Databehandleravtale for Tyme

Denne databehandleravtalen («Avtalen») er utformet for å oppfylle kravene i artikkel 28 nr. 3 i Europaparlamentets og Rådets forordning (EU) 2016/679 (personvernforordningen).

Sist endret: 19.10.2026

---

1. Parter og Avtalens hensikt

1.1. Econ Nordic AS (org.nr. 930 031 259, Beddingen 8, 7042 Trondheim) omtales her som «Databehandleren», og Kunden (som definert i Kontrakten) omtales som «den Behandlingsansvarlige».

1.2. Med «Kontrakten» menes avtalen mellom partene om leveranse av timeføringstjenesten Tyme («Tjenesten»), som består av Ordrebekreftelsen og Vilkår for Tyme («Vilkårene»). Avtalen er bilag til Kontrakten, men gjelder etter sine egne bestemmelser om varighet, jf. punkt 11.

1.3. Avtalens hensikt er å regulere partenes rettigheter og plikter etter gjeldende personvernregelverk, herunder personopplysningsloven av 2018, som inkorporerer personvernforordningen (GDPR) (heretter samlet benevnt «personvernregelverket»).

1.4. Begreper som er definert i Vilkårene, som «Ordrebekreftelsen», «Bruker», «Eieren», «administrator» og «Avslutning i Tjenesten», har samme betydning i Avtalen.

1.5. Viser Avtalen til bestemmelser i Vilkårene, gjelder endringer i disse bestemmelsene for Avtalen bare dersom endringene ikke svekker vernet av personopplysningene, eller dersom partene har avtalt dem skriftlig, jf. Vilkårene punkt 23.4.

2. Generelt

2.1. Formålet med Avtalen er å regulere Databehandlerens behandling av personopplysninger på vegne av den Behandlingsansvarlige i forbindelse med leveransen av Tjenesten, i samsvar med personvernforordningen artikkel 28.

2.2. Vedlegg A, B og C utgjør en integrert del av Avtalen og inneholder henholdsvis nærmere opplysninger om behandlingen, listen over godkjente underdatabehandlere, og sikkerhetstiltak og lokasjoner for behandlingen.

2.3. Avtalen har forrang i relasjon til eventuelle tilsvarende personvernrettslige bestemmelser i andre avtaler mellom partene, herunder i Kontrakten.

2.4. Avtalen fritar ikke Databehandleren fra plikter som Databehandleren er pålagt etter personvernregelverket eller annen lovgivning.

3. Den Behandlingsansvarliges rettigheter og plikter

3.1. Den Behandlingsansvarlige er ansvarlig for å sikre at behandlingen av personopplysninger skjer i overensstemmelse med personvernregelverket.

3.2. Den Behandlingsansvarlige har rett og plikt til å bestemme formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes. Den Behandlingsansvarlige er videre ansvarlig for å sikre at det foreligger et behandlingsgrunnlag for behandlingen av personopplysninger som Databehandleren er instruert om å gjøre — for helseopplysninger innebærer dette et gyldig grunnlag etter personvernforordningen artikkel 9 nr. 2, jf. personopplysningsloven § 6.

4. Databehandlerens plikter

4.1. Instrukser: Databehandleren skal bare behandle personopplysninger etter dokumenterte instrukser fra den Behandlingsansvarlige, med mindre noe annet kreves av nasjonal eller europeisk rett. Instruksene fremgår av denne Avtalen med vedlegg A og C og av Vilkårene punkt 14.2. Den Behandlingsansvarliges bruk av Tjenestens funksjoner, herunder handlinger som Eieren og administratorene gjør i Tjenesten etter Vilkårene punkt 7.9, regnes også som dokumenterte instrukser. Etterfølgende instrukser skal være dokumenterte og oppbevares skriftlig sammen med Avtalen. Databehandleren skal omgående underrette den Behandlingsansvarlige dersom Databehandleren er av den oppfatning at en instruks er i strid med personvernregelverket.

