Databehandleravtale

I henhold til personvernforordningen (EU) 2016/679 artikkel 28 · versjon 1.2 · gjelder alle kunder · fra 7. september 2026

1. Bakgrunn, formål og inngåelse

1. Partene har inngått avtale om levering av tjenesten Stream Sky, jf. Vilkår for Stream Sky («Kundeavtalen»). Ved levering av Tjenesten behandler Databehandleren personopplysninger på vegne av Behandlingsansvarlig. Denne avtalen («Avtalen») regulerer denne behandlingen, og oppfyller kravene i personvernforordningen artikkel 28 nr. 3.
2. Avtalen inngås ved at Kunden aksepterer Kundeavtalen ved bestilling, og gjelder for alle kunder — privatpersoner så vel som næringsdrivende. Avtalen kan på forespørsel også signeres som et selvstendig dokument.
3. Avtalen gjelder så lenge Databehandleren behandler personopplysninger på vegne av Behandlingsansvarlig, og går ved motstrid foran Kundeavtalen for de forhold Avtalen regulerer.
4. Hvorfor Avtalen også gjelder privatpersoner. Personvernforordningen unntar behandling som skjer «utelukkende som ledd i rent personlige eller familiemessige aktiviteter». Unntaket gjelder som hovedregel ikke når opptak av andre mennesker gjøres tilgjengelig for et ubestemt antall personer, slik som ved offentlig kringkasting på Twitch, YouTube eller Kick, jf. EU-domstolens avgjørelse i sak C-212/13. En privatperson som sender slike opptak gjennom Tjenesten, er derfor selv behandlingsansvarlig for innholdet, og Databehandleren behandler det på kundens vegne. Avtalen sikrer at denne rollefordelingen er skriftlig regulert, slik forordningen krever.
5. Forbrukervern. Er Kunden forbruker, gjelder Avtalen bare så langt den er forenlig med ufravikelig forbrukerlovgivning. Bestemmelser som ville gitt forbrukeren dårligere stilling enn slik lovgivning tillater, viker for loven, uten at Avtalen for øvrig faller bort. Punkt 11.3, 13.5 og 16.3 gir særregler for forbrukere.

2. Definisjoner

Begreper som «personopplysning», «behandling», «behandlingsansvarlig», «databehandler», «den registrerte», «brudd på personopplysningssikkerheten» og «tilsynsmyndighet» skal forstås slik de er definert i personvernforordningen artikkel 4. I tillegg gjelder:

• «Tjenesten»: Stream Sky, slik den er beskrevet i Kundeavtalen, herunder mottak av video- og lydsignal, videresending, «straks tilbake»-funksjon, opptak og Cloud OBS-boks.
• «Kundeinnhold»: alt video-, lyd- og bildemateriale som Kunden sender inn til, lagrer i eller lar Tjenesten videresende, samt Kundens egne filer, scenesamlinger, overlegg og konfigurasjon i en Cloud OBS-boks.
• «Underdatabehandler»: enhver tredjepart Databehandleren benytter til å behandle Kundeinnhold på vegne av Behandlingsansvarlig.
• «Portalen»: Kundens innloggede område på streamsky.no.

3. Rollefordeling og omfang

1. For Kundeinnhold er Kunden Behandlingsansvarlig, og Databehandleren behandler slikt innhold utelukkende på Kundens vegne og etter Kundens instruks. Personopplysninger i Kundeinnhold omfatter typisk bilde, stemme, sted og tidspunkt for personer som vises eller høres i Kundens sendinger, herunder tredjepersoner i offentlig rom.
2. For opplysninger om Kunden selv og Kundens brukere — kontoopplysninger, fakturering, drift av Tjenesten og sikkerhetslogger — er OVIT Consulting AS selvstendig behandlingsansvarlig. Slik behandling reguleres av personvernerklæringen og omfattes ikke av Avtalen.
3. Behandlingens art, formål og varighet samt kategorier av registrerte og personopplysninger fremgår av Vedlegg 1.

