Databehandleravtale

Versjon 1.0 · Sist oppdatert: 30.09.2026

Standardavtalevilkår

AVSNITT I

Vilkår 1 — Formål og virkeområde

a) Formålet med disse standardavtalevilkårene (heretter kalt «vilkår») er å sikre samsvar med artikkel 28 nr. 3 og 4 i europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning).

b) De behandlingsansvarlige og databehandlerne oppført i vedlegg I er blitt enige om disse vilkårene for å sikre samsvar med artikkel 28 nr. 3 og 4 i forordning (EU) 2016/679 og/eller artikkel 29 nr. 3 og 4 i forordning (EU) 2018/1725.

c) Disse vilkårene gjelder for behandling av personopplysninger som angitt i vedlegg II.

d) Vedlegg I–IV er en integrert del av vilkårene.

e) Disse vilkårene berører ikke forpliktelsene som den behandlingsansvarlige er underlagt i henhold til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

f) Disse vilkårene sikrer ikke i seg selv at forpliktelsene i forbindelse med internasjonale overføringer i samsvar med kapittel V i forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725 oppfylles.

Vilkår 2 — Vilkårenes uforanderlighet

a) Partene forplikter seg til å ikke endre vilkårene, unntatt for å tilføye eller oppdatere informasjon i vedleggene.

b) Dette hindrer ikke partene i å ta med standardavtalevilkårene fastsatt i disse vilkårene i en mer omfattende avtale eller tilføye andre vilkår eller ytterligere garantier, forutsatt at de ikke direkte eller indirekte er i strid med vilkårene eller innskrenker de registrertes grunnleggende rettigheter eller friheter.

Vilkår 3 — Fortolkning

a) Dersom det i disse vilkårene brukes begreper som er definert i forordning (EU) 2016/679 eller forordning (EU) 2018/1725, skal disse begrepene ha samme betydning som i den aktuelle forordningen.

b) Disse vilkårene skal leses og fortolkes på bakgrunn av bestemmelsene i forordning (EU) 2016/679 eller forordning (EU) 2018/1725.

c) Disse vilkårene skal ikke fortolkes på en måte som er i strid med rettighetene og pliktene fastsatt i forordning (EU) 2016/679 eller forordning (EU) 2018/1725, eller på en måte som berører de registrertes grunnleggende rettigheter eller friheter.

Vilkår 4 — Hierarki

Ved konflikt mellom disse vilkårene og bestemmelser i relaterte avtaler mellom partene som gjelder når disse vilkårene avtales, eller som senere inngås, har disse vilkårene forrang.

AVSNITT II — PARTENES FORPLIKTELSER

Vilkår 6 — Beskrivelse av behandlingen

Nærmere opplysninger om behandlingsaktivitetene, spesielt kategoriene av personopplysninger og formålene som personopplysningene behandles på vegne av den behandlingsansvarlige for, er angitt i vedlegg II.

Vilkår 7 — Partenes forpliktelser

7.1. Instrukser

a) Databehandleren skal bare behandle personopplysninger på dokumenterte instrukser fra den behandlingsansvarlige, med mindre det kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren omfattes av. I så fall skal databehandleren underrette den behandlingsansvarlige om dette rettslige kravet før opplysningene behandles, med mindre loven forbyr dette av hensyn til viktige allmenne interesser. Den behandlingsansvarlige kan også gi etterfølgende instrukser i hele den tiden som personopplysningene behandles. Disse instruksene skal alltid dokumenteres.

b) Databehandleren skal umiddelbart underrette den behandlingsansvarlige dersom databehandleren mener instrukser gitt av den behandlingsansvarlige er i strid med forordning (EU) 2016/679 eller forordning (EU) 2018/1725 eller gjeldende personvernbestemmelser i Unionen eller medlemsstatene.

7.2. Formålsbegrensning

Databehandleren skal bare behandle personopplysningene for det eller de spesifikke formålene med behandlingen, som fastsatt i vedlegg II, med mindre vedkommende mottar andre instrukser fra den behandlingsansvarlige.

