Databehandler­avtale

Databehandleravtale etter personvernforordningen (GDPR) artikkel 28 nr. 3, jf. personopplysningsloven. Versjon 1.0, 15. oktober 2026.

1. Avtalens parter

Avtalen er inngått mellom verten som har opprettet konto i Losji og godtatt vilkårene, som behandlingsansvarlig (heretter «Kunden»), og Losji AS som databehandler (heretter «Losji»). Kundens navn, organisasjonsnummer og kontaktperson er opplysningene som er registrert på Kundens konto.

Kunden og Losji omtales hver for seg som «Part» og samlet som «Partene».

2. Avtalens hensikt og forhold til andre avtaler

2.1 Avtalen regulerer Losjis behandling av personopplysninger på vegne av Kunden når Kunden bruker Losji, en nettbasert plattform for booking og drift av ferieboliger og hytteutleie. Tjenesten omfatter bookingwidget, vertsportal på app.losji.io, gjesteportal, Losjis mobilapp, publiserte nettsider og tilhørende funksjoner (heretter «Tjenesten»).

2.2 Avtalen skal sikre at personopplysninger behandles i samsvar med forordning (EU) 2016/679 (personvernforordningen, «GDPR») og lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven), heretter samlet «Personvernregelverket».

2.3 Avtalen er et tillegg til Losjis vilkår for bruk og eventuelle andre avtaler om Kundens bruk av Tjenesten («Hovedavtalen»). Ved motstrid mellom denne avtalen og Hovedavtalen går denne avtalen foran i spørsmål om behandling av personopplysninger.

2.4 Avtalen gjelder ikke opplysninger Losji behandler som selvstendig behandlingsansvarlig, for eksempel opplysninger om Kunden som kunde, brukerkontoer, fakturering, support, sikkerhet og drift av Losji. Slik behandling er beskrevet i Losjis personvernerklæring.

2.5 Begreper i avtalen har samme betydning som i GDPR artikkel 4.

3. Formål og instruks

3.1 Losji skal bare behandle personopplysninger for å levere Tjenesten til Kunden og etter Kundens dokumenterte instrukser. Avtalen, Hovedavtalen og Kundens konfigurasjon og bruk av Tjenesten utgjør Kundens instruks. Formål, art og omfang er nærmere beskrevet i vedlegg A.

3.2 Losji skal ikke behandle personopplysningene til egne formål, og skal ikke selge eller utlevere dem til andre enn underleverandører godkjent etter punkt 9, med mindre det følger av lov. Skulle Losji være rettslig forpliktet til å behandle opplysningene på annen måte, skal Losji varsle Kunden før behandlingen starter, med mindre loven forbyr slik varsling.

3.3 Losji skal straks varsle Kunden dersom Losji mener at en instruks er i strid med Personvernregelverket.

3.4 Ytterligere eller endrede instrukser skal gis skriftlig. Losji kan kreve at instrukser som går ut over Tjenestens ordinære funksjonalitet, avtales og eventuelt prises særskilt.

4. Kundens plikter

4.1 Kunden er behandlingsansvarlig og skal sørge for at det finnes et gyldig behandlingsgrunnlag for opplysningene som behandles i Tjenesten, og at de registrerte får informasjon etter GDPR artikkel 13 og 14.

4.2 Kunden avgjør hvilke opplysninger som registreres, og skal ikke legge inn flere personopplysninger enn det som er nødvendig for formålet. Kunden skal ikke registrere særlige kategorier av personopplysninger (GDPR artikkel 9) eller opplysninger om straffedommer (artikkel 10) i Tjenesten, med mindre dette er særskilt avtalt.

4.3 Kunden er ansvarlig for å styre egne brukeres tilganger i Tjenesten, holde innloggingsinformasjon trygg og varsle Losji uten ugrunnet opphold ved mistanke om uautorisert bruk av kontoen.

4.4 Kunden er ansvarlig for integrasjoner og tredjepartstjenester Kunden selv aktiverer (se vedlegg B, punkt B.3). Når Kunden aktiverer en slik integrasjon, gir Kunden samtidig instruks om at Losji skal utveksle nødvendige opplysninger med tjenesten.

