Databehandleravtale

Mellom barnehagen og 4V3D OÜ, for avdelingstjenesten i Minute Mission. Versjon 1.0, 23. september 2026.

Dette er en norsk oversettelse av avtalen. Avtalen er også publisert på engelsk og estisk, og det er de to tekstene som gjelder mellom partene. Dersom oversettelsen og den engelske teksten skiller seg fra hverandre, er det den engelske teksten som avgjør.

Slik inngår dere avtalen

To måter, med samme virkning.

• I kassen. Kryss av i boksen der dere godtar denne avtalen, versjon 1.0. Versjonen og datoen registreres på kontoen deres, en kopi av nøyaktig den teksten dere godtok sendes til dere på e-post, og den blir liggende tilgjengelig på kontoen.
• På papir, dersom virksomheten deres trenger en signatur. Be oss om det på info@4v3d.ee, så sender vi den samme teksten som et dokument med en tabell for opplysningene deres. Signer det elektronisk (en kvalifisert signatur etter eIDAS, DocuSign, Adobe Sign eller deres egen nasjonale løsning) og send det tilbake. 4V3D OÜ signerer den samme filen og returnerer den. Avtalen trer i kraft på tidspunktet for den siste av de to signaturene.

Databehandler: 4V3D OÜ, organisasjonsnummer 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estland. Representant: Oskar Viil, styremedlem. Kontakt: info@4v3d.ee.

1. Hva avtalen omfatter

Barnehagen (behandlingsansvarlig) bruker Minute Mission, en nettapplikasjon som drives av 4V3D OÜ (databehandler), der en ansatt holder en tavle over avdelingens oppdrag og belønninger. For å gjøre det behandler 4V3D OÜ personopplysningene som er beskrevet i vedlegg II på vegne av barnehagen og etter barnehagens instrukser.

Denne avtalen inneholder alt det som artikkel 28 nr. 3 i personvernforordningen, og i UK GDPR, krever avtalt skriftlig mellom en behandlingsansvarlig og en databehandler. Den gjelder uansett om barnehagen er etablert i EØS eller i Storbritannia.

2. Hvilket regelverk som gjelder for dere

• En barnehage i EØS. Personvernforordningen gjelder. Punkt 3 gjelder også.
• En barnehage i Storbritannia. UK GDPR og Data Protection Act 2018 gjelder. Henvisninger nedenfor til personvernforordningen leses som henvisninger til UK GDPR, henvisninger til en tilsynsmyndighet leses som Information Commissioner, og punkt 3 gjelder ikke.
• En barnehage andre steder. Deres eget personvernregelverk gjelder for dere, og disse vilkårene binder 4V3D OÜ som avtale. 4V3D OÜ er etablert i Den europeiske union og er derfor uansett bundet av personvernforordningen for denne behandlingen. Ingenting her svekker en rettighet deres eget regelverk gir dere.

3. Europakommisjonens standard kontraktsbestemmelser

Dersom barnehagen er etablert i EØS, anvender partene standard kontraktsbestemmelser mellom behandlingsansvarlige og databehandlere i vedlegget til Kommisjonens gjennomføringsbeslutning (EU) 2021/915, i deres offisielle engelske ordlyd. Bestemmelsene er en del av denne avtalen, og vedleggene nedenfor er deres vedlegg. Punkt 5 (tilslutning) gjelder ikke. I punkt 7.7 gjelder alternativ 2: generell skriftlig godkjenning av underdatabehandlere, med 30 dagers varsel ved endringer. Dersom bestemmelsene og denne avtalen sier ulike ting, går bestemmelsene foran.

