Databehandleravtale for Innflyt

Sist oppdatert: 11. oktober 2026 · Versjon: 2026-10-11

Dette er databehandleravtalen etter artikkel 28 i personvernforordningen (forordning (EU) 2016/679, «GDPR») mellom Backroad AS, som leverer Innflyt, og hver Innflyt-kunde. Den er en del av Innflyts brukervilkår: kunden godtar den når den godtar vilkårene ved å klikke seg gjennom ved registrering eller når den fullfører en Bestilling, så egen signatur er ikke nødvendig. En kontrasignert kopi kan bestilles fra legal@innflyt.com.

Siden Behandlingsinformasjon beskriver den samme behandlingen i et enklere språk. Hvordan Backroad behandler personopplysninger som behandlingsansvarlig, står i personvernerklæringen.

Parter

(1) Backroad AS, et aksjeselskap registrert i Norge, organisasjonsnummer 934 341 929, Måseskjæret 18, 5035 Bergen («Databehandleren»); og

(2) Kunden som har godtatt Innflyts brukervilkår («den Behandlingsansvarlige»),

hver for seg en «part». Begreper med stor forbokstav som ikke er definert her, har betydningen de har i GDPR eller i brukervilkårene («Tjenesten», «Kundedata», «Autoriserte brukere», «Kontoeiere», «Plan», «Bestilling»).

1. Formål, roller og instrukser

1.1 Den Behandlingsansvarlige er behandlingsansvarlig og Databehandleren er databehandler for Personopplysningene i Kundedataene. Databehandleren bestemmer ikke formålene med Behandlingen og er ikke felles behandlingsansvarlig.

1.2 Formålet med, varigheten av, arten av og hensikten med Behandlingen, typene Personopplysninger og kategoriene av registrerte står i vedlegg 1.

1.3 Databehandleren Behandler Personopplysningene bare etter dokumenterte instrukser fra den Behandlingsansvarlige, også når det gjelder overføring til tredjeland, med mindre EØS-retten eller norsk rett som Databehandleren er underlagt, krever noe annet; i så fall informerer Databehandleren den Behandlingsansvarlige om kravet før Behandlingen, med mindre loven forbyr det av viktige hensyn til allmennhetens interesser. Den Behandlingsansvarliges dokumenterte instrukser er denne avtalen, brukervilkårene, innstillingene den Behandlingsansvarlige velger i Tjenesten (spørsmål, felt, mottakere, lagringstid) og andre skriftlige instrukser partene avtaler. Databehandleren varsler den Behandlingsansvarlige straks hvis en instruks etter Databehandlerens mening er i strid med personvernregelverket.

1.4 Databehandleren bruker ikke Personopplysningene til å trene modeller for kunstig intelligens eller maskinlæring, til egen reklame, profilering eller analyse, til salg eller til markedsføring for tredjeparter, eller til å bygge dataprodukter.

2. Taushetsplikt

2.1 Databehandleren sørger for at personene som har tilgang til å Behandle Personopplysningene, har taushetsplikt og Behandler dem bare etter den Behandlingsansvarliges instrukser.

3. Sikkerhet

3.1 Ut fra den tekniske utviklingen, gjennomføringskostnadene, Behandlingens art, omfang, formål og sammenheng og risikoen for de registrerte gjennomfører Databehandleren tekniske og organisatoriske tiltak som står i vedlegg 2, for å oppnå et sikkerhetsnivå som passer risikoen, slik GDPR artikkel 32 krever.

3.2 Databehandleren kan oppdatere tiltakene i vedlegg 2 så lenge det samlede sikkerhetsnivået ikke svekkes.

4. Underdatabehandlere

4.1 Den Behandlingsansvarlige gir Databehandleren generell skriftlig tillatelse til å bruke underdatabehandlere. Underdatabehandlerne som brukes på datoen for denne avtalen, står i vedlegg 3, som også er publisert på siden Behandlingsinformasjon.

4.2 Databehandleren varsler den Behandlingsansvarlige om planlagte nye eller utskiftede underdatabehandlere minst tretti (30) dager før endringen trer i kraft, på e-post til Kontoeierne og ved å oppdatere siden Behandlingsinformasjon, slik at den Behandlingsansvarlige kan protestere. Protesterer den Behandlingsansvarlige av rimelige personverngrunner og partene ikke finner en løsning, kan den Behandlingsansvarlige si opp den berørte delen av Tjenesten før endringen trer i kraft; har den Behandlingsansvarlige betalt for en Betalt plan, betaler Databehandleren tilbake den delen av vederlaget som gjelder perioden etter opphøret.

