Databehandleravtale

Versjon 1.0 · gjelder fra 19. oktober 2026

Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28. Den er en del av tjenesteavtalen for Skifti og inngås når en leder godkjenner avtalene i Skifti på vegne av bedriften.

1. Parter og roller

• Behandlingsansvarlig er kunden: bedriften som er registrert i Skifti.
• Databehandler er Havnio AS, org.nr. 938 525 420, Åmøyveien 69, 4158 Bru («Skifti», «vi»).

Kunden bestemmer formålet med og midlene for behandlingen av personopplysninger om sine ansatte. Skifti behandler opplysningene på vegne av kunden og bare etter kundens instrukser.

2. Formål, art og varighet

Formål: å levere Skifti til kunden: planlegge og publisere vakter, håndtere tilgjengelighet, ønsker, bytter og ledige vakter, sende varsler og meldinger, registrere arbeidstid, lage rapporter og gi support.

Art: lagring, strukturering, sammenstilling, visning, overføring (e-post og push-varsler), eksport og sletting.

Varighet: så lenge tjenesteavtalen gjelder, og deretter til opplysningene er slettet etter punkt 9.

3. Hvem og hva det gjelder

Registrerte

Kundens ansatte, ledere og andre kunden gir tilgang til Skifti.

Kategorier av personopplysninger

• Kontakt og konto: navn, e-postadresse, telefonnummer, tilgang (leder eller ansatt), passord (bare som en ikke-reversibel hash), innloggingsøkter (nettleser eller enhetstype) og hemmelig adresse til kalenderabonnement.
• Arbeidsforhold: stillingsprosent, timelønn (valgfritt), hvilke roller den ansatte kan jobbe i, og om den ansatte er aktiv.
• Planlegging: vakter, bytter, bortgitte og ledige vakter, interesse for vakter, når den ansatte ikke kan jobbe (med valgfri merknad), og ønsker om mengde, dager, tider og roller.
• Arbeidstid: inn- og utstempling, pauser, merknader og lederens godkjenning, og beregnet lønnskostnad.
• Kommunikasjon: chatmeldinger og reaksjoner, varsler, og push-adresser til enhetene der appen er installert.
• Historikk: logg over hvem som har endret hva og når.

Tjenesten er ikke laget for særlige kategorier av personopplysninger (som helseopplysninger). Kunden skal ikke legge inn slike opplysninger, se tjenesteavtalen punkt 4.

4. Kundens plikter

• Kunden har behandlingsgrunnlag for opplysningene som legges inn i Skifti, og informerer de ansatte om behandlingen.
• Kunden gir instruksene for behandlingen. Denne avtalen og kundens bruk og innstillinger i Skifti er de dokumenterte instruksene.
• Kunden svarer på henvendelser fra de ansatte om deres rettigheter. Lederne kan selv rette, eksportere og slette opplysninger i Skifti.

5. Skiftis plikter

• Vi behandler opplysningene bare etter kundens dokumenterte instrukser, med mindre lov krever noe annet. Mener vi at en instruks er i strid med personvernregelverket, sier vi fra.
• Alle som har tilgang til opplysningene hos oss, har taushetsplikt.
• Vi gjennomfører sikkerhetstiltakene i punkt 6.
• Vi hjelper kunden, så langt det er rimelig, med å oppfylle de registrertes rettigheter, med vurderinger av personvernkonsekvenser og med forhåndsdrøftinger med Datatilsynet.
• Vi varsler kunden uten ugrunnet opphold, og senest innen 48 timer etter at vi ble kjent med det, om brudd på personopplysningssikkerheten som gjelder kundens opplysninger. Varselet beskriver hva som har skjedd, hvilke opplysninger og hvor mange som er berørt, og hva vi gjør med det.
• Vi gir kunden informasjonen som trengs for å vise at avtalen følges, og legger til rette for revisjoner, se punkt 8.

6. Sikkerhet

• All trafikk til og fra Skifti er kryptert (HTTPS/TLS). Databasen og sikkerhetskopiene ligger hos vår driftsleverandør i EU og er kryptert der de lagres.
• Hver bedrifts data er skilt fra andre bedrifters i databasen med radnivåsikkerhet (Row Level Security), i tillegg til tilgangskontrollen i appen.
• Passord lagres bare som scrypt-hash med salt. Innloggingen bruker sikre informasjonskapsler som ikke kan leses av skript.
• Tilgang i appen styres av rollen: ansatte ser det de trenger, lederne resten.
• Endringer i planen, oppsettet og dataene logges.
• Skifti-support får bare tilgang til en bedrifts data når det trengs for å løse en henvendelse eller feil. Tilgangen er tidsbegrenset til én time om gangen, krever en årsak, og logges både hos oss og i bedriftens egen historikk.
• Sikkerhetskopier tas daglig av driftsleverandøren.

7. Underleverandører

Kunden gir med dette generell forhåndsgodkjenning av at vi bruker underleverandører (underdatabehandlere). Vi inngår avtaler med dem som gir samme vern som denne avtalen. Disse brukes nå:

Vi varsler lederne på e-post minst 30 dager før vi tar i bruk en ny underleverandør eller bytter ut en. Kunden kan protestere innen fristen. Kan vi ikke imøtekomme protesten, kan kunden si opp avtalen før endringen trer i kraft.

8. Overføring utenfor EØS og revisjon

Opplysninger overføres bare til land utenfor EØS når det er et gyldig overføringsgrunnlag etter GDPR kapittel V, som EUs standard personvernbestemmelser (SCC) eller EU–US Data Privacy Framework for selskaper som er sertifisert under det.

Kunden kan be om dokumentasjon på at avtalen følges. Kunden kan, med 30 dagers varsel og høyst én gang i året, la en uavhengig revisor med taushetsplikt gjennomføre en revisjon hos oss. Kunden dekker egne kostnader til revisjonen. Revisjon hos underleverandørene skjer ved at vi henter inn deres dokumentasjon og sertifiseringer.

9. Når avtalen opphører

Kunden kan når som helst laste ned alle opplysningene i Skifti (JSON eller CSV). Når avtalen opphører, sletter vi opplysningene etter tjenesteavtalen punkt 10: med en gang når en leder sletter bedriften, ellers senest 90 dager etter avslutningen, og fra sikkerhetskopier senest 30 dager etter det. Vi beholder ingen kopier, med mindre lov krever det.

10. Ansvar, varighet og lovvalg

Ansvarsbegrensningene i tjenesteavtalen gjelder også for denne avtalen, så langt GDPR tillater det. Avtalen gjelder så lenge Skifti behandler personopplysninger for kunden. Den reguleres av norsk rett, med samme verneting som tjenesteavtalen.