4. Databehandlerens plikter

Databehandleren skal:

1. Instruks. Behandle Kundeinnhold utelukkende etter dokumenterte instrukser fra Behandlingsansvarlig, og bare for de formål som fremgår av Vedlegg 1. Instrukser gis primært gjennom Kundens valg i Portalen, herunder hvilke mottakere sendingen videresendes til, om opptak er aktivert, og hvor lenge opptak beholdes. Instrukser som ikke kan gis gjennom Portalen, skal gis skriftlig.
2. Varsling om ulovlig instruks. Umiddelbart underrette Behandlingsansvarlig dersom Databehandleren mener en instruks er i strid med personvernforordningen eller annen personvernlovgivning. Databehandleren kan da avvente gjennomføring inntil instruksen er avklart.
3. Ingen egen bruk. Ikke gjennomgå, analysere, kopiere eller på annen måte benytte Kundeinnhold til egne formål, og ikke utlevere Kundeinnhold til tredjepart uten at det følger av Avtalen, instruks fra Behandlingsansvarlig eller ufravikelig rettsregel. Innsyn i en pågående sending eller i et opptak skjer bare når det er nødvendig for feilsøking av en sak Kunden har meldt, eller for å undersøke et konkret sikkerhetsavvik, og logges alltid.
4. Taushetsplikt. Sikre at enhver person som handler under Databehandlerens myndighet og som har tilgang til Kundeinnhold, er underlagt en egnet lovbestemt eller avtalt taushetsplikt, og at tilgang bare gis til personer som trenger den for å levere Tjenesten.
5. Sikkerhet. Gjennomføre egnede tekniske og organisatoriske tiltak i samsvar med personvernforordningen artikkel 32, som angitt i Vedlegg 3.
6. Bistand til de registrertes rettigheter. Så langt det er mulig ut fra behandlingens art, bistå Behandlingsansvarlig med egnede tekniske og organisatoriske tiltak for å oppfylle plikten til å besvare henvendelser om utøvelse av rettigheter etter personvernforordningen kapittel III. Henvendelser fra registrerte som mottas av Databehandleren, videreformidles til Behandlingsansvarlig uten ugrunnet opphold.
7. Bistand etter artikkel 32–36. Bistå Behandlingsansvarlig med å oppfylle pliktene knyttet til sikkerhet, melding og underretning om brudd på personopplysningssikkerheten, vurdering av personvernkonsekvenser og forhåndsdrøftinger med tilsynsmyndigheten, idet det tas hensyn til behandlingens art og den informasjonen Databehandleren har tilgang til.
8. Sletting og tilbakelevering. Ved opphør av Avtalen slette eller tilbakelevere Kundeinnhold i samsvar med punkt 15.
9. Dokumentasjon og revisjon. Gjøre tilgjengelig all informasjon som er nødvendig for å påvise at forpliktelsene i personvernforordningen artikkel 28 er oppfylt, og muliggjøre og bidra til revisjoner i samsvar med punkt 13.

5. Behandlingsansvarliges plikter og garantier

Behandlingsansvarlig innestår for og forplikter seg til at:

1. Behandlingsansvarlig har et gyldig behandlingsgrunnlag etter personvernforordningen artikkel 6, og der det er relevant artikkel 9, for all innsamling, kringkasting, videresending og lagring av Kundeinnhold, og selv foretar den avveiningen mot de registrertes interesser som grunnlaget krever. Unntaket for rent personlige eller familiemessige aktiviteter gjelder som hovedregel ikke ved offentlig kringkasting av opptak av tredjepersoner.
2. Behandlingsansvarlig alene er ansvarlig for at Kundeinnhold er lovlig, herunder etter personopplysningsloven, straffeloven § 267 a og åndsverkloven § 104, og for å oppfylle informasjonsplikten overfor de registrerte etter personvernforordningen artikkel 13 og 14.
3. Behandlingsansvarlig håndterer henvendelser fra registrerte, herunder krav om stans av sending og sletting av opptak, og gir Databehandleren instruks der Databehandlerens medvirkning er nødvendig.
4. Behandlingsansvarlig gir Databehandleren de opplysninger som er nødvendige for at Databehandleren kan oppfylle sine plikter etter Avtalen, og varsler Databehandleren uten ugrunnet opphold om forhold ved Kundeinnhold eller behandlingen som kan innebære en særlig risiko for de registrerte.
5. Behandlingsansvarlig er ansvarlig for at alle instrukser som gis, er lovlige, og for enhver behandling Databehandleren utfører i samsvar med slike instrukser.

