Databehandleravtale

Sist oppdatert 31. august 2026

Denne avtalen gjelder mellom virksomheten som bruker ShyPipe (behandlingsansvarlig, «du») og Dailey Christoffersen Consulting, org.nr 936 668 976, Heibergs gate 9, 3257 Larvik (databehandler, «vi»). Den utfyller kjøpsvilkårene og personvernerklæringen, og den gjelder fra du oppretter konto. Du trenger ikke be om den eller signere noe: den er inngått i det du tar tjenesten i bruk.

Avtalen dekker kravene i personvernforordningen artikkel 28 nr. 3. Vil du ha den signert på papir eller i deres eget format, sender vi den — skriv til hei@shypipe.no.

1. Hvem som bestemmer hva

Du er behandlingsansvarlig for opplysningene du legger inn om andre bedrifter og deres ansatte: prospekter, kontaktpersoner, adresser, notater og meldinger. Det er du som bestemmer hvorfor de behandles og hva som sendes.

Vi er databehandler for de samme opplysningene. Vi behandler dem for å levere ShyPipe til deg, og ikke til noe annet.

For opplysninger om deg som bruker — navn, e-post, passordhash, innlogginger — er vi selv behandlingsansvarlige. Det er en annen rolle, og den er beskrevet i personvernerklæringen punkt 3.

2. Hva behandlingen omfatter

Formål	Å levere ShyPipe: prospektering, meldinger, oppfølging og statistikk.
Varighet	Så lenge du har konto. Se punkt 8 om hva som skjer etterpå.
Type opplysninger	Firmanavn og organisasjonsnummer, kontaktpersoners navn og stilling, e-postadresser, telefonnumre, lenker til sosiale medier, og meldingene du skriver og sender. I tillegg fritekst du skriver selv: notater, sammendrag av svar og begrunnelser, samt samtykke til å skrive til en navngitt person — når og av hvem det ble registrert, og en kort tekst om hvordan det ble gitt («sa ja på telefon 12. mars»). Hva som havner der bestemmer du — se personvernerklæringen punkt 5.
Registrerte	Ansatte og kontaktpersoner i bedriftene du prospekterer mot.
E-postintegrasjon	Kobler du på en e-postkonto (i dag generisk IMAP/SMTP; Fastmail og Microsoft 365/Outlook er under utvikling og ikke lansert ennå), skriver ShyPipe utkast direkte i den, og henter svar fra e-postadressene til prospektene du har registrert — avgrenset på serversiden til akkurat disse adressene, ikke resten av innboksen din. Uten en tilkoblet konto virker tjenesten som før: teksten kopieres til utklippstavla, og du limer inn og sender selv. Detaljene står i personvernerklæringen punkt 6. Vi har ingen sesjonsopptak eller produktanalyse. Skulle noe av dette endre seg, står det her først.
Særlige kategorier	Ingen. ShyPipe er ikke laget for helseopplysninger, fagforeningsmedlemskap eller andre særlige kategorier etter artikkel 9, og du skal ikke legge inn slikt.

3. Vi behandler bare etter instruks fra deg

Vi behandler opplysningene dine bare slik du har bestemt. Bruken din av tjenesten er instruksen: importerer du en bedrift, lagrer vi den; skriver du en melding, sender vi den som utkast; sletter du et prospekt, sletter vi det.

Vi bruker dem ikke til egne formål. Vi selger dem ikke, låner dem ikke ut, og trener ingen AI-modeller på dem. AI-oppslag skjer bare når du selv utløser dem, og da for å svare deg — se punkt 5.

Blir vi pålagt å behandle noe av EU-retten eller norsk rett — for eksempel en utleveringsplikt — sier vi fra til deg på forhånd, med mindre loven forbyr oss å si det.

Mener vi at en instruks fra deg strider mot personvernregelverket, sier vi fra. Vi er ikke jurister, og vi kontrollerer ikke hva du sender — ansvaret for det er ditt, jf. kjøpsvilkårene punkt 7.

4. Taushetsplikt

Alle som får tilgang til opplysningene hos oss er bundet av taushetsplikt, i arbeidsavtale eller egen erklæring. Tilgang gis bare til dem som trenger den for å drifte eller feilsøke tjenesten, og bare så lenge de trenger den.

