Databehandleravtale — Skyteruta

Sist oppdatert: 23. april 2026

Versjon 1.0

Om denne avtalen

Denne databehandleravtalen ("Avtalen") regulerer Skyterutas behandling av personopplysninger på vegne av skytterlag som bruker Skyteruta. Avtalen utgjør en integrert del av vilkår for bruk og anses inngått når skytterlaget aksepterer vilkårene ved opprettelse av konto eller fornyelse av abonnement.

Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28 og personopplysningsloven.

Partene i avtalen:

• Behandlingsansvarlig ("Laget"): Skytterlaget som har opprettet konto i Skyteruta. Lagets navn, organisasjonsnummer og kontaktinformasjon fremgår av konto-oppsettet og fakturaen.
• Databehandler ("Skyteruta"): Even Gultvedt Kongeveien 1, 1550 HØLEN kontakt@skyteruta.no 937 36 0274

Hvis Laget ønsker en separat, signert PDF-kopi av Avtalen, send en henvendelse til kontakt@skyteruta.no.

1. Formål og omfang

1.1 Avtalens formål

Skyteruta behandler personopplysninger på vegne av Laget for å levere tjenestene beskrevet i vilkårene §3, herunder kommunikasjon med kontakter, kalender og terminliste, medlemsadministrasjon, våpenregister, lagplanlegging, treningsresultater, arrangementplanlegging og utleieforespørsler.

1.2 Behandlingens art og formål

• Art: Lagring, visning, sending, sletting, rapportering og integrasjon med eksterne tjenester (Resend, 46elks, MittDFS m.fl.).
• Formål: Drift av kommunikasjons- og administrasjonsplattform for skytterlaget.
• Varighet: Så lenge Laget har et aktivt abonnement, samt lovpålagte oppbevaringsperioder (se §8).

1.3 Kategorier av registrerte og personopplysninger

Se Vedlegg A for en fullstendig oversikt.

1.4 Partenes roller

• Laget er behandlingsansvarlig for personopplysninger om egne medlemmer, kontakter, styremedlemmer og utleieforespørrere.
• Skyteruta er databehandler for disse opplysningene og behandler dem kun etter Lagets instruks.
• For opplysninger om lagadministratorens egen konto og fakturadata er Skyteruta selv behandlingsansvarlig — dette reguleres av vilkårene og personvernerklæringen, og ligger utenfor denne Avtalen.

2. Lagets instruks

2.1 Generell instruks

Laget instruerer Skyteruta til å behandle personopplysninger i den grad det er nødvendig for å levere tjenestene beskrevet i vilkårene §3. Bruk av Skyterutas funksjoner — for eksempel å importere kontakter, sende e-post, publisere styrekontakt, registrere arrangementer eller aktivere utleieskjema — anses som en del av den løpende instruksen.

2.2 Spesifikke instrukser

Laget kan gi Skyteruta supplerende skriftlige instrukser ved å sende e-post til kontakt@skyteruta.no. Skyteruta vil bekrefte mottak av instruks og opplyse uten unødig opphold dersom instruksen er i strid med GDPR eller annen personvernlovgivning.

2.3 Begrensninger

Skyteruta skal ikke:

• Behandle personopplysninger for egne formål utover det som er nødvendig for drift og forbedring av tjenesten
• Selge eller dele personopplysninger med tredjeparter utover godkjente underdatabehandlere (Vedlegg B)
• Bruke personopplysninger til profilering eller automatiserte beslutninger med rettsvirkning for den registrerte

3. Sikkerhet

3.1 Tekniske og organisatoriske tiltak

Skyteruta gjennomfører egnede tekniske og organisatoriske tiltak for å beskytte personopplysninger mot uautorisert tilgang, endring, tap eller ulovlig behandling, jf. GDPR artikkel 32. En detaljert oversikt finnes i Vedlegg C.

