Databehandleravtale

1. Partene og avtalens omfang

Databehandler er Hostly AS, organisasjonsnummer 935 906 423, Slettaveie 7, 1553 Son. Kontakt: hei@hostly.no eller en supportsak i kundeportalen merket «Personvern». Kunden er virksomheten identifisert i bestillingen eller den særskilte avtalen. Kundens registrerte kontaktperson er kontaktpunkt for instrukser og varsler.

Kunden er normalt behandlingsansvarlig for opplysninger i egne nettsider, databaser og postkasser. Dersom kunden selv er databehandler, gjelder Hostlys forpliktelser som underdatabehandler. Kunden skal da ha nødvendig fullmakt og tillatelse fra den behandlingsansvarlige.

Avtalen gjelder de bestilte hosting-, e-post-, backup- og driftstjenestene. Hostlys behandling av opplysninger til egen kundeadministrasjon, fakturering og salg beskrives i personvernerklæringen og faller utenfor dette databehandleroppdraget.

2. Instrukser og kundens ansvar

Bestillingen, denne avtalen og kundens innstillinger og dokumenterte supportbestillinger utgjør instruksen. Hostly skal bare behandle opplysningene for å levere, sikre og støtte de avtalte tjenestene. Opplysningene skal ikke brukes til Hostlys egen markedsføring, profilering eller trening av generelle KI-modeller.

Kunden bestemmer formål, behandlingsgrunnlag, hvilke opplysninger som legges i tjenesten og hvilke personer som får tilgang. Kunden sørger for nødvendig informasjon til de registrerte, lovlige instrukser og at egne brukere, applikasjoner og integrasjoner er riktig konfigurert.

Tilleggsinstrukser gis skriftlig av en autorisert kontakt. Hostly varsler straks dersom en instruks etter vår vurdering strider mot personvernregelverket, og avventer avklaring før den aktuelle behandlingen utføres. Krever lov annen behandling, informeres kunden før behandlingen så langt loven tillater det.

3. Varighet og forholdet til øvrige vilkår

Avtalen løper fra avtalt oppstart og så lenge Hostly behandler opplysninger på kundens vegne, også under tilbakelevering og sletting. Ved motstrid om personopplysninger går denne avtalen foran generelle salgsbetingelser. Ufravikelige regler gjelder alltid.

Publisering av en ny versjon på nettstedet endrer ikke en allerede inngått avtale. Materielle endringer avtales skriftlig, bortsett fra leverandørendringer som håndteres etter punkt 5. Den avtalte versjonen og bestillingsreferansen skal beholdes av begge parter.

4. Fortrolighet og sikkerhet

Hostly skal gjennomføre og vedlikeholde tekniske og organisatoriske tiltak tilpasset risikoen etter personvernforordningen artikkel 32. Basistiltak og ansvarsdeling står i bilag B. Tiltak kan forbedres uten ny avtale, men det samlede sikkerhetsnivået skal ikke reduseres.

Tilgang gis bare til personer med tjenstlig behov og fortrolighetsplikt. Tilgang skal begrenses, gjennomgås og fjernes når behovet opphører. Hostly skal sikre at personell som behandler kundedata kjenner relevante sikkerhets- og personvernrutiner.

Kunden skal varsle om særlige krav før data tas i bruk. Standardtjenesten er ikke i seg selv en godkjenning for pasientjournaler, omfattende behandling av særlige kategorier av personopplysninger eller andre behandlinger med særskilte lovkrav. Slik bruk krever en konkret vurdering og skriftlig tilleggsavtale.

5. Bruk og endring av underdatabehandlere

Ved inngåelse gir kunden generell skriftlig tillatelse til de underdatabehandlerne som er identifisert i leverandørbilaget som følger avtalen. Hostly skal pålegge dem de samme relevante personvernforpliktelsene og beholder ansvaret overfor kunden for deres oppfyllelse.

Hostly skal varsle planlagte tillegg eller utskiftinger før den nye leverandøren behandler kundedata. Varsel sendes til kundens registrerte e-postadresse, normalt minst 30 dager før endringen. Kunden kan fremme en begrunnet personverninnsigelse innen den oppgitte fristen og skal ha reell mulighet til å gjøre dette før endringen.