5. Underleverandører

Du gir oss generell godkjenning til å bruke underleverandører. De vi bruker i dag er listet med navn, oppgave og sted i personvernerklæringen punkt 8. Alle er bundet av en databehandleravtale med minst de samme pliktene som står her.

Skal vi bytte eller legge til en underleverandør, sier vi fra på e-post før endringen trer i kraft. Er du uenig, kan du si opp avtalen uten oppsigelsestid, og vi betaler tilbake ubrukt ShyBucks-saldo — samme unntak som i kjøpsvilkårene punkt 10.

Én overføring går ut av EU/EØS: AI-oppslag til Google (Gemini) i USA, og bare når du selv ber om et oppslag. Den er dekket av EU-kommisjonens standard personvernbestemmelser (SCC).

6. Sikkerhet

Vi treffer tiltakene artikkel 32 krever, tilpasset risikoen. Konkret betyr det i dag:

All trafikk over HTTPS.
Passord lagret som argon2id-hasher, aldri i klartekst.
API-nøkler og passord for tilkoblet e-post lagres kryptert.
Tilgangsstyring med roller, slik at en selger ikke ser oppsettet og en leser ikke endrer noe.
To-faktor tilgjengelig på alle kontoer.
Data lagret hos driftsleverandør i EU.

Listen er beskrivende, ikke uttømmende, og tiltakene endres når risikoen gjør det. Vi svekker dem ikke uten å si fra.

7. Avvik

Oppdager vi et brudd på personopplysningssikkerheten som gjelder dine opplysninger, varsler vi deg uten ugrunnet opphold — i praksis så fort vi vet nok til at varselet er nyttig. Vi er ett menneske uten vaktordning, så vi lover ikke et fast antall timer på klokka uansett tidspunkt på døgnet; det vi lover er at det skjer så raskt det faktisk lar seg gjøre, og at du får det du trenger for å nå din egen frist mot Datatilsynet.

Varselet sier hva som skjedde, hvilke opplysninger og hvor mange registrerte det gjelder, hva vi har gjort, og hva vi anbefaler. Det er du som melder til Datatilsynet dersom bruddet skal meldes — det er behandlingsansvarliges plikt — og vi gir deg det du trenger for å gjøre det innen fristen.

8. Sletting og utlevering

Sletter du kontoen, slettes opplysningene. Vil du ha dem ut først, skriver du til oss, så eksporterer vi prospekter, meldinger og historikk for deg.

Etter at avtalen er avsluttet sletter vi det vi har, med ett unntak: kjøpshistorikk som regnskapsloven krever at vi tar vare på i fem år. Sikkerhetskopier slettes etter den vanlige rulleringen, som er innen 30 dager.

9. Vi hjelper deg med pliktene dine

Får du en henvendelse fra noen som vil ha innsyn, retting, sletting, begrensning eller dataportabilitet, eller som protesterer mot behandlingen, hjelper vi deg med å svare. Mesteparten kan du gjøre selv i appen; det som ikke kan det, gjør vi når du ber om det.

Vi bistår også med personvernkonsekvensvurdering (DPIA) og forhåndsdrøfting med Datatilsynet etter artikkel 35 og 36, i den grad det er relevant og vi har opplysningene som trengs.

10. Dokumentasjon og revisjon

Vi gir deg opplysningene som trengs for å vise at pliktene her er oppfylt. Ber du om det, svarer vi på et sikkerhetsspørreskjema eller går gjennom oppsettet med deg.

Du kan revidere oss, selv eller ved en revisor du peker ut. Vi ber om rimelig varsel, normalt 30 dager, og at det skjer i arbeidstiden uten å forstyrre driften for andre kunder. Tiden vi bruker på å tilrettelegge for og delta i revisjonen, fakturerer vi til vår vanlige timepris — med mindre revisjonen avdekker at vi har brutt avtalen. Da dekker vi kostnaden selv.

11. Varighet, endringer og lovvalg

Avtalen gjelder så lenge du har konto, og pliktene om taushet og sletting gjelder også etterpå. Endrer vi noe vesentlig, sier vi fra på e-post før det trer i kraft. Norsk rett gjelder, og verneting er som i kjøpsvilkårene punkt 11.