5. Losjis plikter

Losji skal:

• behandle personopplysningene i samsvar med denne avtalen og Personvernregelverket;
• sørge for at personer som har tilgang til opplysningene, har taushetsplikt etter punkt 6;
• gjennomføre tekniske og organisatoriske sikkerhetstiltak etter punkt 7 og vedlegg C;
• bare bruke underleverandører i samsvar med punkt 9;
• bistå Kunden etter punkt 10;
• varsle Kunden om brudd på personopplysningssikkerheten etter punkt 11;
• føre protokoll over behandlingsaktiviteter som utføres på vegne av Kunden, jf. GDPR artikkel 30 nr. 2;
• gjøre tilgjengelig all informasjon som er nødvendig for å påvise at forpliktelsene i GDPR artikkel 28 er oppfylt, jf. punkt 12.

6. Taushetsplikt

6.1 Losji skal sikre at ansatte, innleide og andre som behandler personopplysninger på vegne av Losji, er underlagt taushetsplikt, enten gjennom avtale eller etter lov. Taushetsplikten gjelder også etter at avtalen eller arbeidsforholdet er opphørt.

6.2 Tilgang til personopplysninger skal begrenses til navngitte personer som trenger tilgangen for å levere, drifte, sikre eller gi support på Tjenesten, jf. vedlegg C.

7. Informasjonssikkerhet

7.1 Losji skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som passer risikoen, jf. GDPR artikkel 32. Tiltakene skal ta hensyn til den tekniske utviklingen, kostnadene, behandlingens art, omfang, formål og sammenheng, og risikoen for de registrertes rettigheter og friheter.

7.2 Gjeldende tiltak er beskrevet i vedlegg C. Losji kan endre tiltakene, forutsatt at sikkerhetsnivået ikke blir lavere.

7.3 Losji skal dokumentere sikkerhetstiltakene og gjennomgå dem minst én gang per år, og ellers ved vesentlige endringer i Tjenesten eller etter et sikkerhetsbrudd.

8. Behandlingssted

8.1 Tjenestens primære database, fillagring og serverfunksjoner kjører hos Convex i AWS-region eu-west-1 (Irland).

8.2 Enkelte underleverandører er etablert i USA eller behandler opplysninger utenfor EØS. Slik overføring skal bare skje når vilkårene i GDPR kapittel V er oppfylt, på grunnlag av EU–US Data Privacy Framework (DPF) for sertifiserte mottakere eller EU-kommisjonens standard personvernbestemmelser (SCC, beslutning (EU) 2021/914). Overføringsgrunnlag for hver underleverandør fremgår av vedlegg B.

9. Underleverandører

9.1 Kunden gir med denne avtalen generell forhåndsgodkjenning til at Losji bruker underleverandører (underdatabehandlere), jf. GDPR artikkel 28 nr. 2. Underleverandører som brukes ved avtaleinngåelsen, er oppført i vedlegg B og anses som godkjent.

9.2 Losji skal varsle Kunden skriftlig, normalt per e-post til Kundens kontaktadresse, minst 30 dager før en ny underleverandør tas i bruk eller en eksisterende byttes ut. Varselet skal angi navn, formål, behandlingssted og overføringsgrunnlag.

9.3 Kunden kan reservere seg mot endringen innen varslingsfristen dersom Kunden har saklig grunn knyttet til personvern. Partene skal da forsøke å finne en løsning. Dersom det ikke lar seg gjøre, kan Kunden si opp Tjenesten med virkning fra endringen trer i kraft, uten andre kostnader enn det som er påløpt frem til opphør.

9.4 Ved akutte behov, for eksempel for å avverge en sikkerhetshendelse eller sikre driften, kan Losji ta i bruk en ny underleverandør med kortere varsel. Kunden skal da varsles så snart som mulig, og har de samme rettighetene som etter punkt 9.3.

9.5 Losji skal inngå skriftlig avtale med hver underleverandør som pålegger underleverandøren de samme personvernforpliktelsene som følger av denne avtalen, så langt de er relevante for tjenesten underleverandøren leverer. Losji er overfor Kunden ansvarlig for underleverandørenes oppfyllelse av forpliktelsene.

