Databehandleravtale

Sist oppdatert: 16. oktober 2026

Denne databehandleravtalen er en del av vilkårene for bruk av Embrosia. Den gjelder mellom restauranten som er registrert i Embrosia (behandlingsansvarlig) og Embrosia Herland (databehandler), og regulerer Embrosias behandling av personopplysninger om restaurantens gjester på vegne av restauranten. Avtalen inngås når eieren godtar vilkårene i dashbordet på vegne av virksomheten, og gjelder til restauranten slettes.

Opplysninger som Embrosia selv er behandlingsansvarlig for, blant annet brukerkontoene i dashbordet, kundekontoene, faktureringen og sperrelistene, omfattes ikke av denne avtalen. De er beskrevet i personvernerklæringen.

Del A. Standardkontraktsvilkårene

Partene avtaler at standardkontraktsvilkårene for avtaler mellom behandlingsansvarlige og databehandlere etter personvernforordningen artikkel 28 nr. 7, fastsatt i EU-kommisjonens gjennomføringsbeslutning (EU) 2021/915 av 4. juni 2021, gjelder mellom dem ("standardklausulene"). Restauranten er behandlingsansvarlig og Embrosia er databehandler. Standardklausulene finnes på eur-lex.europa.eu/eli/dec_impl/2021/915/oj.
I standardklausulene er disse valgene gjort: Klausul 5 (tilslutningsklausulen) brukes ikke. I klausul 7.7 gjelder alternativ 2, generell skriftlig godkjenning av underdatabehandlere, med listen i vedlegg IV og varslingsfristen i del B punkt 5.
Vedlegg I til IV til standardklausulene er fylt ut i del C. Del B inneholder restaurantens dokumenterte instrukser og de punktene standardklausulene overlater til partene.
Standardklausulene går foran alle andre avtaler mellom partene når det gjelder behandling av personopplysninger. Ved motstrid mellom den norske og den engelske teksten i denne avtalen går den norske foran.

Hovedinnholdet i standardklausulene

Dette er en forenklet oversikt for lesbarhetens skyld. Det er standardklausulene som gjelder.

Instrukser (klausul 7.1). Embrosia behandler opplysningene bare etter dokumenterte instrukser fra restauranten, med mindre loven krever noe annet. Embrosia sier fra hvis en instruks etter Embrosias syn strider mot personvernreglene.
Formål (klausul 7.2). Opplysningene behandles bare for formålene i vedlegg II.
Varighet (klausul 7.3). Behandlingen varer så lenge som angitt i vedlegg II.
Sikkerhet (klausul 7.4). Embrosia gjennomfører tiltakene i vedlegg III, gir tilgang bare til personer som trenger den og er bundet av taushetsplikt, og hjelper restauranten med å ivareta sikkerheten.
Særlige kategorier (klausul 7.5). Behandles særlige kategorier av opplysninger, gjelder restriksjonene i vedlegg II.
Dokumentasjon og revisjon (klausul 7.6). Embrosia dokumenterer at avtalen følges, svarer på restaurantens spørsmål om det, og lar restauranten eller en uavhengig revisor restauranten utpeker, kontrollere behandlingen med rimelig varsel.
Underdatabehandlere (klausul 7.7). Embrosia bruker underdatabehandlerne i vedlegg IV, varsler restauranten før nye tas i bruk, slik at restauranten kan protestere, pålegger dem de samme pliktene, og er ansvarlig overfor restauranten for det de gjør.
Overføring (klausul 7.8). Opplysninger overføres ut av EØS bare etter instruks fra restauranten eller for å oppfylle EU- eller EØS-rett, og bare etter reglene i personvernforordningen kapittel V.
Bistand (klausul 8). Embrosia varsler restauranten uten ugrunnet opphold om henvendelser fra registrerte, og hjelper restauranten med å svare på dem, med sikkerheten, med vurderinger av personvernkonsekvenser og overfor tilsynsmyndigheten.
Brudd på personopplysningssikkerheten (klausul 9). Embrosia varsler restauranten uten ugrunnet opphold etter å ha blitt kjent med et brudd som gjelder opplysninger Embrosia behandler, med de opplysningene restauranten trenger for å melde bruddet til Datatilsynet og eventuelt til de registrerte.
Mislighold og opphør (klausul 10). Embrosia varsler restauranten hvis Embrosia ikke kan følge klausulene. Restauranten kan da stanse behandlingen og si opp avtalen. Ved opphør sletter Embrosia opplysningene eller leverer dem tilbake, etter restaurantens valg, og sletter kopiene, med mindre loven krever at de beholdes.

