Personvern

DATABEHANDLER­AVTALE

Versjon 1.1 · Gjelder fra 12. oktober 2026

Denne avtalen regulerer hvordan Stolt Media AS behandler personopplysninger på vegne av sine kunder, jf. personvernforordningen (GDPR) artikkel 28. Begreper i avtalen har samme betydning som i GDPR.

1. Parter

Behandlingsansvarlig: Kunden, slik den er angitt i tilbud eller oppdragsavtale med Stolt Media («Kunden»).

Databehandler: Stolt Media AS, org.nr. 835 540 022, Søråsveien 5A, 1430 Ås, post@stoltmedia.no («Stolt Media»).

Avtalen gjelder for alle kunder som har akseptert et tilbud eller en oppdragsavtale som viser til den, eller som har bekreftet den skriftlig (for eksempel per e-post).

2. Formål og omfang

Stolt Media behandler personopplysninger på vegne av Kunden for å drifte, analysere og forbedre Kundens digitale markedsføring, herunder:

• drift og optimalisering av Google Ads-kontoer
• oppsett og kontroll av sporing og konverteringsmåling (Google Tag Manager, Google Analytics 4)
• analyse av Search Console-data
• rapportering

Stolt Media skal ikke behandle personopplysningene til andre formål enn å levere tjenestene Kunden har bestilt.

Eierskap til kontoer: Google Ads-kontoene eies av Stolt Media. Stolt Media er Googles avtalepart og har godtatt Googles databehandlingsvilkår. Uansett hvem som eier en konto eller et verktøy (Google Ads, Google Analytics, Google Tag Manager eller Search Console), behandles personopplysninger som stammer fra Kunden og Kundens nettsted kun på vegne av Kunden og etter denne avtalen.

3. Opplysninger og registrerte

Registrerte	Typer opplysninger
Besøkende på Kundens nettsider	Online-identifikatorer (cookie-ID, klikk-ID som GCLID), IP-adresse i forkortet/aggregert form, enhet, nettleser, atferd på nettsiden, konverteringshendelser
Kundens kunder og leads	Ved forbedrede konverteringer eller import av offline-konverteringer: hashede kontaktopplysninger (e-post, telefon) og konverteringsverdier
Kundens ansatte og kontaktpersoner	Navn, e-post og rolle, for tilganger og kommunikasjon

Stolt Media behandler ikke særlige kategorier av personopplysninger (GDPR artikkel 9) med mindre dette er skriftlig avtalt.

Kunden bestemmer innstillinger for lagring og innsamling i egne verktøy, for eksempel lagringstid for data i Google Analytics. Stolt Media kan gi råd, men endrer ikke slike innstillinger uten Kundens godkjenning.

Stolt Media arbeider i hovedsak med aggregerte tall. Personopplysninger fra konverteringer eller CRM kopieres ikke ut av Kundens verktøy og lagres ikke hos Stolt Media.

4. Stolt Medias plikter

Stolt Media skal:

• kun behandle personopplysninger etter dokumenterte instrukser fra Kunden. Denne avtalen, tilbudet og skriftlige bestillinger utgjør instruksene. Stolt Media skal straks si fra dersom en instruks etter selskapets vurdering strider mot personvernregelverket. Pålegger lov Stolt Media annen behandling, skal Kunden informeres om det på forhånd, med mindre loven forbyr det
• sørge for at alle som behandler opplysningene har taushetsplikt
• gjennomføre tekniske og organisatoriske sikkerhetstiltak etter GDPR artikkel 32 (se punkt 6)
• bistå Kunden med å oppfylle de registrertes rettigheter (innsyn, sletting mv.) så langt det er mulig
• bistå Kunden med plikter etter artikkel 32–36 (blant annet personvernkonsekvensvurderinger) så langt det er rimelig
• videresende henvendelser fra registrerte til Kunden uten ugrunnet opphold, og ikke besvare dem selv uten Kundens instruks
• gjøre tilgjengelig informasjon som trengs for å dokumentere at avtalen etterleves, og bidra til revisjoner (se punkt 10)
• kun gjøre endringer i kontoene innenfor rammene av oppdragsavtalen eller etter avtale med Kunden. Endringer gjort av Stolt Media skal kunne spores, for eksempel i kontoens endringshistorikk og i Stolt Medias endringslogg

Stolt Media kan kreve rimelig betaling for bistand som går ut over ordinær tjenesteleveranse, for eksempel omfattende innsynsforespørsler eller personvernkonsekvensvurderinger. Dette avtales på forhånd.

5. Underdatabehandlere

Kunden gir med dette generell forhåndsgodkjenning av at Stolt Media bruker underdatabehandlere. Gjeldende liste finnes på stoltmedia.no/underdatabehandlere.

Ved planlagt tillegg eller bytte av underdatabehandler skal Stolt Media varsle Kunden per e-post minst 30 dager i forveien. Kunden kan protestere på saklig grunnlag innen fristen. Blir partene ikke enige, kan Kunden si opp den delen av oppdraget som berøres. Protesterer ikke Kunden innen fristen, anses endringen godkjent.