Ved innsigelse undersøker partene et forsvarlig alternativ. Hvis et alternativ ikke kan leveres, kan kunden avslutte den berørte tjenesten før endringen uten særskilt oppsigelsesgebyr og få tilbakebetalt ubenyttet forskuddsbetaling. Kundens rett til eksport ivaretas. En kortere varslingstid gir ikke Hostly rett til å sette kundens lovbestemte rettigheter til side.

Oppdatert oversikt over juridiske enheter, oppgaver, land og relevante leverandørledd skal gjøres tilgjengelig for kunden. Forretningssensitiv informasjon kan deles fortrolig, men skal ikke holdes tilbake når den er nødvendig for kundens kontroll, godkjenning eller plikter.

6. Behandlingssted og overføring utenfor EØS

Primær lagringsregion følger det bestilte produktet og bilag C. Ingen standardpakke innebærer et løfte om at alle data lagres eller bare er tilgjengelige i Norge. Fjernaksess fra et annet land skal inngå i vurderingen av behandlingssted og eventuelle overføringer.

Hostly skal ikke flytte behandlingen til nye land i strid med kundens dokumenterte instruks. Overføring utenfor EØS krever et gyldig grunnlag etter personvernforordningen kapittel V, for eksempel en gjeldende adekvansbeslutning eller relevante standard personvernbestemmelser med nødvendige vurderinger og supplerende tiltak. Et datasentervalg alene erstatter ikke denne vurderingen.

Hostly skal på forespørsel gi kunden dokumentasjon om relevante overføringsgrunnlag. Hvis grunnlaget faller bort, skal behandlingen tilpasses, flyttes eller stanses i det omfang som er nødvendig for å unngå en ulovlig overføring.

7. Sikkerhetsbrudd

Hostly varsler kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører kundedata. Første varsel skal ikke utsettes til hele undersøkelsen er ferdig.

Varslet skal så langt opplysningene er tilgjengelige beskrive hendelsen, kategorier og omtrentlig antall berørte personer og opplysninger, sannsynlige følger, gjennomførte eller foreslåtte tiltak og et kontaktpunkt. Manglende opplysninger ettersendes fortløpende.

Hostly skal begrense skade, sikre relevant dokumentasjon og bistå kunden med vurdering og varsling etter artikkel 33 og 34. Kunden avgjør normalt melding til tilsyn og registrerte. Hostlys selvstendige lovpålagte plikter gjelder uansett.

8. Bistand, kontroll og revisjon

Hostly skal, med hensyn til behandlingens art og tilgjengelig informasjon, bistå kunden med innsyn, retting, sletting, begrensning, dataportabilitet og andre rettigheter. Henvendelser fra registrerte om kundens behandling videresendes til kunden uten ugrunnet opphold og besvares ikke på kundens vegne uten instruks, med mindre lov krever det.

Hostly skal også bistå med sikkerhetsvurderinger, vurdering av personvernkonsekvenser og eventuell forhåndsdrøftelse etter artikkel 32 til 36. Ekstra praktisk arbeid kan prises etter avtale, men kostnader skal ikke brukes til å hindre lovpålagt bistand.

Kunden skal få informasjon som er nødvendig for å påvise etterlevelse. Hostly skal muliggjøre og bidra til revisjoner og inspeksjoner fra kunden eller kundens revisor. Partene planlegger normalt kontroll med rimelig varsel, minst mulig driftsforstyrrelse og vern av andre kunders data.

Ordinær kontroll kan begynne med dokumentasjon og relevante revisjonsrapporter. Dette begrenser ikke nødvendig inspeksjon ved sikkerhetsbrudd, begrunnet mistanke eller krav fra tilsyn. En generell frekvens- eller varslingsregel skal ikke hindre lovpålagt kontroll.

