Gjelder fra 25. august 2026. Denne avtalen inngås mellom Seal Media AS (databehandler) og den virksomheten som tar i bruk Seal Medias programvare (behandlingsansvarlig), og aksepteres ved installasjon og bruk av tjenesten. Vi inngår gjerne en separat, signert avtale om virksomheten ønsker det.
1. Formål og omfang
Seal Media behandler personopplysninger på vegne av kunden, utelukkende for å levere de avtalte tjenestene og kun etter kundens dokumenterte instrukser.
Kategorier registrerte: kundens sluttkunder som handler i kundens nettbutikker.
Kategorier opplysninger: navn, e-postadresse, telefonnummer, leveringsadresse og ordreopplysninger som ordrenummer, varelinjer, beløp og status.
Behandlingens art: innhenting, lagring, strukturering, overføring mellom kundens egne butikker, anonymisering og sletting.
Formål: butikkdrift, nærmere bestemt å videreformidle en ordre til den av kundens butikker som plukker og sender varen, samt å gi kunden oversikt over egne ordrer.
Seal Media behandler ikke særlige kategorier personopplysninger etter GDPR artikkel 9.
2. Instrukser
Behandling skjer kun etter kundens dokumenterte instrukser, med mindre annet kreves av norsk rett eller EU-rett. Kreves behandling av lov, varsler vi kunden før behandlingen, med mindre loven forbyr slik varsling. Vi varsler umiddelbart dersom en instruks etter vår vurdering er i strid med personvernregelverket.
3. Taushetsplikt
Personell som får tilgang til personopplysningene er underlagt taushetsplikt. Tilgang gis kun til dem som trenger det for å levere tjenesten.
4. Sikkerhet
Vi gjennomfører egnede tekniske og organisatoriske tiltak etter GDPR artikkel 32, herunder:
- kryptering av personopplysninger i ro og under overføring, og separat kryptering av tilgangstokens
- tilgangsstyring, slik at kun navngitte administratorer har tilgang til produksjonsdata, og slik at kundens egne brukere kun ser sin egen butikks opplysninger
- sperre mot passord som er kjent fra offentlige lekkasjer
- adskilte miljøer for test og produksjon, slik at testdata aldri ligger i produksjonsdatabasen
- logging av behandling av personopplysninger
- automatiske sikkerhetskopier med mulighet for gjenoppretting
5. Underdatabehandlere
Kunden gir generell forhåndsgodkjenning til bruk av underdatabehandlere. Vi varsler minst 30 dager før nye tas i bruk, og kunden kan protestere skriftlig innen fristen. Følgende er godkjent i dag:
- Lovable AB, applikasjonsdrift
- Supabase Inc., database og autentisering
- Shopify Inc., kildesystem for ordre- og produktdata
Vi inngår avtaler med underdatabehandlere som pålegger dem tilsvarende forpliktelser som følger av denne avtalen, og er ansvarlig overfor kunden for deres utførelse.
6. Sletting og lagringstid
Personopplysninger slettes eller anonymiseres automatisk etter følgende frister:
- rå meldinger fra kildesystemet: innhold slettes etter 30 dager, radene fjernes etter 180 dager
- kundeopplysninger knyttet til en videreformidlet ordre: anonymiseres 90 dager etter at ordren er ferdig behandlet
- navn og e-post i ordreoversikten: anonymiseres etter 24 måneder
Ved opphør av tjenesteavtalen sletter eller tilbakeleverer vi alle personopplysninger etter kundens valg, med mindre lagring kreves av lov. Sletting bekreftes skriftlig.
7. Bistand til kunden
Vi bistår kunden med å svare på henvendelser fra registrerte om innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse, og med å oppfylle plikter etter GDPR artikkel 32 til 36. Bistanden ytes uten ugrunnet opphold.
8. Avvik
Ved brudd på personopplysningssikkerheten varsler vi kunden uten ugrunnet opphold og senest innen 24 timer etter at bruddet ble oppdaget. Varselet beskriver bruddets art, hvilke opplysninger og registrerte som er berørt, sannsynlige konsekvenser og iverksatte tiltak. Kunden er ansvarlig for eventuell melding til Datatilsynet og til de registrerte.
9. Revisjon
Kunden kan én gang per år, og ellers ved mistanke om brudd, kreve dokumentasjon på at vi overholder avtalen. Revisjon varsles minst 30 dager i forveien og gjennomføres slik at den ikke unødig forstyrrer driften.
10. Overføring til tredjeland
Overføring av personopplysninger ut av EØS skjer kun der det finnes gyldig overføringsgrunnlag, som EU-kommisjonens standardkontraktsvilkår eller en gyldig tilstrekkelighetsbeslutning.
11. Varighet
Avtalen gjelder så lenge Seal Media behandler personopplysninger på vegne av kunden. Ved opphør gjelder punkt 6 om sletting.
Kontakt
Seal Media AS, org.nr. 924 976 608. Spørsmål om denne avtalen eller om personopplysninger: post@sealmedia.no