4.2. Konfidensialitet: Databehandleren kan bare gi tilgang til personopplysninger som behandles på vegne av den Behandlingsansvarlige til personer som er underlagt Databehandlerens instruksjonsmyndighet og som har forpliktet seg til konfidensialitet eller er underlagt en passende lovbestemt taushetsplikt, og kun i nødvendig omfang. Formålene tilgang kan gis for, fremgår av Vilkårene punkt 10.2. Tilgangslisten gjennomgås fortløpende, og tilgang stenges når den ikke lenger er nødvendig. Databehandleren skal etter anmodning kunne påvise at de aktuelle personene er underlagt slik taushetsplikt.

4.3. Sikkerhet: Databehandleren skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32. Behandlingen omfatter særlige kategorier av personopplysninger (helseopplysninger), og det skal derfor opprettholdes et høyt sikkerhetsnivå. Tiltakene Databehandleren som minimum skal gjennomføre, fremgår av vedlegg C.

Databehandleren skal bistå den Behandlingsansvarlige med å overholde dennes plikter etter artikkel 32, blant annet ved å stille nødvendig informasjon om gjennomførte tiltak til rådighet. Den Behandlingsansvarlige skal på samme måte stille til rådighet informasjon som gjør Databehandleren i stand til å identifisere og vurdere risikoer.

5. Underdatabehandlere

5.1. Databehandleren skal oppfylle kravene som følger av personvernforordningen artikkel 28 nr. 2 og nr. 4 der Databehandleren benytter en annen databehandler («underdatabehandler»).

5.2. Databehandleren har den Behandlingsansvarliges generelle godkjennelse til å benytte underdatabehandlere. Databehandleren skal skriftlig underrette den Behandlingsansvarlige om planlagte endringer som gjelder tilføyelse eller utskiftning av underdatabehandlere med minst 30 dagers varsel, og dermed gi den Behandlingsansvarlige mulighet til å motsette seg endringen og eventuelt si opp Kontrakten før underdatabehandleren engasjeres, jf. Vilkårene punkt 14.3 og 21.5. Listen over godkjente underdatabehandlere fremgår av vedlegg B.

5.3. Ved engasjering av underdatabehandlere skal underdatabehandleren som minimum pålegges tilsvarende forpliktelser med hensyn til vern av personopplysninger som er fastsatt i denne Avtalen. En kopi av underdatabehandleravtalen og eventuelle etterfølgende endringer skal — ved den Behandlingsansvarliges anmodning — sendes til den Behandlingsansvarlige. Kommersielle bestemmelser som ikke påvirker det personvernrettslige innholdet, er ikke omfattet av kravet om kopi.

5.4. Databehandleren er fullt ut ansvarlig overfor den Behandlingsansvarlige for underdatabehandlerens eventuelle manglende oppfyllelse av sine personvernrettslige forpliktelser, innenfor ansvarsbegrensningene i Kontrakten, jf. punkt 8.1.

6. Overføring til tredjeland eller internasjonale organisasjoner

6.1. Tjenesten driftes og personopplysningene lagres innenfor EU/EØS, på lokasjonene angitt i vedlegg B og C. Tilgang fra land utenfor EU/EØS skjer bare etter punkt 6.2. Flytting av behandling til lokasjoner utenfor EU/EØS regnes som en endring etter punkt 5.2.

6.2. Databehandleren kan kun overføre personopplysninger til tredjeland eller internasjonale organisasjoner etter dokumenterte instrukser fra den Behandlingsansvarlige, med mindre overføring kreves i henhold til nasjonal eller europeisk rett. I så fall skal den Behandlingsansvarlige underrettes om det rettslige kravet før behandlingen, med mindre allmenne interesser er til hinder for dette. For å unngå tvil vil en overføring i forbindelse med bruken av godkjente underdatabehandlere etter punkt 5 — herunder eventuell fjerntilgang for teknisk support fra underdatabehandlerens konsernselskaper utenfor EU/EØS — alltid regnes som en overføring etter dokumentert instruks. Enhver overføring skal skje i overensstemmelse med personvernforordningen kapittel V og være underlagt et gyldig overføringsgrunnlag, slik som EU-kommisjonens standardkontraktsvilkår (SCC) eller EU–US Data Privacy Framework.

6.3. Denne Avtalen skal ikke forveksles med standard personvernbestemmelser som omhandlet i personvernforordningen artikkel 46 nr. 2 bokstav c og d, og Avtalen kan ikke utgjøre et grunnlag for overføring av personopplysninger etter personvernforordningen kapittel V.

