
- tilgangskontroll per bruker med radnivåsikkerhet i databasen, slik at hver klient er sitt eget, adskilte arbeidsområde;
- kryptering av lagrede API-nøkler (AES-256-GCM);
- logg over endringer i transaksjoner, med hvem som gjorde dem og mulighet for å angre;
- byråansatte åpner klienter med kortvarige, servergenererte innloggingslenker, og bare for klienter byrået er knyttet til;
- jevnlige sikkerhetskopier hos driftsleverandøren og oppdatering av programvare.
5.Underleverandører
Byrået gir generell godkjenning til at databehandleren bruker disse underleverandørene:
| Underleverandør | Formål | Sted | Overføringsgrunnlag |
|---|---|---|---|
| Supabase Inc. | Database, innlogging og utsending av e-post for innlogging | EU (Frankfurt, Tyskland) | Data lagres i EU. Supabase er et amerikansk selskap; eventuell tilgang fra USA dekkes av EUs standardavtaler (SCC). |
| Vercel Inc. | Drift av nettsiden og serverfunksjoner | EU (Frankfurt) for serverfunksjoner, globalt nettverk for statisk innhold | EU–US Data Privacy Framework og standardavtaler (SCC). |
| Stripe Payments Europe Ltd. | Betaling og fakturering | Irland / USA | EU–US Data Privacy Framework og standardavtaler (SCC). |
| Groq Inc. | AI-assistent og AI-vurdering i granskning (bare når funksjonen brukes) | USA | Standardavtaler (SCC). Vi sender bare transaksjonsdata som trengs for svaret, ikke navn eller e-post. |
Nye eller endrede underleverandører varsles minst 30 dager i forveien på denne siden og på e-post til byråets eier. Byrået kan protestere av saklige grunner; fører det ikke fram, kan byrået si opp avtalen før endringen gjelder. Databehandleren pålegger underleverandørene de samme pliktene som i denne avtalen og er ansvarlig for at de oppfylles.
6.Overføring ut av EØS
Opplysninger overføres bare til land utenfor EØS når det finnes et gyldig overføringsgrunnlag etter GDPR kapittel V, som EU–US Data Privacy Framework eller EUs standardavtaler (SCC), se tabellen over.
7.Bistand til byrået
- Databehandleren bistår byrået med å oppfylle de registrertes rettigheter (innsyn, retting, sletting, dataportabilitet), blant annet gjennom eksport og sletting i tjenesten. Henvendelser fra registrerte sendes videre til byrået.
- Databehandleren bistår med vurderinger av personvernkonsekvenser og forhåndsdrøftinger når det er relevant for tjenesten.
- Databehandleren gir byrået informasjonen som trengs for å vise at avtalen følges.
8.Brudd på personopplysningssikkerheten
Databehandleren varsler byrået uten ugrunnet opphold, og senest innen 36 timer etter å ha blitt kjent med et brudd som berører byråets opplysninger. Varselet skal beskrive hva som har skjedd, hvilke opplysninger og registrerte som berøres, sannsynlige konsekvenser og hvilke tiltak som er satt i verk. Byrået er ansvarlig for å varsle Datatilsynet og de registrerte.
9.Sletting og tilbakelevering
Når avtalen opphører, kan byrået eksportere klientenes transaksjoner fra tjenesten. Senest 60 dager etter opphør sletter databehandleren byråets personopplysninger, med mindre lov krever lagring. Sikkerhetskopier overskrives innen ytterligere 90 dager. Byrået kan be om skriftlig bekreftelse på sletting.
10.Revisjon
Byrået kan kreve dokumentasjon på at avtalen følges, og gjennomføre revisjon én gang per år, eller oftere ved konkret mistanke om brudd, med minst 30 dagers varsel. Revisjonen skal ikke gi tilgang til andre kunders data. Byrået dekker egne kostnader.
11.Ansvar, varighet og motstrid
Ansvar reguleres av GDPR art. 82 og ansvarsbegrensningene i vilkårene for bruk, så langt de er forenlige med GDPR. Avtalen gjelder så lenge databehandleren behandler opplysninger for byrået. Ved motstrid går denne avtalen foran vilkårene i spørsmål om personvern. Avtalen reguleres av norsk rett.
12.Kontakt
Databehandler: Studiovest AS, Klostervegen 162, 5455 Halsnøy Kloster, personvern@myntskatt.no. Behandlingsansvarlig: byrået, slik registrert i byråkontoen.