Databehandleravtale

Denne databehandleravtalen er inngått mellom deg som skaper – behandlingsansvarlig for din egen abonnentliste – og skribb, som behandler abonnentlista på dine vegne. skribb drives av ANDREAS BERG DOTDEV (organisasjonsnummer 937 794 355), et norsk enkeltpersonforetak i Oslo. Avtalen oppfyller kravene i personvernforordningen artikkel 28 og er en del av Vilkårene; den utfyller punkt 4 der. Tar du tjenesten i bruk og samler abonnenter, gjelder denne avtalen mellom deg og skribb.

1. Omfang og rollefordeling

skribb er databehandler for deg på ett avgrenset område: din egen abonnentliste, altså e-postadressene, abonnementsstatusen og tidspunktene til personer som har bekreftet et abonnement på publikasjonen din. Denne lista lagrer og sender skribb ut på dine dokumenterte instruksjoner. For den behandlingen er du behandlingsansvarlig, og skribb er databehandler. Det er denne behandlingen avtalen her regulerer.

For alt annet er skribb selv behandlingsansvarlig, ikke databehandler, og avtalen her gjelder ikke. Det omfatter kontoen din som skaper, leserportalen på skribb.no og sammendrag på tvers av publikasjoner. Den behandlingen skjer ikke på din instruksjon og står beskrevet i personvernerklæringen, ikke her.

Skillet svarer til personvernerklæringen punkt 10, jf. Vilkårene punkt 5: du eier leserlista di, mens skribb eier og styrer plattformfunksjonene sine selv. Avtalen her gjør ikke skribb til databehandler for skribbs egen behandling.

2. Behandlingens gjenstand, varighet, art og formål

Gjenstanden er å lagre abonnentlista di og sende e-post til abonnentene på dine instruksjoner: bekreftelseslenker, utsendelser du selv utløser, og avmeldinger. Formålet er å levere nyhetsbrev- og abonnementsfunksjonen i skribb for publikasjonen din. Behandlingens art er lagring, organisering og e-postutsending.

Behandlingen varer så lenge du bruker skribb og har en aktiv publikasjon. Når avtaleforholdet avsluttes, gjelder punkt 11 om sletting eller tilbakelevering.

Behandlingsoversikten i punkt 2 og 3 – gjenstand, varighet, art, formål, kategorier av personopplysninger og av registrerte – utgjør den fastsatte beskrivelsen av behandlingen etter artikkel 28 nr. 3.

3. Personopplysninger og kategorier av registrerte

skribb behandler som databehandler følgende opplysninger om abonnentene dine:

• E-postadressen til abonnenten.
• Abonnementsstatus – bekreftet eller avmeldt – med tidspunkt for bekreftelse og avmelding.
• Tilknytning til publikasjonen din (hvilken publikasjon adressen tilhører).
• De registrerte er abonnentene og leserne av publikasjonen din.

Betalingen for betalte abonnement går gjennom Stripe, der du er selger (merchant of record), jf. Vilkårene punkt 6. Den betalingsbehandlingen nevnes her for fullstendighetens skyld, men kjernen i lista skribb behandler for deg er e-post- og abonnementsopplysningene over.

4. Behandling kun på dine dokumenterte instruksjoner

skribb behandler abonnentlista bare etter dine dokumenterte instruksjoner, også ved overføring til et tredjeland eller en internasjonal organisasjon, med mindre annet kreves etter EØS-rett eller norsk rett. Kreves slik behandling, varsler skribb deg om det før behandlingen, om ikke loven forbyr et slikt varsel.

Bruken av skribb slik tjenesten er satt opp – å samle bekreftede abonnenter, sende ut det du publiserer og håndtere avmeldinger – utgjør de dokumenterte instruksjonene dine. Vil du gi andre instruksjoner, må de avtales skriftlig med skribb.