7. Bistand til den Behandlingsansvarlige

7.1. I den grad det er mulig, og tatt i betraktning behandlingens art, skal Databehandleren bistå den Behandlingsansvarlige med å besvare anmodninger fra registrerte om utøvelse av deres rettigheter etter personvernforordningen kapittel III (herunder innsyn, retting, sletting, begrensning, dataportabilitet og protest), bistå med informasjon og varsling ved brudd på personopplysningssikkerheten, bistå med vurdering av personvernkonsekvenser (DPIA), samt bistå i forbindelse med forhåndsdrøftelser med Datatilsynet.

7.2. Ved brudd på personopplysningssikkerheten skal Databehandleren underrette den Behandlingsansvarlige uten ugrunnet opphold etter å ha fått kjennskap til bruddet, og senest innen 48 timer, slik at den Behandlingsansvarlige kan overholde sin plikt til å melde bruddet til den kompetente tilsynsmyndigheten (i Norge: Datatilsynet) innen 72 timer, jf. personvernforordningen artikkel 33. Underretningen skal så langt informasjonen er tilgjengelig beskrive bruddets art, kategoriene av og omtrentlig antall berørte registrerte og registreringer, de sannsynlige konsekvensene, og tiltakene som er truffet eller foreslås truffet.

7.3. Tjenesten har i dag ingen funksjon som lar den Behandlingsansvarlige selv slette eller anonymisere opplysningene om én registrert mens Kontrakten løper. Beslutter den Behandlingsansvarlige at opplysninger om en Bruker skal slettes eller anonymiseres, gjennomfører Databehandleren dette innen 14 dager etter skriftlig instruks og bekrefter det skriftlig, jf. Vilkårene punkt 7.8. Mottar Databehandleren en henvendelse fra en registrert om opplysninger som den Behandlingsansvarlige er ansvarlig for, sender Databehandleren henvendelsen uten ugrunnet opphold videre til den Behandlingsansvarlige.

8. Ansvar

8.1. Hver part er ansvarlig for tap den påfører den andre parten ved mislighold av denne Avtalen, etter reglene og innenfor ansvarsbegrensningene i Vilkårene punkt 19.

8.2. Hver part er ansvarlig overfor den registrerte som har lidd materiell eller ikke-materiell skade hvis skaden er forårsaket av at parten har opptrådt utenfor eller i strid med denne Avtalen eller personvernregelverket, jf. personvernforordningen artikkel 82.

9. Sletting og returnering av personopplysninger

9.1. Ved opphør av Kontrakten skal Databehandleren, etter den Behandlingsansvarliges valg, slette alle personopplysninger som er behandlet på vegne av den Behandlingsansvarlige, eller levere dem tilbake og slette eksisterende kopier, med mindre nasjonal eller europeisk rett krever videre oppbevaring. Unntatt er opplysningene som er angitt i punkt 9.6. Når Eieren gjennomfører Avslutning i Tjenesten, er dette den Behandlingsansvarliges dokumenterte valg av sletting for opplysninger som ikke er lastet ned eller utlevert etter punkt 9.2, jf. Vilkårene punkt 22.4.

9.2. Databehandleren tilbyr utlevering av personopplysningene i et strukturert, alminnelig anvendt og maskinlesbart format. Før Avslutning i Tjenesten kan Eieren selv laste ned en dataeksport fra Tjenesten, jf. Vilkårene punkt 22.2. Opplysninger som ikke er med i dataeksporten, for eksempel meldinger, opplysninger om barn og kommentarer til fravær, utleverer Databehandleren etter skriftlig anmodning fra noen som kan forplikte den Behandlingsansvarlige, jf. Vilkårene punkt 22.3.

9.3. Gjennomfører Eieren Avslutning i Tjenesten, slettes personopplysningene umiddelbart, jf. Vilkårene punkt 22.4. Opphører Kontrakten på annen måte, gjennomfører Databehandleren Avslutning i Tjenesten så snart som mulig etter opphøret, og senest 90 dager etter opphøret, med mindre annet er avtalt skriftlig, jf. Vilkårene punkt 22.5. Slettingen skjer også dersom den Behandlingsansvarlige ikke har benyttet seg av tilbudet om utlevering. Kopier av personopplysninger utenfor Tjenesten slettes etter Vilkårene punkt 10.4 og 10.5. Databehandleren bekrefter gjennomført sletting skriftlig, jf. Vilkårene punkt 22.6.

