Gjestene deres er deres. Vi bare passer på dem.

Denne databehandleravtalen inngås mellom dere som oppretter og administrerer et arrangement i Vi Samles («behandlingsansvarlig», i teksten «dere» eller «vertskapet») og Vi Samles ENK («databehandler», i teksten «vi»).

Avtalen regulerer vår behandling av personopplysninger om GJESTENE deres, jf. personvernforordningen (GDPR) artikkel 28. Den gjelder fra dere godtar den, og så lenge vi behandler gjestedata på deres vegne.

Avtalen gjelder IKKE opplysninger om dere selv som kontoinnehaver — navn, e-postadresse, innlogginger, sikkerhets- og auditlogger, utsendingslogger, telemetri og betalingshistorikk. For disse er vi selv behandlingsansvarlige, og behandlingen er beskrevet i personvernerklæringen. Skillet er viktig: dere kan instruere oss om gjestedataene, men ikke om vår egen driftsbehandling.

Ved motstrid mellom denne avtalen og øvrige vilkår, gjelder denne avtalen for behandlingen av gjestenes personopplysninger.

Vi behandler gjestenes personopplysninger utelukkende for å levere tjenesten til dere: vise arrangementssiden, sende invitasjoner og påminnelser på e-post og SMS, ta imot og vise invitasjonssvar, håndtere allergiopplysninger, sangønsker, hilsener, menyvalg, bordplassering, gaveoversikt, bildegalleri og takkekort — og for å drifte og sikre løsningen dette skjer i.

Vi bruker ikke gjestedataene deres til egne formål. Vi selger dem ikke, leier dem ikke ut, bruker dem ikke til markedsføring av tjenesten mot gjestene, og bruker dem ikke til å trene modeller. Vi kobler dem ikke mot data fra andre arrangementer.

Aggregert, anonym statistikk om bruken av tjenesten (for eksempel hvor mange svar som sendes i snitt) regnes ikke som behandling av personopplysninger og faller utenfor denne begrensningen, forutsatt at ingen enkeltperson kan identifiseres.

Vi behandler gjestedata bare etter deres instruks. Instruksen gis i praksis gjennom bruken av løsningen: legger dere inn en gjest, sender en invitasjon, slår på en modul eller sletter noe, er det instruksen. Ber dere oss om noe utenfor dette, skal det skje skriftlig.

Mener vi at en instruks bryter personvernregelverket, sier vi det til dere og utfører den ikke før forholdet er avklart (GDPR art. 28 nr. 3 andre ledd). Vi kan avvise instrukser som ville gjort oss til behandlingsansvarlige for gjestedataene.

Dere er ansvarlige for at det finnes et behandlingsgrunnlag for opplysningene dere legger inn om gjestene, og for at opplysningene er korrekte og relevante. Legger dere inn opplysninger tjenesten ikke er laget for — for eksempel helseopplysninger i et fritekstfelt som ikke er ment for det — er det deres ansvar.

Behandlingen omfatter disse kategoriene av personopplysninger om gjestene deres og deres følge:

• Kontaktopplysninger: navn, e-postadresse, mobilnummer, hvilken husstand/følge gjesten hører til, og relasjonen dere har notert.
• Invitasjonssvar: om gjesten kommer, hvem i følget som svarte, tidspunkt og endringshistorikk.
• Allergier og matbehov gjesten selv oppgir: dette er HELSEOPPLYSNINGER, en særlig kategori etter GDPR art. 9. Grunnlaget er gjestens uttrykkelige samtykke, gitt i svarskjemaet. Opplysningene anonymiseres automatisk 90 dager etter siste dag i arrangementet.
• Gjestens egne bidrag: sangønsker, hilsener, avstemningssvar, quizsvar, menyvalg og bilder gjesten laster opp i galleriet.
• Vertskapets egne notater om gjesten: private notater, merkelapper, samtaletemaer og bordplassering. Dette er personopplysninger om gjesten selv om det er dere som har skrevet dem.
• Tekniske opplysninger knyttet til utsending: om invitasjonen ble levert, når, og eventuell feilmelding fra e-post- eller SMS-leverandøren.

