Databehandleravtale

Versjon 3. november 2026

1. Hva TapTab behandler på vegne av stedet

• Hvem: gjester som blir med i stedets stempelkort eller gir tilbakemelding, og stedets ansatte.
• Hvilke opplysninger: navn, e‑post, eventuell fødselsdag (dag og måned), stempler, innløste belønninger og tidspunkt for dem, samtykker til tilbud, tilbakemeldinger (vurdering og kommentar), og navn og e‑post for ansatte.
• Formål: å levere TapTab til stedet: stempelkort, meny, Wi‑Fi-deling, tilbakemeldinger og dashboard. TapTab bruker ikke opplysningene til egne formål, og selger dem aldri.
• Særlige kategorier: TapTab skal ikke behandle særlige kategorier personopplysninger. Allergeninformasjon i menyen gjelder retter, ikke personer.
• Varighet: så lenge abonnementet løper, og til dataene er slettet etter punkt 8.

2. Stedets plikter

Stedet er ansvarlig for at det har rettslig grunnlag for behandlingen, at gjestene får informasjon om den, og at tilbud bare sendes til gjester som har samtykket.

3. TapTabs plikter

• Behandle opplysningene bare etter stedets dokumenterte instrukser, som er denne avtalen og stedets bruk av dashboardet.
• Sørge for at alle som har tilgang til opplysningene, har taushetsplikt.
• Hjelpe stedet med å svare på forespørsler fra gjester om innsyn, retting, sletting og dataportabilitet. Gjester kan selv slette stempelkortet og kontoen sin i appen.
• Hjelpe stedet med vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet når det er nødvendig.
• Gi stedet informasjonen som trengs for å vise at avtalen følges, og legge til rette for revisjon med rimelig varsel.

4. Sikkerhet

• All trafikk er kryptert (HTTPS). Passord lagres bare som saltede hash-verdier (scrypt).
• Data lagres i EU/EØS, med daglige sikkerhetskopier hos databaseleverandøren.
• Hvert sted ser bare sine egne data. Tilgang til dashboardet krever innlogging.
• Gjester som ikke er innlogget, ser ingen personopplysninger. Stedet ser ikke gjestenes passord.

5. Underdatabehandlere

Stedet godkjenner at TapTab bruker disse underleverandørene:

• Cloudflare, Inc. – Drift av web-appen (Cloudflare Workers), DNS og e‑postvideresending. Forespørsler behandles i Cloudflares nettverk, vanligvis i et datasenter nær databasen i EU. Selskapet er amerikansk: overføring sikres med EUs standardavtaler (SCC) og EU–US Data Privacy Framework.
• Supabase Inc. – Database og sikkerhetskopier. EU (AWS, region Stockholm). Selskapet er amerikansk: overføring sikres med EUs standardavtaler (SCC).

TapTab varsler stedet minst 30 dager før nye underleverandører tas i bruk. Stedet kan protestere, og hvis vi ikke finner en løsning, kan stedet si opp avtalen uten kostnad. Underleverandørene er bundet av tilsvarende plikter som i denne avtalen.

6. Overføring ut av EU/EØS

Opplysningene lagres i EU/EØS. Enkelte underleverandører er amerikanske selskaper. Eventuell tilgang fra land utenfor EU/EØS skjer bare med et gyldig overføringsgrunnlag etter GDPR kapittel V, som EUs standardavtaler (SCC).

7. Avvik

Oppdager TapTab et brudd på personopplysningssikkerheten, varsler vi stedet uten ugrunnet opphold og senest innen 48 timer, med det vi vet om hva som har skjedd, hvem som er berørt og hva som er gjort. Stedet har selv plikt til å varsle Datatilsynet innen 72 timer når det er påkrevd.

8. Når avtalen opphører

Når abonnementet avsluttes, kan stedet be om en kopi av gjestelisten. TapTab sletter deretter stedets personopplysninger innen 30 dager, og fra sikkerhetskopier innen 90 dager, med mindre lov krever at noe lagres lenger.

9. Godkjenning

Avtalen godtas elektronisk når stedet oppretter en konto. TapTab lagrer tidspunktet og hvilken versjon som ble godtatt. Kontakt om personvern: personvern@taptab.no.