4.3 Databehandleren pålegger hver underdatabehandler, ved skriftlig avtale, de samme personvernforpliktelsene som er fastsatt i denne avtalen, særlig tilstrekkelige garantier for å gjennomføre egnede tekniske og organisatoriske tiltak slik at Behandlingen oppfyller kravene i GDPR, slik GDPR artikkel 28 nr. 4 krever. Databehandleren er fullt ansvarlig overfor den Behandlingsansvarlige for at hver underdatabehandler oppfyller sine forpliktelser.

5. Behandlingssteder og overføringer

5.1 Hvor Personopplysningene lagres og behandles. Databasen og fillagringen er i EU (Stockholm i Sverige; Supabase-regionen eu-north-1). Funksjonene på serversiden som tar imot og leverer tilbakemeldinger, kjører i EU (Frankfurt i Tyskland; Supabase-regionen eu-central-1) ved hvert kall. Dashbordet, som viser tilbakemeldingene til den Behandlingsansvarlige, og nettstedene kjører på servere i Norge (Stavanger, hos UpCloud). Sikkerhetskopier hos en annen leverandør lagres i Cloudflare R2 i EU-jurisdiksjonen.

5.2 Behandling utenfor EØS. Noe behandling kan skje utenfor EØS: avtalen med Supabase er inngått med Supabase Pte. Ltd (Singapore), og Supabase-personell gir støtte og overvåker plattformen fra flere land døgnet rundt; brukerstøtte- og driftspersonell hos andre underdatabehandlere kan ha tilgang fra andre land; Cloudflares globale nettverk formidler e-post og nettrafikk; den ukentlige sikkerhetskopieringen kjører på maskiner som GitHub drifter, og der Databehandleren ikke velger sted; og Sentry, et amerikansk selskap, lagrer feildata i EU-regionen sin, men kan få tilgang til og behandle dem fra USA og andre land. Vedlegg 3 viser hvert tilfelle og overføringsgrunnlaget.

5.3 Overføringsgrunnlag. Enhver overføring av Personopplysninger til et land utenfor EØS uten beslutning om tilstrekkelig beskyttelsesnivå er dekket av EU-kommisjonens standard personvernbestemmelser (beslutning (EU) 2021/914, «SCC») i underdatabehandlerens databehandleravtale, eller av en beslutning om tilstrekkelig beskyttelsesnivå etter GDPR artikkel 45, herunder EU–US Data Privacy Framework for sertifiserte mottakere. Databehandleren vurderer hver overføring og legger til supplerende tiltak der det trengs.

6. Bistand til den Behandlingsansvarlige

6.1 De registrertes rettigheter. Ut fra Behandlingens art bistår Databehandleren den Behandlingsansvarlige med egnede tekniske og organisatoriske tiltak, så langt det er mulig, med å svare på forespørsler om å utøve rettigheter etter GDPR kapittel III. I dashbordet kan den Behandlingsansvarlige eksportere og slette tilbakemeldinger. Kontakter en registrert Databehandleren direkte, sender Databehandleren forespørselen videre til den Behandlingsansvarlige uten ugrunnet opphold og svarer ikke på innholdet med mindre den Behandlingsansvarlige skriftlig tillater et direkte svar.

6.2 Sikkerhet, konsekvensvurderinger og forhåndsdrøftelser. Databehandleren bistår den Behandlingsansvarlige med å oppfylle GDPR artikkel 32 til 36, ut fra Behandlingens art og informasjonen Databehandleren har.

6.3 Brudd på personopplysningssikkerheten. Databehandleren varsler den Behandlingsansvarlige om brudd på personopplysningssikkerheten som gjelder den Behandlingsansvarliges Personopplysninger, uten ugrunnet opphold etter å ha blitt kjent med bruddet, og innen førtiåtte (48) timer der det er mulig, på e-post til Kontoeierne. Varselet beskriver, så langt det er kjent, bruddets art, kategoriene og omtrentlig antall registrerte og registreringer, de sannsynlige konsekvensene, tiltakene som er truffet eller foreslås, og et kontaktpunkt; informasjon som ikke er tilgjengelig straks, gis trinnvis uten ytterligere ugrunnet opphold. Databehandleren registrerer alle brudd. Den Behandlingsansvarlige er ansvarlig for å melde fra til tilsynsmyndigheten og de registrerte etter GDPR artikkel 33 og 34; Databehandleren bistår med informasjonen den har.