Du innestår for at du har et lovlig behandlingsgrunnlag for hver adresse på lista – normalt samtykke gjennom skribbs bekreftelsesflyt, jf. Vilkårene punkt 4 – og for at instruksjonene dine er lovlige. Mener skribb at en instruksjon fra deg er i strid med personvernforordningen eller andre personvernregler, gir skribb deg straks beskjed.

5. Taushetsplikt

skribb sørger for at de som er autorisert til å behandle abonnentlista, har påtatt seg taushetsplikt eller er underlagt en passende lovbestemt taushetsplikt. I praksis er tilgangen begrenset til operatøren av skribb.

Personer får bare tilgang til abonnentopplysninger i den grad det er nødvendig for å drive og vedlikeholde tjenesten.

6. Sikkerhet (artikkel 32)

skribb gjennomfører egnede tekniske og organisatoriske tiltak for å sikre abonnentlista, tilpasset risikoen. Tjenesten har ingen ekstern sertifisering som SOC 2 eller ISO 27001. De faktiske tiltakene er:

• All trafikk krypteres under overføring med TLS/HTTPS.
• Infrastrukturen kjører på Cloudflare med Cloudflares innebygde sikkerhet for drift, database og lagring.
• Dataminimering: skribb lagrer bare det som trengs. For eksempel beholdes ikke rå innhold fra betalings-webhooks med personopplysninger, bare minimale markører.
• Tilgang er begrenset til operatøren av skribb.
• Intern autentisering mellom tjenestene er signert med EdDSA.
• Skrifttyper er selvhostet, slik at lesernes IP-adresse ikke lekker til tredjeparter.

7. Underdatabehandlere

Du gir skribb en generell forhåndsgodkjenning til å bruke underdatabehandlere. skribb pålegger hver underdatabehandler de samme personvernforpliktelsene som i avtalen her, ved avtale, og skribb svarer overfor deg dersom en underdatabehandler ikke oppfyller dem.

skribb varsler deg minst 30 dager før en ny underdatabehandler tas i bruk eller en eksisterende skiftes ut, slik at du har anledning til å protestere. Protesterer du ikke skriftlig innen fristen, anses endringen som godtatt. Protesterer du på et saklig personverngrunnlag, søker partene en løsning; finnes ingen løsning, kan du si opp avtalen og få lista slettet eller tilbakelevert etter punkt 11.

Dagens underdatabehandlere er listet nedenfor. Utover disse er behandlingen av abonnentlista selvhostet på Cloudflare. Det er ingen tredjeparts e-post- eller analyseleverandør for lista. Cloudflare Turnstile, som beskytter innloggingsskjemaet mot misbruk, behandler IP-adresser knyttet til innlogging og leserportalen; det er skribbs egen behandling som behandlingsansvarlig og dekkes av personvernerklæringen, ikke av avtalen her.

• Cloudflare, Inc. – all infrastruktur: database (D1), objektlagring (R2), kjøremiljø (Workers) og e-postutsending (Cloudflare Email). Driver, lagrer og sender abonnentlista.
• Stripe (Stripe Payments Europe) – betalingsbehandling for betalte abonnement, der du er selger (merchant of record), jf. punkt 3.

8. Bistand med de registrertes rettigheter

skribb bistår deg, så langt det er mulig og med egnede tekniske og organisatoriske tiltak, slik at du kan oppfylle plikten din til å svare på forespørsler fra abonnenter som vil bruke rettighetene sine: innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse.

Henvender en abonnent seg direkte til skribb om opplysninger i lista di, viser skribb vedkommende til deg som behandlingsansvarlig eller varsler deg, og handler ikke på forespørselen uten instruksjon fra deg. Avmelding håndterer tjenesten automatisk gjennom de innebygde avmeldingslenkene.

