Databehandleravtale

1. Partene og omfanget

Databehandleren er Sandbech Holding AS, org.nr. 938 462 666, Tyren 1, 2165 Hvam, Norge («Sipio»). Kontakt for instrukser, rettigheter og sikkerhetshendelser: privacy@sipio.no.

Behandlingsansvarlig er virksomheten med juridisk navn og organisasjonsnummer som stedets eier bekrefter ved aksept av avtalen. Aksepten gjelder det bestemte stedet som er identifisert i den elektroniske akseptoppføringen. Hvert ytterligere sted krever egen aksept, også når samme virksomhet driver det. Eieren bekrefter fullmakt til å inngå avtalen på virksomhetens vegne.

Avtalen regulerer Sipios behandling av gjestedata på stedets vegne ved bruk av Sipio. Sandbech Holding AS tilbyr avtalen som databehandler og er bundet når den autoriserte eieren registrerer aksept av den publiserte versjonen. Avtalen trer i kraft på det registrerte tidspunktet og gjelder til behandlingen er avsluttet og opplysningene tilbakelevert eller slettet. Aksepten etablerer ikke med tilbakevirkende kraft en avtale for tidligere behandling. Avtalen går foran tjenestevilkårene ved motstrid om denne behandlingen. Sipios egne formål for brukeradministrasjon, fakturering, kundestøtte og plattformsikkerhet beskrives særskilt i personvernerklæringen.

2. Behandlingen og stedets ansvar

Formålet er å håndtere stedets bestillinger, arrangementer og nødvendig kommunikasjon med bestillere og gjester. Behandlingen omfatter innsamling, registrering, lagring, organisering, visning, endring, utsending, mottak, eksport og sletting. Den skjer fortløpende mens stedet bruker tjenesten, og deretter bare for avtalt tilbakelevering, sletting eller lovpålagt videre lagring.

Registrerte er bestillere, gjester og kontaktpersoner som inngår i stedets bestillinger og kommunikasjon. Opplysningene omfatter navn eller virksomhetsnavn, kontaktopplysninger, datoer og tider, valgte tjenester, antall personer, status, merknader, meldinger og leveringsopplysninger. Identifikatorer, tilgangsopplysninger og begrenset teknisk informasjon kan behandles når det er nødvendig for funksjonene og sikkerheten.

Tjenesten er beregnet på ordinære bestillingsopplysninger. Stedet skal ikke bruke den til tilsiktet innsamling av helseopplysninger, andre særlige kategorier etter artikkel 9 eller opplysninger etter artikkel 10. Hvis slike opplysninger mottas utilsiktet, skal partene begrense tilgangen og avklare lovlig håndtering og sletting uten ugrunnet opphold.

Stedet bestemmer formål og behandlingsgrunnlag, gir nødvendig informasjon til de registrerte, begrenser opplysningene til det nødvendige og sørger for lovlige instrukser og autoriserte brukere. Stedet kan kontrollere Sipios etterlevelse og gi instrukser om retting, innsyn, eksport, begrensning og sletting innenfor avtalen og regelverket.

3. Dokumenterte instrukser og taushet

Sipio behandler opplysninger bare etter stedets dokumenterte instrukser, herunder om overføring til tredjeland. Avtalen med ferdige vedlegg, stedets bruk av avtalte funksjoner og skriftlige instrukser fra autoriserte representanter utgjør instruksene. Sipio bruker ikke gjestedata til egen markedsføring, modelltrening eller profilering.

Hvis EØS-rett krever annen behandling, varsler Sipio stedet før behandlingen, med mindre loven forbyr varsling av viktige allmenne hensyn. Sipio varsler straks dersom en instruks etter vår vurdering bryter personvernregelverket, og avklarer den berørte behandlingen med stedet.

Personer som gis tilgang, skal være autorisert, ha tjenstlig behov og være bundet av taushetsplikt eller en egnet lovbestemt fortrolighetsplikt. Tilgangen skal begrenses og fjernes når behovet opphører.

