Databehandleravtale

Versjon 1.1 — gyldig fra 16. august 2026
Denne avtalen gjelder for alle som benytter Miljøcerts plattform, både tilknyttede konsulenter og direktekunder.

1. Om denne avtalen

Denne databehandleravtalen («DBA») regulerer Miljøcert AS sin behandling av personopplysninger på vegne av virksomheter («Oppdragsgiveren») som benytter Miljøcerts plattform for gjennomføring av miljøsertifiseringer.

Avtalen gjelder uavhengig av om Oppdragsgiveren er tilknyttet som Miljøcert-konsulent eller benytter plattformen direkte som kunde.

Avtalen er inngått i henhold til kravene i EUs personvernforordning (GDPR) artikkel 28. For konsulenter utgjør den Vedlegg A til Oppdragsavtale for Miljøcert-konsulent (Uavhengig Oppdragstaker). For direktekunder inngår den som en del av brukervilkårene ved opprettelse av konto.

Oppdragsgiveren aksepterer denne databehandleravtalen ved å signere tilhørende avtale eller ved å opprette og benytte en konto på plattformen.

2. Partenes roller

Oppdragsgiveren er behandlingsansvarlig for personopplysninger som samles inn fra Oppdragsgiverens kunder («Sluttkunden») i forbindelse med veiledning og gjennomføring av Miljøcert-sertifiseringer.

Miljøcert AS er databehandler for de opplysningene som Oppdragsgiveren registrerer i plattformen på vegne av Sluttkunden. Miljøcert behandler disse opplysningene utelukkende for å levere plattformtjenesten og på Oppdragsgiverens dokumenterte instruks.

For egne formål — herunder systemdrift, kvalitetssikring og utvikling av AI-tjenester — er Miljøcert selvstendig behandlingsansvarlig, jf. Miljøcerts personvernerklæring.

3. Hvilke personopplysninger behandles

Miljøcert behandler følgende kategorier personopplysninger på vegne av Oppdragsgiveren:

• Kontaktinformasjon om Sluttkunden: Navn, e-postadresse, telefonnummer
• Bedriftsinformasjon: Organisasjonsnummer, bedriftsnavn, adresse, bransje
• Sertifiseringsdata: Svar på miljøsertifiseringsskjemaer, vurderinger og dokumentasjon lastet opp av Sluttkunden eller Oppdragsgiveren
• Påloggingsdata: Tidspunkt for pålogging, IP-adresse

De registrerte er primært ansatte og representanter hos Oppdragsgiverens sluttkunder.

4. Formål og varighet

Miljøcert behandler personopplysningene utelukkende for å:

• Drifte og levere plattformen i henhold til gjeldende avtale
• Muliggjøre gjennomføring av Miljøcert-sertifiseringer
• Generere miljøanalyser og anbefalinger via plattformens AI-funksjoner

Behandlingen pågår så lenge avtaleforholdet er i kraft. Ved opphør gjelder punkt 10.

5. Miljøcerts plikter som databehandler

Miljøcert forplikter seg til å:

• Behandle personopplysninger utelukkende på Oppdragsgiverens dokumenterte instruks, med mindre annet følger av lov
• Umiddelbart informere Oppdragsgiveren dersom en instruks etter Miljøcerts vurdering er i strid med GDPR eller annen personvernlovgivning
• Sikre at ansatte og andre med tilgang til opplysningene er underlagt taushetsplikt
• Bistå Oppdragsgiveren med å ivareta de registrertes rettigheter etter GDPR artikkel 15–22 (innsyn, retting, sletting mv.)
• Bistå Oppdragsgiveren med sikkerhetstiltak etter GDPR artikkel 32, og med varsling til Datatilsynet og berørte registrerte ved personvernbrudd etter GDPR artikkel 33–34
• Gjøre tilgjengelig all informasjon som er nødvendig for å dokumentere etterlevelse av GDPR artikkel 28, og legge til rette for og bidra til revisjoner

6. Sikkerhetstiltak

Miljøcert har implementert følgende tekniske og organisatoriske tiltak for å beskytte personopplysningene:

• Kryptering av data under overføring og lagring
• Passordfri autentisering med sikre engangslenker
• Rollebasert tilgangskontroll — kun autorisert personell har tilgang til plattformdata
• Regelmessige sikkerhetsoppdateringer og sårbarhetsvurderinger
• Logging og overvåking av systemtilgang
• Prosedyrer for håndtering av personvernbrudd

7. Underdatabehandlere

Miljøcert benytter følgende underdatabehandlere i leveransen av plattformtjenesten:

Miljøcert inngår skriftlige databehandleravtaler med alle underdatabehandlere som sikrer et tilsvarende beskyttelsesnivå som denne avtalen.