7.3. Varigheten av behandlingen av personopplysninger

Databehandleren skal bare behandle opplysningene i tidsrommet angitt i vedlegg II.

7.4. Sikkerhet ved behandlingen

a) For å sikre personopplysningenes sikkerhet skal databehandleren minst gjennomføre de tekniske og organisatoriske tiltakene angitt i vedlegg III. Dette omfatter å verne opplysningene mot et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ikke-autorisert utlevering av eller tilgang til opplysningene (heretter kalt «brudd på personopplysningssikkerheten»). Ved vurdering av egnet sikkerhetsnivå skal partene ta behørig hensyn til den tekniske utviklingen, gjennomføringskostnadene, behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene som behandlingen innebærer for de registrerte.

b) Databehandleren skal gi sitt personale tilgang til personopplysningene som behandles, bare i den grad det er strengt nødvendig for å gjennomføre, forvalte og overvåke avtalen. Databehandleren skal sikre at personer som er autorisert til å behandle de mottatte personopplysningene, har forpliktet seg til å behandle dem konfidensielt eller er underlagt en egnet lovfestet taushetsplikt.

7.5. Sensitive opplysninger

Dersom behandlingen omfatter personopplysninger som avdekker rasemessig eller etnisk opprinnelse, politisk oppfatning, religiøs eller filosofisk overbevisning eller fagforeningsmedlemskap, genetiske eller biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en persons seksuelle forhold eller seksuelle orientering eller opplysninger om straffedommer og lovovertredelser (heretter kalt «sensitive opplysninger»), skal databehandleren anvende særlige begrensninger og/eller ytterligere garantier.

7.6. Dokumentasjon og overholdelse

a) Partene skal kunne vise at de overholder disse vilkårene.

b) Databehandleren skal omgående og på egnet måte behandle forespørsler fra den behandlingsansvarlige om behandlingen av opplysninger i samsvar med disse vilkårene.

c) Databehandleren skal gi den behandlingsansvarlige tilgang til all informasjon som er nødvendig for å vise at forpliktelsene fastsatt i disse vilkårene, og som følger direkte av forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725, er overholdt. På anmodning fra den behandlingsansvarlige skal databehandleren også muliggjøre og bidra til revisjoner av behandlingsaktivitetene som omfattes av disse vilkårene, med rimelige mellomrom eller dersom det er tegn som tyder på manglende overholdelse. Når det treffes beslutning om en gjennomgåelse eller revisjon, kan den behandlingsansvarlige ta hensyn til relevante sertifiseringer som databehandleren har.

d) Den behandlingsansvarlige kan velge å gjennomføre revisjonen selv eller bruke en uavhengig revisor. Revisjonene kan også omfatte inspeksjoner i databehandlerens lokaler eller fysiske installasjoner og skal, når det er relevant, gjennomføres med rimelig varsel.

e) Partene skal på anmodning gjøre informasjonen nevnt i dette vilkåret, herunder resultatene av eventuelle revisjoner, tilgjengelig for vedkommende tilsynsmyndigheter.

7.7. Bruk av underdatabehandlere

a) Databehandleren har den behandlingsansvarliges generelle tillatelse til å engasjere underdatabehandlere som er oppført på en omforent liste. Databehandleren skal spesifikt underrette den behandlingsansvarlige skriftlig om eventuelle planlagte endringer av listen i form av tilføyelse eller utskiftning av underdatabehandlere minst 30 dager i forveien, slik at den behandlingsansvarlige får tilstrekkelig tid til å protestere mot slike endringer før den eller de aktuelle underdatabehandlerne engasjeres. Databehandleren skal gi den behandlingsansvarlige den informasjonen som er nødvendig for at den behandlingsansvarlige skal kunne utøve sin rett til å protestere.