4. Sikkerhet

Sipio gjennomfører og dokumenterer tekniske og organisatoriske tiltak som gir et sikkerhetsnivå tilpasset risikoen etter artikkel 32. Det tas hensyn til behandlingens art, omfang, sammenheng og formål, gjennomføringskostnader og risikoen for registrertes rettigheter og friheter.

Det ferdigstilte sikkerhetsvedlegget beskriver tiltakene for tilgangskontroll, stedsskille, overføring og lagring, logging, oppdateringer, sikkerhetskopier, gjenoppretting og hendelser. Tiltakene vurderes regelmessig og ved vesentlige endringer. Endringer skal opprettholde et egnet sikkerhetsnivå. Sipio påberoper seg ingen egen sertifisering gjennom denne avtalen.

5. Underdatabehandlere og overføringer

Stedet gir generell skriftlig godkjenning til underdatabehandlerne angitt i det ferdigstilte leverandørvedlegget. Vedlegget identifiserer leverandør, oppgave, opplysninger, behandlingsland og relevant overføringsgrunnlag. Betalings- og regnskapsleverandører er ikke underdatabehandlere for gjestedata bare fordi Sipio bruker dem.

Når Sipio velger en ny direkte underdatabehandler eller erstatter en eksisterende, varsler Sipio stedets avtalekontakt skriftlig minst 30 dager før den planlagte behandlingen starter. Varselet identifiserer leverandøren, den berørte behandlingen og relevante behandlingssteder og overføringsgarantier. Stedet kan fremme en begrunnet personverninnsigelse før endringen trer i kraft.

Ved endringer lenger ned i en eksisterende leverandørs kjede videresender Sipio tilgjengelig varsel uten ugrunnet opphold, med leverandørens faktiske innsigelsesfrist, og fremmer stedets begrunnede innsigelse overfor leverandøren raskt. Dette er ikke et løfte om 30 dagers varsel fra alle leverandører lenger ned i kjeden. Sipio skal sikre reell mulighet til å protestere og lovlig behandling. En kort frist fra leverandøren opphever ikke disse pliktene.

Ved en begrunnet personverninnsigelse skal partene søke en løsning før den omstridte behandlingen starter. Hvis lovlig behandling ikke kan sikres, skal den berørte behandlingen ikke starte eller fortsette. Praktisk løsning og eventuell avslutning av berørte tjenester avklares skriftlig.

Sipio pålegger underdatabehandlerne tilsvarende personvernforpliktelser i en skriftlig avtale og forblir fullt ansvarlig overfor stedet for at underdatabehandlernes plikter oppfylles. Sipio stiller relevant avtaleinformasjon til rådighet på forespørsel, med nødvendige begrensninger for fortrolige opplysninger og andre registrerte.

Overføring og tilgang utenfor EØS krever dokumentert instruks, gyldig grunnlag etter GDPR kapittel V og nødvendige vurderinger og tilleggstiltak. EU-lagring alene er ikke dokumentasjon på at ingen tredjelandstilgang skjer. Hvis grunnlaget faller bort, skal den berørte overføringen stanses eller sikres lovlig før den fortsetter.

6. Bistand, brudd og kontroll

Sipio bistår stedet, gjennom egnede tiltak og så langt det er mulig, med å oppfylle registrertes rettigheter etter kapittel III. Forespørsler Sipio mottar direkte om stedets gjestedata, videresendes uten ugrunnet opphold. Sipio svarer ikke på stedets vegne uten instruks eller lovkrav. Stedet vurderer forespørselen og sørger for svaret til den registrerte innen gjeldende frist.

Ut fra behandlingens art og tilgjengelig informasjon bistår Sipio med pliktene etter artikkel 32–36, herunder sikkerhet, melding om brudd, konsekvensvurderinger og forhåndsdrøfting med tilsynsmyndigheten.