Del B. Instrukser og særlige bestemmelser

Instrukser. Restaurantens dokumenterte instrukser er at Embrosia behandler opplysningene slik det er nødvendig for å levere tjenesten som beskrevet i vilkårene og i vedlegg II, lagringstidene i punkt 2, slettingen i punkt 3 og tillatelsen i punkt 4. Instrukser utover dette gis skriftlig til support@embrosia.no. Tjenesten er lik for alle restauranter. En instruks som krever endringer i hvordan tjenesten virker, kan Embrosia avslå, og restauranten kan da avslutte avtalen etter punkt 3.
Lagringstider. Opplysningene om gjesten på en bestilling (navn, e-postadresse, telefonnummer, leveringsadresse og koordinater, merknader, fritekst, sporingsnøkkel, e-postadressen på en rabattkodeinnløsning og koblingen til en kundekonto) fjernes automatisk når det har gått fem år fra utgangen av regnskapsåret bestillingen ble gjort i. Varelinjer, beløp, merverdiavgift, betalingsreferanser, kortets fire siste sifre, korttype og sammendrag av betalingstvister beholdes til restauranten slettes. Opplysningene om gjesten på en reservasjon, inkludert merknader fra gjesten, fjernes tre år etter besøket. Leveringsmetadata for ferdigbehandlede e-poster til gjester om bestillinger og reservasjoner slettes etter 90 dager. Kopier av bestillinger som er sendt til restaurantens egne systemer (webhooks), slettes 90 dager etter sendingen. Restauranten bekrefter at gjestens navn og kontaktopplysninger beholdes i fem år etter restaurantens instruks og i restaurantens interesse av egen kundehistorikk, ikke fordi bokføringsloven krever det. Tjenesten tilbyr ikke egne frister per restaurant.
Sletting ved opphør. Avtalen opphører når restauranten slettes i Embrosia, av restauranten selv eller av Embrosia etter vilkårene. Da slettes alle bestillinger og reservasjoner med opplysninger om gjester med en gang, uten gjenopprettingsperiode. Restauranten kan før sletting laste ned alle bestillingene sine fra dashbordet. Det er tilbakeleveringen etter standardklausulene, og restauranten velger selv om den vil bruke den. Sikkerhetskopier roteres ut innen 30 dager. Embrosia beholder fakturagrunnlaget for transaksjonsgebyret og en slettingspost uten identifiserende opplysninger, som beskrevet i personvernerklæringen. Embrosia beholder også egne innkrevingsposter med leverandørreferanser, beløp, utfall og tidspunkter mens innkrevingen er uavklart og deretter i fem år fra utgangen av regnskapsåret innkrevingen ble avsluttet i. Ingen av disse postene inneholder opplysninger om gjester.
Statistikk. Restauranten tillater at Embrosia bruker bestillingsdata til statistikk i form av totaler som ikke kan knyttes til en person, eller, etter at fakturagrunnlaget er slettet, til en restaurant. Uten denne tillatelsen ville slik bruk falle utenfor databehandlerens rolle.
Underdatabehandlere. Embrosia varsler restauranten 30 dager før en ny underdatabehandler tas i bruk, med en driftsmelding i dashbordet og e-post til eieren. Restauranten kan protestere innen fristen. Finner partene ingen løsning, kan restauranten avslutte avtalen etter punkt 3.
Bistand. Restauranten ser og kan laste ned alle opplysninger om gjestene sine i dashbordet, og kan dermed svare på de fleste henvendelser om innsyn selv. Embrosia bistår på forespørsel med det restauranten ikke kan gjøre selv i dashbordet, blant annet sletting av opplysningene om en enkelt gjest før fristen i punkt 2. [Vederlag for bistand utover det vanlige.]
Brudd på personopplysningssikkerheten. Embrosia varsler eieren av restauranten på e-post uten ugrunnet opphold, og senest 48 timer etter å ha blitt kjent med bruddet.
Revisjon. Restauranten kan be om dokumentasjon på at avtalen følges. En kontroll på stedet avtales på forhånd, gjennomføres i vanlig arbeidstid og [bekostes av restauranten, med mindre den avdekker vesentlige brudd].
Taushetsplikt. Den eneste som har tilgang til opplysningene hos Embrosia, er innehaveren, som er bundet av taushetsplikt etter denne avtalen. Tar Embrosia inn flere personer, skal de være bundet av taushetsplikt før de får tilgang.
Kontakt. Henvendelser om denne avtalen sendes til support@embrosia.no.

