Databehandleravtale

Sist oppdatert: 17. oktober 2026

Denne avtalen er en del av vilkårene for bruk av Embrosia. Den regulerer Embrosia Herlands behandling av gjestenes personopplysninger på vegne av restauranten, som er behandlingsansvarlig.

Opplysninger som Embrosia selv er behandlingsansvarlig for, blant annet brukerkontoer, kundekontoer, fakturering og sperrelister, omfattes av personvernerklæringen og ikke denne avtalen.

Del A. Standardkontraktsvilkårene

Partene vedtar standardkontraktsvilkårene etter personvernforordningen artikkel 28 nr. 7 i EU-kommisjonens gjennomføringsbeslutning (EU) 2021/915 av 4. juni 2021 ("standardklausulene"). Restauranten er behandlingsansvarlig og Embrosia er databehandler.
Klausul 5 (tilslutningsklausulen) brukes ikke. I klausul 7.7 gjelder alternativ 2, generell skriftlig godkjenning av underdatabehandlere, med listen i vedlegg IV og varslingsfristen i del B punkt 5.
Del B inneholder restaurantens dokumenterte instrukser og særlige bestemmelser. Del C fyller ut vedlegg I til IV.
Standardklausulene går foran alle andre avtaler mellom partene når det gjelder behandling av personopplysninger. Ved motstrid mellom den norske og den engelske teksten i denne avtalen går den norske foran.

Del B. Instrukser og særlige bestemmelser

Instrukser. Restauranten instruerer Embrosia om å behandle opplysningene for å levere tjenesten etter vilkårene, vedlegg II og punkt 2 til 4 nedenfor. Ytterligere instrukser sendes skriftlig til [email protected]. Embrosia kan avslå instrukser som krever endringer i tjenesten. Restauranten kan da avslutte avtalen etter punkt 3.
Lagringstider. Opplysningene om gjesten på en bestilling (navn, e-postadresse, telefonnummer, leveringsadresse og koordinater, merknader, fritekst, sporingsnøkkel, e-postadressen på en rabattkodeinnløsning og koblingen til en kundekonto) fjernes automatisk når det har gått fem år fra utgangen av regnskapsåret bestillingen ble gjort i. Varelinjer, beløp, merverdiavgift, betalingsreferanser, kortets fire siste sifre, korttype og sammendrag av betalingstvister beholdes til restauranten slettes. Opplysningene om gjesten på en reservasjon, inkludert merknader fra gjesten, fjernes tre år etter besøket. Leveringsmetadata for ferdigbehandlede e-poster til gjester om bestillinger og reservasjoner slettes etter 90 dager. Kopier av bestillinger som er sendt til restaurantens egne systemer (webhooks), slettes 90 dager etter sendingen. Restauranten bekrefter at gjestens navn og kontaktopplysninger beholdes i fem år etter restaurantens instruks og i restaurantens interesse av egen kundehistorikk, ikke fordi bokføringsloven krever det. Tjenesten tilbyr ikke egne frister per restaurant.
Sletting ved opphør. Avtalen opphører når restauranten selv eller Embrosia sletter restauranten etter vilkårene. Alle bestillinger og reservasjoner med gjesteopplysninger slettes straks, uten gjenopprettingsperiode. Restauranten kan velge tilbakelevering ved å laste ned bestillingene fra dashbordet før sletting. Sikkerhetskopier roteres ut innen 30 dager. Embrosia beholder fakturagrunnlaget for transaksjonsgebyret og en slettingspost uten identifiserende opplysninger etter personvernerklæringen. Egne innkrevingsposter med leverandørreferanser, beløp, utfall og tidspunkter beholdes mens innkrevingen er uavklart og i fem år fra utgangen av regnskapsåret den ble avsluttet i. Disse postene inneholder ikke gjesteopplysninger.
Statistikk. Restauranten tillater statistikk fra bestillingsdata som ikke kan knyttes til en person eller, etter sletting av fakturagrunnlaget, til en restaurant.
Underdatabehandlere. Embrosia varsler 30 dager før en ny underdatabehandler tas i bruk, i dashbordet og på e-post til eieren. Restauranten kan protestere innen fristen og avslutte avtalen etter punkt 3 hvis partene ikke finner en løsning.
Bistand. Restauranten kan se og laste ned gjesteopplysninger i dashbordet. Embrosia bistår på forespørsel, blant annet med sletting av en gjests opplysninger før fristene i punkt 2. Eventuelt vederlag for bistand utover den ordinære tjenesten avtales på forhånd og skal være rimelig.
Brudd på personopplysningssikkerheten. Embrosia varsler eieren av restauranten på e-post uten ugrunnet opphold, og senest 48 timer etter å ha blitt kjent med bruddet.
Revisjon. Restauranten kan be om dokumentasjon på at avtalen følges. Kontroll på stedet avtales på forhånd, gjennomføres i vanlig arbeidstid og bekostes av restauranten, med mindre den avdekker vesentlige brudd.
Taushetsplikt. Bare innehaveren har tilgang til opplysningene hos Embrosia og er bundet av taushetsplikt. Andre må være bundet av taushetsplikt før de får tilgang.
Kontakt. Henvendelser om denne avtalen sendes til [email protected].