6. Kundeinnhold, lagring og sikkerhetskopi

7. Underdatabehandlere

1. Behandlingsansvarlig gir Databehandleren en generell forhåndsgodkjenning til å benytte Underdatabehandlere. Underdatabehandlere som benyttes ved Avtalens ikrafttredelse, fremgår av Vedlegg 2.
2. Databehandleren skal underrette Behandlingsansvarlig skriftlig, minst 30 dager før en ny Underdatabehandler tas i bruk eller en eksisterende skiftes ut. Behandlingsansvarlig kan innen fristen fremsette begrunnet innsigelse. Kan Partene ikke bli enige, og Databehandleren ikke kan levere Tjenesten uten den aktuelle Underdatabehandleren, kan Behandlingsansvarlig si opp Kundeavtalen med virkning fra endringstidspunktet, uten kostnad for den gjenværende perioden.
3. Databehandleren skal pålegge enhver Underdatabehandler de samme forpliktelsene til vern av personopplysninger som følger av Avtalen, gjennom en skriftlig avtale, jf. personvernforordningen artikkel 28 nr. 4. Databehandleren er fullt ansvarlig overfor Behandlingsansvarlig for Underdatabehandlerens oppfyllelse av disse forpliktelsene.

8. Overføring til land utenfor EØS

1. Kundeinnhold behandles og lagres utelukkende i Norge, på infrastruktur Databehandleren selv eier og drifter. Databehandleren skal ikke overføre Kundeinnhold til land utenfor EØS uten Behandlingsansvarliges skriftlige forhåndsgodkjenning og et gyldig overføringsgrunnlag etter personvernforordningen kapittel V.
2. Betalingsopplysninger behandles av Stripe som Underdatabehandler for faktureringsformål. Stripe behandler ikke Kundeinnhold. Overføring av betalingsopplysninger utenfor EØS bygger på EU-kommisjonens standard personvernbestemmelser.

9. Sikkerhet

1. Databehandleren skal gjennomføre og opprettholde de tekniske og organisatoriske tiltakene som fremgår av Vedlegg 3, og skal jevnlig vurdere om tiltakene er egnet ut fra risikoen ved behandlingen.
2. Databehandleren kan endre tiltakene så lenge det samlede sikkerhetsnivået ikke svekkes. Vesentlige endringer varsles Behandlingsansvarlig.

10. Brudd på personopplysningssikkerheten

1. Databehandleren skal underrette Behandlingsansvarlig uten ugrunnet opphold, og senest innen 48 timer etter at Databehandleren er blitt kjent med et brudd på personopplysningssikkerheten som gjelder Kundeinnhold.
2. Underretningen skal, så langt informasjonen er tilgjengelig, beskrive bruddets art, kategorier og omtrentlig antall registrerte og personopplysninger som er berørt, sannsynlige konsekvenser, og tiltak som er iverksatt eller foreslått. Informasjon som ikke er tilgjengelig i første underretning, ettersendes uten ugrunnet opphold.
3. Databehandleren skal bistå Behandlingsansvarlig med de opplysningene som er nødvendige for at Behandlingsansvarlig kan oppfylle sin meldeplikt til tilsynsmyndigheten innen 72 timer og sin eventuelle plikt til å underrette de registrerte.
4. Databehandleren skal ikke underrette tilsynsmyndighet eller registrerte på Behandlingsansvarliges vegne uten Behandlingsansvarliges skriftlige instruks, med mindre Databehandleren selv er rettslig forpliktet til det.