3.2 Avviksvarsling

Ved brudd på personopplysningssikkerheten som berører Lagets data, vil Skyteruta varsle Laget uten ugrunnet opphold og senest innen 48 timer etter at Skyteruta er gjort kjent med bruddet. Varselet inkluderer:

• Beskrivelse av bruddets art, omfang og type personopplysninger berørt
• Antatte konsekvenser for de registrerte
• Tiltak som er iverksatt eller foreslås iverksatt for å begrense skaden
• Kontaktpunkt for nærmere informasjon

Laget er selv ansvarlig for å varsle Datatilsynet og eventuelt de registrerte i henhold til GDPR artikkel 33 og 34.

4. Underdatabehandlere

4.1 Samtykke til bruk

Laget gir ved inngåelse av denne Avtalen generelt samtykke til at Skyteruta kan benytte underdatabehandlere. Gjeldende liste finnes i Vedlegg B.

4.2 Krav til underdatabehandlere

Skyteruta inngår databehandleravtaler med alle underdatabehandlere som pålegger dem minst tilsvarende forpliktelser som Skyteruta selv har etter denne Avtalen. Skyteruta forblir ansvarlig overfor Laget for underdatabehandlerens oppfyllelse.

4.3 Endringer i underdatabehandlere

Ved endring i listen av underdatabehandlere — ny, erstatning eller utskifting — varsler Skyteruta Laget minst 30 dager før endringen trer i kraft. Varsel gis til lagadministratorens registrerte e-postadresse, og gjeldende liste publiseres alltid på skyteruta.no/databehandleravtale.

Laget har rett til å protestere mot endringen. Dersom Skyteruta og Laget ikke blir enige, kan Laget si opp abonnementet og få forholdsmessig refusjon for gjenværende abonnementsperiode.

4.4 Overføring utenfor EØS

Enkelte underdatabehandlere er etablert i USA. Overføring til land utenfor EØS skjer på grunnlag av EU-kommisjonens standardkontrakter (SCCs) eller EU-US Data Privacy Framework (DPF), jf. GDPR kapittel V. Se Vedlegg B for overføringsgrunnlag per leverandør.

5. De registrertes rettigheter

5.1 Bistand til Laget

Skyteruta bistår Laget med å oppfylle de registrertes rettigheter etter GDPR kapittel III:

• Innsyn (art. 15): Skyteruta gir Laget tilgang til alle opplysninger om en registrert som er lagret i Skyteruta, gjennom lagets admingrensesnitt. Ved behov kan Laget be Skyteruta levere et maskinlesbart eksport (JSON/CSV).
• Retting (art. 16): Laget kan rette opplysninger direkte i admingrensesnittet. Kontakter kan også rette egne opplysninger via Min Side.
• Sletting (art. 17): Laget kan slette opplysninger direkte i admingrensesnittet. Avmeldingslenken i e-post/SMS og Min Side gir også de registrerte mulighet til selvsletting.
• Begrensning (art. 18): Skyteruta setter behandlingen på pause etter skriftlig forespørsel fra Laget.
• Dataportabilitet (art. 20): Eksport av kontaktdata i maskinlesbart format (JSON/CSV) leveres etter skriftlig forespørsel til kontakt@skyteruta.no innen 30 dager.
• Innsigelse (art. 21): Håndteres av Laget i samråd med Skyteruta.

5.2 Henvendelser direkte til Skyteruta

Dersom en registrert henvender seg direkte til Skyteruta med en rettighetsbegjæring, vil Skyteruta uten ugrunnet opphold videresende henvendelsen til Laget og ikke svare substansielt med mindre Laget instruerer det.

6. Konfidensialitet

Skyteruta sikrer at alle personer som får tilgang til personopplysninger på vegne av Laget er underlagt taushetsplikt, enten ved lov eller avtale. Per i dag har kun daglig leder (Even Gultvedt) tilgang til produksjonsdata, og eventuelle fremtidige ansatte eller konsulenter vil signere taushetserklæring før tilgang gis.

