Databehandleravtale
Vedlegg 1 til vilkårene for forhandlere og arrangører i Cardyard.
Sist oppdatert: 23. oktober 2026
1. Partene
Behandlingsansvarlig er forhandleren, altså virksomheten eller privatpersonen som bruker Cardyard som kasse. Databehandler er Riplet AS, org.nr. 938 337 217.
Avtalen gjelder personopplysningene Riplet behandler på forhandlerens vegne når forhandleren bruker Cardyard, og oppfyller kravene i personvernforordningen artikkel 28.
2. Hva som behandles
Formål: å drive kassesystemet og funksjonene som hører til: salg, kjøp og innbytte, kvitteringer, kjøpsbilag, kontrollspor, Z-rapporter, SAF-T-eksport, overføring til Fiken og kortbetaling med Zettle.
De registrerte:
- forhandlerens kunder, både de som kjøper og de som selger kort
- forhandlerens ansatte og andre som betjener kassen
Personopplysningene:
- navn, adresse og telefonnummer
- organisasjonsnummer, når kunden er et enkeltpersonforetak
- opplysninger om kjøp, salg og betaling: varer, beløp, betalingsmåte, og ved kortbetaling korttypen og de fire siste sifrene
- hvem som har betjent kassen
Særlige kategorier av personopplysninger, som helseopplysninger, skal ikke behandles.
Varighet: så lenge vilkårene for forhandlere gjelder, og deretter ut oppbevaringstiden i punkt 10.
3. Instrukser
Riplet behandler opplysningene bare etter forhandlerens instrukser. Instruksene er vilkårene for forhandlere, denne avtalen og den måten forhandleren bruker Cardyard på.
Mener Riplet at en instruks er i strid med personvernregelverket, sier Riplet fra til forhandleren. Krever lov at Riplet behandler opplysningene på en annen måte, sier Riplet fra om det før behandlingen, med mindre loven forbyr det.
4. Taushetsplikt
Alle som behandler opplysningene for Riplet, har taushetsplikt.
5. Sikkerhet
Riplet har tiltak for å sikre opplysningene, slik artikkel 32 krever. Blant annet:
- tilgangskontroll i selve databasen, slik at en forhandler bare får tilgang til sine egne opplysninger
- kryptering av trafikk og av databasen der den lagres
- et kontrollspor som ikke kan endres eller slettes
- logg over endringer administratorer gjør
- daglige sikkerhetskopier
Riplet vurderer tiltakene jevnlig og forbedrer dem når det trengs.
6. Underleverandører
Forhandleren gir Riplet generell tillatelse til å bruke disse underleverandørene:
| Underleverandør | Hva de gjør | Hvor |
|---|---|---|
| Supabase | Database og innlogging | EU (Irland) |
| Vercel | Drift av nettstedet og driftslogg | EU (Sverige) |
| Sveve | Sender SMS med kvittering og invitasjon | Norge |
Skal Riplet bruke en ny underleverandør eller bytte ut en, får forhandleren beskjed minst 30 dager før. Forhandleren kan protestere. Finner vi ingen løsning, kan forhandleren si opp avtalen før endringen gjelder.
Riplet pålegger underleverandørene de samme pliktene som i denne avtalen, og er ansvarlig for at de oppfyller dem.
Fiken og Zettle er ikke underleverandører til Riplet. Forhandleren har egne avtaler med dem, og Riplet sender opplysninger dit etter forhandlerens instruks.
7. Overføring ut av EØS
Supabase og Vercel er amerikanske selskaper og kan behandle opplysninger i USA, for eksempel ved drift og brukerstøtte. Slik overføring skjer enten på grunnlag av Data Privacy Framework mellom EU og USA, eller på grunnlag av EU-kommisjonens standardkontraktsbestemmelser.
8. Bistand
Riplet hjelper forhandleren med å svare på henvendelser fra de registrerte, for eksempel om innsyn eller sletting. Får Riplet en slik henvendelse direkte, sender Riplet den videre til forhandleren.
Kjøps- og salgsdokumentasjon som forhandleren må oppbevare etter bokføringsloven, kan ikke slettes før fristen har gått ut, jf. personvernforordningen artikkel 17 nr. 3 bokstav b.
Riplet hjelper også forhandleren med vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet, når det er aktuelt.
9. Brudd på personopplysningssikkerheten
Oppdager Riplet et brudd på sikkerheten som gjelder forhandlerens opplysninger, varsler Riplet forhandleren uten ugrunnet opphold og senest 48 timer etter at Riplet ble kjent med det. Varselet beskriver hva som har skjedd, hvilke opplysninger og hvor mange registrerte det gjelder, sannsynlige følger, og hva Riplet har gjort eller vil gjøre.
10. Når avtalen slutter
Når vilkårene for forhandlere slutter å gjelde, beholder Riplet opplysningene for forhandleren ut oppbevaringsfristen i bokføringsloven, slik vilkårene punkt 9 beskriver. Forhandleren kan lese og hente ut opplysningene i hele perioden. Når fristen har gått ut, sletter Riplet dem, og bekrefter det skriftlig hvis forhandleren ber om det.
Slettede opplysninger kan ligge i sikkerhetskopiene i opptil 7 dager før de overskrives.
11. Dokumentasjon og revisjon
Riplet gir forhandleren den informasjonen som trengs for å vise at avtalen følges. Forhandleren, eller en revisor forhandleren bruker, kan gjennomføre revisjon med 30 dagers varsel, høyst én gang i året med mindre det har vært et brudd. Forhandleren dekker egne kostnader til revisjonen.
12. Ansvar og forrang
Partene er ansvarlige overfor de registrerte etter personvernforordningen artikkel 82. Ansvarsbegrensningene i vilkårene for forhandlere gjelder mellom partene så langt loven tillater det.
Er det motstrid mellom denne avtalen og vilkårene for forhandlere om behandling av personopplysninger, gjelder denne avtalen.