Databehandleravtale
Denne databehandleravtalen utgjør en del av avtalen mellom CAGISTA AS («databehandleren») og den virksomheten som bruker CAGISTA («behandlingsansvarlig»), og regulerer vår behandling av personopplysninger på dine vegne, jf. personvernforordningen artikkel 28. Ved uoverensstemmelse mellom denne avtalen og de øvrige vilkårene, går denne avtalen foran i spørsmål om behandling av personopplysninger.
Sist oppdatert 8. september 2026.
Parter, formål og varighet
Behandlingsansvarlig er virksomheten som har opprettet konto hos CAGISTA. Databehandler er CAGISTA AS, org.nr. 922 202 109. Formålet med behandlingen er å levere plattformen: å ta imot og behandle bestillinger, gjennomføre betaling, drive kassesystem, kiosk, QR-bestilling og bestillingsside, sende bestillingsvarsler og gi support. Behandlingens art er innsamling, lagring, strukturering, bruk og sletting av opplysninger i tilknytning til dette. Avtalen gjelder så lenge CAGISTA behandler personopplysninger på vegne av behandlingsansvarlig.
Opplysninger og registrerte
Vi behandler kontakt- og bestillingsopplysninger om behandlingsansvarliges gjester og kunder: navn, mobilnummer, e-postadresse, leveringsadresse, bestillingshistorikk og betalingsstatus. Vi behandler også opplysninger om behandlingsansvarliges ansatte som bruker systemet: navn, brukernavn, rolle og påloggingshendelser. Kortnummer behandles ikke av oss; kortbetaling håndteres av betalingsleverandøren. Kategorier av registrerte er behandlingsansvarliges gjester, kunder og ansatte. Særlige kategorier av personopplysninger etter artikkel 9 skal ikke legges inn i plattformen.
Instruks
Vi behandler personopplysninger bare etter dokumentert instruks fra behandlingsansvarlig. Denne avtalen, de øvrige vilkårene og bruken av plattformens funksjoner utgjør den løpende instruksen. Vi behandler ikke opplysningene til egne formål. Mener vi at en instruks er i strid med personvernregelverket, sier vi fra uten ugrunnet opphold. Blir vi rettslig pålagt å behandle opplysninger utover instruksen, varsler vi behandlingsansvarlig før behandlingen, med mindre varsling er forbudt etter loven.
Taushetsplikt
Alle hos oss som får tilgang til personopplysninger er underlagt taushetsplikt, enten i arbeidsavtale eller i egen erklæring, og taushetsplikten består etter at arbeidsforholdet er avsluttet. Tilgang gis bare til dem som trenger den for å utføre oppgaven sin, og tilganger gjennomgås jevnlig.
Sikkerhet
Vi gjennomfører egnede tekniske og organisatoriske tiltak etter artikkel 32. All trafikk krypteres under overføring. Databasen er ikke tilgjengelig fra internett, og administrativ tilgang skjer over egne, loggede kanaler. Passord lagres aldri i klartekst, og integrasjonsnøkler oppbevares kryptert. Tjenestekontoer får bare de rettighetene oppgaven krever. Pålogging er beskyttet med robotkontroll og kan settes opp med tofaktorpålogging. Data er logisk adskilt per virksomhet, slik at én kunde ikke får tilgang til en annens opplysninger. Sikkerhetskopier tas jevnlig og lagres kryptert.
Underdatabehandlere
Behandlingsansvarlig gir generell godkjenning til at vi bruker underdatabehandlere til drift og lagring, betaling, frakt, utsending av e-post og SMS, og feilsøking. En oppdatert oversikt med navn og behandlingssted er tilgjengelig på forespørsel. Vi inngår avtale med hver underdatabehandler som pålegger dem minst de samme pliktene som følger av denne avtalen, og vi svarer for deres behandling som for vår egen. Nye eller endrede underdatabehandlere varsles minst 30 dager før de tas i bruk, og behandlingsansvarlig kan protestere skriftlig innen fristen; opprettholdes protesten, kan avtalen sies opp uten kostnad.
Bistand ved henvendelser fra registrerte
Vi bistår behandlingsansvarlig med egnede tekniske og organisatoriske tiltak slik at plikten til å svare på henvendelser om innsyn, retting, sletting, begrensning, dataportabilitet og protest kan oppfylles. Henvender en registrert seg direkte til oss om opplysninger vi behandler på dine vegne, svarer vi ikke selv, men viderefører henvendelsen til behandlingsansvarlig uten ugrunnet opphold.
Avvik og risikovurderinger
Oppdager vi et brudd på personopplysningssikkerheten, varsler vi behandlingsansvarlig uten ugrunnet opphold og senest innen 24 timer etter at vi ble kjent med bruddet. Varselet beskriver hva som har skjedd, hvilke opplysninger og registrerte som er berørt så langt det er kjent, sannsynlige konsekvenser og hvilke tiltak som er iverksatt. Vi bistår også med personvernkonsekvensvurderinger og forhåndsdrøftinger etter artikkel 35 og 36 så langt det er relevant for behandlingen vi utfører.
Sletting og tilbakelevering
Ved opphør av avtalen kan behandlingsansvarlig i 30 dager be om utlevering av opplysningene i et vanlig maskinlesbart format. Deretter sletter vi opplysningene, inkludert sikkerhetskopier, innen rimelig tid. Vi beholder likevel opplysninger så lenge lov krever det, herunder bilag og ordredokumentasjon i fem år etter regnskapsårets slutt etter bokføringsloven. Sletting bekreftes skriftlig på forespørsel.
Revisjon
Vi gjør tilgjengelig den dokumentasjonen behandlingsansvarlig trenger for å kunne påvise at pliktene i artikkel 28 er oppfylt, og legger til rette for revisjon. Revisjon gjennomføres etter avtale, i normal arbeidstid, med rimelig varsel og uten unødig forstyrrelse av driften. Behandlingsansvarlig dekker egne kostnader ved revisjonen. Der det er tilstrekkelig, kan dokumentasjonsplikten oppfylles ved rapport fra uavhengig tredjepart.
Behandling utenfor EØS
Personopplysninger behandles og lagres innenfor EØS. Overføring til land utenfor EØS skjer ikke uten at det foreligger et gyldig overføringsgrunnlag etter kapittel V i forordningen, og behandlingsansvarlig varsles på forhånd.
Varighet, endringer og lovvalg
Avtalen gjelder så lenge vi behandler personopplysninger på vegne av behandlingsansvarlig, og opphører når behandlingen er avsluttet og slettingen gjennomført. Endringer som er nødvendige for å oppfylle regelverket kan gjøres med 30 dagers varsel. Avtalen er underlagt norsk rett, med Oslo tingrett som verneting.
Kontaktinformasjon
CAGISTA AS
Org.nr.: 922 202 109
E-post: info@cagista.com
Telefon: +47 922 91 541