7. Bistand og revisjon

7.1 Bistand med GDPR-forpliktelser

Skyteruta bistår Laget med å oppfylle Lagets plikter etter GDPR artikkel 32–36, herunder:

• Sikkerhet i behandlingen (art. 32)
• Varsling om brudd til tilsynsmyndighet og de registrerte (art. 33, 34)
• Vurdering av personvernkonsekvenser (DPIA, art. 35)
• Forhåndsdrøfting med tilsynsmyndighet (art. 36)

Slik bistand ytes kostnadsfritt i den grad det utgjør en rimelig del av ordinær drift. Omfattende bistand utover dette kan faktureres etter timepris opplyst ved forespørsel.

7.2 Revisjon

Laget har rett til å kontrollere at Skyteruta oppfyller sine forpliktelser etter denne Avtalen gjennom:

• Dokumentert informasjon — Skyteruta leverer på forespørsel oppdatert informasjon om sikkerhetstiltak, underdatabehandlere og behandlingsaktiviteter
• Revisjon — Laget kan be om inspeksjon hos Skyteruta én gang per 12 måneder med minst 30 dagers varsel. Laget dekker egne kostnader. Skyteruta dekker egne kostnader med mindre revisjonen avdekker vesentlige avvik

Datatilsynets eller annen relevant tilsynsmyndighets lovpålagte inspeksjonsrett berøres ikke av dette punktet.

8. Avslutning og sletting

8.1 Ved opphør av Avtalen

Når Avtalen opphører — ved oppsigelse, manglende betaling eller annen avslutning av abonnementet — skal Skyteruta etter Lagets valg enten:

• Slette alle personopplysninger Skyteruta har behandlet for Laget, eller
• Returnere alle personopplysninger i maskinlesbart format og deretter slette

8.2 Frister og angrefrist

Ved opphør igangsettes en todelt sletteprosess:

1. Umiddelbart ved opphør (dag 0): Sendingsfunksjonalitet (e-post, SMS, utleieskjema, stevnevarsler) deaktiveres, og Lagets offentlige side erstattes med et "Under sletting"-varsel. Kontoen merkes for sletting, men data er fortsatt intakt.
2. Angrefrist (dag 0–30): I 30 dager etter opphør kan Laget gjenopprette kontoen ved å logge inn på admin-grensesnittet eller kontakte kontakt@skyteruta.no. Gjenoppretting reverserer sletteprosessen i sin helhet, og kontoen fortsetter som før. Laget kan også be om retur av data i maskinlesbart format (JSON/CSV) i denne perioden.
3. Endelig sletting (dag 30): Alle personopplysninger Skyteruta behandler for Laget slettes automatisk fra primærdatabasen via en daglig planlagt jobb. Dette skjer uten ytterligere varsel.
4. Sletting fra backup (innen dag 90): Eventuelle rester i backups utløper i henhold til Neons retensjonspolicy — senest 30 dager etter primærsletting, det vil si innen 60 dager etter opphør (og alltid innen 90 dager).

8.3 Unntak

Skyteruta kan beholde personopplysninger utover fristene dersom det er nødvendig for å etablere, utøve eller forsvare rettslige krav, jf. GDPR artikkel 17 nr. 3 bokstav e, eller dersom oppbevaring kreves etter annen norsk lov. Dette omfatter blant annet:

• Bokføringsloven (5 år) — fakturadata og tilhørende identifikasjonsdata
• Foreldelsesloven — opplysninger som er relevante så lenge foreldelsesfrist løper

Beholdte opplysninger behandles kun for det formålet oppbevaringen begrunnes i, og slettes så snart grunnlaget faller bort.

8.4 Inaktive kontoer

Skyteruta overvåker aktivitet på Lagets konto (innlogging, opprettelse av kontakter, arrangementer eller meldinger) og håndhever følgende inaktivitetsregime automatisk via daglig planlagt jobb:

• Etter 2 år uten aktivitet: Lagadministrator varsles på registrert e-postadresse om at kontoen vil bli slettet dersom den forblir inaktiv. Varselet inneholder en lenke for å bekrefte at laget fortsatt ønsker tjenesten.
• Ved fortsatt inaktivitet: Dersom administratoren ikke reagerer på varselet, igangsettes sletteprosessen beskrevet i §8.2, inkludert 30-dagers angrefrist.