11. Bistand og kostnader

1. Bistand etter punkt 4.6 og 4.7 som kan ytes gjennom Tjenestens ordinære funksjoner, ytes uten særskilt vederlag.
2. Bistand som går utover dette, herunder manuell sammenstilling, utlevering i særskilt format eller medvirkning til vurdering av personvernkonsekvenser, kan Databehandleren overfor næringsdrivende kreve dekket etter medgått tid til Databehandlerens til enhver tid gjeldende timepris, med mindre behovet for bistand skyldes forhold Databehandleren svarer for.
3. Overfor forbrukere ytes bistand uten vederlag. Databehandleren kan likevel kreve et rimelig gebyr, eller avslå, dersom en forespørsel er åpenbart grunnløs eller overdreven, særlig fordi den gjentas, jf. personvernforordningen artikkel 12 nr. 5.

12. Revisjon og dokumentasjon

1. Behandlingsansvarlig kan én gang per kalenderår, med minst 30 dagers skriftlig varsel, kreve dokumentasjon på at Avtalens forpliktelser er oppfylt. Slik dokumentasjon gis primært skriftlig.
2. Behandlingsansvarlig kan gjennomføre revisjon selv eller ved en uavhengig revisor som er underlagt taushetsplikt og som ikke er konkurrent av Databehandleren. Revisjon gjennomføres i Databehandlerens ordinære arbeidstid, uten unødig forstyrrelse av driften, og med respekt for øvrige kunders konfidensialitet.
3. Kostnader ved revisjon utover skriftlig dokumentasjon bæres av Behandlingsansvarlig, med mindre revisjonen avdekker vesentlige brudd på Avtalen fra Databehandlerens side.
4. Ved pålegg fra tilsynsmyndigheten gjelder ikke begrensningene i punkt 12.1 til 12.3.

13. Ansvar og skadesløsholdelse

1. Hver av Partene er ansvarlig overfor de registrerte i samsvar med personvernforordningen artikkel 82. I forholdet mellom Partene svarer hver Part for skade og administrative gebyrer som skyldes Partens egne brudd på personvernforordningen eller Avtalen.
2. Behandlingsansvarlig skal holde Databehandleren skadesløs for ethvert krav fra registrerte, tredjeparter eller myndigheter, og for ethvert tap, gebyr eller kostnad, som skyldes at Kundeinnhold er ulovlig, at Behandlingsansvarlig mangler behandlingsgrunnlag eller ikke har oppfylt sine plikter etter punkt 5, eller at Databehandleren har fulgt Behandlingsansvarliges instruks.
3. Databehandlerens samlede ansvar overfor Behandlingsansvarlig etter Avtalen er, med mindre annet følger av ufravikelig lov, begrenset i samsvar med ansvarsbegrensningen for næringsdrivende i Kundeavtalen. Begrensningen gjelder ikke ved forsett eller grov uaktsomhet.
4. Ingen av Partene svarer for indirekte tap, herunder tapt fortjeneste, tapte inntekter fra sending, tap av publikum eller omdømmetap, med mindre tapet skyldes forsett eller grov uaktsomhet.
5. Forbrukere. Er Behandlingsansvarlig forbruker, gjelder punkt 13.2 bare for tap og krav som skyldes forhold forbrukeren selv er ansvarlig for etter punkt 5 — typisk at forbrukeren har sendt innhold som er ulovlig, eller uten gyldig grunnlag har filmet og kringkastet andre personer. Punkt 13.3 og 13.4 innskrenker ikke rettigheter forbrukeren har etter ufravikelig lov, herunder digitalytelsesloven. Databehandleren svarer fullt ut for tap som skyldes forsett eller grov uaktsomhet.

14. Endringer

1. Databehandleren kan endre Avtalen når det er nødvendig som følge av endringer i lov, forskrift, tilsynspraksis eller Tjenesten. Endringer som ikke er til ugunst for Behandlingsansvarlig, kan tre i kraft uten varsel. Øvrige endringer varsles skriftlig minst 30 dager før ikrafttredelse.
2. Behandlingsansvarlig som ikke aksepterer en varslet endring, kan si opp Kundeavtalen med virkning fra endringstidspunktet.