Del C. Vedlegg

Vedlegg I. Partene

Behandlingsansvarlig: restauranten med navn, organisasjonsnummer og adresse registrert i Embrosia. Kontaktperson er eieren, med e-postadressen på eierens konto. Avtalen inngås når eieren godtar vilkårene på vegne av virksomheten. Avtaledatoen er det registrerte godkjenningstidspunktet. Endres organisasjonsnummeret, kreves ny godkjenning for den nye virksomheten.

Databehandler: Embrosia Herland (enkeltpersonforetak), organisasjonsnummer 937 889 445, Kokstadvegen 153D, 5257 Kokstad, Norge. Kontaktperson: Simen Melo Herland, [email protected].

Vedlegg II. Beskrivelse av behandlingen

Kategorier av registrerte: restaurantens gjester som bestiller mat, reserverer bord eller er oppgitt som mottaker ved levering.

Kategorier av personopplysninger: navn, e-postadresse, telefonnummer, leveringsadresse og koordinater, bordnavn, om en reservasjon ble gjort på nett eller lagt inn av ansatte, leveringsstatus for e-post til gjesten om bestillinger og reservasjoner, språket gjesten bestilte på, bestilte varer med priser og beløp, merknader og fritekst gjesten skriver inn, valgt betalingsmåte, betalingsleverandørens referanser, sammendrag av betalingstvister med referanser til tvisten og restaurantkontoen, status, beløp, valuta, årsak, svarfrist og tidspunkter, kortets fire siste sifre og korttype (aldri fullt kortnummer eller andre kortdetaljer), brukte rabattkoder, tidspunkter og status, en nøkkelbasert hash av nettverket bestillingen kom fra, en hash av sporingsnøkkelen, og koblingen til en eventuell kundekonto hos Embrosia.

Særlige kategorier: Tjenesten ber ikke om diagnoser eller helsehistorikk, men gjester kan skrive om allergier, tilgjengelighetsbehov eller helse i fritekstfeltene. Opplysningene brukes bare til å tilrettelegge besøket, vises til restaurantens brukere, Embrosias operatører og gjesten gjennom sporingslenken, og fjernes etter del B punkt 2. Fritekst sendes ikke i betalings- eller kvitteringsfeltene til betalingsleverandører. Sporingslenken som sendes til Vipps, gir tilgang til bestillingen og gjestens merknader.

Behandlingens art: innsamling gjennom bestillings- og reservasjonsløsningen, lagring, visning i dashbordet, formidling av betaling, sporingslenke og kvittering til betalingsleverandørene som beskrevet i vedlegg IV, bekreftelser og kvitteringer på e-post, sending til restaurantens tilkoblede systemer, eksport og sletting.