9.4. Personopplysninger i sikkerhetskopier slettes når sikkerhetskopiene roteres ut, innen 7 dager etter slettingen, jf. Vilkårene punkt 13.5 og 22.6. Gjenopprettes en sikkerhetskopi som er tatt før slettingen, skal Databehandleren gjenta slettingen.

9.5. Databehandleren er ikke kjent med lovgivning som pålegger Databehandleren å oppbevare den Behandlingsansvarliges personopplysninger etter Kontraktens opphør. Lovpålagte oppbevaringsplikter (for eksempel etter bokføringsloven og arbeidsmiljøloven) påhviler den Behandlingsansvarlige og ivaretas av denne med utgangspunkt i nedlastede og utleverte opplysninger, jf. Vilkårene punkt 22.7.

9.6. Den Behandlingsansvarlige er enig i at Databehandleren etter opphør beholder opplysningene om kundeforholdet som er angitt i Vilkårene punkt 22.8. Blant dem er arbeidsforholdene som lisenshistorikken er knyttet til, med start- og sluttdatoer og versjon og tidspunkt for godkjenning av brukervilkårene, men uten Brukernes navn, e-postadresse og fødselsdato, og dokumentasjon av avslutningen og av dataeksportene. Opplysningene er dels hentet fra personopplysninger Databehandleren har behandlet etter Avtalen. Fra opphøret behandler Databehandleren dem som selvstendig behandlingsansvarlig, bare for formålene som er angitt i Vilkårene punkt 22.8, og de omfattes ikke lenger av Avtalen. Behandlingen er beskrevet i Databehandlerens personvernerklæring på www.tyme.no/personvern.

10. Revisjoner, herunder inspeksjoner

10.1. Databehandleren skal stille til den Behandlingsansvarliges disposisjon all informasjon som er nødvendig for å påvise etterlevelse av forpliktelsene etter personvernregelverket og denne Avtalen, og skal muliggjøre og bidra til revisjoner, herunder inspeksjoner, som utføres av den Behandlingsansvarlige eller en revisor bemyndiget av denne.

10.2. Revisjoner gjennomføres med rimelig skriftlig varsel, innenfor normal arbeidstid, på en måte som ikke unødig forstyrrer Databehandlerens virksomhet, og for den Behandlingsansvarliges egen kostnad. Den som utfører revisjonen skal være underlagt taushetsplikt.

10.3. For underdatabehandlerne oppfyller Databehandleren sin tilsynsplikt ved å følge opp underdatabehandlernes revisjonsrapporter og sertifiseringer, som på anmodning stilles til den Behandlingsansvarliges rådighet.

11. Ikrafttredelse og opphør

11.1. Avtalen trer i kraft på samme dato som Kontrakten, jf. Vilkårene punkt 4.1.

11.2. Avtalen gjelder så lenge databehandlertjenestene varer og kan i denne perioden ikke sies opp, med mindre partene avtaler andre vilkår som regulerer leveransen i samsvar med gjeldende personvernregelverk.

11.3. Når Kontrakten eller leveringen av databehandlertjenestene opphører, og personopplysningene er slettet eller returnert i overensstemmelse med punkt 9, opphører denne Avtalen.

12. Kontaktpunkter

12.1. Henvendelser til Databehandleren etter denne Avtalen rettes til Econ Nordic AS, [email protected], +47 412 42 925.

12.2. Henvendelser til den Behandlingsansvarlige rettes til kontaktpunktet angitt i Kontrakten. Partene skal holde hverandre orientert om endringer i kontaktpunkter.

---

Vedlegg A — Opplysninger om behandlingen

A.1. Formålet med behandlingen er å gi den Behandlingsansvarlige et system for registrering, godkjenning og rapportering av arbeidstid, prosjekttid og fravær for egne ansatte, og for fakturagrunnlag for egne prosjekter, herunder å understøtte den Behandlingsansvarliges plikt til å ha oversikt over arbeidstid etter arbeidsmiljøloven § 10-7.