15. Varighet, opphør og sletting

1. Avtalen gjelder fra inngåelsen og så lenge Kundeavtalen består. Avtalen kan ikke sies opp separat så lenge Databehandleren behandler Kundeinnhold på vegne av Behandlingsansvarlig.
2. Ved opphør av Kundeavtalen stanses videresending umiddelbart. Opptak og innhold i en Cloud OBS-boks bevares i 30 dager etter opphør, slik at Behandlingsansvarlig kan hente det ut i samsvar med punkt 6.2. Deretter slettes Kundeinnhold permanent, med mindre Behandlingsansvarlig skriftlig har bedt om tidligere sletting.
3. Databehandleren bekrefter skriftlig at sletting er gjennomført, dersom Behandlingsansvarlig ber om det.
4. Opplysninger Databehandleren er rettslig forpliktet til å oppbevare, herunder regnskapsdokumentasjon, er unntatt fra sletteplikten. Dette omfatter ikke Kundeinnhold.

16. Lovvalg og verneting

1. Avtalen er underlagt norsk rett. Personvernforordningen og personopplysningsloven gjelder som ufravikelige rammer.
2. Tvister som springer ut av Avtalen, skal søkes løst i minnelighet. Fører det ikke frem, kan hver av Partene bringe tvisten inn for de alminnelige domstoler. For næringsdrivende er Romerike og Glåmdal tingrett avtalt verneting.
3. Er Behandlingsansvarlig forbruker, kan forbrukeren alltid reise sak ved sitt eget hjemting, og kan bringe saken inn for Forbrukertilsynet og deretter Forbrukerklageutvalget. Spørsmål om behandlingen av personopplysninger kan uansett klages inn for Datatilsynet.

Vedlegg 1 — Behandlingen

Vedlegg 2 — Underdatabehandlere

Ingen andre Underdatabehandlere benyttes for behandling av Kundeinnhold.

Vedlegg 3 — Tekniske og organisatoriske tiltak

• Fysisk sikkerhet. Drift i eget datasenter i Norge med adgangskontroll.
• Kryptering. All trafikk til Portalen og administrasjonspanelet er kryptert (TLS). Hver sending autentiseres med egne nøkler som Kunden selv kan bytte.
• Tilgangsstyring. Tilgang for driftspersonell krever personlig innlogging med tofaktorautentisering. Tilgang gis etter behov, og fjernes når behovet opphører.
• Sporbarhet. Administrative handlinger logges i en revisjonslogg, herunder enhver forhåndsvisning av en sending, enhver fjernhjelp-økt inn på en Cloud OBS-boks, og enhver avspilling, nedlasting eller sletting av opptak.
• Fjernhjelp. Fjernhjelp inn på en Cloud OBS-boks krever at Kunden har bedt om hjelp, er tidsbegrenset til 15 minutter per økt, og logges med tidspunkt og hvem som utførte den.
• Dataminimering og sletting. Opptak lagres bare når Kunden har aktivert det, slettes automatisk etter oppbevaringstiden, og begrenses av et samlet lagringstak. Revisjons- og sikkerhetslogger klippes automatisk etter inntil 12 måneder.
• Isolasjon. Hver Cloud OBS-boks kjører som en egen virtuell maskin, adskilt fra andre kunders.
• Overvåking og beredskap. Kontinuerlig overvåking av mottak og videresending med automatisk varsling til driftspersonell. Offentlig driftsstatus på streamsky.no/status.
• Ingen sikkerhetskopi av Kundeinnhold. Jf. punkt 6. Kunden er selv ansvarlig for egne kopier.

Versjon 1.2 — gjelder fra 7. september 2026, for alle kunder. Erstatter versjon 1.1 (kun næringsdrivende) av samme dato. Spørsmål om Avtalen rettes til support@ovit.cloud.