9.6 Betalingsleverandørene Stripe og Dintero, og Google for adresseoppslag, behandler i hovedsak opplysninger som selvstendig behandlingsansvarlige etter egne vilkår. Rollefordelingen er beskrevet i vedlegg B, punkt B.2.

10. Bistand til Kunden

10.1 Losji skal, under hensyn til behandlingens art og den informasjonen Losji har tilgang til, bistå Kunden med å oppfylle Kundens plikter etter GDPR artikkel 32 til 36, herunder sikkerhet, melding av brudd, vurdering av personvernkonsekvenser (DPIA) og forhåndsdrøftinger med Datatilsynet.

10.2 Losji skal bistå Kunden med å besvare forespørsler fra registrerte som utøver sine rettigheter etter GDPR kapittel III, blant annet innsyn, retting, sletting, begrensning, dataportabilitet og protest. Tjenesten har funksjoner for eksport og sletting av data. Henvendelser som kommer direkte til Losji fra en registrert om opplysninger Kunden er ansvarlig for, skal videresendes til Kunden uten ugrunnet opphold. Losji skal ikke svare den registrerte selv uten Kundens instruks.

10.3 Losji skal varsle Kunden uten ugrunnet opphold dersom Losji mottar en henvendelse fra Datatilsynet eller annen offentlig myndighet om opplysninger som behandles på vegne av Kunden, med mindre loven forbyr slik varsling.

10.4 Bistand som er en del av Tjenestens ordinære funksjonalitet, eller som skyldes Losjis eget avtalebrudd, ytes uten tillegg. Annen bistand som krever vesentlig arbeid, kan faktureres etter Losjis til enhver tid gjeldende timepris, etter forhåndsvarsel til Kunden.

11. Brudd på personopplysningssikkerheten

11.1 Losji skal varsle Kunden uten ugrunnet opphold, og senest innen 48 timer etter at Losji ble kjent med det, om ethvert brudd på personopplysningssikkerheten som gjelder opplysninger Losji behandler på vegne av Kunden.

11.2 Varselet skal så langt det er mulig inneholde:

• en beskrivelse av bruddet, herunder kategorier og omtrentlig antall registrerte og registreringer som er berørt;
• navn og kontaktopplysninger til kontaktpunkt hos Losji;
• en beskrivelse av de sannsynlige konsekvensene av bruddet;
• en beskrivelse av tiltakene som er truffet eller foreslås for å håndtere bruddet og begrense skadevirkningene.

11.3 Er det ikke mulig å gi all informasjon samtidig, kan den gis trinnvis uten ytterligere ugrunnet opphold.

11.4 Losji skal straks iverksette nødvendige tiltak for å begrense bruddet og hindre gjentakelse. Alle sikkerhetshendelser loggføres og vurderes, også når de ikke utløser varslingsplikt. Det er Kunden som avgjør om bruddet skal meldes til Datatilsynet og om de registrerte skal underrettes. Losji skal ikke melde fra på Kundens vegne uten Kundens instruks, med mindre loven krever det.

11.5 Varsel sendes til e-postadressen som er registrert på Kundens konto i Tjenesten.

12. Revisjon og kontroll

12.1 Losji skal på forespørsel gi Kunden den informasjonen som er nødvendig for å påvise at forpliktelsene etter denne avtalen og GDPR artikkel 28 er oppfylt, for eksempel beskrivelse av sikkerhetstiltak, oversikt over underleverandører og relevante sertifiseringer eller revisjonsrapporter fra underleverandører.

12.2 Dersom skriftlig dokumentasjon ikke er tilstrekkelig, kan Kunden gjennomføre, eller la en uavhengig revisor gjennomføre, revisjon og inspeksjon. Revisor skal være underlagt taushetsplikt. Revisjon skal varsles skriftlig minst 30 dager i forveien, gjennomføres i vanlig arbeidstid og ikke forstyrre driften unødig, og ikke gi tilgang til andre kunders opplysninger. Kortere varsel kan kreves etter et brudd på personopplysningssikkerheten eller pålegg fra tilsynsmyndighet.