4. Hva hver av partene påtar seg

4V3D OÜ skal:

• Behandle personopplysningene bare for å levere tjenesten og bare etter barnehagens dokumenterte instrukser, også når det gjelder overføring til tredjeland. Denne avtalen og barnehagens bruk av tjenesten utgjør disse instruksene. Dersom 4V3D OÜ etter EU-rett eller en medlemsstats rett må behandle opplysningene på annen måte, sier selskapet fra til barnehagen først, med mindre den retten forbyr det.
• Aldri bruke opplysningene til egne formål, aldri selge dem, aldri bruke dem til å trene noe som helst og aldri vise dem til noen utenfor underdatabehandlerne som er nevnt i vedlegg IV.
• Sørge for at alle med tilgang er bundet av taushetsplikt.
• Opprettholde sikkerhetstiltakene i vedlegg III, og ikke svekke dem.
• Bare bruke underdatabehandlerne i vedlegg IV. 4V3D OÜ kan legge til eller bytte ut en av dem, og gir da først barnehagens kontaktperson skriftlig varsel 30 dager i forveien. Barnehagen kan protestere innen disse 30 dagene; dersom innvendingen ikke lar seg løse, kan barnehagen avslutte tjenesten og får refundert den ubrukte delen av måneden.
• Hjelpe barnehagen med å svare på en henvendelse fra en forelder eller en ansatt. De ansatte og styreren kan allerede selv se, rette, eksportere og slette disse opplysningene i tjenesten. Dersom en henvendelse i stedet kommer til 4V3D OÜ, videresendes den til barnehagens kontaktperson innen fem virkedager og besvares ikke direkte.
• Bistå barnehagen med dens plikter etter artikkel 32 til 36 (sikkerhet, melding om brudd, vurdering av personvernkonsekvenser, forhåndsdrøfting), tatt i betraktning hva 4V3D OÜ faktisk vet.
• Varsle barnehagens kontaktperson om et brudd på personopplysningssikkerheten innen 24 timer etter å ha blitt kjent med det, med det som er kjent på det tidspunktet og resten etter hvert som det blir klarlagt.
• Ved slutten av tjenesten slette opplysningene innen 30 dager, eller levere dem tilbake først dersom barnehagen ber om det. De forsvinner fra de krypterte sikkerhetskopiene innen 90 dager. 4V3D OÜ bekrefter skriftlig når de er borte.
• Gjøre tilgjengelig den informasjonen som trengs for å vise at disse pliktene er oppfylt, og tillate revisjon. I praksis betyr det skriftlige svar og dokumentasjon på forespørsel. Revisjon på stedet eller ved tredjepart kan avtales med 30 dagers varsel, for barnehagens regning, ikke mer enn én gang i året med mindre det har vært et brudd.
• Si fra til barnehagen med én gang dersom en instruks ser ut til å bryte personvernregelverket.

Barnehagen skal:

• Sørge for at den har et rettslig grunnlag for denne behandlingen, og at foreldrene er informert. 4V3D OÜ møter ikke foreldrene og kan ikke gjøre dette for dere.
• Holde opplysningene i tjenesten innenfor det vedlegg II beskriver. Skriv særlig aldri inn et barns etternavn, helseopplysninger, en vurdering av et barn eller noe om en families forhold i et fritekstfelt.
• Holde sine egne kontoopplysninger riktige, og si fra til 4V3D OÜ når kontaktpersonen skiftes ut.
• Styre sine egne ansattkontoer: fjern en ansatts innlogging når den ansatte slutter.

5. To ting som ikke er behandling på deres vegne

Sagt rett ut her, så ingen trenger å gjette senere.

• Ansattkontoer. Navnet, e-postadressen og passordet til en ansatt eller en styrer trengs for at tjenesten i det hele tatt skal virke, og det er 4V3D OÜ som bestemmer hvordan tjenesten drives. For det snevre formålet er 4V3D OÜ behandlingsansvarlig, ikke databehandler, og selskapets egen personvernerklæring gjelder. Alt som handler om barna, er behandling på vegne av barnehagen og er dekket av denne avtalen.
• Betaling for tjenesten. Dersom barnehagen betaler med kort, håndteres betalingen av Stripe Payments Europe Ltd. Stripe mottar barnehagens fakturanavn, adresse, mva-nummer, e-postadresse og kortopplysninger, og ingen opplysninger om noe barn. 4V3D OÜ er behandlingsansvarlig for disse faktureringsopplysningene. Stripe er derfor ikke en underdatabehandler etter denne avtalen og står ikke i vedlegg IV.