9. Bistand med sikkerhet, avvik og personvernkonsekvenser

skribb bistår deg med å oppfylle pliktene dine etter personvernforordningen artikkel 32–36, ut fra behandlingens art og opplysningene skribb har tilgang til:

• Sikkerhet ved behandlingen (artikkel 32), jf. tiltakene i punkt 6.
• Brudd på personopplysningssikkerheten (artikkel 33–34): oppdager skribb et avvik som rammer abonnentlista di, varsler skribb deg uten ugrunnet opphold og så raskt at du rekker din egen frist på 72 timer etter artikkel 33, med de opplysningene du trenger for å vurdere melding til Datatilsynet og til abonnentene.
• Vurdering av personvernkonsekvenser og forhåndsdrøfting (artikkel 35–36): skribb gir deg den informasjonen om behandlingen som du trenger, dersom en slik vurdering er aktuell.

10. Internasjonale overføringer

Abonnentlista driftes via Cloudflare. Behandlingen kan skje både innenfor og utenfor EØS, og enkelte underdatabehandlere (Cloudflare og Stripe) har virksomhet også utenfor EØS.

Skjer det en overføring ut av EØS, hviler den på et lovlig overføringsgrunnlag, for eksempel EU-kommisjonens standard personvernbestemmelser (SCC). skribb overfører ikke abonnentlista til et tredjeland på andre instruksjoner enn dine, jf. punkt 4.

11. Sletting eller tilbakelevering ved avslutning

Når du slutter å bruke skribb, eller avtaleforholdet ellers avsluttes, sletter eller tilbakeleverer skribb abonnentlista etter ditt valg, og sletter eksisterende kopier, med mindre EØS-rett eller norsk rett krever at opplysningene lagres lenger.

Velger du tilbakelevering, får du lista i et alminnelig, maskinlesbart format. Regnskapsdata knyttet til betalte abonnement kan skribb måtte beholde så lenge bokføringsloven krever, uavhengig av valget ditt.

12. Dokumentasjon og revisjon

skribb gjør tilgjengelig for deg all informasjon som trengs for å vise at pliktene i artikkel 28 er oppfylt, og legger til rette for og bidrar til revisjoner, inkludert inspeksjoner, som du eller en revisor du har gitt fullmakt, gjennomfører.

I praksis besvarer skribb dokumentasjonsforespørsler om behandlingen av abonnentlista skriftlig på post@skribb.no, uten ugrunnet opphold og normalt innen 30 dager. Revisjon kan kreves inntil én gang i året, og ellers ved et bekreftet avvik eller når en tilsynsmyndighet pålegger det. Revisjon avtales på forhånd, slik at den ikke går ut over driften eller andre skaperes data, og du dekker dine egne kostnader ved revisjonen.

13. Varsel om ulovlig instruksjon

Mener skribb at en instruksjon fra deg bryter med personvernforordningen eller andre personvernregler i EØS-retten eller norsk rett, gir skribb deg straks beskjed. skribb kan da utsette eller la være å følge instruksjonen til den er avklart.

14. Ansvar

Hver part svarer for sine egne brudd. skribb svarer for skade som følger av at skribb ikke har oppfylt pliktene i avtalen her eller i artikkel 28, og du svarer for at instruksjonene dine og behandlingsgrunnlaget ditt er lovlige, jf. punkt 4 og Vilkårene punkt 4. skribb er ikke ansvarlig overfor deg for skade som skyldes instruksjonene dine eller manglende lovlig grunnlag på din side.

Ansvaret følger ellers personvernforordningen artikkel 82 og de alminnelige ansvarsbegrensningene i Vilkårene punkt 8.

15. Endringer og forholdet til Vilkårene

Avtalen her er en del av Vilkårene og utfyller punkt 4 der. Ved motstrid mellom denne avtalen og Vilkårene for øvrig, gjelder denne avtalen for behandlingen av abonnentlista.

skribb kan oppdatere avtalen. Vesentlige endringer dateres i «Sist oppdatert» øverst, og versjonsnummeret økes. Norsk lov gjelder, jf. Vilkårene punkt 9. Har du spørsmål om databehandlingen, skriv til post@skribb.no.