7. Lagringstid, tilbakelevering og sletting

7.1 Lagringstid som den Behandlingsansvarlige velger. Som standard sletter Tjenesten tilbakemeldinger 365 dager og skjermbilder 90 dager etter at de er mottatt, med en automatisk daglig jobb. Den Behandlingsansvarlige kan velge en annen periode mellom 30 og 3 650 dager for hver, kan la skjermbilder følge tilbakemeldingen, eller kan velge «Behold til jeg sletter dem» («behold»), som betyr ingen automatisk sletting: dataene oppbevares da til den Behandlingsansvarlige sletter dem eller denne avtalen opphører. Slettingen er permanent og fjerner både registreringene og de lagrede filene. Databehandleren fører en slettelogg med prosjekt, omfang, antall og tidspunkt for hver sletting; den inneholder ingen personopplysninger om sluttbrukere.

7.2 Sletting fra den Behandlingsansvarlige. Den Behandlingsansvarlige kan når som helst slette enkelttilbakemeldinger, et prosjekt eller hele organisasjonen i dashbordet. Sletting av et prosjekt eller organisasjonen sletter tilbakemeldingene og skjermbildene med en gang.

7.3 Tilbakelevering og sletting ved opphør. Den Behandlingsansvarlige kan eksportere tilbakemeldingene fra dashbordet når som helst før opphør. Ved opphør av Tjenesten, eller tidligere etter skriftlig anmodning fra den Behandlingsansvarlige, sletter Databehandleren alle Personopplysninger som er Behandlet for den Behandlingsansvarlige, innen tretti (30) dager, med mindre EØS-retten eller norsk rett krever lagring, og bekrefter slettingen skriftlig på forespørsel. Ønsker den Behandlingsansvarlige dataene tilbakelevert i stedet for slettet og ikke kan bruke eksporten, leverer Databehandleren dem i et vanlig maskinlesbart format innen samme frist.

7.4 Sikkerhetskopier. Kopier av slettede data blir liggende i sikkerhetskopier til disse utløper: Supabases daglige sikkerhetskopier oppbevares i 7 dager, og de ukentlige sikkerhetskopiene hos en annen leverandør i Cloudflare R2 oppbevares i 90 dager og slettes så. Sikkerhetskopier brukes bare til å gjenopprette Tjenesten etter en feil. Skulle en sikkerhetskopi bli gjenopprettet, vil den daglige slettejobben på nytt slette data der lagringstiden er ute, men data som den Behandlingsansvarlige selv har slettet etter at sikkerhetskopien ble tatt, vil komme tilbake. Databehandleren vil da fortelle den Behandlingsansvarlige hvilke prosjekter og hvilken periode det gjelder, slik at den Behandlingsansvarlige kan slette disse dataene igjen.

8. Revisjon

8.1 Databehandleren gjør tilgjengelig for den Behandlingsansvarlige all informasjon som er nødvendig for å vise at GDPR artikkel 28 og denne avtalen er overholdt, og gir mulighet for og bidrar til revisjoner, herunder inspeksjoner, utført av den Behandlingsansvarlige eller en revisor den gir fullmakt. Revisjon krever minst tretti (30) dagers skriftlig varsel (kortere etter en dokumentert sikkerhetshendelse), skjer ikke oftere enn én gang i en tolvmånedersperiode med mindre det er grunn til det, og er underlagt taushetsplikt. Databehandleren kan først svare på en revisjonsforespørsel med skriftlig dokumentasjon av tiltakene. Hver part bærer egne kostnader.

9. Den Behandlingsansvarliges plikter

9.1 Den Behandlingsansvarlige er ansvarlig for å ha behandlingsgrunnlag, for å gi sluttbrukerne informasjonen som GDPR artikkel 13 og 14 krever, for at instruksene og innstillingene er lovlige, og for ikke å sette opp Tjenesten til å be om særlige kategorier av personopplysninger eller andre data som er utelukket i punkt 12 i brukervilkårene. Den Behandlingsansvarlige bør be sluttbrukerne, ved tilbakemeldingsknappen, om ikke å ta med sensitive personopplysninger som tilbakemeldingen ikke trenger.

