Sist revidert: 07.11.2025

Denne databehandleravtalen («Avtalen») inngås mellom:

• Behandlingsansvarlig («Kunden»): Den juridiske enhet som er identifisert i det tilhørende tilbudsdokumentet eller hovedavtalen («Hovedavtalen»), inkludert navn, organisasjonsnummer, adresse og kontaktperson som angitt der.
• Databehandler («Wonderwave AS» eller «Vi»): Wonderwave AS, organisasjonsnummer 929 635 450 MVA, adresse Traverveien 11, 0588 Oslo, kontaktperson support@hjemmesidehelten.no.

Avtalen regulerer behandlingen av personopplysninger i henhold til personopplysningsloven og EU-forordning 2016/679 (GDPR), artikkel 28. Den trer i kraft ved signering av Hovedavtalen og gjelder så lenge Wonderwave AS behandler personopplysninger på Kundens vegne (f.eks. via utvikling, hosting eller Vedlikeholdspakke for WordPress-hjemmesider).

Avtalen er en integrert del av Hovedavtalen og erstatter eventuelle generelle bestemmelser om personvern. Ved motstrid går denne Avtalen foran. Kunden identifiseres fullt ut i Hovedavtalen, og endringer i Kundens detaljer oppdateres der.

1. Formål

Denne Avtalen regulerer Wonderwave AS’ behandling av personopplysninger på vegne av Kunden i forbindelse med bruken av WordPress-tjenester. Formålet er å tilby Kunden en plattform for utvikling, drift og vedlikehold av hjemmesider, inkludert hosting, backup og kommunikasjon via support.

2. Definisjoner

• Personopplysninger: Enhver informasjon om en identifisert eller identifiserbar fysisk person.
• Behandling: Enhver operasjon eller sett av operasjoner på personopplysninger (f.eks. lagring, endring, sletting).
• Tjenester: Utvikling, hosting og Vedlikeholdspakke for WordPress-hjemmesider, inkludert plugins og support.
• Underbehandler: En tredjepart som Wonderwave AS engasjerer for å behandle data på våre vegne.

3. Behandlingsansvar og ansvarsfordeling

Wonderwave AS hoster WordPress-plattformen og leverer funksjonalitet som hjelper Kunden med å oppfylle GDPR og andre krav. Kunden (Behandlingsansvarlig) er ansvarlig for å drifte systemet, noe som inkluderer:

• Å legge inn all nødvendig informasjon (f.eks. innhold, brukerdata).
• Å administrere bruken av systemet ved å sikre at relevante data og prosesser følges opp i henhold til lovgivning og interne krav.

Kunden er behandlingsansvarlig og bestemmer formål og midler for behandlingen. Wonderwave AS er databehandler og behandler data utelukkende på Kundens instruksjoner og for å levere tjenestene beskrevet i Hovedavtalen (f.eks. utvikling, drift, backup og oppdateringer av WordPress-hjemmesider).

4. Kategorier av personopplysninger og registrerte

Wonderwave AS skal kun behandle følgende kategorier av personopplysninger i henhold til Kundens instruksjoner:

• Navn, kontaktinformasjon (e-post, telefon) og roller (f.eks. WP-admin-brukere).
• Opplysninger knyttet til hjemmesidens funksjonalitet (f.eks. skjema-data, IP-adresser, kommunikasjon via support).
• Data fra plugins (f.eks. WooCommerce-kunder eller Google Analytics-logger).

Behandlingen omfatter:

• Lagring og hosting av Kundens WordPress-hjemmeside, inkludert database, filer og plugins.
• Backup og gjenoppretting (kun ved Vedlikeholdspakke).
• Analyse og optimalisering (f.eks. via integrerte verktøy som Google Analytics, med Kundens samtykke).
• Support og feilretting, inkludert tilgang til WP-admin.

Vi behandler aldri sensitive data med mindre uttrykkelig avtalt.

5. Behandlingsgrunnlag

Behandlingen skjer på grunnlag av avtaler og instruksjoner fra Kunden, som har det juridiske ansvaret for å sikre at behandlingen er lovlig (f.eks. ved å innhente samtykker når det er nødvendig).

6. Wonderwave AS’ forpliktelser som databehandler

6.1 Generelt

Vi behandler personopplysninger kun innenfor rammen av denne Avtalen og Kundens skriftlige instruksjoner. Endringer i instruksjoner må gis skriftlig.

