Databehandleravtale for Ordlyd

Etter personvernforordningen artikkel 28 nr. 3 Versjon 1.0 · 6. september 2026

Parter

Behandlingsansvarlig (kunden) Virksomhet: ______________________ Org.nr.: ______________ Kontaktperson: ______________________ E-post: ______________________

Databehandler (leverandøren) Virksomhet: LEAD IT v/Ordlyd.no Org.nr.: 997950941 Kontaktperson: Christoffer Corzani E-post: christoffer@corzani.no

Avtalen gjelder fra signeringsdato og så lenge leverandøren behandler personopplysninger på vegne av kunden.

1. Hva avtalen gjelder

Kunden tar i bruk Ordlyd, en lese- og skrivestøtte for personer med dysleksi. Selve lese- og skrivestøtten kjører lokalt på brukerens maskin og behandler ingen personopplysninger hos leverandøren. Denne avtalen gjelder det leverandøren faktisk behandler: administrasjon av lisenser.

Avtalen går foran leverandørens øvrige vilkår ved motstrid om behandling av personopplysninger.

Ordlyd er gratis. Avtalen er ikke betinget av vederlag, og lisenskoden er et tilgangsstyringsverktøy, ikke en betalingsmur.

2. Behandlingens art, formål, varighet og kategorier

Se vedlegg A, som er en del av avtalen.

Kort: formålet er å gi kundens brukere tilgang til programvaren og å fornye tilgangen automatisk, samt å oppdage at lisenskoder spres utenfor kundens krets. Kategoriene er e-postadresse (lagret pseudonymisert), lisenskode (lagret pseudonymisert), installasjonsopplysninger og bruksmål på lisensnivå.

Særlig om sårbare grupper: Brukerne er ofte elever, også under 15 år, og det at noen bruker Ordlyd kan i seg selv antyde lese- og skrivevansker. Leverandøren behandler derfor ikke navn, alder, klasse, skole, diagnose eller opplysninger om hva den enkelte leser eller skriver, og har innrettet tjenesten slik at slike opplysninger ikke kan oppstå. Se vedlegg A punkt 6.

3. Instruksjonsmyndighet

Leverandøren behandler personopplysninger bare etter dokumentert instruks fra kunden. Denne avtalen med vedlegg utgjør den samlede instruksen ved avtaleinngåelse. Ytterligere instrukser gis skriftlig til kontaktpersonen.

Mener leverandøren at en instruks er i strid med personvernregelverket, skal kunden varsles umiddelbart, og leverandøren kan avvente gjennomføring til forholdet er avklart.

Leverandøren behandler ikke opplysningene til egne formål. Statistikk om bruk lages bare i aggregert form som ikke kan knyttes til enkeltpersoner.

4. Taushetsplikt

Alle hos leverandøren med tilgang til personopplysninger er underlagt taushetsplikt, skriftlig eller ved lov. Taushetsplikten gjelder også etter at oppdraget eller arbeidsforholdet er avsluttet.

Tilgang gis etter behovsprinsippet: bare de som trenger tilgang for å levere tjenesten, får den, og tilgangen fjernes når behovet opphører.

5. Sikkerhet

Leverandøren gjennomfører egnede tekniske og organisatoriske tiltak etter artikkel 32. Tiltakene er beskrevet i sikkerhetsdokumentasjonen, som er vedlegg C til avtalen og er offentlig tilgjengelig på lisens.ordlyd.no/dokumenter/sikkerhet-og-hendelser.

Sentrale tiltak: e-postadresser og lisenskoder lagres som pepret hash med nøkkel utenfor databasen, all kommunikasjon går over TLS, lisensbeviset er digitalt signert og verifiseres lokalt, klientprogramvare inneholder ingen databasenøkkel, og ratebegrensning hindrer gjetting av koder.

Endres tiltakene vesentlig i negativ retning, varsles kunden på forhånd.

6. Underdatabehandlere

Kunden gir generell forhåndsgodkjenning til bruk av underdatabehandlere. Gjeldende liste står i vedlegg B.

Leverandøren skal:

• inngå skriftlig avtale med hver underdatabehandler som pålegger minst de samme pliktene som følger av denne avtalen
• varsle kunden minst 30 dager før en underdatabehandler byttes eller legges til
• svare fullt ut overfor kunden for underdatabehandlerens utførelse

Kunden kan protestere skriftlig innen varselfristen. Blir partene ikke enige, kan kunden si opp avtalen for den berørte tjenesten uten kostnad og uten oppsigelsestid.

7. Overføring ut av EØS

Behandlingen skjer i EØS. Vercel Inc., Supabase Inc. og Cloudflare, Inc. er amerikanskeide, men behandler opplysningene i EU (se vedlegg B) — som ekstra sikkerhet mot at amerikansk lovgivning skulle gi tilgang til opplysninger som faktisk ligger i EU, er behandlingen hos disse tre i tillegg regulert med EU-kommisjonens standard personvernbestemmelser (SCC). Dette er ikke en overføring ut av EØS i personvernforordningens forstand, siden ingen opplysninger forlater EU-territoriet.

E-postutsending med lisenskoden går gjennom LetterMint, som er et europeisk selskap og behandler i EU.

Skulle en fremtidig underdatabehandler kreve faktisk overføring ut av EØS, varsles kunden etter punkt 6 før endringen trer i kraft, og en vurdering av overføringsgrunnlaget (TIA) utarbeides og gjøres tilgjengelig for kunden.

