Databehandleravtale for Knipso

Sist oppdatert 31. oktober 2026

Når et firma bruker Knipso, legger firmaet inn personopplysninger om ansatte, og noen ganger om kundene sine, for eksempel på bilder fra jobbene. Firmaet bestemmer hva opplysningene skal brukes til, og er behandlingsansvarlig. Knipso lagrer og behandler opplysningene for firmaet, og er firmaets databehandler. Denne avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28.

1. Parter

• Behandlingsansvarlig: firmaet som har avtale om å bruke Knipso («kunden»).
• Databehandler: Knipso v/ Fredrik Solberg Johnsen («Knipso»).

2. Formål og omfang

Knipso behandler personopplysninger bare for å levere appen til kunden slik det står i vilkårene: lagre og vise jobber og bilder, styre brukere og tilganger, sende invitasjoner og varsler, publisere til kundens Facebook og Instagram og lage tekstforslag når kunden ber om det. Hvilke opplysninger og hvem de gjelder, står i vedlegg 1.

Avtalen gjelder ikke opplysninger der Knipso selv er behandlingsansvarlig, som kontaktpersoner, fakturering og besøk på knipso.no. Det står i personvernerklæringen.

3. Instrukser

• Knipso behandler opplysningene bare etter dokumenterte instrukser fra kunden. Avtalen, vilkårene og det kunden gjør i appen (for eksempel å opprette brukere, laste opp, godkjenne, publisere eller slette) regnes som kundens instrukser.
• Knipso bruker ikke opplysningene til egne formål, selger dem ikke og bruker dem ikke til å trene AI.
• Mener Knipso at en instruks er i strid med personvernregelverket, sier vi fra til kunden med en gang.
• Pålegger norsk lov eller EU-retten Knipso å behandle opplysningene på annen måte, for eksempel å utlevere dem til politiet, sier vi fra til kunden først, med mindre loven forbyr det.
• Kunden er ansvarlig for at det finnes et lovlig grunnlag for behandlingen, og for å informere de ansatte og andre som blir registrert.

4. Taushetsplikt

Alle som jobber for Knipso og har tilgang til kundens opplysninger, har taushetsplikt, og den gjelder også etter at avtalen er slutt. Tilgangen er begrenset til de som trenger den for drift, feilretting og support.

5. Sikkerhet

Knipso har tekniske og organisatoriske tiltak som gir et sikkerhetsnivå tilpasset risikoen, slik GDPR artikkel 32 krever. Tiltakene står i vedlegg 3. Vi kan forbedre tiltakene, men ikke svekke det samlede sikkerhetsnivået.

6. Underleverandører

• Kunden gir Knipso generell tillatelse til å bruke underleverandørene i vedlegg 2.
• Vil vi ta i bruk en ny underleverandør eller bytte ut en, varsler vi kunden på e-post minst 30 dager i forveien. Kunden kan protestere av saklige grunner. Finner vi ingen løsning, kan kunden si opp avtalen før endringen gjelder.
• Knipso inngår skriftlig avtale med hver underleverandør med minst samme vern som i denne avtalen, og er ansvarlig overfor kunden for at underleverandørene oppfyller den.

Meta (Facebook og Instagram) er ikke underleverandør. Når kunden publiserer, sendes bildene og teksten til kundens egne kontoer etter kundens instruks. Fra da av behandles innlegget av kunden og Meta etter Metas vilkår.

7. Overføring utenfor EØS

Appen, databasen og bildene ligger i Norge. Noen underleverandører kan behandle opplysninger utenfor EØS, se vedlegg 2. Det skjer bare med et gyldig overføringsgrunnlag etter GDPR kapittel V, som EU-kommisjonens beslutning om EU–US Data Privacy Framework for sertifiserte selskaper, eller EUs standardavtaler (Standard Contractual Clauses).

8. Hjelp med de registrertes rettigheter

Knipso hjelper kunden med å svare på krav om innsyn, retting, sletting, begrensning, protest og dataportabilitet. Får vi slike krav direkte, sender vi dem videre til kunden uten ugrunnet opphold og svarer ikke selv, med mindre kunden ber om det.