Formål: å ta imot, vise, håndtere og dokumentere restaurantens bestillinger og reservasjoner.

Varighet: så lenge avtalen gjelder. Opplysningene om den enkelte gjest fjernes etter fristene i del B punkt 2.

Behandling hos underdatabehandlere: gjenstand, art og varighet per underdatabehandler står i vedlegg IV.

Vedlegg III. Tekniske og organisatoriske tiltak

Tilgangsstyring. Restaurantens brukere ser bare sin egen restaurant, og eieren styrer hvem som er med og hvilke rettigheter de har. Eieren kan kreve tofaktorautentisering av hele teamet. Embrosias operatører logger inn med passord og obligatorisk tofaktorautentisering, øktene varer i høyst tolv timer, fem feil koder låser kontoen, og tilgangen kan begrenses til faste nettverksadresser.
Kryptering. All trafikk går over TLS. Passord lagres som bcrypt-hasher. Hemmeligheter som må kunne leses tilbake (betalingsnøkler, tofaktorhemmeligheter, webhook-hemmeligheter) lagres kryptert med AES-256-GCM. Engangskoder, sporingsnøkler og innloggingstokener lagres bare som hasher.
Dataminimering. Fullt kortnummer og andre kortdetaljer går direkte til betalingsleverandøren og lagres aldri hos Embrosia. Kortets fire siste sifre og korttype lagres med bestillingens kvitteringsopplysninger når leverandøren oppgir dem. Ved betalingstvister lagres et sammendrag, ikke dokumentasjon som sendes til Stripe. Nettverksadresser lagres bare som nøkkelbasert hash, i 90 dager. Avstandsberegninger fra Google lagres ikke.
Historikk for betalingstilkoblinger. Krypterte Vipps- og Nets-nøkler og Vipps-webhook-hemmeligheter beholdes med betalingen til restauranten slettes. Bytte av tilkobling kan ikke sende en eksisterende innkreving eller refusjon til en annen konto. Versjoner som verken brukes av en betaling eller gjeldende tilkobling, fjernes daglig. Eksporter inneholder referanser, aldri nøkler. Bekreftede erstatningsnøkler gjelder bare samme opprinnelige brukersted, og historisk webhook-verifisering beholdes. Tilkobling av en eksisterende Stripe-konto krever eierens innloggede godkjenning.
Logging. Innlogginger og sikkerhetsendringer for restaurantens brukere logges i tolv måneder. Alle operatørhandlinger, inkludert støttetilgang, logges med begrunnelse i en logg som bare kan legges til.
Feilrapportering. Når rapportering er slått på, mottar Sentry feiltype og feilmelding, tidspunkt, kodeplasseringer med nærmeste kodelinjer, side eller API-endepunkt uten søkeparametere, nettleser og operativsystem, og nylige sidebytter, forespørsler og klikk, aldri innskrevet tekst. E-postadresser, telefonnumre, nøkler og lenkeparametere i feilmeldinger maskeres. Serverfeil kan inneholde interne referanser til restaurant, bestilling, reservasjon, varsellevering, betalingsforsøk og betalingsoppsett, handling, integrasjon, status, feilkoder og ID-en til innlogget restaurantbruker eller kunde. Navn, kontaktopplysninger, adresser, bestillings- og forespørselsinnhold, informasjonskapsler, kodevariabler og hemmeligheter sendes ikke. Opptak av nettleserøkter er slått av.
Støttetilgang. Operatører kan åpne restaurantens dashbord som en bruker med begrunnelse og i én time om gangen. Tilgangen logges og gir ikke innsyn i passord, tofaktorhemmeligheter eller betalingsnøkler.
Sletting. En nattlig jobb fjerner gjesteopplysninger etter fristene. Sletting av restauranten fjerner bestillinger og reservasjoner straks. Sikkerhetskopier av databasen beholdes i 30 dager.
Drift. Produksjonsdata og sikkerhetskopier skal lagres i EU/EØS. Servere og database driftes hos DigitalOcean. Sikkerhetskopier skal slettes innen 30 dager.
Leverandørstyring. Embrosia skal ha databehandleravtaler med underdatabehandlerne i vedlegg IV. Tilgang fra land uten tilstrekkelig beskyttelsesnivå tillates bare med gyldig overføringsgrunnlag.
Organisasjon. Bare innehaveren driver Embrosia Herland og har tilgang til produksjonssystemene.

