Databehandleravtale

Sist oppdatert 15. juli 2026

Denne databehandleravtalen regulerer hvordan Heim Group AS behandler personopplysninger på vegne av deg som kunde når du bruker HeimCRM. Den er en del av avtalen mellom oss, og gjelder så lenge vi behandler personopplysninger for deg.

1. Partene og bakgrunn

Avtalen inngås mellom deg som kunde («behandlingsansvarlig») og Heim Group AS, organisasjonsnummer 938 074 747, Oslo («databehandler»). Når du bruker HeimCRM, behandler vi personopplysninger på dine vegne. Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28, og går foran øvrige vilkår ved motstrid om behandling av personopplysninger.

2. Formål og instruks

Vi behandler personopplysninger kun for å levere og drifte HeimCRM for deg, og bare etter dine dokumenterte instrukser — slik de følger av vilkårene, personvernerklæringen, innstillingene dine i tjenesten og denne avtalen. Mener vi at en instruks er i strid med personvernregelverket, sier vi ifra. Vi bruker ikke opplysningene til egne formål.

3. Behandlingens art, omfang og varighet

Behandlingen omfatter lagring og drift av CRM-data du legger inn, og e-post som hentes via integrasjonene du selv aktiverer. Art, formål, typer personopplysninger og kategorier av registrerte er beskrevet i Vedlegg A. Behandlingen varer så lenge du har en aktiv konto, se punkt 12.

4. Databehandlers plikter

Vi skal behandle opplysningene kun etter dine instrukser, sørge for at personer med tilgang har taushetsplikt, iverksette egnede sikkerhetstiltak (punkt 6), bistå deg (punkt 9), og etter ditt valg slette eller tilbakelevere opplysningene ved avslutning (punkt 12).

5. Taushetsplikt

Ansatte og andre som behandler opplysningene på våre vegne, er underlagt taushetsplikt om personopplysningene og sikkerhetstiltakene — både i og etter avtaleforholdet.

6. Sikkerhet

Vi iverksetter egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som passer risikoen, jf. GDPR artikkel 32. Tiltakene er beskrevet i Vedlegg B. All data lagres på servere i Norge og Sverige.

7. Underdatabehandlere

Du gir oss generell tillatelse til å bruke underdatabehandlere for å levere tjenesten. Vi inngår avtaler med hver underdatabehandler som pålegger dem tilsvarende plikter som i denne avtalen. En oversikt finnes i Vedlegg C. Ved planlagte endringer i hvem vi bruker, varsler vi deg i rimelig tid slik at du kan komme med innsigelser.

8. Overføring til tredjeland

Personopplysningene lagres i Norge og Sverige, innenfor EU/EØS. E-postintegrasjonen formidles via en tredjepart (Aurinko, se Vedlegg C) som ikke lagrer dataene, men kun sender dem gjennom. Dersom slik formidling skjer utenfor EU/EØS, baserer den seg på et gyldig overføringsgrunnlag etter GDPR kapittel V (for eksempel EUs standard personvernbestemmelser / SCC). Utover dette overfører vi ikke personopplysninger til land utenfor EU/EØS.

9. Bistand til behandlingsansvarlig

Vi bistår deg, så langt det er rimelig, med å svare på henvendelser fra registrerte (innsyn, retting, sletting med mer), og med å oppfylle pliktene dine etter GDPR artikkel 32–36, inkludert sikkerhet, avviksmelding og eventuelle vurderinger av personvernkonsekvenser.

10. Håndtering av brudd på personopplysningssikkerheten

Oppdager vi et brudd på personopplysningssikkerheten, varsler vi deg uten ugrunnet opphold etter at vi ble kjent med det, og gir deg informasjonen du trenger for å oppfylle dine egne varslingsplikter overfor Datatilsynet og de registrerte.

11. Revisjon og dokumentasjon

Vi gjør tilgjengelig informasjon som er nødvendig for å vise at vi oppfyller pliktene i denne avtalen, og legger til rette for og bidrar ved revisjoner. Revisjon kan gjennomføres ved at vi fremlegger dokumentasjon eller uavhengige rapporter, eller etter nærmere avtale.

12. Sletting og tilbakelevering ved opphør

Ved opphør av avtalen sletter eller tilbakeleverer vi personopplysningene etter ditt valg, og sletter eksisterende kopier — med mindre lov krever fortsatt lagring. Du kan eksportere dataene dine før avslutning.

13. Varighet

Avtalen gjelder så lenge vi behandler personopplysninger på dine vegne, og så lenge du har et kundeforhold til HeimCRM.

14. Kontakt

Spørsmål om denne avtalen rettes til Heim Group AS · Organisasjonsnummer 938 074 747 · Oslo, Norge · hei@heimcrm.no

Vedlegg A — Kategorier av registrerte og personopplysninger

Kategorier av registrerte: kundens ansatte og brukere; kundens kontakter og kunder (kontaktpersoner i selskaper og privatpersoner); og avsendere og mottakere av e-post knyttet til registrerte kontakter.
Typer personopplysninger: navn, e-postadresse, telefonnummer, stilling og selskapstilknytning; notater, tilbud, oppgaver og aktiviteter; fakturarelaterte opplysninger fra regnskapsintegrasjon; og innhold og metadata i e-post som gjelder registrerte kontakter.
Særlige kategorier: vi ber ikke om særlige kategorier av personopplysninger (sensitive opplysninger). Legger du likevel inn slike, skjer det på ditt ansvar som behandlingsansvarlig.

Vedlegg B — Tekniske og organisatoriske sikkerhetstiltak

Lagring i Norge og Sverige, innenfor EU/EØS.
Kryptering av data under overføring, og tilgangsstyring basert på behov.
Adgangskontroll, logging og atskilte miljøer for drift.
Sikkerhetskopiering og rutiner for gjenoppretting.
Taushetsplikt for alle med tilgang, og interne rutiner for håndtering av avvik.
E-postintegrasjonene bruker kun lesetilgang, og henter bare e-post knyttet til kontakter som allerede er registrert i HeimCRM.

Vedlegg C — Underdatabehandlere

HeimCRM bruker følgende underdatabehandlere for å levere tjenesten. Alle er bundet av databehandleravtaler med krav om samme vern som vi selv gir:

Vercel — hosting og drift av nettstedet og applikasjonen. Datasenter i Stockholm, Sverige.
Supabase — database og lagring av CRM-data. Datasenter i Stockholm, Sverige.
Make.as — utsending av varsler på e-post og SMS. All data lagres i Norge.
Aurinko.io — teknisk tilkobling til Gmail og Microsoft 365 for e-postintegrasjonen. Lagrer ingen personopplysninger — kun gjennomstrømning (pass-through).

Ved planlagte endringer i hvem vi bruker, varsler vi behandlingsansvarlig i rimelig tid slik at innsigelser kan fremmes.