12.3 Hver Part dekker egne kostnader ved revisjon. Losji kan kreve dekket rimelige kostnader dersom Kunden krever revisjon oftere enn én gang per kalenderår, med mindre revisjonen skyldes et brudd på personopplysningssikkerheten, pålegg fra myndighet eller avdekker vesentlige avvik fra avtalen.

12.4 Revisjon av underleverandører skjer i utgangspunktet ved at Losji fremlegger underleverandørens egne revisjonsrapporter, sertifiseringer (for eksempel SOC 2 Type II) eller tilsvarende dokumentasjon.

13. Varighet og opphør

13.1 Avtalen gjelder fra Kunden har akseptert den elektronisk ved å godta Losjis vilkår, eller fra den er signert, og så lenge Losji behandler personopplysninger på vegne av Kunden.

13.2 Avtalen opphører automatisk når Hovedavtalen opphører og opplysningene er slettet eller tilbakelevert etter punkt 14. Bestemmelser som etter sin art skal gjelde etter opphør, herunder taushetsplikt, fortsetter å gjelde.

13.3 Ved vesentlig mislighold av denne avtalen kan den andre Parten si opp Hovedavtalen og denne avtalen med umiddelbar virkning, dersom misligholdet ikke er rettet innen 30 dager etter skriftlig varsel.

14. Tilbakelevering og sletting

14.1 Før opphør kan Kunden eksportere sine data fra Tjenesten. På forespørsel skal Losji bistå med å tilbakelevere opplysningene i et vanlig brukt, maskinlesbart format.

14.2 Etter opphør skal Losji slette eller anonymisere personopplysninger som er behandlet på vegne av Kunden innen 30 dager, med mindre lov krever videre lagring. Slettingen omfatter også opplysninger hos underleverandører, blant annet publiserte nettsider, egne domener, kanaltilkoblinger og regnskapsintegrasjoner. Opplysninger i sikkerhetskopier skal være overskrevet senest 90 dager etter sletting. Frem til da skal de ikke brukes og være sperret for vanlig tilgang.

14.3 Opplysninger Losji er rettslig forpliktet til å oppbevare, for eksempel bokføringspliktig dokumentasjon av betalinger og provisjon, oppbevares i fem år etter bokføringsloven, sperres for annen bruk og slettes automatisk når lagringsplikten utløper.

14.4 På forespørsel skal Losji skriftlig bekrefte at slettingen er gjennomført.

15. Ansvar

15.1 Partenes ansvar overfor de registrerte og tilsynsmyndigheter følger av GDPR artikkel 82 og 83.

15.2 Ansvar mellom Partene reguleres av Hovedavtalen, herunder ansvarsbegrensningene der, så langt de ikke strider mot ufravikelig lov. Ansvarsbegrensningene gjelder ikke ved forsett eller grov uaktsomhet.

16. Endringer

16.1 Endringer i avtalen skal gjøres skriftlig. Losji kan oppdatere avtalen dersom endringer i Personvernregelverket, praksis fra tilsynsmyndigheter eller Tjenesten gjør det nødvendig. Vesentlige endringer varsles Kunden minst 30 dager før de trer i kraft. Endringer i vedlegg B skjer etter prosedyren i punkt 9.

17. Lovvalg og verneting

17.1 Avtalen reguleres av norsk rett.

17.2 Tvister skal først søkes løst ved forhandlinger. Fører ikke forhandlinger frem, skal tvisten avgjøres ved de ordinære domstolene med Oslo tingrett som avtalt verneting.

18. Inngåelse

Avtalen inngås elektronisk når Kunden godtar Losjis vilkår ved registrering eller senere bruk av Tjenesten. Ønsker Kunden en signert kopi, kan Kunden be om det på [email protected].