Sipio varsler stedet uten ugrunnet opphold etter å ha blitt kjent med brudd på personopplysningssikkerheten som berører opplysninger behandlet på stedets vegne. Første varsel skal ikke vente på full undersøkelse. Sipio gir fortløpende tilgjengelig informasjon om hendelsens art, berørte kategorier og omfang, kontaktpunkt, sannsynlige følger og tiltak. Stedet vurderer og oppfyller egne varslingsplikter.

Sipio gjør tilgjengelig informasjon som er nødvendig for å vise etterlevelse av artikkel 28, og tillater og bidrar til revisjoner og inspeksjoner utført av stedet eller en revisor stedet gir fullmakt. Rimelig planlegging og fortrolighet skal beskytte andre steder og sikkerheten, uten å hindre lovpålagt kontroll eller tilsynsmyndighetenes tilgang.

7. Lagring, tilbakelevering og sletting

Det ferdigstilte behandlings- og lagringsvedlegget angir stedets standardinstrukser, omfanget av tilgjengelig eksport, sletting fra aktive systemer og tidsbegrensede kopier. Miljøinnstillinger alene endrer ikke avtalte instrukser. Stedet kan gi lovlige instrukser om tidligere sletting.

Ved opphør velger stedet sletting eller tilbakelevering av alle personopplysninger som Sipio behandler på dets vegne. Etter tilbakelevering slettes gjenværende kopier, med mindre EØS-rett krever videre lagring. Det samme gjelder kopier hos underdatabehandlere. Lovpålagt videre lagring avgrenses, begrunnes og beskyttes mot annen bruk.

Stedet har 30 dager fra tjenestens opphør til å be om tilbakelevering og kan gi instruks om tidligere sletting. I dette tidsrommet begrenser Sipio videre behandling til avtalt tilbakelevering og sletting eller et konkret lovkrav. Sipio avtaler sikker levering med den autoriserte kontakten og sletter restkopier etter tilbakelevering, eller etter fristen dersom tilbakelevering ikke er bedt om, med forbehold om reglene for kopiers utløp og lovlige unntak i lagringsvedlegget. Fristen på 30 dager er ikke en generell utløpstid for sikkerhetskopier.

Sipio gjennomfører en gyldig sletteinstruks uten ugrunnet opphold og fullfører sletting fra aktive systemer innen 30 dager. Ved tjenestens opphør begynner gjennomføringsfristen når eksportfristen utløper, med mindre stedet instruerer om tidligere sletting. Sipio skal begrunne konkrete lovlige unntak fra sletting og særskilt angi begrensede sikkerhetskopier og når de utløper. Fristen gir ikke adgang til fortsatt ordinær bruk av opplysninger som venter på sletting.

Sikkerhetskopier begrenses til dokumenterte utløpstider og skal ikke brukes til ordinær behandling. Ved gjenoppretting skal tidligere sletteinstrukser gjennomføres før opplysningene tas tilbake i ordinær bruk. Sipio bekrefter utført sletting og opplyser om eventuelle tidsbegrensede eller lovpålagte restkopier.

Elektronisk aksept og vedlegg

Den elektroniske akseptoppføringen identifiserer virksomhetens juridiske navn og organisasjonsnummer, stedets identifikator og navn, den innloggede eierens identifikator, navn når det er tilgjengelig og e-postadresse, akseptert versjon og språk, dokumentets kontrollsum og tidspunktet for aksept. Eierens registrerte e-post er opprinnelig avtalekontakt. Stedet skal varsle Sipio om endringer i kontaktopplysninger. Sipios kontakt er privacy@sipio.no.

Den arkiverte versjonen skal inneholde avtalen og alle vedleggene slik at oppføringen identifiserer hele den aksepterte dokumentpakken. Stedet kan beholde en kopi av versjonen. En ny versjon krever ny aksept. Aksept registrert som testing setter ikke avtalen i kraft.

Vedlegg A angir de avtalte behandlings- og lagringsinstruksene. Vedlegg B beskriver sikkerhetstiltakene. Vedlegg C identifiserer leverandører og overføringsinstrukser. Vedleggene er del av avtalen.