Plattformen fører også interne driftsvarsler ved 6, 12, 18 og 23 måneders inaktivitet til Skyterutas eget tilsyn med porteføljen. Disse varslene er ikke automatiske kundevarsler og innebærer ingen behandling av kontaktenes personopplysninger utover hva som allerede lagres.

9. Ansvar

9.1 Generelt

Hver part er ansvarlig for egen overtredelse av GDPR og denne Avtalen. Ansvarsbegrensninger i vilkårene §4.2 gjelder tilsvarende for denne Avtalen, med mindre annet følger av preseptoriske regler.

9.2 Regresskrav

Partene er enige om at det er rimelig å fordele eventuelt ansvar for overtredelser i henhold til GDPR artikkel 82 etter hver parts faktiske andel i bruddet.

10. Endringer

Skyteruta kan oppdatere denne Avtalen for å reflektere endringer i tjenesten, lovgivning eller underdatabehandlere. Ved vesentlige endringer varsles lagadministratorer via e-post minst 30 dager før ikrafttredelse. Gjeldende versjon er alltid tilgjengelig på skyteruta.no/databehandleravtale. Ikke-vesentlige endringer (f.eks. oppdatering av adresser, språklige rettelser) kan gjøres uten varsel.

Laget som ikke aksepterer vesentlige endringer kan si opp abonnementet før ikrafttredelsen og få forholdsmessig refusjon for gjenværende periode.

11. Lovvalg og tvister

Avtalen er underlagt norsk lov. Eventuelle tvister skal forsøkes løst i minnelighet. Dersom dette ikke fører frem, skal tvisten avgjøres av norske domstoler med Follo og Nordre Østfold tingrett som verneting.

12. Forrang

Ved motstrid mellom denne Avtalen og vilkårene for bruk, går denne Avtalen foran i spørsmål om behandling av personopplysninger. For øvrig gjelder vilkårene.

Vedlegg A — Behandlingens art, formål og kategorier

A.1 Kategorier av registrerte

Skyteruta behandler personopplysninger om følgende kategorier registrerte på vegne av Laget:

1. Medlemmer som registrerer seg via Lagets offentlige side
2. Kontakter importert av lagadministrator (f.eks. fra tidligere medlemsregister)
3. Styremedlemmer hvis kontaktinfo publiseres på Lagets offentlige side
4. Utleieforespørrere (eksterne som bruker lagets utleieskjema)
5. Mindreårige registrert av foresatte (kun navn for lagplanlegging)

A.2 Kategorier av personopplysninger

Skyteruta behandler ikke særlige kategorier av personopplysninger (sensitive data) etter GDPR artikkel 9 på vegne av Laget. Helseopplysninger, religion, politisk oppfatning eller liknende skal ikke legges inn i systemet.

A.3 Behandlingsaktiviteter

• Lagring i Neon PostgreSQL-database (kryptert i ro og under overføring)
• Visning på Lagets offentlige side (terminliste, styret, utleieskjema)
• Sending av e-post via Resend på vegne av Laget
• Sending av SMS via 46elks på vegne av Laget
• Henting av offentlige resultater fra MittDFS (på forespørsel fra registrerte som har koblet DFS-profil)
• Eksport og sletting etter forespørsel
• AI-basert søk i Skytterboka (Regelverk-tjenesten, kun anonyme søk fra allmennheten — ikke Lagets data)

A.4 Formål

Formålet er å levere tjenestene beskrevet i vilkårene §3: kommunikasjon, kalender, medlemsadministrasjon, våpenregister, lagplanlegging, arrangementadministrasjon, utleie og treningsoppfølging.