Vedlegg A – Behandlingen

A.1 Formål

Losji behandler personopplysninger på vegne av Kunden for å levere Tjenesten, herunder å:

• ta imot og administrere bookinger fra Kundens nettside, bookingwidget og bookinglenker;
• vise tilgjengelighet og priser, og synkronisere opptatte datoer med andre kanaler via iCal eller, når det er aktivert, direkte kanaltilkobling;
• formidle betaling, refusjon og utbetaling gjennom betalingsleverandøren Kunden har aktivert (Stripe eller Dintero);
• sende bekreftelser, varsler og meldinger mellom Kunden og gjestene, og gi gjestene tilgang til gjesteportalen;
• sende varsler til Kundens brukere i Losjis mobilapp;
• gi Kunden og Kundens ansatte og samarbeidspartnere verktøy for drift, renhold og oppgaver;
• publisere nettsider for Kunden når Kunden bruker denne funksjonen;
• lage forslag til svar, oppgaver og innhold med AI-assistenten Brage, når brukeren har gitt tillatelse til datadeling. Brage sender ingenting og endrer ingenting uten at Kunden godkjenner det;
• drifte, sikre, feilsøke og gi support på Tjenesten.

A.2 Kategorier av registrerte

• Kundens gjester og personer som forespør eller bestiller opphold, herunder medreisende som oppgis i bookingen.
• Kundens ansatte, teammedlemmer og andre brukere Kunden gir tilgang, for eksempel renholdere og driftspersonell.
• Besøkende på nettsider Kunden publiserer med Losji (tekniske data).
• Andre personer Kunden selv registrerer i Tjenesten, for eksempel kontaktpersoner hos samarbeidspartnere.

A.3 Kategorier av personopplysninger

Det skal ikke behandles særlige kategorier av personopplysninger (GDPR artikkel 9) eller opplysninger om straffedommer og lovovertredelser (artikkel 10). Kunden skal ikke legge slike opplysninger inn i fritekstfelt, meldinger eller forespørsler til Brage.

A.4 Behandlingens art

Innsamling, registrering, organisering, lagring, tilpasning, gjenfinning, bruk, utlevering ved overføring til underleverandører og integrasjoner Kunden har aktivert, sammenstilling, begrensning, sletting og tilintetgjøring.

A.5 Varighet og lagringstid

Behandlingen varer så lenge Kunden bruker Tjenesten. Booking- og gjestedata lagres etter Kundens instruks og slettes eller anonymiseres når formålet opphører, med mindre lov krever videre lagring. Bokføringspliktige opplysninger lagres i fem år. Ved opphør gjelder punkt 14 i avtalen.

A.6 Behandlingssted

Primær database og lagring: EU (Convex, AWS eu-west-1, Irland). Underleverandører kan behandle data utenfor EØS etter vedlegg B.

Vedlegg B – Underleverandører

B.1 Godkjente underleverandører

Følgende underleverandører behandler personopplysninger på vegne av Losji og er godkjent ved avtaleinngåelsen. Leverandører merket «når aktivert» behandler bare opplysninger dersom Kunden eller Kundens brukere bruker den aktuelle funksjonen.

B.2 Betalingsleverandører og Google – rollefordeling

Følgende leverandører behandler i hovedsak opplysninger som selvstendig behandlingsansvarlige etter egne vilkår, og ikke som Losjis underleverandører:

Kunden inngår selv avtale med betalingsleverandøren når Kunden kobler til Stripe Connect eller Dintero, og er selv ansvarlig for å informere gjestene om leverandørens behandling.

B.3 Integrasjoner Kunden selv aktiverer

Følgende tjenester er ikke underleverandører valgt av Losji. Kunden velger selv å koble dem til, og opplysninger utveksles etter Kundens instruks. Forholdet mellom Kunden og leverandøren reguleres av leverandørens egne vilkår.

Listen over underleverandører oppdateres etter avtalens punkt 9.

Vedlegg C – Sikkerhetstiltak

Dette vedlegget beskriver de tekniske og organisatoriske tiltakene Losji har for å beskytte personopplysninger som behandles på vegne av Kunden.

C.1 Tilgangsstyring

• Tilgang til Tjenesten krever innlogging. Hver kunde har eget arbeidsområde, og data er logisk adskilt mellom kunder. Tilgang kontrolleres på serversiden for hver forespørsel.
• Kunden styrer hvilke brukere og teammedlemmer som har tilgang, og hvilken rolle de har. Brukere kan slå på tofaktorautentisering (TOTP). Sensitive handlinger, som sletting av konto, krever eierrolle og ny bekreftelse av innloggingen.
• Tilgang til produksjonsmiljø og kundedata hos Losji er begrenset til navngitte personer med tjenstlig behov, i dag daglig leder. Tilganger gjennomgås minst én gang per år og fjernes straks når de ikke lenger trengs.
• Tofaktorautentisering er påkrevd på Losjis administrative kontoer hos Convex, Stripe, GitHub, Vercel og Google.
• Innloggings- og bookingflyter er beskyttet med begrensning av antall forsøk (rate limiting).