10. Varighet, ansvar, rangordning og lovvalg

10.1 Denne avtalen gjelder fra den Behandlingsansvarlige godtar brukervilkårene, og så lenge Databehandleren Behandler Personopplysninger på den Behandlingsansvarliges vegne.

10.2 Ansvar etter denne avtalen er underlagt og regnes med i ansvarsbegrensningene i punkt 19 i Innflyts brukervilkår, eller i en annen skriftlig avtale om Tjenesten som partene har signert. Ingenting begrenser ansvar som ikke lovlig kan begrenses, eller de registrertes rettigheter etter GDPR artikkel 82.

10.3 Er det motstrid mellom denne avtalen og brukervilkårene eller en annen avtale mellom partene om Behandling av Personopplysninger, går denne avtalen foran. Avtalen publiseres på norsk og engelsk; er det forskjell mellom versjonene, går den norske foran.

10.4 Denne avtalen reguleres av norsk rett, herunder personopplysningsloven (LOV-2018-06-15-38), som gjør GDPR til norsk lov gjennom EØS-avtalen. Bergen tingrett er verneting, uten at det begrenser de registrertes rett til å gå til søksmål andre steder. Databehandlerens tilsynsmyndighet er Datatilsynet.

10.5 Denne avtalen kan bare endres slik punkt 23 i brukervilkårene fastsetter, som krever minst 30 dagers varsel om vesentlige endringer. Endringer i listen over underdatabehandlere følger punkt 4.2.

Vedlegg 1: Opplysninger om Behandlingen

• Formål og art: ta imot tilbakemeldinger som sluttbrukere sender gjennom Innflyt-widgeten på den Behandlingsansvarliges nettsteder og applikasjoner; lagre dem; vise dem i den Behandlingsansvarliges dashbord; sende dem til mottakerne den Behandlingsansvarlige konfigurerer (e-post, Slack, Microsoft Teams eller webhooks); eksportere og slette dem etter den Behandlingsansvarliges instrukser; ta sikkerhetskopier.
• Hensikt: å levere Tjenesten til den Behandlingsansvarlige.
• Varighet: så lenge Tjenesten leveres, og deretter til sletting etter punkt 7.
• Kategorier av registrerte: sluttbrukere av den Behandlingsansvarliges nettsteder og applikasjoner som sender tilbakemelding; der den Behandlingsansvarliges egne ansatte fremgår av tilbakemeldinger eller innstillinger, også de.
• Kategorier av Personopplysninger:
  • innholdet sluttbrukeren sender: fritekstsvar, svar på den Behandlingsansvarliges egne spørsmål, valgt kategori eller funksjonsområde, hastegrad og om vedkommende ønsker svar;
  • valgfri e-postadresse og valgfri bruker-ID, skrevet inn av sluttbrukeren eller levert av den Behandlingsansvarliges applikasjon for en innlogget sluttbruker;
  • sidekontekst: adressen (URL) til siden, lagret bare som domene og sti (alt etter «?» eller «#» fjernes før lagring), nettleser, operativsystem, enhetstype, skjermstørrelse, nettleserens user-agent-streng, språk, miljø og versjonen av den Behandlingsansvarliges applikasjon;
  • valgfrie skjermbilder sluttbrukeren velger å legge ved (opptil fem bilder på opptil 5 MB hver);
  • innsendingstidspunkt og en teknisk nøkkel som hindrer duplikater;
  • en nøkkelbasert hash av sluttbrukerens IP-adresse, brukt bare til hastighetsbegrensning og slettet etter 24 timer; selve IP-adressen lagres ikke sammen med tilbakemeldingen.
• Særlige kategorier: etterspørres ikke. Fordi svarene er fritekst og skjermbildene velges av sluttbrukeren, kan en sluttbruker ta med særlige kategorier av personopplysninger (GDPR artikkel 9) eller opplysninger om straffedommer (artikkel 10) uten å bli bedt om det. Databehandleren Behandler slike opplysninger bare for å lagre dem og levere dem til den Behandlingsansvarlige.
• Lagringstid: slik den Behandlingsansvarlige velger etter punkt 7.1 (standard 365 dager for tilbakemeldinger og 90 dager for skjermbilder; 30 til 3 650 dager; eller «behold»), sikkerhetskopier som i punkt 7.4.

Vedlegg 2: Tekniske og organisatoriske tiltak

Dette er tiltakene som gjelder per 9. oktober 2026.

