Databehandleravtale — vedlegg til avtalevilkårene for Takio

Versjon 3.2 — sist oppdatert 04.11.2026

Inngått mellom Kunden («Behandlingsansvarlig») og MF SYSTEM AS, org.nr 938 703 108 («Databehandler»), og oppfyller kravet til skriftlig avtale i personvernforordningen artikkel 28 nr. 3. Avtalen aksepteres samtidig med avtalevilkårene og krever ingen egen signaturrunde.

Bygget over Datatilsynets standard databehandleravtale.

1. Hva avtalen omfatter

Avtalen gjelder de personopplysningene Databehandler behandler på vegne av Behandlingsansvarlig. I praksis: målingene — byggene og adressene Kunden slår opp, valgene og linjene som gjøres på tegningen, og loggen over hvilken bruker som slo opp hvilket bygg.

Avtalen gjelder ikke:

• Kontoopplysninger — navn, e-postadresse, organisasjonsnummer, innloggingshistorikk, forbruk og faktureringsgrunnlag. For dem er MF SYSTEM AS selv behandlingsansvarlig, jf. personvernerklæringen punkt 2.
• Det som bare ligger i Kundens egen datamappe — kopien av firmadataene og eldre filer der. Dette lagres på Kundens maskin eller i Kundens eget OneDrive eller SharePoint, og leses og skrives direkte fra brukerens nettleser. Det sendes ikke til Databehandler, jf. avtalevilkårene punkt 1.2.

Firmadataene (fra 03.11.2026). Databehandler lagrer Behandlingsansvarliges kunder, prosjekter, tilbud, priser, ansatte, bemanning, timer, HMS, sjekklister, skjemaer og forespørsler i en database, og bilder og dokumenter i et fillager. Har Behandlingsansvarlig valgt en egen mappe, skriver nettleseren en kopi der. Formålet er å levere Takio raskt og likt på alle enhetene til Behandlingsansvarliges brukere. Opplysningene er navn og kontaktopplysninger til Behandlingsansvarliges kunder og ansatte, adresser, priser, tilbud, arbeidstid (timer, bemanning, fravær) og lønnssatser, HMS-registreringer (avvik og uønskede hendelser med personskader (RUH), kompetanse og HMS-kort), utfylte sjekklister og skjemaer, og bilder med dato, klokkeslett og posisjon der bildet ble tatt. Bilder får dato, klokkeslett og posisjon fra bildets egne opplysninger. Mangler bildet posisjon og er det tatt de siste ti minuttene, hentes telefonens posisjon én gang ved opplasting. Det finnes ingen sporing av brukerne. De registrerte er Behandlingsansvarliges kunder, kontaktpersoner og ansatte. Hvert firmas rader er merket med firmaet og leveres bare til firmaets egne innloggede brukere.

Godkjenningslenke for tilbud. Når Behandlingsansvarlig sender et tilbud med godkjenningslenke, lagrer Databehandler en kopi av tilbudet og svaret (navnet som ble skrevet inn, valgfri e-post og nettlesertype) til 30 dager etter at lenka er utløpt.

Forespørsler fra Behandlingsansvarliges nettside (etter vanlig praksis). Der Behandlingsansvarlig har koblet nettsiden sin til Takio, mottar og lagrer Databehandler forespørselen midlertidig: navn, telefonnummer, e-postadresse, byggadresse og melding fra den som sender skjemaet (de registrerte). Formålet er å gi Behandlingsansvarlig forespørselen. Raden slettes når Behandlingsansvarlig har hentet den, og senest 30 dager etter mottak. Det lagres ingen IP-adresse i raden. Behandlingsansvarlig har ansvaret for samtykket og for informasjonen på nettsiden.

2. Instruks

Databehandler behandler opplysningene kun etter dokumentert instruks fra Behandlingsansvarlig. Bruk av tjenesten etter sitt formål utgjør slik instruks.

Databehandler skal ikke behandle opplysningene til egne formål. Aggregerte og anonymiserte data uten mulighet for identifisering av enkeltpersoner kan likevel brukes til drift, feilsøking og forbedring av tjenesten.

Mener Databehandler at en instruks strider mot personvernregelverket, varsles Behandlingsansvarlig umiddelbart.

Pålegges Databehandler å behandle opplysninger etter EØS-rett eller norsk rett uten instruks, varsles Behandlingsansvarlig før behandlingen, med mindre slik underretning er forbudt.

3. Bufring av kartdata

Data hentet fra Norkart, Kartverket og OpenStreetMap bufres i inntil 365 dager, innenfor det avtalen med Norkart tillater, og kan gjenbrukes på tvers av kunder. Det er forutsetningen for at gjentatte oppslag er gratis.