Overføring av personopplysninger til underdatabehandlere utenfor EU/EØS skjer kun på grunnlag av gyldige overføringsmekanismer etter GDPR artikkel 46 eller annet lovlig overføringsgrunnlag.

Miljøcert vil varsle Oppdragsgiveren med minimum 30 dagers skriftlig frist ved planlagte endringer i bruk av underdatabehandlere. Oppdragsgiveren kan i denne perioden gjøre innsigelse mot endringen. Dersom innsigelsen ikke kan løses, kan Oppdragsgiveren si opp avtaleforholdet.

8. Instrukser fra Oppdragsgiveren

Oppdragsgiverens instrukser er til enhver tid definert av:

1. Denne databehandleravtalen
2. Den tilhørende avtalen (oppdragsavtale eller brukervilkår)
3. Konkrete skriftlige instrukser gitt av Oppdragsgiveren til Miljøcert

Dersom Oppdragsgiveren ønsker behandling utover det som følger av punkt 4, må dette avtales skriftlig.

9. Bruk av data til AI-utvikling

Miljøcert benytter ikke Sluttkunden personopplysninger til trening eller videreutvikling av AI-modeller uten Sluttkunden eksplisitte samtykke eller annet gyldig rettslig grunnlag etter GDPR artikkel 6.

Oppdragsgiveren er ansvarlig for å informere sine sluttkunder om at plattformen benytter AI-tjenester til å generere analyser, og for å sikre at det foreligger tilstrekkelig rettslig grunnlag for denne behandlingen.

10. Sletting og retur ved opphør

Ved opphør av avtaleforholdet plikter Miljøcert å:

• Slette eller anonymisere Sluttkunden personopplysninger i samsvar med gjeldende lovkrav og denne databehandleravtalen
• På forespørsel, og innen 60 dager etter opphør, utlevere Oppdragsgiverens data i et strukturert, maskinlesbart format

Miljøcert kan beholde opplysninger der dette er påkrevd ved lov, for eksempel av hensyn til regnskapsplikt.

11. Revisjonsrett

Oppdragsgiveren, eller en av Oppdragsgiveren utpekt tredjepart, har rett til å gjennomføre revisjoner av Miljøcerts behandling av personopplysninger i henhold til denne avtalen. Slik revisjon varsles skriftlig med minimum 30 dagers frist og gjennomføres på en måte som ikke unødig forstyrrer Miljøcerts drift.

12. Personvernbrudd

Miljøcert varsler Oppdragsgiveren uten unødig opphold — og så vidt mulig innen 72 timer — etter å ha fått kjennskap til et personvernbrudd som berører Oppdragsgiverens data. Varselet vil inneholde:

• Beskrivelse av bruddets art og omfang
• Kategorier og antall berørte registrerte og opplysninger (der kjent)
• Sannsynlige konsekvenser av bruddet
• Tiltak som er iverksatt eller planlagt for å håndtere bruddet

Oppdragsgiveren er selv ansvarlig for eventuell videre varsling til Datatilsynet og berørte registrerte etter GDPR artikkel 33–34.

13. Endringer i denne avtalen

Miljøcert kan oppdatere denne databehandleravtalen for å reflektere endringer i lovgivning, praksis eller tjenesten. Vesentlige endringer varsles Oppdragsgiveren skriftlig med minimum 30 dagers frist før ikrafttredelse. Ved å fortsette å benytte plattformen etter varslingsperiodens utløp aksepterer Oppdragsgiveren den oppdaterte avtalen.

Tidligere versjoner av denne avtalen er tilgjengelig på forespørsel til hei@miljocert.no.

14. Kontakt og spørsmål

Spørsmål om denne databehandleravtalen rettes til:

Miljøcert AS
Org.nr.: 935 254 434
Adresse: Ullerudfaret 49, 1447 Drøbak
E-post: hei@miljocert.no

Versjon 1.1 — gyldig fra 1. september 2026