A.2. Behandlingens art: Databehandleren behandler personopplysningene for å:

• drifte Tjenesten som skytjeneste: lagre, strukturere og gjøre opplysningene tilgjengelige for den Behandlingsansvarliges Brukere, på nett og i mobilappene
• etablere den Behandlingsansvarliges konto og importere grunndata som den Behandlingsansvarlige leverer, jf. Vilkårene punkt 4.3
• drifte, vedlikeholde og sikre Tjenesten, feilsøke og gi support, jf. Vilkårene punkt 10.2
• sende systemgenererte e-poster: invitasjoner, lenker for å tilbakestille passord, varsel når tofaktorautentiseringen er nullstilt, varsler om uavklarte registreringer før en periode lukkes, varsler når fristen for å sende inn timer eller søke om sommerferie har gått ut, og rapporterte meldinger til Eieren. En kopi av hver e-post lagres blant sendte e-poster i e-postkontoen Tjenesten sender fra, i 90 dager, jf. Vilkårene punkt 10.5
• overføre opplysninger til tredjepartstjenester som den Behandlingsansvarlige selv har koblet til, når en Bruker setter i gang overføringen, jf. Vilkårene punkt 9. Det gjelder fakturautkast eller ordre med fakturagrunnlag (dato, den ansattes navn, aktivitet, antall timer og ekstern kommentar) til regnskapssystemer, for eksempel Fiken og Tripletex. Tredjeparten er den Behandlingsansvarliges egen mottaker og ikke underdatabehandler
• ta sikkerhetskopi og gjenopprette fra sikkerhetskopi
• utlevere opplysninger etter punkt 9.2, og slette eller anonymisere opplysninger etter punkt 7.3 og 9

Databehandleren treffer ingen egne avgjørelser om bruken av opplysningene og benytter dem ikke til egne formål. Unntatt er Databehandlerens egne notater om kundeforholdet, jf. Vilkårene punkt 10.6, og opplysningene Databehandleren beholder etter opphør, jf. punkt 9.6.

A.3. Typer personopplysninger:

• Navn, e-postadresse og eventuelt fødselsdato
• Avdeling, rolle og arbeidsforhold (for eksempel stillingsandel)
• Time- og prosjektregistreringer med eventuelle kommentarer, og fakturagrunnlag laget av dem
• Fraværsregistreringer med fraværstype — herunder helseopplysninger (særlige kategorier, personvernforordningen artikkel 9), for eksempel sykefravær og omsorgsdager
• Opplysninger om ansattes barn der det er relevant for fraværskvoter (navn, fødselsdato og eventuelle utvidede rettigheter, for eksempel ved kronisk sykdom eller aleneomsorg) — helseopplysninger
• Fleksitidssaldo og kvoter
• Godkjenningshistorikk, avvisningsbegrunnelser og meldinger knyttet til registreringene
• Bekreftelse av at Brukeren har godtatt brukervilkårene (versjonsnummer og tidspunkt)
• Logg over e-postvarsler om frister som er sendt til Brukerne (frist, status og tidspunkt)
• Innloggingsopplysninger (e-postadresse og passord i kryptografisk sikret form)
• Opplysninger knyttet til tofaktorautentisering for brukere som har slått det på: en hemmelig nøkkel lagret i kryptert form, gjenopprettingskoder lagret i kryptografisk sikret (hashet) form, og nivået en administrator eventuelt har valgt for seg selv. Nøkkelen og kodene genereres av Tjenesten og kan ikke leses ut igjen.
• Dokumentasjon av dataeksporter og av avslutning av kundeforholdet: navn og e-postadresse til den som besvarte tilbudet om dataeksport og den som bekreftet avslutningen, navnet på den som lastet ned dataeksport, og tidspunktene

Tjenesten er innrettet slik at følgende ikke registreres: fødselsnummer, lønnsopplysninger, betalingsopplysninger, telefonnummer, privatadresse og IP-/enhetssporing.

A.4. Kategorier av registrerte:

• Ansatte og innleide hos den Behandlingsansvarlige som har brukerkonto i Tjenesten
• Ansattes barn, der opplysninger er registrert for fraværskvoter
• Den Behandlingsansvarliges administratorer, herunder Eieren

A.5. Behandlingens varighet: Behandlingen pågår så lenge Kontrakten består, og til personopplysningene er slettet eller levert tilbake etter punkt 9.