Alle som behandler gjestedata hos oss har taushetsplikt om dem (GDPR art. 28 nr. 3 bokstav b). Plikten gjelder også etter at samarbeidet er avsluttet.

Tilgang gis bare til den som trenger den for drift og support, og bare i det omfanget oppgaven krever. Vi kan i supportøyemed midlertidig se løsningen slik dere ser den. Slike økter loggføres i vår auditlogg.

Vi leser ikke gjestelistene deres for moro skyld, og vi bruker dem ikke som eksempelmateriale. Demonstrasjonsinnholdet i tjenesten er oppdiktet.

Vi gjennomfører tekniske og organisatoriske tiltak som er egnet ut fra risikoen. Dette er tiltakene som faktisk er i drift:

• All trafikk går over HTTPS. Sikkerhetsheadere og en innholdssikkerhetspolicy (CSP) settes på alle sider.
• Innlogging skjer med engangslenke på e-post. Både innloggingslenker og sesjoner lagres bare som kryptografisk sjekksum (SHA-256), aldri i klartekst.
• All tilgang til et arrangement kontrolleres mot eierskap på hver forespørsel. Et forsøk på å åpne et annet arrangement avvises uten å avsløre om det finnes.
• Gjestenes invitasjonslenker er tilfeldige, minst 24 tegn, og kan settes til å utløpe eller trekkes tilbake.
• Alle inndata valideres på serveren. Utsending, innlogging, invitasjonssvar og opplasting er ratebegrenset for å motstå misbruk.
• Opplastede filer valideres på faktisk filinnhold, ikke bare på filnavn.
• Sikkerhetskopi av database og filer tas daglig og roteres etter 14 dager. Gjenoppretting testes jevnlig.
• Sikkerhetshendelser, innlogginger og administrative handlinger loggføres, med egne oppbevaringsfrister.

Dere gir oss generell godkjenning til å bruke underdatabehandlere (GDPR art. 28 nr. 2). Vi bruker i dag disse, og bare disse:

• Gigahost — drift av serveren der applikasjonen, databasen og opplastede filer ligger. Behandlingssted: Norge (EØS).
• Scaleway Transactional Email (TEM) — utsendelse av innloggingslenker, invitasjoner og varsler på e-post. Behandlingssted: Paris, Frankrike (EU).
• 46elks — utsendelse av invitasjonslenker på SMS. Behandlingssted: Sverige (EU).
• Alle underdatabehandlere er bundet av avtaler med minst de samme forpliktelsene som denne avtalen pålegger oss (art. 28 nr. 4). Svikter en underleverandør, svarer vi overfor dere.
• Skifter vi eller legger til en underdatabehandler, oppdaterer vi listen her og i personvernerklæringen før endringen settes i drift, slik at dere har mulighet til å protestere. Protesterer dere, kan dere avslutte bruken av tjenesten og få dataene deres slettet.

Ingen gjestedata overføres ut av EU/EØS. All lagring og behandling skjer hos leverandører innenfor EØS, og vi bruker ingen amerikanske skytjenester for personopplysninger.

Vi bruker heller ingen eksterne fonter, analyseverktøy, annonsenettverk eller innebygde tredjepartsspillere. Gjestens IP-adresse sendes derfor ikke videre til noen tredjepart bare fordi hun åpner invitasjonen.

Skulle en overføring ut av EØS bli aktuell, varsler vi dere og sikrer et gyldig overføringsgrunnlag etter GDPR kapittel V før overføringen starter.

Det er DERE som er behandlingsansvarlige overfor gjestene, og dermed dere som skal svare når en gjest krever innsyn, retting, sletting, begrensning eller protesterer. Vi bistår.

Mye kan dere gjøre selv i løsningen: rette og slette gjester, se og endre svar, fjerne bilder, og slette hele arrangementet med alt innhold.