8. Bistand til de registrertes rettigheter

Leverandøren bistår kunden med å oppfylle rettighetene i artikkel 12 til 23. Henvender en registrert seg direkte til leverandøren, videresendes henvendelsen til kunden uten ugrunnet opphold, og leverandøren svarer ikke på kundens vegne uten avtale.

Frist: Leverandøren svarer på kundens forespørsel om innsyn, retting, sletting, begrensning eller dataportabilitet innen 10 virkedager, slik at kunden rekker sin egen frist på én måned.

Praktisk begrensning som kunden må kjenne: E-postadressen finnes bare som pepret hash. Leverandøren finner opplysningene ved å regne ut hashen av adressen kunden oppgir, og kan derfor ikke produsere en lesbar liste over alle registrerte. Dette er en bevisst sikkerhetsavveining, beskrevet i personvernerklæringen punkt 3.6.

9. Bistand til vurderinger og forhåndsdrøfting

Leverandøren bistår kunden med:

• personvernkonsekvensvurdering (artikkel 35) — underlaget er publisert som eget dokument, se lisens.ordlyd.no/dokumenter/behandlingsprotokoll
• forhåndsdrøfting med Datatilsynet (artikkel 36)
• å svare på sikkerhetsspørreskjema fra kunden, innen 15 virkedager

10. Brudd på personopplysningssikkerheten

Leverandøren varsler kunden uten ugrunnet opphold og senest 24 timer etter å ha blitt kjent med et brudd. Fristen er kortere enn kundens egen 72-timersfrist til Datatilsynet med vilje, slik at kunden har tid til å vurdere saken selv.

Varselet skal så langt det er mulig inneholde:

• hva som har skjedd, og når det ble oppdaget
• hvilke kategorier og omtrent hvor mange registrerte og poster som er berørt
• sannsynlige konsekvenser
• iverksatte og planlagte tiltak
• kontaktpunkt for mer informasjon

Er ikke alt kjent innen 24 timer, sendes varselet med det som er kjent, og oppdateres fortløpende. Leverandøren melder ikke til Datatilsynet på kundens vegne med mindre det er skriftlig avtalt. Leverandøren fører protokoll over alle brudd, også dem som ikke er meldepliktige. Full rutine i vedlegg C.

11. Revisjon og dokumentasjon

Kunden kan kontrollere at avtalen etterleves ved å:

• kreve utlevert dokumentasjonen nevnt i denne avtalen — svar innen 15 virkedager
• kreve revisjon inntil én gang per kalenderår, og i tillegg etter et brudd på personopplysningssikkerheten som berører kunden

Revisjon varsles skriftlig minst 30 dager i forveien, gjennomføres i normal arbeidstid og skal ikke være til urimelig ulempe for driften. Kunden dekker egne kostnader. Leverandøren dekker egne kostnader inntil én revisjonsdag per år.

Leverandøren gjør tilgjengelig all informasjon som er nødvendig for å vise at pliktene i artikkel 28 er oppfylt.

12. Opphør — retur og sletting

Ved opphør velger kunden skriftlig om opplysningene skal slettes eller returneres i et strukturert, maskinlesbart format. Er valget ikke gjort innen 30 dager etter opphør, slettes opplysningene.

Sletting gjennomføres innen 30 dager etter kundens beslutning, i alle systemer og hos underdatabehandlere, med unntak av det leverandøren er rettslig forpliktet til å beholde. Sikkerhetskopier slettes ved neste ordinære rullering, senest innen 90 dager; inntil da er de ikke tilgjengelige for ordinær bruk.

Leverandøren utsteder skriftlig sletteattest til kunden når slettingen er gjennomført.

13. Ansvar, varighet, endringer og lovvalg

Partene svarer etter artikkel 82 og alminnelige erstatningsregler. Avtalen løper så lenge leverandøren behandler personopplysninger for kunden, og kan sies opp skriftlig med 30 dagers varsel. Punkt 4 (taushetsplikt) og punkt 12 (sletting) gjelder også etter opphør.

Endringer avtales skriftlig. Leverandøren kan likevel oppdatere vedlegg B etter prosedyren i punkt 6.

Avtalen er underlagt norsk rett. Tvister søkes løst i minnelighet; ellers er verneting kundens forretningssted.

Signatur

Vedlegg A — Behandlingsoversikt

1. Formål

2. Behandlingens art: innsamling, lagring, sammenstilling (hashing), oppslag, sperring og sletting.

3. Varighet: så lenge kundeforholdet varer, med lagringstidene i punkt 5.

4. Kategorier av registrerte: elever og andre brukere hos kunden, og kundens egne lisensadministratorer. Brukerne kan være barn under 15 år.

5. Kategorier av personopplysninger og lagringstid

Lagringstidene er automatisert i en daglig oppryddingsjobb. Endres en tid her, endres den i koden samtidig.

6. Opplysninger som IKKE behandles: navn, fødselsdato, klasse, diagnose, andre helseopplysninger, nettleserhistorikk, innholdet brukeren leser eller skriver, ordbokoppslag, maskinvareavtrykk og full IP-adresse.

Vedlegg B — Underdatabehandlere

Gjeldende per 6. september 2026:

Ikke underdatabehandler for lisensopplysninger: Nettstedet ordlyd.no driftes separat, hos Cloudflare. De behandler besøksdata for nettstedet, ikke lisensopplysninger. Se personvernerklæringen punkt 6 og 10.

Endringer varsles etter avtalens punkt 6 med 30 dagers frist og protestrett.

Vedlegg C — Sikkerhetstiltak

Se docs/sikkerhet-og-hendelser.md, publisert på lisens.ordlyd.no/dokumenter/sikkerhet-og-hendelser. Dokumentet er en del av avtalen.