9. Opphør, eksport og sletting

Ved opphør skal Hostly etter kundens valg tilbakelevere eller slette personopplysningene og slette eksisterende kopier, med mindre lov krever videre lagring. Kunden bør bestille eksport før tjenesten avsluttes. Vanlige nettsidefiler, databaseeksport og e-post kan tas ut med verktøyene i tjenesten mens den er aktiv; bistand og eventuell annen eksport avtales med Hostly.

Etter avslutning skal data som midlertidig beholdes, isoleres fra ordinær behandling og bare være tilgjengelige for avtalt tilbakelevering, sletting eller lovpålagt sikring. Backup følger dokumenterte sletterutiner. Data som gjenopprettes under en nødvendig gjenoppretting, skal igjen omfattes av tidligere sletteinstrukser.

Hostly skal på forespørsel dokumentere gjennomført sletting eller opplyse hvilke kopier som midlertidig gjenstår, hvorfor de beholdes, hvem som har tilgang og når de slettes. Uavklart backupstatus gir ikke tillatelse til ubegrenset lagring. Bilag D beskriver standardforløpet.

10. Bilag A – behandlingens innhold

• Parter: Hostly AS og virksomheten i bestillingen. Autoriserte kontaktpersoner følger kundekontoen og eventuelle skriftlige fullmakter.
• Gjenstand og formål: lagring, tilgjengeliggjøring, overføring, sikkerhetskopiering, gjenoppretting, teknisk feilsøking og sletting som er nødvendig for den bestilte nettsiden, databasen, postkassen eller serveren.
• Varighet: tjenesteperioden og nødvendig, avgrenset tid til tilbakelevering og sletting etter opphør.
• Registrerte: kundens ansatte og kontaktpersoner, kunder, leverandører, medlemmer, besøkende, brukerkontoer og e-postkorrespondenter, i den utstrekning kunden legger slike opplysninger i tjenesten.
• Opplysningstyper: navn, kontaktopplysninger, kontodata, kunde- og ordreinformasjon, nettsideinnhold, korrespondanse, vedlegg, IP-adresser og tekniske logger. Det konkrete omfanget styres av kundens løsning og instrukser.
• Avgrensning: behandling med særlige lovkrav eller høy risiko, inkludert særlige kategorier etter artikkel 9 og opplysninger etter artikkel 10, krever særskilt skriftlig avklaring før oppstart.
• Andre produkter, regioner eller datatyper: beskrives i et skriftlig tillegg før de tas i bruk. Kunden kan sende en spesifikasjon som knyttes til bestillingen.

11. Bilag B – sikkerhet og ansvarsdeling

• Tilgang: personlige administratorkontoer, behovsstyrte rettigheter og fortrolighet. Kunden bestemmer tilgangen til egne applikasjoner og bør aktivere tofaktorautentisering der det er tilgjengelig.
• Overføring: HTTPS for nettside og kontrollpanel der sertifikat er aktivert, og sikre protokoller for administrasjon og e-post der tjenesten støtter det. SSL-sertifikat alene er ikke et løfte om ende-til-ende-kryptering av e-post eller kryptering av all lagret data.
• Drift: Hostly skal følge opp sikkerhetsoppdateringer i den administrerte infrastrukturen gjennom plattformleverandøren. Kunden vedlikeholder egne temaer, utvidelser, kode og brukerkontoer med mindre separat vedlikehold er bestilt.
• Beskyttelse og oppfølging: plattformens tilgangskontroll, beskyttelse mot DDoS og relevante drifts- og sikkerhetslogger inngår i risikohåndteringen. Logger skal bare brukes til relevante drifts- og sikkerhetsformål og ha begrenset tilgang og lagringstid.
• Backup: delte WordPress-, Joomla- og Drupal-pakker omfatter daglig backup av nettsted, database og e-post. Managed Cloud har produktavhengig backup; e-postbackup inngår bare når det aktuelle tillegget er bestilt. Tilgjengelige gjenopprettingspunkter følger valgt tjeneste.
• Gjenoppretting: Hostly skal bistå med tilgjengelige sikkerhetskopier og kontrollere resultatet av gjenopprettinger som Hostly utfører. Avtalte oppbevaringstider eller responstider må fremgå av produktet eller en særskilt driftsavtale.
• Kontroll: Hostly skal regelmessig vurdere tiltakene og følge opp kjente svakheter. Leverandørens relevante sikkerhetsdokumentasjon gjøres tilgjengelig ved saklig behov, eventuelt under fortrolighet.
• Kundens ansvar: beskytt passord, oppdater kontaktpersoner, begrens tilganger, vedlikehold egne applikasjoner og varsle mistenkt misbruk. Dette fritar ikke Hostly fra egne plikter.