Kommer henvendelsen til OSS i stedet — gjester har ingen konto, og personvernerklæringen vår oppgir en kanal de kan bruke — registrerer vi den, finner opplysningene, og varsler dere gjennom en beskjed i planleggeren. Vi utfører sletting eller begrensning på gjestens anmodning der vi må for å oppfylle loven, og forteller dere hva som ble gjort. Vi oppgir ikke flere opplysninger om gjesten til dere enn dere allerede har.

Ber en gjest om BEGRENSNING av behandlingen (art. 18), stanser vi utgående e-post og SMS til henne og utlevering av opplysningene til tredjepart, men lar opplysningene og arrangementet stå. Gjesten blir merket i gjestelisten deres, slik at dere ser hvorfor det ikke sendes noe.

Er en gjest slettet eller anonymisert på egen anmodning, skal opplysningene ikke legges inn på nytt. Merk at vi ikke kan lagre navnet på en slettet gjest for å fortelle dere hvem det var — det ville gjenskapt nettopp de opplysningene slettingen fjernet. Trenger dere å vite mer for å oppfylle en egen plikt, kontakter dere oss.

Oppdager vi et brudd på personopplysningssikkerheten som berører gjestedataene deres, varsler vi dere uten ugrunnet opphold etter at vi ble kjent med det (GDPR art. 33 nr. 2). Varselet sendes til e-postadressen på kontoen.

Varselet inneholder det vi vet: hva som skjedde, hvilke kategorier opplysninger og omtrent hvor mange gjester som er berørt, sannsynlige konsekvenser, og hva vi gjør med det. Vet vi ikke alt med en gang, sender vi det vi har og supplerer.

Det er dere som vurderer om bruddet skal meldes til Datatilsynet innen 72 timer (art. 33 nr. 1) og om gjestene skal varsles (art. 34). Vi gir dere den informasjonen dere trenger for å kunne gjøre den vurderingen.

Vi bistår også ved vurdering av personvernkonsekvenser og eventuell forhåndsdrøfting med Datatilsynet (art. 35 og 36), i den grad det gjelder behandlingen vi utfører for dere.

Sletter dere arrangementet eller kontoen, fjernes gjestedataene permanent etter 7 dager. Perioden er en angrefrist — den finnes fordi en sletting ved uhell ellers ikke kan reverseres.

Dere kan når som helst laste ned en maskinlesbar kopi av dataene deres, inkludert gjestelistene, fra innstillingene. Gjør det FØR dere sletter: etter angrefristen finnes ingen kopi å hente.

Sikkerhetskopier roteres etter 14 dager. Slettede opplysninger kan derfor ligge i en sikkerhetskopi til den fristen er ute. Det er hele poenget med en sikkerhetskopi, og opplysningene gjenopprettes ikke i tjenesten. Dette er den ene forsinkelsen dere skal kjenne til.

Vi beholder ikke gjestedata etter dette, med unntak av det loven pålegger oss å beholde om vår egen drift — regnskapsmateriale om deres betalinger, og sikkerhets- og auditlogger med de fristene som står i personvernerklæringen. Disse inneholder ikke gjestelister.

Vi gir dere den informasjonen som er nødvendig for å vise at vi oppfyller pliktene i denne avtalen, og lar dere føre kontroll med behandlingen.

I praksis: dere kan be om skriftlig redegjørelse for tiltakene i punkt 6, listen over underdatabehandlere, og logg over hva som er gjort i deres eget arrangement. Ønsker dere en mer inngående revisjon, avtales omfang og tidspunkt på forhånd, og den skal ikke være mer inngripende enn formålet krever.

Vi dokumenterer selv alle henvendelser om personvernrettigheter vi mottar, med mottakstidspunkt, frist, hva vi gjorde og når vi svarte.

Denne avtalen har versjon 2026-07-25. Vi lagrer hvilken versjon dere har godtatt, og når.

Endrer vi avtalen materielt, blir dere bedt om å godta den nye versjonen ved neste innlogging, og den forrige versjonen står ved lag til dere gjør det. Ren språkvask utløser ingen ny godkjenning.

Er dere uenige i en endring, kan dere avslutte bruken av tjenesten og få dataene deres slettet etter punkt 11.