Databehandleravtale (DPA)

1. Parter og roller

Behandlingsansvarlig: Den virksomheten som oppretter konto og bruker Midans («Kunden»). Kunden bestemmer formål og midler for behandlingen av personopplysninger om egne ansatte og andre registrerte.

Databehandler: NOMF AS, org.nr 934 752 171, Gamle Mossevei 49, 1420 Svartskog, som leverer programvaretjenesten Midans («Midans», «vi»).

Kontakt for personvern: hei@midans.no

2. Bakgrunn og varighet

Kunden har inngått avtale om bruk av Midans i tråd med vilkår for bruk. I den forbindelse behandler Midans personopplysninger på vegne av Kunden. Denne databehandleravtalen gjelder så lenge Midans behandler personopplysninger for Kunden, og inntil sletting er fullført etter punkt 12.

3. Behandlingens art, formål og omfang

Midans behandler personopplysninger utelukkende for å levere Tjenesten til Kunden, herunder:

• lagring og administrasjon av arbeidsavtaler, signaturer og tilhørende dokumenter;
• vaktplanlegging, timeregistrering, avvikshåndtering og lønnsgrunnlag;
• brukeradministrasjon, varsler og eksport av data;
• sikkerhet, drift, support og feilretting.

Kategorier av registrerte: Kundens ansatte og andre brukere Kunden gir tilgang.

Kategorier av personopplysninger: kontaktinformasjon, arbeidsforhold, avtalevilkår, arbeidstid, stemplinger, signaturer, tekniske logger og annet Kunden legger inn i Tjenesten.

4. Behandlingsinstrukser

Midans behandler personopplysninger kun etter dokumenterte instrukser fra Kunden, med mindre annet følger av ufravikelig lovgivning. Instruksene omfatter bruk av Tjenesten i tråd med vilkår for bruk og denne avtalen. Kunden skal sikre at behandlingen har tilstrekkelig rettslig grunnlag overfor de registrerte.

5. Databehandlerens plikter

Midans skal:

• behandle personopplysninger konfidensielt og begrense tilgang til autorisert personell;
• iverksette egnede tekniske og organisatoriske sikkerhetstiltak, herunder tilgangskontroll, kryptering der det er hensiktsmessig, logging og backup;
• bistå Kunden med å oppfylle plikter etter personvernregelverket, herunder henvendelser fra registrerte og konsekvensvurderinger, innen rimelig tid;
• slette eller returnere personopplysninger ved avtalens opphør, jf. punkt 12;
• gjøre tilgjengelig informasjon som viser at pliktene i denne avtalen oppfylles.

6. Underleverandører (underdatabehandlere)

Kunden gir Midans generelt samtykke til å benytte underleverandører som er nødvendige for å levere Tjenesten. Midans inngår databehandleravtaler med underleverandører der det kreves.

Godkjente underleverandører per juni 2026:

• Supabase — database, autentisering og fillagring (EU-region når konfigurert)
• Vercel — hosting og drift
• Stripe — betaling og abonnement
• Brevo / Resend — transaksjonell e-post

Midans varsler Kunden ved vesentlige endringer i underleverandører. Kunden kan innen 30 dager protestere mot endringen dersom den medfører vesentlig forverring av personvernbeskyttelsen.

7. Overføring til tredjeland

Midans tilstreber lagring og behandling innen EØS. Dersom personopplysninger overføres til land utenfor EØS, skal det foreligge et gyldig overføringsgrunnlag etter GDPR kapittel V, for eksempel EUs standardklausuler (SCC) eller adekvansbeslutning, og supplerende tiltak der det kreves.

8. Personvernbrudd

Midans varsler Kunden uten ugrunnet opphold, og senest innen 72 timer, etter å ha blitt kjent med et personvernbrudd som involverer Kundedata. Varslingen skal, i den grad det er mulig, inneholde beskrivelse av hendelsen, berørte kategorier av data, sannsynlige konsekvenser og tiltak som er iverksatt eller planlagt.

Kunden er ansvarlig for å vurdere om hendelsen skal meldes til Datatilsynet og de registrerte.

9. Revisjon

Kunden kan, med rimelig varsel og ikke oftere enn én gang per år, be om dokumentasjon som viser at Midans oppfyller pliktene i denne avtalen. Revisjon på stedet kan avtales skriftlig dersom dokumentasjon ikke er tilstrekkelig, og skal gjennomføres slik at driften og konfidensialiteten til andre kunder ikke vesentlig forstyrres.

10. Sletting og retur ved opphør

Ved opphør av avtaleforholdet skal Kunden eksportere nødvendige data fra Tjenesten. Midans sletter eller anonymiserer Kundedata innen 90 dager etter opphør, med mindre Kunden ber om tidligere sletting eller lovpålagt oppbevaring krever noe annet.

Automatisk oppbevaring og sletting

• Arbeidsavtaler og signaturer: inntil fem år etter opprettelse
• Kasserte utkast: 90 dager
• Sikkerhetskopier (eksport): 24 timer

11. Ansvar

Partenes ansvar for brudd på personvernregelverket reguleres av vilkår for bruk og ufravikelig lovgivning. Midans er ansvarlig for skade som skyldes behandling i strid med denne avtalen eller personvernregelverket, når Midans har brutt sine plikter som databehandler.

12. Endringer og lovvalg

Vesentlige endringer i denne avtalen varsles i tråd med vilkår for bruk. Avtalen reguleres av norsk rett. Verneting er Oslo tingrett, med mindre ufravikelig lovgivning bestemmer noe annet.

13. Kontakt

NOMF AS · org.nr 934 752 171 · Gamle Mossevei 49, 1420 Svartskog · hei@midans.no