12. Bilag C – leverandør og regioner

Underliggende hosting og kundeportal leveres av 20i Limited, Storbritannia, som underdatabehandler for data selskapet behandler på Hostlys vegne. Hostly beholder avtaleforholdet og supportansvaret overfor kunden. Leverandørens personvern- og avtaledokumentasjon er tilgjengelig på www.20i.com/legal/gdpr-data-processing-agreement; kundens henvendelser rettes til Hostly.

Standard WordPress-, Joomla- og Drupal-produkter i den nye katalogen bruker London. De forhåndsvalgte Hostly Cloud-, WooCommerce- og Node.js-produktene bruker Frankfurt. Et annet valg i kundens bestilling går foran standardvalget. Eldre og individuelt avtalte produkter følger sin dokumenterte region.

20i har i skriftlig supportavklaring 6. november 2026 opplyst at primærdata følger valgt datasenter, ikke flyttes mellom datasentre, og at fjernaksess for support skjer fra Storbritannia. Denne avklaringen er ikke et løfte om at alle leverandørers konto-, betalings-, analyse- og administrasjonsdata følger samme region.

Leverandørens offentliggjorte oversikt omfatter også Stripe for betaling, Nominet og Tucows/OpenSRS for domener, GeoTrust for sertifikater, Google Analytics for panelanalyse og Xero for regnskap. Disse får ikke dermed generell tilgang til kundens nettstedinnhold; faktisk oppgave og rolle avgjør hvilken behandling som omfattes. Hostly skal gjøre den relevante, oppdaterte leverandørkjeden tilgjengelig for kunden.

Hostlys markedsnettsted og interne CMS brukes til Hostlys egne henvendelser og administrasjon. Det inngår ikke som standard lagringsplattform for innholdet i kundens hostede nettsider og postkasser. Kundens innhold skal ikke kopieres dit som del av ordinær hosting. Andre supportverktøy eller integrasjoner som skal behandle kundedata på kundens vegne, må omfattes av leverandøroversikten før bruk.

Google Cloud, AWS, selvadministrert VPS og særskilte integrasjoner krever produktspesifikt tillegg om leverandører, region, sikkerhet og sletting før behandling starter. Dette bilaget godkjenner ikke ukjente leverandører eller ubeskrevne land.

13. Bilag D – avslutning og dokumentasjon

Kunden gir instruks om eksport eller sletting via kundeportalen eller hei@hostly.no og identifiserer tjenesten. Hostly bekrefter omfang og praktisk gjennomføring. Ved manglende instruks ber Hostly om avklaring; data skal ikke beholdes utover det som er nødvendig og lovlig.

20i har opplyst at avsluttede produktdata isoleres og beholdes i 30 dager. Perioden er ikke en garanti for at en avsluttet tjeneste kan gjenopprettes. Kunden må derfor sikre eksport før opphør. Hostly følger opp sletting ved utløpet og avklarer konkret status for eventuelle gjenværende backupkopier ved kundens sletteforespørsel.

Lovpålagt videre lagring skal ha et dokumentert grunnlag og avgrenset formål. Hostlys egne regnskapsbilag kan omfattes av andre oppbevaringsplikter enn kundens hostede innhold. De skal ikke brukes som begrunnelse for å beholde hele kundens nettsted eller postkasse.

Ved avtaleinngåelse knyttes versjon 2026-11-06-v1 til kunden og bestillingen. En særskilt aksept kan dokumenteres gjennom signert avtale eller bekreftelse fra en autorisert kundekontakt som viser til versjonen og tjenestene. At teksten er tilgjengelig på nettsiden, er ikke i seg selv dokumentasjon på kundens aksept.