# Databehandleravtale (DPA)

Denne databehandleravtalen («Avtalen») regulerer databehandlers behandling av personopplysninger
på vegne av behandlingsansvarlig i forbindelse med bruk av tjenesten **MarinaFlow**, og inngås i
henhold til personvernforordningen (GDPR) artikkel 28.

---

## 1. Parter

**Databehandler (leverandør):**
- MarinaFlow AS
- Org.nr: 938 317 666
- Adresse: Ødegårdssletta 3, 1735 Varteig
- Kontakt personvern: support@marinaflow.no

**Behandlingsansvarlig (kunde):**
- Bedrift: ______________________________
- Org.nr: ______________________________
- Adresse: ______________________________
- Kontaktperson: ______________________________
- E-post: ______________________________

---

## 2. Bakgrunn og formål

Behandlingsansvarlig bruker MarinaFlow som driftssystem for marina, opplag og båtverksted.
Databehandler behandler personopplysninger utelukkende på vegne av og etter dokumenterte
instrukser fra behandlingsansvarlig, slik det fremgår av denne Avtalen og tjenestens funksjonalitet.

## 3. Behandlingens art, formål og varighet

- **Art:** Innsamling, lagring, strukturering, visning, endring og sletting av personopplysninger i tjenesten.
- **Formål:** Administrasjon av kunder, båter, slippkalender, verksted, opplag, brygge, fakturaunderlag og kommunikasjon (SMS/e-post).
- **Varighet:** Så lenge kundeforholdet består. Ved opphør slettes eller tilbakeleveres data i henhold til punkt 10.

## 4. Kategorier av registrerte og personopplysninger

- **Registrerte:** Kunder av behandlingsansvarlig, kontaktpersoner, samt behandlingsansvarligs egne ansatte/brukere.
- **Personopplysninger:** Navn, telefonnummer, e-postadresse, adresse (der oppgitt), båtopplysninger, ordre-/kommentarhistorikk, samt brukerkontodata (navn, e-post, rolle) og revisjonslogg (innlogging, handlinger).
- Ingen særlige kategorier (sensitive personopplysninger) skal behandles i tjenesten.

## 5. Behandlingsansvarliges plikter

Behandlingsansvarlig har ansvar for at det foreligger gyldig behandlingsgrunnlag, at registrerte har fått nødvendig informasjon, og at instrukser til databehandler er lovlige.

## 6. Databehandlers plikter

Databehandler skal:
- Kun behandle personopplysninger etter dokumenterte instrukser fra behandlingsansvarlig.
- Sikre at personer med tilgang har taushetsplikt.
- Iverksette egnede tekniske og organisatoriske tiltak (jf. punkt 7).
- Bistå behandlingsansvarlig med å oppfylle registrertes rettigheter og sikkerhets-/DPIA-plikter.
- Varsle behandlingsansvarlig uten ugrunnet opphold ved brudd på personopplysningssikkerheten.

## 7. Sikkerhetstiltak (GDPR art. 32)

- Kryptert transport (HTTPS/TLS) for all datatrafikk.
- Streng flerklient-isolasjon: alle data er knyttet til en bedrift (`company_id`) og adskilt per kunde.
- Rollebasert tilgangsstyring (administrator/ansatt) og passordhashing.
- Supporttilgang krever eksplisitt, tidsbegrenset samtykke fra kundens administrator og logges.
- Revisjonslogg for sikkerhetshendelser og administrative handlinger.
- Regelmessig sikkerhetskopiering med definert oppbevaringstid.

## 8. Bruk av underleverandører (underdatabehandlere)

Behandlingsansvarlig gir generelt samtykke til bruk av underdatabehandlere. Databehandler skal
påse at underdatabehandlere er bundet av tilsvarende forpliktelser, og varsle ved endringer.
Aktuelle underdatabehandlere:

| Underleverandør | Formål | Lokasjon |
|---|---|---|
| Skyinfrastruktur / drift | Hosting, database, objektlagring | EU/EØS |
| SMS-leverandør (Sveve / LINK Mobility) | Utsending av SMS til kunder | EU/EØS |
| Resend | Utsending av e-post | EU/USA (SCC) |

*(Fylles ut/oppdateres av MarinaFlow AS.)*

## 9. Overføring til tredjeland

Overføring utenfor EØS skjer kun der det foreligger gyldig overføringsgrunnlag (f.eks. EUs standard
personvernbestemmelser – SCC).

## 10. Sletting og tilbakelevering

Ved opphør av Avtalen skal databehandler, etter behandlingsansvarliges valg, slette eller
tilbakelevere alle personopplysninger, med mindre lagring er pålagt etter lov. Tjenesten støtter
egen dataeksport (JSON) og «rett til å bli glemt»-sletting som anonymiserer personopplysninger i
tilknyttede oppføringer.

## 11. Revisjon

Databehandler skal gjøre tilgjengelig all informasjon som er nødvendig for å dokumentere at
forpliktelsene i art. 28 overholdes, og muliggjøre revisjoner.

## 12. Varighet, mislighold og lovvalg

Avtalen gjelder så lenge databehandler behandler personopplysninger for behandlingsansvarlig.
Norsk rett gjelder. Verneting er databehandlers forretningssted, med mindre annet følger av ufravikelig lov.

---

## Signaturer

**For MarinaFlow AS (databehandler)**

Navn: ______________________  Tittel: ______________  Dato: __________  Signatur: ______________

**For behandlingsansvarlig (kunde)**

Navn: ______________________  Tittel: ______________  Dato: __________  Signatur: ______________