Bufferen inneholder kun bygningsgeometri og høydedata knyttet til et bygningsnummer. Den inneholder ikke opplysninger om hvem som slo opp adressen, når, eller hvorfor — og en annen kunde kan derfor ikke se at Behandlingsansvarlig har vært interessert i en bestemt eiendom.

4. Taushetsplikt

Databehandler sikrer at enhver som får tilgang til opplysningene er underlagt taushetsplikt. Tilgang gis kun til dem som trenger det for å levere tjenesten.

5. Sikkerhet

Databehandler gjennomfører egnede tekniske og organisatoriske tiltak etter art. 32, herunder:

• All trafikk kryptert med TLS
• Database på kryptert lagring
• Passord lagret som saltet kryptografisk avledning, økter lagret som hash
• Tilgangsstyring per organisasjon — data fra én kunde er ikke tilgjengelig for en annen
• Begrensning av innloggings- og registreringsforsøk
• Administrativ tilgang bare for MF SYSTEM AS, bak egen innlogging

6. Underleverandører

Behandlingsansvarlig gir generell godkjenning til bruk av underleverandører. Gjeldende liste for opplysningene denne avtalen omfatter:

Databehandler varsler skriftlig minst 30 dager før en ny underleverandør tas i bruk eller byttes ut. Behandlingsansvarlig kan protestere på saklig grunnlag, og kan da si opp avtalen uten kostnad og uten hensyn til bindingstiden, med virkning fra endringstidspunktet.

Databehandler pålegger enhver underleverandør de samme forpliktelsene som følger av denne avtalen, og hefter fullt ut for underleverandørens utførelse.

7. Overføring utenfor EØS

Opplysningene lagres og behandles innenfor EØS.

Fly.io, Inc., Supabase, Inc. og Cloudflare, Inc. er amerikanske selskaper. Driften hos Fly.io og databasen hos Supabase ligger i EU-region (Stockholm). Fly.io og Cloudflare er sertifisert under EU-US Data Privacy Framework; for Supabase gjelder EUs standard personvernbestemmelser (SCC) i Supabase sin databehandleravtale. Faller sertifiseringen bort, benyttes EUs standard personvernbestemmelser (SCC) med nødvendige supplerende tiltak. Annen overføring til tredjeland skjer ikke uten skriftlig forhåndsgodkjenning.

8. Bistand til Behandlingsansvarlig

Databehandler bistår Behandlingsansvarlig med:

• å svare på henvendelser om innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse
• å ivareta pliktene etter art. 32–36, herunder sikkerhet, avviksmelding og personvernkonsekvensvurdering

Avvik: Databehandler varsler Behandlingsansvarlig uten ugrunnet opphold og senest innen 24 timer etter å ha blitt kjent med et brudd på personopplysningssikkerheten, med den informasjonen som trengs for at Behandlingsansvarlig skal rekke sin egen 72-timersfrist til Datatilsynet.

Henvendelser fra registrerte som Databehandler mottar direkte, videresendes Behandlingsansvarlig uten ugrunnet opphold og besvares ikke på egen hånd.

9. Sletting og tilbakelevering ved opphør

Behandlingsansvarlig kan når som helst i avtaleperioden, og etter opphør fram til sletting, åpne og laste ned målingene og firmadataene fra tjenesten.

Ved opphør sletter Databehandler personopplysninger behandlet på vegne av Behandlingsansvarlig senest 90 dager etter avslutning, med mindre Behandlingsansvarlig ber om sletting tidligere.

To presiseringer:

• Fakturagrunnlag og regnskapsbilag beholdes i fem år etter regnskapsårets slutt. Bokføringsloven § 13 gir ingen valgfrihet her.
• Bufrede kart- og bygningsdata etter punkt 3 er ikke knyttet til Behandlingsansvarlig og omfattes ikke av slettingen.

Sletting bekreftes skriftlig på forespørsel.

10. Revisjon

Behandlingsansvarlig kan kreve dokumentasjon på at forpliktelsene overholdes, og kan med rimelig varsel gjennomføre revisjon. Databehandler kan oppfylle dette ved å framlegge egenerklæring eller tredjepartsrapport der det gir tilstrekkelig grunnlag. Kostnadene ved revisjon ut over dette bæres av Behandlingsansvarlig, med mindre revisjonen avdekker vesentlig mislighold.

11. Varighet, endring og lovvalg

Avtalen gjelder så lenge Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig, og opphører automatisk sammen med avtalevilkårene. Punkt 4, 9 og 11 gjelder også etter opphør.

Avtalen kan endres etter samme fremgangsmåte som avtalevilkårene punkt 10. Ved motstrid går denne avtalen foran avtalevilkårene i spørsmål om behandling av personopplysninger.

Norsk rett, som avtalevilkårene punkt 11.

MF SYSTEM AS · org.nr 938 703 108 · Hubrovegen 19, 8665 Mosjøen · post@mfsystem.no