Vedlegg A. Behandlings- og lagringsinstrukser

Formål, behandlingsoperasjoner, opplysningskategorier og registrerte er beskrevet i punkt 2. Behandlingen varer gjennom tjenesteforholdet og den begrensede perioden for tilbakelevering og sletting i punkt 7. En beholdt kopi gir ikke tillatelse til nye formål.

Standardinstruksen er å fjerne gjesteidentifiserende bestillings- og arrangementsopplysninger etter to år (730 dager) fra arrangementets slutt, eller start når slutt ikke er registrert, og tidligst to år etter nyere korrespondanse. En bestilling uten tilknyttet arrangement bruker ønsket bestillingsdato. Et udatert arrangement krever instruks eller dato før utløp kan beregnes. Tidligere lovlige instrukser går foran. Konkrete lovlige behov for bevaring skal dokumenteres, avgrenses og vurderes på nytt.

Omfanget inkluderer navn, kontaktopplysninger, identifiserende titler og fritekst, merknader, meldingsinnhold og adresser, kopierte øyeblikksbilder og avbestillingsvarsler, tilknyttede oppgaver, leveringsopplysninger og e-postinnhold i kø. Å fjerne bare et navn eller bare meldingsinnhold oppfyller ikke instruksen. Beholdt historikk begrenses til månedlige summer for arrangementer og oppmøte. Individuell historikk med arrangementsdato beholdes ikke etter denne standardinstruksen. Summer kan beholdes bare når enkeltpersoner ikke lenger med rimelighet kan identifiseres, heller ikke gjennom andre beholdte felt eller tilgjengelig informasjon. Ellers må den identifiserende oppføringen slettes.

Diagnostikk om e-postlevering utløper normalt etter 90 dager. Denne perioden forlenger ikke en tidligere gyldig sletteinstruks. Meldinger, logger og sikkerhetskopier hos leverandører følger de angitte kopigrensene og nødvendige sletteinstrukser. Sipio anser ikke sletting i kalenderen som sletting i alle systemer.

Ved tilbakelevering gir Sipio stedets tilgjengelige bestillings-, arrangements- og korrespondanseopplysninger med relevante tilknyttede data i et alminnelig lesbart elektronisk format, med forklaring av format og konkrete utelatelser. Et skrivebeskyttet databaseuttrekk kan inngå i pakken. Leverandørkopier og oppføringer uten sikker stedstilknytning krever særskilt gjennomgang, uten å gi innsyn i et annet steds opplysninger. Fullmakt og leveringskanal skal verifiseres. Midlertidige eksportkopier fjernes når de ikke lenger trengs for levering og bekreftelse.

Under piloten gjennomgår Sipio lagring minst ukentlig og gjennomfører avgrenset operatørsletting med berørt behandling stanset og pågående arbeid avsluttet. Opprydding bare i databasen eller bare i meldingsinnhold bekrefter ikke fullstendig sletting. Månedlige summer krever vurdering av identifiserbarhet før de beholdes eller utleveres som anonyme opplysninger. Begrenset dokumentasjon av instrukser og gjennomføring beskyttes og beholdes bare mens den er begrunnet i etterlevelse eller konkrete krav.

Neons innstilte historikkvindu er sju dager og lagring av sikkerhetskopier 30 dager. For Upstash oppgir operatøren 30 dagers lagring av daglige sikkerhetskopier. Manuelle øyeblikksbilder skal fjernes når de ikke lenger er nødvendige eller gis dokumentert, tidsbegrenset utløp. Ubegrensede manuelle øyeblikksbilder er ikke tillatt. Relevante gjenopprettingskopier hos leverandører og deres utløp dokumenteres særskilt ved en sletteinstruks, begrenses mot ordinær bruk og avstemmes før gjenoppretting. Google Workspace sletter fra sine systemer etter at kunden har slettet uten egen gjenopprettingsmulighet, etter sin CDPA så snart det med rimelighet er praktisk mulig og senest innen 180 dager, med mindre gjeldende lov krever lagring. Dette forlenger ikke Sipios frist for sletting fra aktive systemer. En leverandørs oppgitte hendelses- eller abonnementsperiode er ikke en generell grense for alle kopityper.