Del C. Vedlegg

Vedlegg I. Partene

Behandlingsansvarlig: restauranten, med det navnet, organisasjonsnummeret og adressen som er registrert under Innstillinger i Embrosia. Kontaktperson er restaurantens eier, med e-postadressen som er registrert på eierens konto. Avtalen inngås når eieren godtar vilkårene i dashbordet på vegne av virksomheten, enten ved opprettelse eller senere. Datoen er tidspunktet som er registrert for godkjenningen. Endres organisasjonsnummeret, må eieren godta vilkårene på nytt for den nye virksomheten.

Databehandler: Embrosia Herland (enkeltpersonforetak), organisasjonsnummer 937 889 445, Kokstadvegen 153D, 5257 Kokstad, Norge. Kontaktperson: Simen Melo Herland, support@embrosia.no.

Vedlegg II. Beskrivelse av behandlingen

Kategorier av registrerte: restaurantens gjester, det vil si personer som bestiller mat, personer som reserverer bord, og personer som er oppgitt som mottaker ved levering.

Kategorier av personopplysninger: navn, e-postadresse, telefonnummer, leveringsadresse og koordinater, bordnavn, om en reservasjon ble gjort på nett eller lagt inn av ansatte, leveringsstatus for e-post til gjesten om bestillinger og reservasjoner, språket gjesten bestilte på, bestilte varer med priser og beløp, merknader og fritekst gjesten skriver inn, valgt betalingsmåte, betalingsleverandørens referanser, sammendrag av betalingstvister med referanser til tvisten og restaurantkontoen, status, beløp, valuta, årsak, svarfrist og tidspunkter, kortets fire siste sifre og korttype (aldri fullt kortnummer eller andre kortdetaljer), brukte rabattkoder, tidspunkter og status, en nøkkelbasert hash av nettverket bestillingen kom fra, en hash av sporingsnøkkelen, og koblingen til en eventuell kundekonto hos Embrosia.

Særlige kategorier: Tjenesten ber ikke om diagnoser eller helsehistorikk. Gjester kan skrive opplysninger om allergier, tilgjengelighetsbehov eller helse i fritekstfeltene. Restriksjoner: opplysningene brukes bare til å tilrettelegge besøket, vises til restaurantens brukere og Embrosias operatører og til gjesten gjennom sporingslenken, og fjernes etter fristene i del B punkt 2. Fritekst inngår ikke i betalings- eller kvitteringsfeltene som sendes til betalingsleverandører. Sporingslenken som sendes til Vipps, gir tilgang til bestillingen, inkludert merknader fra gjesten.

Behandlingens art: innsamling gjennom bestillingssiden og det offentlige API-et, lagring, visning for restaurantens brukere i dashbordet, formidling av betalingen til restaurantens betalingsleverandør, deling av bestillingens sporingslenke og kvittering med Vipps, e-post til gjesten om bestillingen (bekreftelse og kvittering på forespørsel) og om reservasjonen, automatisk sending av bestillinger til restaurantens egne systemer når restauranten har satt det opp, eksport til fil, og sletting.

Formål: å ta imot, vise, håndtere og dokumentere restaurantens bestillinger og reservasjoner.

Varighet: så lenge avtalen gjelder. Opplysningene om den enkelte gjest fjernes etter fristene i del B punkt 2.

Behandling hos underdatabehandlere: gjenstand, art og varighet per underdatabehandler står i vedlegg IV.