b) Dersom databehandleren engasjerer en underdatabehandler til å utføre spesifikke behandlingsaktiviteter (på vegne av den behandlingsansvarlige), skal det skje i form av en avtale som i det vesentlige pålegger underdatabehandleren de samme forpliktelsene med hensyn til vern av opplysninger som de som databehandleren er pålagt i samsvar med disse vilkårene. Databehandleren skal sikre at underdatabehandleren oppfyller de forpliktelsene som databehandleren er underlagt i henhold til disse vilkårene og i henhold til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

c) Databehandleren skal på anmodning fra den behandlingsansvarlige gi den behandlingsansvarlige en kopi av en slik underdatabehandleravtale og eventuelle etterfølgende endringer. I den grad det er nødvendig for å beskytte forretningshemmeligheter eller annen konfidensiell informasjon, herunder personopplysninger, kan databehandleren redigere avtaleteksten før det utleveres en kopi.

d) Databehandleren skal ha det fulle ansvaret overfor den behandlingsansvarlige for oppfyllelsen av underdatabehandlerens forpliktelser i samsvar med dennes avtale med databehandleren. Databehandleren skal underrette den behandlingsansvarlige dersom underdatabehandleren ikke oppfyller sine avtalefestede forpliktelser.

e) Databehandleren skal bli enig med underdatabehandleren om et vilkår om begunstiget tredjepart, slik at dersom databehandleren faktisk eller rettslig har opphørt å eksistere eller er blitt insolvent, skal den behandlingsansvarlige ha rett til å si opp avtalen med underdatabehandleren og gi denne instruks om å slette eller tilbakelevere personopplysningene.

7.8. Internasjonale overføringer

a) Databehandleren kan bare overføre opplysninger til et tredjeland eller en internasjonal organisasjon på grunnlag av dokumenterte instrukser fra den behandlingsansvarlige eller for å oppfylle et spesifikt krav i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt, og overføringen skal skje i samsvar med kapittel V i forordning (EU) 2016/679 eller forordning (EU) 2018/1725.

b) Den behandlingsansvarlige samtykker i at dersom databehandleren engasjerer en underdatabehandler i samsvar med vilkår

7.7. til å utføre spesifikke behandlingsaktiviteter (på vegne av den behandlingsansvarlige), og disse behandlingsaktivitetene

omfatter en overføring av personopplysninger som omhandlet i kapittel V i forordning (EU) 2016/679, kan databehandleren og underdatabehandleren sikre samsvar med kapittel V i forordning (EU) 2016/679 ved å bruke standardavtalevilkår vedtatt av Kommisjonen i samsvar med artikkel 46 nr. 2 i forordning (EU) 2016/679, forutsatt at vilkårene for å bruke disse standardavtalevilkårene er oppfylt.

Vilkår 8 — Bistand til den behandlingsansvarlige

a) Databehandleren skal uten opphold underrette den behandlingsansvarlige om enhver anmodning fra den registrerte. Databehandleren skal ikke svare på anmodningen selv, med mindre den behandlingsansvarlige har gitt tillatelse til dette.

b) Databehandleren skal bistå den behandlingsansvarlige med å oppfylle dennes forpliktelse til å svare på anmodninger fra registrerte om å utøve sine rettigheter, idet det tas hensyn til behandlingens art. Når databehandleren oppfyller sine forpliktelser i samsvar med bokstav a) og b), skal instruksene fra den behandlingsansvarlige følges.

c) I tillegg til databehandlerens forpliktelse til å bistå den behandlingsansvarlige i henhold til vilkår 8 bokstav b) skal databehandleren også bistå den behandlingsansvarlige med å sikre at forpliktelsene nedenfor oppfylles, idet det tas hensyn til behandlingens art og informasjonen som databehandleren har tilgang til:

1) Forpliktelsen til å foreta en vurdering av hvilke konsekvenser de planlagte behandlingsaktivitetene vil ha på vernet av personopplysninger (heretter kalt «vurdering av personvernkonsekvenser»), dersom det er sannsynlig at en type behandling vil føre til en høy risiko for fysiske personers rettigheter og friheter.

2) Forpliktelsen til å rådføre seg med vedkommende tilsynsmyndigheter før behandlingen dersom en vurdering av personvernkonsekvenser tilsier at behandlingen vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen.