C.2 Kryptering

• All trafikk mellom nettleser, app, Tjenesten og underleverandører er kryptert i transport (HTTPS/TLS).
• Data i database, fillagring og sikkerhetskopier hos Convex er kryptert ved lagring med AES-256.
• Tilgangsnøkler til integrasjoner som Kunden kobler til (blant annet regnskap, kanaler og smartlåser), og hemmeligheter for tofaktorautentisering, krypteres i tillegg på applikasjonsnivå med AES-GCM.
• Kortdata og bankdata behandles av betalingsleverandøren og lagres ikke av Losji.

C.3 Drift, logging og overvåking

• Viktige hendelser i Kundens konto, som endringer, eksport og sletteforespørsler, registreres i en revisjonslogg.
• Tjenesten overvåkes automatisk for driftsfeil.
• Feilrapportering fjerner e-postadresser, IP-adresser, navn, telefonnumre, tilgangsnøkler og lignende fra feilmeldingene før de sendes til Sentry.
• Teknisk klienttelemetri slettes automatisk etter 30 dager.
• Cloudflare brukes for DNS og beskyttelse av trafikk til publiserte nettsider.

C.4 Sikkerhetskopier og tilgjengelighet

• Data lagres hos Convex i AWS-region eu-west-1 (Irland). Sikkerhetskopier tas med Convex sin backupfunksjon og lagres i samme region. Etter Convex sin dokumentasjon lagres daglige sikkerhetskopier i 7 dager og ukentlige i 14 dager.
• Sikkerhetskopier av slettede opplysninger er overskrevet senest 90 dager etter sletting.
• Gjenoppretting fra sikkerhetskopi testes minst én gang per år.

C.5 Dataminimering og sletting

• Kunden kan eksportere egne data og registrere sletteforespørsel fra innstillingene i portalen. En sletteforespørsel kan angres i en kort periode, og gjennomføres deretter automatisk, senest innen 30 dager.
• Slettingen omfatter også data hos tilknyttede tjenester, blant annet publiserte nettsider og egne domener hos Cloudflare, kanaltilkoblinger, regnskapsintegrasjoner og kundeforholdet hos Stripe.
• Bokføringspliktige opplysninger beholdes i fem år, sperret for annen bruk, og slettes automatisk når fristen er ute.
• Ubrukte opplastinger, utløpte innloggingskoder og andre midlertidige data slettes automatisk av faste rutiner.

C.6 Kunstig intelligens (Brage)

• Datadeling med Brage er av som standard. Hver bruker må selv gi tillatelse i arbeidsområdet etter å ha lest informasjon om hvilke data som deles og med hvem. Tillatelsen kontrolleres før hver forespørsel og kan trekkes tilbake under «AI og personvern». Endres leverandør eller informasjonen, må tillatelsen gis på nytt.
• Brage lager bare forslag. Ingenting sendes, endres eller publiseres uten at Kunden godkjenner det.
• Samtaler med Brage lagres hos Losji. Etter OpenAIs vilkår brukes data fra API-et ikke til å trene modeller, og forespørsler kan lagres hos OpenAI i inntil 30 dager for å avdekke misbruk.

C.7 Organisatoriske tiltak

• Alle som behandler personopplysninger for Losji, har taushetsplikt.
• Losji har skriftlige databehandleravtaler med underleverandørene i vedlegg B.
• Alle sikkerhetshendelser loggføres og vurderes. Brudd på personopplysningssikkerheten varsles Kunden innen 48 timer etter avtalens punkt 11.
• Sikkerhetstiltakene, tilgangene og listen over underleverandører gjennomgås minst én gang per år, og ellers ved vesentlige endringer.
• Underleverandørene i vedlegg B har egne revisjoner eller sertifiseringer, blant annet SOC 2 Type II for Convex, Stripe, Vercel og Cloudflare.