Vedlegg III. Tekniske og organisatoriske tiltak

Tilgangsstyring. Restaurantens brukere ser bare sin egen restaurant, og eieren styrer hvem som er med og hvilke rettigheter de har. Eieren kan kreve tofaktorautentisering av hele teamet. Embrosias operatører logger inn med passord og obligatorisk tofaktorautentisering, øktene varer i høyst tolv timer, fem feil koder låser kontoen, og tilgangen kan begrenses til faste nettverksadresser.
Kryptering. All trafikk går over TLS. Passord lagres som bcrypt-hasher. Hemmeligheter som må kunne leses tilbake (betalingsnøkler, tofaktorhemmeligheter, webhook-hemmeligheter) lagres kryptert med AES-256-GCM. Engangskoder, sporingsnøkler og innloggingstokener lagres bare som hasher.
Dataminimering. Fullt kortnummer og andre kortdetaljer går direkte til betalingsleverandøren og lagres aldri hos Embrosia. Kortets fire siste sifre og korttype lagres med bestillingens kvitteringsopplysninger når leverandøren oppgir dem. Ved betalingstvister lagres et sammendrag, ikke dokumentasjon som sendes til Stripe. Nettverksadresser lagres bare som nøkkelbasert hash, i 90 dager. Avstandsberegninger fra Google lagres ikke.
Historikk for betalingstilkoblinger. Krypterte Vipps- og Nets-nøkler og Vipps-webhook-hemmeligheter som er brukt for en betaling, beholdes med betalingsposten til restauranten slettes. Dermed kan bytte av tilkobling ikke sende en eksisterende innkreving eller refusjon til en annen konto. Versjoner som verken brukes av en betaling eller gjeldende tilkobling, fjernes ved daglig opprydding. Eksporter inneholder referanser til brukersted og tilkobling, aldri nøkler. Bekreftede erstatningsnøkler kan brukes for det samme opprinnelige brukerstedet, mens historisk webhook-verifisering beholdes.
Stripe-tilkoblinger. Tilkobling av en eksisterende Stripe-konto krever restauranteierens innloggede godkjenning. Engangsforespørselen er gyldig i ti minutter. Referanser til brukeren, restauranten og Stripe-kontoen, tidspunkter og hasher av forespørselsnøkler og godkjenningskoder fjernes ved den daglige oppryddingen etter utløp. Hashen av godkjenningskoden beholdes i minst ti minutter etter godkjenningsforsøket. Postene slettes også når brukeren eller restauranten slettes. Godkjenningskoder og tilgangs- eller fornyelsesnøkler lagres ikke. Nettleserfanen husker midlertidig bare ID-en til restauranten for returen fra Stripe.
Logging. En aktivitetslogg registrerer innlogginger og sikkerhetsendringer for restaurantens brukere i tolv måneder. Alt Embrosias operatører gjør, inkludert støttetilgang til restaurantens dashbord, logges med begrunnelse i en logg som bare kan legges til. Ved eierskifte beholdes midlertidig ID-en, IP-adressen og nettleseren til brukeren som startet overføringen, eller operatørens identitet og begrunnelse, mens overføringen eller loggføringen er uavklart. Når overføringen er fullført, flyttes opplysningene til en midlertidig leveringspost. Kopien fjernes når hendelsen er registrert i aktivitetsloggen eller operatørloggen. Slettes brukeren som startet overføringen, fjernes brukerens ID, IP-adresse og nettleser fra eventuelle gjenstående leveringsposter. De midlertidige kopiene av brukerens IP-adresse og nettleser fjernes senest 365 dager etter forespørselen, også hvis overføringen eller loggføringen fortsatt er uavklart. Registrerte aktivitetshendelser følger aktivitetsloggens lagringstid fra overføringen er fullført. Leveringsposter for eierens aktivitetshendelse fjernes 365 dager etter at overføringen er fullført hvis hendelsen ikke er loggført. Den økonomiske oppfølgingen fortsetter, og opplysninger om operatøren følger lagringstiden for operatørloggen.
Feilrapportering. Sentry mottar tekniske feilrapporter når rapporteringen er slått på. Rapportene inneholder feiltype og feilmelding, tidspunkt, plasseringer i programkoden med de nærmeste kodelinjene, hvilken side eller hvilket API-endepunkt som feilet uten søkeparametere, nettleserens navn og operativsystem, og fra nettleseren de siste sidebyttene, forespørslene og klikkene før feilen, aldri det som ble skrevet inn. E-postadresser, telefonnumre, nøkler og lenkeparametere i feilmeldingen maskeres før sending. Serverfeil kan også inneholde interne referanser til restaurant, bestilling, reservasjon, varsellevering, betalingsforsøk og betalingsoppsett, sammen med handling, integrasjon, status og feilkoder, og ID-en til restaurantens innloggede bruker eller den innloggede kunden. Navn, kontaktopplysninger, adresser, bestillingsinnhold, forespørselsinnhold, informasjonskapsler, variabler fra programkoden og hemmeligheter sendes ikke. Opptak av nettleserøkter er slått av.
Støttetilgang. En operatør kan åpne restaurantens dashbord som en av brukerne bare med en begrunnelse og i én time om gangen. Tilgangen logges, og operatøren har ikke innsyn i passord, tofaktorhemmeligheter eller betalingsnøkler.
Sletting. En nattlig jobb fjerner opplysningene om gjester etter fristene. Sletting av restauranten fjerner alt med en gang. Sikkerhetskopier av databasen beholdes i 30 dager.
Drift. Serverne og databasen står hos DigitalOcean i [region, EU]. [Sikkerhetskopiering: frekvens og sted.] [Overvåking og varsling.]
Leverandørstyring. Embrosia har databehandleravtaler med underdatabehandlerne i vedlegg IV.
Organisasjon. Embrosia Herland drives av innehaveren alene, og tilgangen til produksjonssystemene er begrenset til innehaveren.