9. Brudd på sikkerheten

• Blir Knipso klar over et brudd på sikkerheten som rammer kundens opplysninger, varsler vi kunden uten ugrunnet opphold og senest innen 48 timer.
• Varselet sier, så langt vi vet: hva som har skjedd, hvilke opplysninger og hvor mange personer det gjelder, mulige følger, og hva vi har gjort og vil gjøre. Det vi ikke vet med en gang, sender vi så snart vi vet det.
• Det er kunden som avgjør om bruddet skal meldes til Datatilsynet innen 72 timer og til de som er berørt. Knipso hjelper til med det kunden trenger.

10. Annen bistand

Knipso hjelper kunden, ut fra hva vi vet om behandlingen, med å oppfylle pliktene etter GDPR artikkel 32 til 36, blant annet med vurderinger av personvernkonsekvenser (DPIA) og forhåndsdrøftinger med Datatilsynet. Vanlig hjelp er inkludert. Arbeid som går ut over det, kan vi fakturere etter avtale.

11. Innsyn og revisjon

Knipso gir kunden informasjonen som trengs for å vise at avtalen følges. Kunden kan, med minst 30 dagers varsel, gjennomføre revisjon selv eller med en uavhengig revisor med taushetsplikt, høyst én gang i året, med mindre det har vært et sikkerhetsbrudd eller Datatilsynet krever det. Revisjonen skal ikke gi tilgang til andre kunders opplysninger. Hver part dekker egne kostnader.

12. Varighet, tilbakelevering og sletting

• Avtalen gjelder så lenge Knipso behandler opplysninger for kunden.
• Når avtalen om bruk av Knipso er slutt, kan kundens administratorer logge inn i 30 dager og laste ned bildene. Trenger kunden andre opplysninger utlevert, for eksempel jobbene i et maskinlesbart format, kan kunden be om det i samme periode.
• Etter 30 dager sletter Knipso kundens opplysninger fra appen. Kopier i sikkerhetskopier slettes når kopiene rulleres over, senest 30 dager senere. Kunden kan be om skriftlig bekreftelse på at opplysningene er slettet.
• Knipso beholder bare det vi må etter loven.

13. Ansvar, lovvalg og endringer

• Ansvar etter denne avtalen følger GDPR artikkel 82 og ansvarsbestemmelsene i vilkårene, så langt regelverket tillater det.
• Er denne avtalen og vilkårene motstridende om personopplysninger, gjelder denne avtalen.
• Avtalen følger norsk rett, og tvister løses slik det står i vilkårene.
• Endringer varsles på samme måte som endringer i vilkårene. Endringer som skyldes nye krav i loven, kan gjelde fra kravet trer i kraft.

Vedlegg 1: Behandlingen

Vedlegg 2: Underleverandører

Knipso drifter selv serverne appen og databasen kjører på, i Norge. Databasen og bildene lagres der, ikke hos noen av underleverandørene.

Vedlegg 3: Sikkerhetstiltak

Tilgang

• Brukere ser bare opplysninger fra eget firma, og bare det rollen deres gir tilgang til.
• Passord lagres som en ugjenkallelig hash. Innloggingsnøkler lagres som hash og utløper etter 30 dager, 7 dager for administratorer.
• Innlogging har sperre mot gjentatte forsøk.
• Er firmaets konto stengt, kan ingen logge inn, utenom administratorenes nedlasting etter at avtalen er slutt.
• Bare et lite antall personer hos Knipso har tilgang til serverne, med personlige nøkler, og bare for drift, feilretting og support.

Kryptering og overføring

• All trafikk mellom brukerne og Knipso går kryptert (HTTPS), via Cloudflare, som også beskytter mot angrep.
• Tilgangsnøkler til Facebook og Instagram lagres kryptert.
• Bildene gjøres mindre på telefonen før de lastes opp, og skjult informasjon som GPS-posisjon fjernes da.

Drift

• Serverne står i Norge, og databasen er ikke tilgjengelig fra internett.
• Programvaren holdes oppdatert, og endringer gjennomgås før de settes i drift.
• Sikkerhetskopier tas jevnlig og beholdes i inntil 30 dager.
• Serverlogger slettes etter 14 dager.

Vilkår · Personvern