3) Forpliktelsen til å sikre at personopplysningene er korrekte og oppdatert, ved uten opphold å underrette den behandlingsansvarlige dersom databehandleren får kjennskap til at personopplysningene som vedkommende behandler, ikke er korrekte eller er foreldede.

4) Forpliktelsene i artikkel 32 i forordning (EU) 2016/679.

d) Partene skal i vedlegg III fastsette egnede tekniske og organisatoriske tiltak der det kreves at databehandleren skal bistå den behandlingsansvarlige ved anvendelsen av dette vilkåret, samt virkeområdet og omfanget av den nødvendige bistanden.

Vilkår 9 — Underretning om brudd på personopplysningssikkerheten

Dersom det oppstår et brudd på personopplysningssikkerheten, skal databehandleren samarbeide med og bistå den behandlingsansvarlige, slik at den behandlingsansvarlige kan oppfylle sine forpliktelser i henhold til artikkel 33 og 34 i forordning (EU) 2016/679 eller artikkel 34 og 35 i forordning (EU) 2018/1725, alt etter hva som er relevant, idet det tas hensyn til behandlingens art og informasjonen som databehandleren har tilgang til.

9.1 Brudd på opplysningssikkerheten som gjelder opplysninger som behandles av den behandlingsansvarlige

Dersom det oppstår et brudd på personopplysningssikkerheten som gjelder opplysninger som behandles av den behandlingsansvarlige, skal databehandleren bistå den behandlingsansvarlige med å

a) underrette vedkommende tilsynsmyndigheter om bruddet på personopplysningssikkerheten uten ugrunnet opphold etter at den behandlingsansvarlige har fått kjennskap til det, dersom det er relevant (med mindre det ikke er sannsynlig at bruddet på personopplysningssikkerheten vil medføre en risiko for fysiske personers rettigheter og friheter),

b) innhente følgende informasjon som i henhold til artikkel 33 nr. 3 i forordning (EU) 2016/679 skal angis i den behandlingsansvarliges underretning, og som minst skal omfatte

1) personopplysningenes art, herunder, når det er mulig, kategoriene av og omtrentlig antall berørte registrerte og registreringer av personopplysninger,

2) de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten,

3) tiltakene som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet. Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, skal den første underretningen inneholde informasjonen som er tilgjengelig på det tidspunktet, og ytterligere informasjon skal gis uten ugrunnet opphold etter hvert som den blir tilgjengelig.

c) oppfylle, i henhold til artikkel 34 i forordning (EU) 2016/679, forpliktelsen til å underrette den registrerte uten ugrunnet opphold om bruddet på personopplysningssikkerheten, dersom det er sannsynlig at dette bruddet vil medføre en høy risiko for fysiske personers rettigheter og friheter.

9.2 Brudd på opplysningssikkerheten som gjelder opplysninger som behandles av databehandleren

Dersom det oppstår et brudd på personopplysningssikkerheten som gjelder opplysninger som behandles av databehandleren, skal databehandleren underrette den behandlingsansvarlige uten ugrunnet opphold etter å ha fått kjennskap til bruddet. Underretningen skal minst inneholde

a) en beskrivelse av bruddets art (herunder, dersom det er mulig, kategoriene av og omtrentlig antall berørte registrerte og registreringer av personopplysninger),

b) nærmere opplysninger om et kontaktpunkt der mer informasjon om bruddet på personopplysningssikkerheten kan fås,

c) de sannsynlige konsekvensene av bruddet og tiltakene som er truffet, eller som det foreslås å treffe for å håndtere bruddet, herunder for å redusere eventuelle skadevirkninger av det. Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, skal den første underretningen inneholde informasjonen som er tilgjengelig på det tidspunktet, og ytterligere informasjon skal gis uten ugrunnet opphold etter hvert som den blir tilgjengelig. Partene skal i vedlegg III fastsette alle de andre elementene som databehandleren skal framlegge når denne bistår den behandlingsansvarlige i samsvar med den behandlingsansvarliges forpliktelser i henhold til artikkel 33 og 34 i forordning (EU) 2016/679.