---

Vedlegg B — Underdatabehandlere

Ved Avtalens ikrafttredelse har den Behandlingsansvarlige godkjent bruken av følgende underdatabehandlere for den behandlingsaktiviteten som er beskrevet for vedkommende. Databehandleren kan ikke — uten å følge prosedyren i punkt 5.2 — benytte en underdatabehandler til en annen behandlingsaktivitet enn den som er beskrevet, eller benytte en annen underdatabehandler.

Begge underdatabehandlerne er bundet av databehandleravtaler. Leverandørene er amerikanske selskaper eller tilhører konsern med amerikansk morselskap; eventuell fjerntilgang i forbindelse med teknisk support håndteres som beskrevet i punkt 6.2.

Tredjepartstjenester som den Behandlingsansvarlige selv kobler til, for eksempel Fiken og Tripletex, er ikke underdatabehandlere, jf. vedlegg A.2.

---

Vedlegg C — Sikkerhetstiltak og lokasjoner

C.1. Sikkerhetsnivå: Behandlingen omfatter helseopplysninger (særlige kategorier etter personvernforordningen artikkel 9). Det skal derfor etableres og opprettholdes et høyt sikkerhetsnivå.

C.2. Minimumstiltak Databehandleren skal gjennomføre:

• All kommunikasjon med Tjenesten og mellom Tjenestens komponenter er kryptert under overføring
• Lagrede opplysninger er kryptert i hvilende tilstand i den administrerte databasetjenesten
• Passord lagres utelukkende i kryptografisk sikret (hashet) form, aldri i klartekst
• Tjenesten har tofaktorautentisering (engangskode fra en autentiseringsapp), og den Behandlingsansvarlige bestemmer hvilke brukere som må bruke den, jf. Vilkårene punkt 7.6. Den hemmelige nøkkelen lagres kryptert med en nøkkel som oppbevares utenfor databasen
• Den Behandlingsansvarlige kan i tillegg kreve at handlinger med særlig konsekvens — blant annet endring av administratorroller, eierskifte, endring av lisenser, avslutning av kundeforholdet, dataeksport og endring av integrasjonsnøkler — bekreftes med en ny engangskode, jf. Vilkårene punkt 7.6
• Rollebasert tilgangsstyring der den Behandlingsansvarlige selv styrer brukernes roller og tilganger. Ledere og stedfortredere godkjenner bare registreringer innenfor egne ansvarsområder. Alle roller med tilgang til rapporter — prosjektleder, avdelingsleder, administrator, systemadministrator og eier — kan likevel ta ut rapporter for hele virksomheten, herunder rapporter over fravær fordelt på ansatt og fraværstype, jf. Vilkårene punkt 7.7
• Tilgang for Databehandlerens personell er begrenset til det som er nødvendig etter Vilkårene punkt 10.2, og personellet er konfidensialitetsforpliktet, jf. punkt 4.2. Verktøyet for å administrere kundeforhold er en egen applikasjon som bare personell med tildelt tilgang kan logge inn i, og innlogging krever tofaktorautentisering. Verktøyet gir ikke innsyn i timer, fravær eller meldinger
• Kopier av personopplysninger tas bare ut av driftsmiljøet når det er nødvendig for feilsøking i en konkret sak eller for utlevering etter punkt 9.2, lagres kryptert i et sikret miljø, brukes ikke til utvikling eller testing, og slettes når saken er avsluttet eller utleveringen er gjennomført, jf. Vilkårene punkt 10.4
• Tjenesten driftes og personopplysningene lagres innenfor EU/EØS, jf. punkt 6.1
• Sikkerhetskopi tas minst daglig og oppbevares i 7 dager, og gjenoppretting fra sikkerhetskopi testes minst én gang i året, jf. Vilkårene punkt 13.5. Gjennomførte slettinger gjentas etter en eventuell gjenoppretting, jf. punkt 9.4
• I mobilappene lagres innloggingen i enhetens sikre lagring, og den slettes ved utlogging
• Feillogger inneholder ikke IP-adresser eller andre direkte identifiserende opplysninger
• Tjenesten og mobilappene inneholder ingen analyse- eller sporingsverktøy fra tredjeparter

C.3. Lokasjoner for behandlingen: