Databehandleravtale for Vinka
Versjon 2, 20. oktober 2026 (versjon 1: 18. oktober 2026). Avtalen følger personvernforordningen (GDPR) artikkel 28 og gjelder automatisk når barnehagen tar Vinka i bruk.
Behandlingsansvarlig: barnehagen som har opprettet konto i Vinka (heretter «barnehagen»).
Databehandler: Lien Educate, org.nr. 993 268 844, Nittedal (heretter «leverandøren»). Kontakt: post@vinka.no.
1. Formål og omfang
Leverandøren behandler personopplysninger på vegne av barnehagen for å levere Vinka: kommunikasjon mellom barnehage og hjem, oppmøte, fravær, samtykker, bemanning, turnus og vikarforespørsler. Leverandøren behandler opplysningene bare etter barnehagens dokumenterte instrukser, som er denne avtalen og bruken av tjenesten.
2. Hvilke opplysninger og hvem det gjelder
| Gjelder | Opplysninger |
|---|---|
| Barn | Bilder (med samtykke), navn, fødselsdato, avdeling, start- og sluttdato, avtalt oppholdstid, oppmøte (inn/ut), fravær (kode: syk, fri, ferie – ikke diagnose), allergier og annen informasjon barnehagen legger inn, samtykker, hvem som kan hente, dagbok (søvn, mat, bleie og korte notater) og tidspunkt for utviklingssamtaler. |
| Foreldre/foresatte | Navn, e-post, mobilnummer, valgt språk, beskjeder og lesestatus, push-abonnement. |
| Ansatte | Navn, e-post, mobilnummer, avdeling, turnus og fravær (kode: syk, ferie, kurs, annet). |
| Vikarer | Navn, mobilnummer, svar på vikarforespørsler. |
| Henteperson | Navn, telefonnummer, relasjon. |
Allergier er helseopplysninger (særlige kategorier, GDPR art. 9). Barnehagen har behandlingsgrunnlag i barnehageloven § 47 a. Vinka bruker faste koder for fravær nettopp for å unngå helseopplysninger i fritekst.
3. Leverandørens plikter
- Behandle opplysningene bare for å levere tjenesten, aldri til egne formål, markedsføring eller salg.
- Sørge for at alle som har tilgang, har taushetsplikt.
- Gjennomføre tekniske og organisatoriske sikkerhetstiltak (punkt 5).
- Hjelpe barnehagen med å oppfylle de registrertes rettigheter (innsyn, retting, sletting) og med personvernkonsekvensvurdering (DPIA) når barnehagen ber om det.
- Varsle barnehagen uten ugrunnet opphold hvis det oppdages et avvik som berører barnehagens opplysninger.
- Gi barnehagen informasjon som trengs for å vise at avtalen følges, og tillate revisjon etter rimelig varsel.
4. Underdatabehandlere
Barnehagen godkjenner disse underdatabehandlerne. Leverandøren varsler barnehagen minst 30 dager før en ny tas i bruk, og barnehagen kan da si opp avtalen.
| Leverandør | Oppgave | Lagring |
|---|---|---|
| Cloudflare, Inc. | Drift og database | Databasen er låst til EU (jurisdiksjon EU). Overføring er dekket av EUs standardavtaler og EU–US Data Privacy Framework. |
| Google Cloud (Translation) | Maskinoversettelse av beskjeder til foreldrenes språk | Bare beskjedteksten sendes, uten navn på avsender eller mottaker. Google lagrer ikke teksten og bruker den ikke til trening (Cloud Translation-vilkårene). |
| Resend, Inc. | E-post: innloggingskoder og varsel om beskjeder som ikke er lest | Sendes fra Resends EU-region (Irland). Mottakerens e-postadresse og teksten i e-posten behandles for å levere den. Overføring er dekket av EUs standardavtaler og EU–US Data Privacy Framework. |
| ONLINECITY.IO ApS (GatewayAPI), Danmark | SMS ved uleste viktige beskjeder og vikarforespørsler | EU-plattformen (gatewayapi.eu). Bare mobilnummer og SMS-tekst behandles. |
| Push-tjenesten til brukerens nettleser eller telefon (Google, Apple, Microsoft eller Mozilla) | Varsler på telefonen når brukeren har slått det på | Varselet er kryptert fra Vinka til telefonen. Tjenesten ser ikke innholdet, bare en teknisk adresse for telefonen. |
5. Sikkerhet
- All trafikk er kryptert (HTTPS/TLS). Data lagres i EU.
- Innlogging med engangskode på e-post. Ingen passord lagres. Økter lagres bare som hash.
- Tilgang styres etter rolle: foreldre ser bare egne barn, ansatte ser sin barnehage, bare styrer kan endre oppsett.
- Beskyttelse mot vanlige angrep: sikkerhetshoder, innholdssikkerhetspolicy, begrensning av kodeforsøk, kontroll av forespørsler fra andre nettsteder.
- Bilder krympes på telefonen før opplasting, slik at skjult informasjon som GPS-posisjon fjernes. De lagres i EU, vises bare for ansatte og for foreldre til barn som er tagget og har samtykke, og slettes automatisk etter 6 måneder. Trekkes samtykket, fjernes barnet fra alle bilder med en gang.
6. Lagringstid og sletting
- Når et barn slutter, stenges foreldrenes tilgang til barnet fra sluttdatoen.
- Beskjeder og oppmøte slettes 12 måneder etter at barnet har sluttet, med mindre barnehagen har plikt til å oppbevare dem lenger.
- Bilder slettes automatisk 6 måneder etter at de ble lagt ut.
- Dagbok (søvn, mat, bleie og notater) slettes automatisk etter 12 måneder.
- Når avtalen opphører, får barnehagen utlevert sine data på forespørsel innen 30 dager. Deretter slettes alt.
7. Varighet
Avtalen gjelder så lenge barnehagen bruker Vinka. Den kan sies opp samtidig med abonnementet. Norsk rett gjelder.
Ønsker barnehagen en signert kopi eller har spørsmål, kontakt post@vinka.no. Se også personvernerklæringen.