Databehandleravtale for NiftyHR

Sist oppdatert 3. august 2026.

Denne avtalen om databehandling («Avtalen») er inngått mellom:

Behandlingsansvarlig:
Navn: [Kundens navn]
Adresse: [Kundens adresse]
Organisasjonsnummer: [Kundens organisasjonsnummer]

Databehandler:
Navn: NiftyHR AS
Adresse: Nygårdsgaten 95, 5008 Bergen
Organisasjonsnummer: 934 476 336

Innledning

Denne avtalen regulerer hvordan NiftyHR AS («Databehandler») behandler personopplysninger på vegne av kunden («Behandlingsansvarlig») i henhold til gjeldende personvernregler, inkludert GDPR. NiftyHR AS er ansvarlig for å sikre at all behandling av personopplysninger skjer i tråd med denne avtalen og de juridiske kravene.

1. Innledning

Denne Avtalen regulerer Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig i forbindelse med bruk av NiftyHR-systemet.

2. Formål

Formålet med databehandlingen er å muliggjøre drift og vedlikehold av NiftyHR-systemet for å administrere ferie, fri og sykdom for Behandlingsansvarligs medarbeidere.

3. Varighet

Avtalen gjelder så lenge Behandlingsansvarlig benytter NiftyHR-systemet, og kan termineres i henhold til hovedavtalen mellom partene.

4. Personopplysninger som behandles

Databehandler vil behandle følgende kategorier av personopplysninger:

• Navn
• Kontaktinformasjon (f.eks. e-postadresse, telefonnummer)
• Ansettelsesinformasjon (f.eks. stilling, avdeling)
• Ferie- og fraværsdata

5. Behandlingsaktiviteter

Databehandler vil utføre følgende behandlingsaktiviteter:

• Innsamling, lagring og organisering av personopplysninger
• Bruk av personopplysninger for å administrere ferie og fravær
• Sletting og anonymisering av personopplysninger etter instruks fra Behandlingsansvarlig

6. Rettigheter og plikter til Behandlingsansvarlig

Behandlingsansvarlig har rett til:

• Innsyn i, korrigere og slette personopplysninger
• Be om informasjon om Databehandlers behandling av personopplysninger
• Instruere Databehandler om spesifikke behandlingsaktiviteter

Behandlingsansvarlig plikter å:

• Sikre at behandlingen av personopplysninger skjer i samsvar med gjeldende personvernlovgivning
• Informere Databehandler om eventuelle endringer i behandlingen av personopplysninger

7. Rettigheter og plikter til Databehandler

Databehandler plikter å:

• Behandle personopplysninger kun i henhold til Behandlingsansvarligs instruksjoner
• Iverksette nødvendige tekniske og organisatoriske tiltak for å sikre personopplysningenes konfidensialitet, integritet og tilgjengelighet
• Informere Behandlingsansvarlig om eventuelle brudd på personopplysningssikkerheten uten ugrunnet opphold

8. Underleverandører

Databehandler benytter følgende underleverandører for å oppfylle sine forpliktelser etter denne Avtalen:

• Resend, Inc. (USA): Resend er en e-posttjeneste som håndterer utsendelse og mottak av e-poster. Det gir pålitelig levering av nyhetsbrev og varsler til brukerne.
• HubSpot, Inc. (USA): HubSpot er en CRM-plattform (Customer Relationship Management) som hjelper med å administrere kundeinteraksjoner, markedsføring, salg og kundeservice. Den brukes til å håndtere kommunikasjon og support med brukerne av NiftyHR.
• Supabase Inc. (USA): Supabase er et open source-alternativ til Firebase som tilbyr database-, autentiserings- og lagringstjenester. Den brukes til å lagre og administrere brukerdata på en sikker måte.
• Google LLC (USA): Google tilbyr sikre autentiseringstjenester som gjør det mulig for brukere å logge inn på NiftyHR med sine Google-kontoer, noe som gir en enkel og sikker innloggingsprosess.
• Vercel Inc. (USA): Vercel er en plattform for å utvikle, forhåndsvise og sende ut webapplikasjoner. Den brukes til å hoste og distribuere NiftyHR-applikasjonen, og sikrer rask og pålitelig tilgang til systemet.
• Heisenbug AS (Norge): For utvikling, drift og vedlikehold av NiftyHR-tjenesten.

Databehandler skal sikre at underleverandørene påtar seg de samme forpliktelsene som Databehandler i henhold til denne Avtalen.

9. Overføring av personopplysninger

Personopplysninger skal ikke overføres til land utenfor EU/EØS uten at det foreligger tilstrekkelige garantier for beskyttelse av personopplysningene i samsvar med gjeldende lovgivning.

10. Sikkerhetstiltak

Databehandler skal iverksette nødvendige tekniske og organisatoriske tiltak for å beskytte personopplysningene mot utilsiktet eller ulovlig ødeleggelse, tap, endring, uautorisert utlevering eller tilgang. Disse tiltakene skal minst omfatte:

• Tilgangskontroll til systemer og data
• Kryptering av data der det er hensiktsmessig
• Regelmessige sikkerhetsvurderinger og -revisjoner

11. Revisjon og inspeksjon

Behandlingsansvarlig har rett til å gjennomføre revisjoner og inspeksjoner for å verifisere at Databehandler overholder sine forpliktelser etter denne Avtalen. Databehandler skal gi nødvendig tilgang og assistanse for å muliggjøre slike revisjoner og inspeksjoner.

12. Nyhetsbrev

Databehandler vil sende ut nyhetsbrev i sjeldne tilfeller for å informere om nye funksjoner. Databehandler sender aldri spam, og nyhetsbrevene vil kun inneholde relevant informasjon om systemoppdateringer og nye funksjoner.

13. Avslutning og sletting av data

Ved avslutning av Avtalen skal Databehandler, etter Behandlingsansvarligs valg, returnere eller slette alle personopplysninger som Databehandler har behandlet på vegne av Behandlingsansvarlig, med mindre lovgivningen krever videre oppbevaring av opplysningene.

14. Endringer og tillegg

Endringer og tillegg til denne Avtalen skal være skriftlige og undertegnet av begge parter.

15. Lovvalg og verneting

Denne Avtalen er underlagt norsk lov. Eventuelle tvister som oppstår i forbindelse med denne Avtalen skal løses ved de ordinære domstoler med Behandlingsansvarligs verneting som avtalt verneting.