6.2 Sikkerhetstiltak

Vi implementerer tekniske og organisatoriske tiltak som beskytter data mot uautorisert eller ulovlig behandling og mot tap, ødeleggelse eller skade. Dette inkluderer:

• Kryptering (f.eks. SSL/TLS for hosting).
• Tilgangskontroll (rollebasert tilgang i WP-admin).
• Regelmessige sikkerhetstester og oppdateringer (ved Vedlikeholdspakke).
• Backup-rutiner (sikker og kryptert lagring).

Vi gjennomgår tiltakene årlig og informerer Kunden om vesentlige endringer. Alle ansatte og underleverandører er underlagt taushetsplikt.

6.3 Underbehandlere

Vi bruker underbehandlere (f.eks. hosting-leverandører som SiteGround eller plugins som WooCommerce) kun med Kundens forhåndsgodkjenning. Vi inngår skriftlige avtaler med underbehandlere som sikrer samme nivå av beskyttelse som denne Avtalen. En oppdatert liste over underbehandlere sendes på forespørsel.

6.4 Underretning om brudd

Ved personopplysningsbrudd varsler vi Kunden uten ugrunnet opphold (senest innen 72 timer) og gir nødvendig informasjon for å oppfylle Kundens varsleplikt til berørte personer eller Datatilsynet. Vi bistår Kunden med å håndtere bruddet, inkludert varsling til myndigheter hvis nødvendig.

6.5 Assistanse

Vi bistår Kunden med å oppfylle GDPR-plikter, som innsyn, retting, sletting, begrensning og dataportabilitet. Dette kan medføre ekstra kostnader etter timepris (kr 989 eks. mva.) med mindre det dekkes av Vedlikeholdspakke. Vi gir nødvendig dokumentasjon for å vise samsvar med personvernlover.

6.6 Rapportering

Ved Vedlikeholdspakke sender vi månedlige rapporter om behandlingsaktiviteter (f.eks. oppdateringer, backup-status).

7. Audit og tilsyn

• Kunden har rett til å gjennomføre audit eller inspeksjon én gang årlig, med 30 dagers varsel.
• Audit skal ikke forstyrre vår drift unødvendig, og kostnader dekkes av Kunden med mindre brudd avdekkes.
• Vi skal gi nødvendig dokumentasjon for å bevise compliance.

8. Sletting og returnering av data

• Ved Avtalens opphør returnerer eller sletter vi alle personopplysninger innen 30 dager, med mindre lovpålagt oppbevaring kreves (f.eks. regnskapsdata i 5 år).
• Kunden kan kreve returnering i maskinlesbart format (f.eks. WP-eksport). Backup slettes permanent.
• Oppbevaring skjer kun så lenge det er nødvendig for tjenestene; deretter slettes eller anonymiseres dataene.

9. Overføring av personopplysninger til tredjeland

Wonderwave AS skal ikke overføre personopplysninger til tredjeland (land utenfor EU/EØS) uten avtale med Kunden, og uten at overføringen er lovlig i henhold til personvernlovgivningen (f.eks. via EU-kommisjonens standardkontrakter).

10. Ansvar og erstatning

Hver part er ansvarlig for eventuelle brudd som oppstår som følge av egne handlinger eller forsømmelser. Ved vesentlig mislighold erstatningsansvar begrenset til direkte tap, maksimalt beløpet betalt siste 12 måneder (jf. Hovedavtalens punkt 8).

11. Varighet, oppsigelse og konsekvenser

• Avtalen gjelder så lenge vi behandler personopplysninger på Kundens vegne, i samsvar med Hovedavtalen.
• Ved opphør av avtalen skal vi behandle personopplysninger i samsvar med punkt 8 i denne Avtalen.
• Ved brudd kan den skadelidte parten heve Avtalen med umiddelbar virkning.

12. Konfidensialitet

Partene forplikter seg til å holde personopplysninger og annen konfidensiell informasjon taushetsbelagt, også etter Avtalens opphør.

13. Lovvalg og tvister

Norsk rett gjelder. Tvister søkes løst i minnelighet; ellers ved Oslo tingrett som verneting (jf. Hovedavtalens punkt 15).

14. Endringer

Endringer krever skriftlig enighet. Vi varsler om vesentlige endringer med 30 dagers frist.