A.5 Varighet

Behandlingen varer så lenge Laget har et aktivt abonnement, eller til den registrerte sletter seg selv (via avmeldingslenke eller Min Side).

Vedlegg B — Underdatabehandlere

Oversikt over Skyterutas underdatabehandlere per 23. april 2026. Oppdatert liste vedlikeholdes på skyteruta.no/databehandleravtale.

Offentlige API-er — MittDFS (DFS) og Skytebaneregisteret brukes kun til å hente offentlig tilgjengelig informasjon. Ingen personopplysninger deles med disse.

Vedlegg C — Tekniske og organisatoriske sikkerhetstiltak

Skyterutas sikkerhetstiltak er utformet i tråd med GDPR artikkel 32 og proporsjonale med risikoen for de registrerte.

C.1 Kryptering

• I overføring: TLS 1.2 eller høyere for all kommunikasjon mellom klient, server og underdatabehandlere
• I ro: Kryptering av database- og filvolumer hos Neon og Vercel (AES-256)
• Sesjonstokens: HMAC-signert med hemmeligheter lagret som miljøvariabler

C.2 Tilgangskontroll

• Admingrensesnitt: Clerk-basert innlogging med e-post + engangskode, valgfri passordtilbakestilling, sesjonshåndtering
• Flerleietakskap (multi-tenancy): Alle lagscopede tabeller har en org_id-kolonne, og alle datatilganger filtreres på aktivt Clerk-organisasjon. Testet per API-rute
• Min Side for kontakter: Magic link via e-post, signert cookie per lag (sk_{org}), utløper etter 30 dager
• Platform-admin: Begrenset til én konto (Even Gultvedt) identifisert via Clerk-bruker-ID
• Rate-limiting: Vercel Firewall på offentlige endepunkter for å begrense misbruk

C.3 Drift og overvåking

• Strukturert logging via Axiom, med hashing (HMAC + salt) av e-post og telefonnumre før logging
• Feilovervåking via Sentry, med pseudonymisert kontekst (orgId, userId, url — ingen personinnhold)
• Oppetidsovervåking via Better Stack med alerting til daglig leder
• Backups: Daglige automatiske backups av database hos Neon, branch-basert point-in-time recovery opptil 30 dager

C.4 Sårbarhetshåndtering

• Automatiske oppdateringer av avhengigheter via Vercel og GitHub Dependabot
• Code review før deploy til produksjon
• Deploy-miljøer: Egne Neon-branches per pull request (preview) og per worktree (dev), slik at eksperimentelt arbeid ikke rører produksjonsdata

C.5 Minimalisering og retensjon

• Kun personopplysninger som er nødvendige for de valgte funksjonene samles inn
• Retensjonssveip (daglig cron 03:15 UTC) håndhever automatisk:
  • Avviste/tilbakekalte utleieforespørsler slettes innen 6 måneder etter avgjørelse
  • Stevnevarsler slettes innen 7 dager etter at varselet er sendt
• Inaktivitetssveip (daglig cron) håndhever §8.4: 2-års varsel til lagadministrator, og ved fortsatt inaktivitet igangsettes soft delete med 30-dagers angrefrist
• Soft-delete-sveip (daglig cron) hard-sletter lag 30 dager etter at oppsigelse eller inaktivitetsfristen er passert
• Alle sveip kjører med strukturert logging til Axiom slik at avvik oppdages og kan rettes opp
• Se personvernerklæringen §6 for fullstendig liste

C.6 Fysisk sikkerhet

Skyteruta har ingen egne servere eller lokaler hvor personopplysninger behandles fysisk. All drift er skybasert hos underdatabehandlere som selv har dokumentert fysisk sikkerhet (ISO 27001 eller tilsvarende).

C.7 Opplæring

Per i dag har kun daglig leder tilgang til produksjonsdata. Ved ansettelser eller innleie vil opplæring i personvern og taushetsplikt gjennomføres før tilgang gis.