Databehandleravtale
Sist oppdatert: Juli 2026
Avtalen gjelder når en klubb, organisasjon eller gruppe bruker DugnadPlan til å administrere en dugnad.
1. Parter og roller
Klubben eller organisasjonen som oppretter dugnaden er normalt behandlingsansvarlig for personopplysningene som registreres i løsningen.
DugnadPlan AS (org.nr. 938 516 502), Prestmarkveien 45, 8800 Sandnessjøen, leverer DugnadPlan og er databehandler. DugnadPlan behandler personopplysninger på vegne av klubben for å levere tjenesten.
Avtalen inngås når klubben aksepterer DugnadPlans vilkår og tar tjenesten i bruk.
2. Formål
DugnadPlan behandler opplysninger for å gjøre det mulig å opprette, gjennomføre og følge opp dugnader. Dette omfatter deltakeroversikt, foresatt-tilgang, nettbutikk, ordre, levering, betalingsstatus, kommunikasjon og rapportering.
3. Kategorier av data
- Klubb og lag: navn, kontaktpersoner, roller, dugnader, lag og leveringsinformasjon.
- Deltakere: navn, lagtilhørighet, salgsmål, salgsside, QR-lenker og salgsstatistikk.
- Foresatte: navn, telefon, e-post, samtykker og tilgangstoken.
- Kunder: navn, e-post, telefon, bestilling, leveringsinformasjon og ordrestatus.
- Tekniske data: sesjon, sikkerhetslogger, feilmeldinger og samtykkestatus for cookies.
4. Sikkerhetstiltak
- HTTPS/TLS for all trafikk i produksjon.
- Rollebasert tilgangskontroll for admin, klubbleder og lagleder.
- Rate-limiting på API og innlogging.
- Server-side prisberegning og idempotens på ordre.
- Loggføring av relevante administrative hendelser.
- Sikkerhetsheadere som CSP, HSTS, COOP og CORP.
- Regelmessig backup og mulighet for gjenoppretting.
5. Underdatabehandlere
DugnadPlan bruker underdatabehandlere for hosting, database, e-post, analyse og eventuell betalingsformidling. Nye underdatabehandlere vurderes sikkerhets- og personvernmessig før de tas i bruk. Vesentlige endringer varsles til klubben.
| Leverandør | Lokasjon | Formål | Status |
|---|---|---|---|
| Glesys AB | Sverige (EØS) | Hosting av applikasjon, reverse proxy, serverdrift og backup | Aktiv |
| TiDB Cloud / PingCAP | AWS us-east-1, USA (utenfor EØS) | Database for appdata | Aktiv region. Overføringen reguleres av PingCAPs databehandleravtale, som inkluderer EUs standard personvernbestemmelser (SCC) og omtaler EU–US Data Privacy Framework (DPF). DugnadPlan vurderer EØS-region før ordinær skalering med barnedata. |
| Resend / Amazon SES | EU/Irland for sending; leverandøren er etablert utenfor Norge | Transaksjons-e-post, ordrebekreftelser og varsler | Aktiv |
| Umami | Avhenger av aktivert analyseoppsett | Aggregert bruksstatistikk etter samtykke | Kun etter samtykke |
| Vipps MobilePay AS | Norge (EØS); øvrige behandlingssteder følger Vipps' gjeldende dokumentasjon | Betalingsformidling med Vipps ePayment | Aktiv underdatabehandler for den enkelte dugnaden når Vipps ePayment er konfigurert og aktivert. Butikker uten aktivert betaling tar ikke imot bestillinger. |
6. Lagring og sletting
- Aktive dugnadsdata lagres så lenge klubben bruker DugnadPlan eller så lenge det er nødvendig for å fullføre dugnaden.
- Ordrehistorikk lagres normalt i 5 år av hensyn til regnskap og dokumentasjon.
- Kommunikasjonslogger lagres normalt i inntil 12 måneder.
- En enveis mottakerhash som hindrer doble foresattpåminnelser lagres uten navn eller e-postadresse i klartekst og slettes automatisk 30 dager etter siste forsøk.
- Sikkerhets- og driftslogger lagres normalt i inntil 90 dager, med mindre en hendelse krever lengre oppbevaring.
7. Klubbens ansvar
- Informere deltakere, foresatte og kunder om bruken av DugnadPlan.
- Innhente nødvendige samtykker for barn og unge.
- Sørge for at bare riktige personer får tilgang.
- Holde kontakt- og leveringsinformasjon oppdatert.
- Varsle DugnadPlan dersom en tilgang bør sperres eller data bør slettes.
8. Avvik, revisjon og kontakt
Ved sikkerhetsbrudd som kan påvirke personopplysninger, skal DugnadPlan varsle klubben uten ugrunnet opphold. Klubben er ansvarlig for eventuell varsling til Datatilsynet og registrerte når det er påkrevd.
Klubben kan be om informasjon som dokumenterer at DugnadPlan oppfyller kravene i denne avtalen. Praktiske revisjoner avtales skriftlig på forhånd.
Spørsmål om databehandleravtalen kan sendes til personvern@dugnadplan.no.