• Kryptering under overføring: widgeten, dashbordet, nettstedene og dataendepunktene leveres bare over HTTPS (TLS); forespørsler over vanlig HTTP videresendes til HTTPS.
• Kryptering av lagrede data: databasen og fillagringen krypteres av Supabase, serverdiskene hos UpCloud er kryptert, og Cloudflare R2 krypterer sikkerhetskopiene.
• Tilgangskontroll i databasen: radnivåsikkerhet (Row-Level Security) er slått på for alle tabeller i applikasjonsskjemaet. Den anonyme rollen som widgeten bruker, har ingen tilgang til tabellene med tilbakemeldinger, og tilbakemeldinger skrives bare av kode på serversiden. Innloggede medlemmer av en organisasjon når bare sin egen organisasjons prosjekter gjennom radnivåsikkerheten, kontrollert ved hver forespørsel, og sletting av tilbakemeldinger krever nylig innlogging med en annen faktor.
• Innlogging i dashbordet: ingen passord; Autoriserte brukere logger inn med passnøkkel eller med en engangskode på e-post, og kan legge til totrinnsbekreftelse med en autentiseringsapp. Innloggingssidene er beskyttet mot roboter (Cloudflare Turnstile) og har hastighetsbegrensning. Innlogging fra en ny enhet utløser et varsel på e-post. Sensitive handlinger, som å slette en konto eller organisasjon eller å starte en betaling, krever nylig innlogging. Organisasjoner har rollene eier, administrator og medlem.
• Pseudonymisering: IP-adresser lagres ikke sammen med tilbakemeldinger; hastighetsbegrensningen bruker en nøkkelbasert hash som slettes etter 24 timer.
• Skjermbilder: lagres i en privat lagringsbøtte med navn som ikke kan gjettes og uten offentlig tilgang; opplasting skjer med kortvarige signerte lenker, begrenset til PNG-, JPEG- og WebP-bilder på opptil 5 MB; lenker som sendes til mottakere, er signerte og utløper (som standard etter 7 dager).
• Integritet ved levering: hver webhook har en HMAC-SHA-256-signatur (X-Innflyt-Signature) som den Behandlingsansvarlige kan kontrollere; hver innsending har en nøkkel som hindrer dobbeltregistrering; leveranser går gjennom en varig kø, slik at en treg mottaker ikke påvirker sluttbrukeren.
• Lagringstid og sletting: en automatisk daglig jobb sletter data der lagringstiden er ute, en ukentlig jobb fjerner skjermbilder som aldri ble knyttet til en innsending, og hver sletting logges uten sluttbrukerdata.
• Sikkerhetskopiering: daglige sikkerhetskopier hos Supabase som oppbevares i 7 dager, og en ukentlig sikkerhetskopi hos en annen leverandør i Cloudflare R2 (EU-jurisdiksjon) som oppbevares i 90 dager med oppbevaringslås.
• Feilovervåking: Sentry i EU-regionen, bare for kode på serversiden (ingen Sentry-kode kjører i nettleseren), med sending av personopplysninger slått av, fjerning av IP-adresser slått på og uten opptak av økter.
• Hemmeligheter: tjenestenøkler oppbevares i hemmelighetslageret for kontinuerlig integrasjon og på serverne, aldri i kildekoden eller i nettleseren.
• Programvarevedlikehold: automatiske forslag til oppdatering av avhengigheter er slått på for koden til dashbordet, nettstedet og widgeten, og bygging og typekontroll kjøres før de tas i bruk.
• Organisering: tilgang til produksjonssystemene er begrenset til personene i Backroad som trenger den for å drifte Tjenesten, og som har taushetsplikt.
• Gjennomgang: tiltakene gjennomgås minst én gang i året og når risiko, teknologi eller regelverk endres.

Vedlegg 3: Underdatabehandlere

Supabases egne underdatabehandlere står på supabase.com/legal/customer-resources/subprocessor-list.

Ikke underdatabehandlere. Mottakerne den Behandlingsansvarlige konfigurerer (egne e-postadresser, Slack, Microsoft Teams eller webhook-endepunkter), mottar tilbakemeldinger som den Behandlingsansvarliges egne mottakere. Backroad bruker Linear Orbit, Inc. til eget produktarbeid; Tjenesten sender ikke Kundedata dit, og punkt 12 i brukervilkårene forbyr å konfigurere en mottaker som ville gjort det. Betalingsleverandører behandler bare faktureringsdata, som Backroad er behandlingsansvarlig for (se personvernerklæringen).