AVSNITT III — SLUTTBESTEMMELSER

Vilkår 10 — Manglende overholdelse av vilkårene og oppsigelse

a) Uten at det berører bestemmelsene i forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725, kan den behandlingsansvarlige dersom databehandleren ikke oppfyller sine forpliktelser i henhold til disse vilkårene, gi databehandleren instruks om å innstille behandlingen av personopplysninger fram til sistnevnte overholder disse vilkårene eller avtalen sies opp. Databehandleren skal uten opphold informere den behandlingsansvarlige dersom vedkommende ikke er i stand til å overholde disse vilkårene, uansett hva årsaken er.

b) Den behandlingsansvarlige har rett til å si opp avtalen i den grad den gjelder behandling av personopplysninger i samsvar med disse vilkårene, dersom

1) den behandlingsansvarlige har innstilt databehandlerens behandling av personopplysninger i henhold til bokstav a), og dersom overholdelsen av disse vilkårene ikke er gjenopprettet innen en rimelig frist og under alle omstendigheter senest en måned etter innstillingen,

2) databehandleren i vesentlig eller vedvarende grad ikke overholder disse vilkårene eller sine forpliktelser i henhold til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725,

3) databehandleren ikke overholder en bindende beslutning truffet av en vedkommende domstol eller vedkommende tilsynsmyndigheter i henhold til disse vilkårene eller forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

c) Databehandleren skal ha rett til å si opp avtalen i den grad den gjelder behandling av personopplysninger i henhold til disse vilkårene, dersom den behandlingsansvarlige etter å ha blitt underrettet av databehandleren om at vedkommendes instrukser er i strid med gjeldende rettslige krav i samsvar med vilkår 7.1 bokstav b), insisterer på at instruksene følges.

d) Etter oppsigelse av avtalen skal databehandleren etter den behandlingsansvarliges valg slette alle personopplysninger som er behandlet på vegne av den behandlingsansvarlige, og bekrefte overfor den behandlingsansvarlige at dette er gjort, eller tilbakelevere alle personopplysningene til den behandlingsansvarlige og slette eksisterende kopier, med mindre det i unionsretten eller medlemsstatenes nasjonale rett kreves at personopplysningene lagres. Fram til opplysningene er slettet eller tilbakelevert, skal databehandleren fortsatt sikre at disse vilkårene overholdes.

Vedlegg I — Liste over parter

• Databehandler: BarberHQ — Aron Haugen (enkeltpersonforetak), org.nr 938315124. Kontakt: info@trybarberhq.com.
• Behandlingsansvarlig: den enkelte barber/salong som bruker BarberHQ, identifisert ved sin konto (navn, e-post, eventuelt org.nr).
• Kompetent tilsynsmyndighet: Datatilsynet (Norge).

Vedlegg II — Beskrivelse av behandlingen

Kategorier av registrerte

• Barberens kunder (sluttbrukere som booker time via bookingsiden).
• Ansatte eller flere brukere per konto er ikke støttet i dag — det er én barber-konto per side.

Kategorier av personopplysninger

• Navn — oppgitt ved booking.
• Mobilnummer — lagret i normalisert internasjonalt format.
• Bookinghistorikk — per booking: tidspunkt, valgt tjeneste, pris, status (bekreftet / avlyst / fullført / ikke møtt) og opprettelsestidspunkt.
• Samtykke til markedsførings-SMS — med tidspunkt.
• Avmelding fra markedsførings-SMS — med tidspunkt (varig avmelding).
• Lojalitet — deltakelse med tidspunkt, samt opptjente stempler og belønninger (hvis salongen har et lojalitetsprogram).
• Verving — vervekode og relasjon til den som vervet, samt rabatt- og oppgjørsstatus på den vervede bookingen.
• Google-kalender (valgfritt) — hvis barbereren selv har koblet til: kundens navn og bookingtidspunkt sendes enveis til barbererens egen kalender.

Særlige kategorier av personopplysninger (art. 9)

Ingen. Skal ikke forekomme (jf. Vilkår 7.5). Ingen fritekstfelt er ment for helseopplysninger eller andre sensitive opplysninger.

