Utkast. Teksten finnes foreløpig bare på norsk; engelsk versjon kommer når den norske er godkjent.

07 – Databehandleravtale for FishLog (utkast)

Utkast 2026-10-28, ikke godkjent. En enkel, standard avtale etter personvernforordningen (GDPR) artikkel 28. Den er et vedlegg til vilkårene for bruk og godkjennes digitalt sammen med dem (se punkt 10). Det som står i [hakeparentes], må fylles inn. BJA bør få teksten gjennomgått før den tas i bruk.

1. Parter og formål

Avtalen gjelder mellom turistfiskebedriften som bruker FishLog (behandlingsansvarlig, «kunden») og BJA Holding AS (org.nr. 989 068 881, databehandler, «BJA»).

BJA behandler personopplysninger på vegne av kunden for å levere FishLog: fangstdagbok for kundens gjester, rapportering til Fiskeridirektoratet, utførselsdokument, avvik og evaluering, og statistikk for kunden.

2. Hva som behandles

3. Kundens plikter

Kunden har behandlingsgrunnlag for opplysningene, informerer gjestene om behandlingen og gir BJA bare de opplysningene som trengs. Kunden bestemmer hvem i bedriften som har tilgang.

4. BJAs plikter

BJA skal:

• behandle opplysningene bare etter kundens instruks, slik den går fram av denne avtalen og bruken av FishLog
• sørge for at alle som har tilgang, har taushetsplikt
• ha tiltakene i punkt 5
• hjelpe kunden med å svare på krav fra de registrerte (innsyn, retting, sletting) og med vurderinger kunden må gjøre
• varsle kunden uten ugrunnet opphold, og senest innen 48 timer, etter å ha oppdaget et brudd på personopplysningssikkerheten, med det BJA vet om bruddet og hva som er gjort
• ikke bruke opplysningene til egne formål, men kan lage anonym statistikk (for eksempel fangst per art og år) som ikke kan knyttes til personer

5. Sikkerhet

• Fødselsdato, adresse, kontaktopplysninger og opplastede filer lagres kryptert (AES-256). Nøklene ligger ikke i databasen.
• Tilgang sjekkes for hver forespørsel: en bedrift ser bare sine egne data, en gjest bare sin egen loggbok.
• Gjester logger inn med lenke og engangskode; brukere med passord og tofaktor eller passnøkkel.
• Ingen personopplysninger i logger. Endringer en administrator gjør i en gjests data, logges (hvem og når).
• Databasene sikkerhetskopieres hver natt i hostingleverandørens datasenter, og kopiene oppbevares i 7 dager.
• Personopplysninger slettes automatisk etter lagringstiden i punkt 2.

6. Underdatabehandlere

Kunden godkjenner disse underdatabehandlerne. BJA varsler kunden minst [30] dager før en ny tas i bruk, og kunden kan protestere. BJA har avtaler med dem som gir samme beskyttelse som denne avtalen.

Opplysningene overføres ikke ut av EU/EØS uten at kunden er varslet og overføringen har gyldig grunnlag.

7. Innsyn og kontroll

BJA gir kunden informasjonen som trengs for å vise at avtalen følges, og svarer på rimelige spørsmål om sikkerheten. Revisjon hos BJA avtales særskilt og betales av kunden.

8. Varighet og sletting

Avtalen gjelder så lenge BJA behandler personopplysninger for kunden. Når kundeforholdet opphører, slettes personopplysningene etter lagringsreglene i punkt 2, og senest 3 måneder etter at tilgangen er stengt, med mindre loven krever noe annet. Kunden kan be om en kopi av sine data før tilgangen stenges. Fangst og turer beholdes uten personopplysninger. Opplysninger i sikkerhetskopier forsvinner når kopiene roteres, etter 7 dager.

9. Ansvar og lovvalg

Ansvar følger personvernforordningen artikkel 82 og ansvarsbegrensningen i vilkårene for bruk. Avtalen reguleres av norsk rett. Ved motstrid mellom vilkårene og denne avtalen gjelder denne avtalen for behandling av personopplysninger.

10. Digital godkjenning

Avtalen godkjennes digitalt i FishLog sammen med vilkårene for bruk: ved registreringen, eller ved første innlogging etter at en ny versjon er tatt i bruk. Den som godkjenner, bekrefter at hen har rett til å binde bedriften.

FishLog lagrer hvilken versjon som er godkjent, hvem som godkjente (bruker med verifisert e-post og telefon), og når. Kunden kan laste ned avtalen som PDF med godkjenningen påført. BJAs godkjenning ligger i at avtalen tilbys i tjenesten.