Vedlegg IV. Underdatabehandlere

DigitalOcean, LLC, USA. Drift av servere og database i [region, EU]. Alle opplysninger i vedlegg II, så lenge avtalen gjelder. [Overføringsgrunnlag.]
Functional Software, Inc. (Sentry), USA. Teknisk feilrapportering uten gjestens navn, kontaktopplysninger eller bestillingsinnhold, men med maskerte feilmeldinger, kodeplasseringer og interne referanser som beskrevet i vedlegg III, inkludert ID-en til restaurantens innloggede bruker og den innloggede kundens ID ved serverfeil. Nettleserens IP-adresse mottas ved overføring og skal ikke lagres i feilrapporten. Feilrapportene lagres i Frankfurt når EU velges for Sentry-organisasjonen, i 30 dager på gratisabonnementet eller opptil 90 dager under prøveperioden. Kontoadministrasjon og støtte kan behandles i USA. Overføringsgrunnlag: EU-US Data Privacy Framework, med EU-kommisjonens standardavtaler (beslutning (EU) 2021/914) som reserveløsning etter Sentrys databehandleravtale.
Amazon Web Services EMEA SARL, Luxembourg. E-post til gjester om bestillinger og reservasjoner gjennom Amazon SES i Stockholm (eu-north-1): gjestens e-postadresse og innholdet i e-posten, i den tiden e-posten sendes. Lagring av restaurantens bilder i Amazon S3 i Stockholm (eu-north-1) og levering av dem til gjestens nettleser gjennom Amazon CloudFront: gjestens IP-adresse, i det øyeblikket bildene hentes. [Overføringsgrunnlag.]
Google Ireland Limited, Irland. Beregning av kjøreavstand for leveringsbestillinger med Google Routes: restaurantens og leveringsadressens koordinater, i det øyeblikket beregningen gjøres. [Overføringsgrunnlag.]
[LocationIQ (Unwired Labs)], [land]. Oppslag av leveringsadresser til koordinater mot selskapets EU-endepunkt: adresseteksten, i det øyeblikket oppslaget gjøres. [Overføringsgrunnlag.]
Domeneshop AS, Norge. E-postkassene Embrosia bruker til support. Opplysninger om gjester bare i den grad restauranten skriver om dem i en henvendelse.

Betalingsleverandører. Stripe Payments Europe, Ltd. (Irland), Vipps MobilePay AS (Norge) og [Nets Denmark A/S (Nexi Group), Danmark] behandler gjestenes betalinger etter restaurantens egen avtale med den enkelte leverandøren, ikke som Embrosias underdatabehandlere. Etter restaurantens instruks sender Embrosia beløp og bestillingsreferanse til alle, gjestens e-postadresse til Stripe, og gjestens navn, e-postadresse og telefonnummer til Nets. Vipps får også bestillingsnummeret og en sporingslenke som gir tilgang til opplysningene om bestillingen. Når betalingen er belastet, får Vipps en kvittering med navn og antall på kjøpte varer, belastede beløp, merverdiavgiftssatser og -beløp, leveringsgebyrer og kvitteringsnummer. Kortskjemaet i kassen leveres av leverandøren selv.