Behandlingens art og formål

Å levere en bookingside-tjeneste på vegne av barbereren:

• Motta og lagre bookinger.
• Sende transaksjonelle timepåminnelser på SMS. Påminnelsen sendes når barbereren har påminnelser på, uavhengig av markedsføringssamtykke — den gjelder kundens egen time.
• Sende markedsførings-SMS (rebooking) — kun for Vekst-abonnement og kun med samtykke, med obligatorisk avmeldingslenke.
• Føre kunde-, lojalitets- og verveoversikt i dashbordet.
• Valgfri enveis push av booking til barbererens Google-kalender.

Hyppighet

Løpende og kontinuerlig, så lenge kunder booker.

Behandlingens varighet og sletting

• Behandlingen varer så lenge avtaleforholdet mellom BarberHQ og barbereren løper.
• Kundens forespørsel om sletting (art. 17) håndteres innen 30 dager etter mottatt forespørsel (til salongen eller info@trybarberhq.com).
• Ved avslutning av avtalen med en barber slettes barberens kundedata innen 90 dager etter at avtaleforholdet avsluttes.
• Ærlig avgrensning: dette er en rutine, ikke automatikk i koden i dag — fristene overholdes ved manuell utførelse. Automatisering kan bygges senere.

Vedlegg III — Tekniske og organisatoriske tiltak

Beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene som databehandleren har gjennomført for å sikre et egnet sikkerhetsnivå.

• Kryptering i transitt: HTTPS/TLS gjennomgående — nettsted, API, databaseforbindelse, bildelagring, SMS-utsending og e-postutsending over TLS.
• Tilgangsstyring: sesjonsbasert innlogging (httpOnly + Secure cookie, 30 dagers glidende varighet), passord med bcrypt, og magisk engangslenke som alternativ. Ingen uautentiserte dashbord-endepunkter.
• Dataisolasjon: all kunde- og bookingdata er knyttet til den enkelte barber; dashbord-spørringer henter kun innlogget barbers egne data.
• Bildelagring: galleribilder ligger i en privat lagringsbøtte og serveres via server-proxy.
• SMS-samtykke og avmelding: samtykke logges med tidspunkt; hver markedsførings-SMS bærer en obligatorisk avmeldingslenke; avmelding er varig og utelukker fremtidig utsending. Transaksjonelle påminnelser er skilt fra markedsføring i koden.
• Misbruksvern: hastighetsbegrensning per IP og egne tak på antall SMS per barber og globalt, for å begrense skade ved feil eller misbruk.
• Drifts- og feilvarsling: feil i booking, betaling, SMS-utsending og bakgrunnsjobber varsles til drift, frekvensbegrenset og med personopplysninger skrubbet bort.
• Sletting: sletting av en barber fjerner samtidig tilhørende kunder, bookinger, tjenester og bilder (kaskade).
• Sikkerhetskopi: to lag — leverandørens daglige plattform-backup, og en nattlig egen kopi utenfor plattformen som er kryptert (nøkkelen oppbevares offline hos databehandler) og lagret i EU-jurisdiksjon med 30 dagers oppbevaring. Gjenoppretting testet 29.09.2026.

Vedlegg IV — Liste over underdatabehandlere

Barbereren gir generell forhåndsgodkjenning (jf. Vilkår 7.7 alternativ 2) til underdatabehandlerne under. BarberHQ varsler minst 30 dager i forveien ved planlagt tilføyelse eller utskiftning, slik at barbereren kan protestere.

Overføring utenfor EØS. De USA-baserte underdatabehandlerne (Netlify, GitHub, Google) behandler personopplysninger under EU-U.S. Data Privacy Framework, en godkjent ordning for overføring av personopplysninger til USA. Øvrige underdatabehandlere behandler opplysningene innenfor EØS, og da kreves ikke eget overføringsgrunnlag.

Ikke underdatabehandlere for kundedata (listet for åpenhet): Telegram (mottar kun drifts- og feilvarsler uten kundedata), Stripe (behandler barberens egne abonnements- og betalingsopplysninger, ikke kundenes) og Resend (sender e-post kun til barbereren, ikke til sluttkunder).