Stolt Media skal pålegge underdatabehandlere de samme personvernforpliktelsene som følger av denne avtalen, og er ansvarlig overfor Kunden for at de etterleves.

Google: For kontoer og verktøy som Stolt Media eier, er Google underdatabehandler for Stolt Media og står på listen. For verktøy Kunden eier selv, gjelder Kundens egen avtale med Google.

6. Kundens plikter

Kunden skal:

• sørge for at det finnes gyldig behandlingsgrunnlag for personopplysningene Stolt Media behandler på Kundens vegne
• ha en samtykkeløsning (cookie-banner) og en personvernerklæring på egne nettsider som dekker sporing og annonsering. Stolt Media kan hjelpe med teknisk oppsett, men Kunden er ansvarlig for valg av løsning og for innholdet
• kun dele personopplysninger med Stolt Media, for eksempel kundelister til målgrupper, når Kunden har lovlig grunnlag for det
• gi instrukser som er i samsvar med personvernregelverket
• informere Stolt Media om endringer som påvirker behandlingen, og varsle uten ugrunnet opphold ved kjennskap til sikkerhetsbrudd som angår Stolt Medias tilganger

7. Sikkerhet

Stolt Media har blant annet følgende tiltak:

• Tilgang til kontoene gis via egne brukere, administratorkonto (MCC) eller OAuth – aldri ved deling av passord
• Totrinnsbekreftelse er aktivert på alle kontoer som brukes i kundearbeid
• KI-verktøy brukes kun i bedriftsplan med databehandleravtale der kundedata ikke brukes til å trene modeller (Anthropic Claude Team)
• Interne arbeidsfiler inneholder kun aggregerte tall, ikke personopplysninger
• Tilganger fjernes når de ikke lenger trengs, og senest når oppdraget avsluttes

Nærmere beskrivelse av sikkerhetstiltakene gis på forespørsel.

8. Avvik

Stolt Media skal varsle Kunden uten ugrunnet opphold, og senest innen 48 timer etter å ha oppdaget et brudd på personopplysningssikkerheten. Varselet skal inneholde det Kunden trenger for å oppfylle sin meldeplikt etter GDPR artikkel 33.

9. Overføring utenfor EU/EØS

Opplysninger kan bare overføres utenfor EU/EØS når et gyldig overføringsgrunnlag er på plass, som EU–US Data Privacy Framework, EUs standardkontrakter (SCC) eller en beslutning om tilstrekkelig beskyttelsesnivå. Aktuelle overføringer fremgår av listen over underdatabehandlere.

10. Revisjon

Kunden kan verifisere at avtalen etterleves, i første omgang ved skriftlig dokumentasjon fra Stolt Media. Revisjon eller inspeksjon kan gjennomføres maksimalt én gang per kalenderår, med minst 30 dagers varsel og på Kundens kostnad. Brukes en tredjepart, skal vedkommende ha taushetsplikt. Ved revisjon etter et sikkerhetsbrudd hos Stolt Media gjelder ikke begrensningen på én gang per år.

11. Varighet og avslutning

Avtalen gjelder så lenge Stolt Media behandler personopplysninger for Kunden. Når oppdraget avsluttes, skal Stolt Media:

• fjerne egne tilganger til kontoer Kunden eier
• i kontoer Stolt Media eier: avslutte annonsering og datainnsamling knyttet til Kundens nettsted, og slette målgrupper og kundelister som bygger på Kundens data
• etter Kundens valg returnere eller slette eventuelle personopplysninger fra Kunden innen 30 dager, med mindre lov krever at de oppbevares
• bekrefte slettingen skriftlig dersom Kunden ber om det

Stolt Media kan beholde resultattall på aggregert nivå som ikke er personopplysninger. Bestemmelsene om taushetsplikt, sletting og ansvar gjelder også etter at avtalen er avsluttet, til alle forpliktelser er oppfylt.

12. Ansvar

Hver part er ansvarlig for egne brudd på denne avtalen og på personvernregelverket.

Stolt Medias samlede ansvar etter denne avtalen er begrenset til det Kunden har betalt Stolt Media de siste 12 månedene før hendelsen som utløste ansvaret. Stolt Media er ikke ansvarlig for indirekte tap, som tapt fortjeneste eller tapte data. Begrensningene gjelder ikke ved forsett eller grov uaktsomhet, og påvirker ikke de registrertes rettigheter etter GDPR artikkel 82.

Stolt Media er ikke ansvarlig for tap som skyldes Kundens instrukser, manglende behandlingsgrunnlag eller Kundens samtykkeløsning, jf. punkt 6.

13. Endringer og lovvalg

Endringer i avtalen varsles per e-post minst 30 dager før de trer i kraft. Ved motstrid mellom denne avtalen og tilbud eller oppdragsavtale om personvern, gjelder denne avtalen.

Avtalen reguleres av norsk rett. Tvister avgjøres av norske domstoler, med Oslo tingrett som verneting.