Vedlegg IV. Underdatabehandlere

DigitalOcean, LLC, USA. Drift av servere og database for alle opplysninger i vedlegg II, så lenge avtalen gjelder. Produksjonsdata skal lagres i EU/EØS. Overføringsgrunnlag: EU-US Data Privacy Framework for dekkede USA-overføringer, med EU-kommisjonens standardavtaler (beslutning (EU) 2021/914) som reserveløsning.
Functional Software, Inc. (Sentry), USA. Teknisk feilrapportering etter vedlegg III, uten gjestens navn, kontaktopplysninger eller bestillingsinnhold. Nettleserens IP-adresse mottas ved overføring og skal ikke lagres i feilrapporten. Rapportene lagres i Frankfurt når EU velges for Sentry-organisasjonen, i 30 dager på gratisabonnementet eller opptil 90 dager i prøveperioden. Kontoadministrasjon og støtte kan behandles i USA. Overføringsgrunnlag: EU-US Data Privacy Framework, med EU-kommisjonens standardavtaler (beslutning (EU) 2021/914) som reserveløsning etter Sentrys databehandleravtale.
Amazon Web Services EMEA SARL, Luxembourg. SES i Stockholm (eu-north-1) behandler gjestens e-postadresse og meldingsinnhold ved utsending om bestillinger og reservasjoner. S3 i Stockholm lagrer restaurantens bilder, og CloudFront mottar gjestens IP-adresse ved levering av dem. Overføringsgrunnlag: EU-kommisjonens standardavtaler ved overføringer som krever dette.
Unwired Labs (India) Pvt Ltd (LocationIQ), India. EU-endepunktet mottar adresseteksten for oppslag av leveringskoordinater, i det øyeblikket oppslaget gjøres. Tilgang eller behandling fra India skal omfattes av EU-kommisjonens standardavtaler eller annet gyldig overføringsgrunnlag før slik tilgang tillates.
Domeneshop AS, Norge. E-postkassene Embrosia bruker til support. Opplysninger om gjester bare i den grad restauranten skriver om dem i en henvendelse.

Andre mottakere. Google Ireland Limited (Irland) mottar restaurantens og leveringsadressens koordinater for kjøreavstandsberegning med Google Routes etter restaurantens instruks. Google behandler opplysningene som behandlingsansvarlig etter sine egne personvernvilkår og overføringsregler, og er ikke en underdatabehandler etter denne avtalen.

Betalingsleverandører. Stripe Payments Europe, Ltd. (Irland), Vipps MobilePay AS (Norge) og Nets Denmark A/S NUF (Nexi Group, Norge) behandler betalinger etter restaurantens egne avtaler og er ikke Embrosias underdatabehandlere. Embrosia sender beløp og bestillingsreferanse til alle, e-postadresse til Stripe, og navn, e-postadresse og telefonnummer til Nets. Vipps mottar også bestillingsnummer og sporingslenke med tilgang til bestillingsopplysningene, samt kvittering etter belastning med varenavn, antall, belastede beløp, avgiftsspesifikasjon, leveringsgebyrer og kvitteringsnummer. Kortskjemaet leveres av betalingsleverandøren.

Ved Embrosias egen abonnementsfakturering mottar Stripe restaurantens navn, interne ID og eventuelle URL-slug sammen med faktureringsreferanser. Denne behandlingen omfattes av personvernerklæringen, utenfor denne avtalen.