6. Varighet, lovvalg og ansvar

Denne avtalen løper så lenge 4V3D OÜ behandler barnehagens opplysninger, og gjelder videre etter at tjenesten er avsluttet, helt til opplysningene er slettet.

Estisk rett gjelder, og domstolene i Harju fylke har jurisdiksjon, med mindre barnehagen er et offentlig organ hvis egne regler krever nasjonal rett og nasjonale domstoler, og partene i så fall avtaler det i stedet før signering.

Ansvaret følger av brukervilkårene for Minute Mission, som denne avtalen supplerer og ikke erstatter.

Vedlegg I. Partene

Behandlingsansvarlig: barnehagen, identifisert ved opplysningene den oppgir i kassen eller fyller inn i det signerte eksemplaret. Rolle: behandlingsansvarlig for barnas opplysninger på avdelingstavlen.

Databehandler: 4V3D OÜ, organisasjonsnummer 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estland. Kontakt: Oskar Viil, styremedlem, info@4v3d.ee. Det er ikke oppnevnt personvernombud, fordi personvernforordningen ikke krever det her.

Hver av partene kan bytte kontaktperson ved skriftlig melding til den andre.

Vedlegg II. Beskrivelse av behandlingen

Vedlegg III. Sikkerhetstiltak

• Opplysningene ligger i Den europeiske union. Applikasjonen og sikkerhetskopiene kjører i datasenteret til Hetzner Online GmbH i Helsingfors i Finland (sertifisert etter ISO/IEC 27001). E-post fra tjenesten sendes fra Scaleway SAS i Frankrike. Det skjer ingen overføring til tredjeland.
• Alt som sendes, er kryptert (HTTPS, med en Content Security Policy i kraft). Passord lagres aldri, bare en hash av dem, og økttokener lagres også som hasher, slik at en kopi av databasen ikke er et sett med fungerende nøkler.
• Hver avdeling er en egen konto. En ansatt ser bare barna på sin egen avdeling. Styreren har én innlogging på tvers av sine egne avdelinger og ingen tilgang til noen andres.
• Fotografier kan ikke lastes opp til en avdelingskonto, push-varsler er av, og barnas bilder er låst til et sett med tegninger.
• Daglige krypterte sikkerhetskopier, som beholdes 14 dager på serveren og 90 dager utenfor. De er kryptert med en offentlig nøkkel som serveren selv ikke har, så serveren kan ikke lese sine egne sikkerhetskopier. Gjenoppretting fra sikkerhetskopi er testet.
• Tilgangen til serveren er begrenset til styremedlemmet i 4V3D OÜ. Det finnes ingen ansatt, innleid eller supportmedarbeider med tilgang.
• Ingen analyse, ingen annonseverktøy og ingen form for sporing. Den eneste faste rapporteringen er en daglig telling av registreringer, aktive kontoer og feil, og den inneholder ingen navn.
• Begrensning av antall forsøk ved innlogging og registrering, og en grense på 30 dager for hvor langt tilbake et oppdrag kan krysses av, slik at en feil eller et misbruk ikke kan skrive om flere måneders historikk.
• En skriftlig sikkerhetsgjennomgang av hele kildekoden er kjørt to ganger av en utenforstående modell, sist 20. september 2026, og funnene er lukket.

Vedlegg IV. Underdatabehandlere

Begge ligger i Den europeiske union. Det finnes ingen underdatabehandler utenfor EU, og ingen internasjonal overføring å vurdere.