Vedlegg B. Sikkerhetstiltak

Tilgang og taushet. Sipio begrenser produksjons- og administrasjonstilgang til autoriserte operatører med tjenstlig behov og fortrolighetsplikt. Dagens Sipio-operatør bruker tofaktorautentisering på leverandørkontoer, diskkryptering og automatisk skjermlås. Tjenesten kontrollerer innlogget identitet, eierskap eller medlemskap hos stedet og rolle. Gjesters tilgangslenker behandles som innloggingshemmeligheter. Tilgang vurderes og fjernes når behovet opphører.

Overføring og lagring. Nettlesertilgang og forbindelser til driftstjenester bruker HTTPS/TLS der forbindelsen støtter det. Produksjonsdatabasens leverandør krever TLS og dokumenterer kryptering ved lagring. Leverandørene for drift, e-post og overvåking har egne dokumenterte tiltak for lagring og nøkkelhåndtering. Sipio påberoper seg ikke kontroll over leverandørenes krypteringsnøkler eller egen sikkerhetssertifisering. Vanlig e-postlevering avhenger av mottakersystemer og er ikke ende-til-ende-kryptert av Sipio.

Miljøer og eksport. Produksjonsopplysninger blir hos de avtalte produksjonsleverandørene. Utvikling og staging bruker egne data. Autorisert tilbakelevering eller behandling av rettighetskrav kan medføre et begrenset, midlertidig uttrekk på en kryptert operatørmaskin, med private filrettigheter, utenfor kildekodearkivet, sikker levering og sletting når behovet opphører. Databaselenker, tilgangstoken og API-hemmeligheter skal ikke legges i offentlige dokumenter, saker eller logger.

Overvåking og dataminimering. Session Replay er deaktivert. Feilrapportering fjerner automatisk vedlagte forespørselskropper og filtrerer bestillings- og tilgangstoken i nettadresser. Diagnostikk ved mislykkede bestillinger bruker tekniske feil og korrelasjonsidentifikatorer fremfor en kopi av gjestens skjema. Slike identifikatorer kan fortsatt være personopplysninger. Sentry Developer har dokumentert lagring av feilhendelser i 30 dager. Dette er atskilt fra organisasjonens revisjonslogg, leverandørsikkerhetskopier og andre overvåkingsopplysninger. Tidligere lagrede hendelser krever særskilt håndtering når en sletteinstruks gjelder.

Oppdateringer og testing. Sipio bruker varsler om avhengighetsoppdateringer, vurderer relevante sikkerhetsrettinger og tester endringer før utrulling. Kildekodeoppsettet har ukentlig varsling om avhengighetsoppdateringer. Stedsskille og autorisert tilgang inngår i verifikasjonen av tjenesten. Tiltakene vurderes regelmessig og etter vesentlige endringer eller hendelser.

Sikkerhetskopier og gjenoppretting. Det konfigurerte produksjonsprosjektet i Neon er i Frankfurt, med syv dagers historikk og 30 dagers lagring av sikkerhetskopier. Tilgang til gjenoppretting er begrenset. En gjenoppretting verifiseres isolert før ordinær behandling gjenopptas, og tidligere sletteinstrukser skal gjennomføres på nytt. Andre leverandørkopier har egne grenser. Observasjoner fra en gjenopprettingsøvelse er ikke en avtalt garanti for oppetid eller gjenopprettingstid.

Hendelser og forespørsler. Operatøren følger privacy@sipio.no og leverandørenes sikkerhetsvarsler, kan kontakte berørte steder og fører en begrenset oversikt over instrukser, tiltak og restkopier. Første bruddvarsel gis uten ugrunnet opphold og oppdateres etter hvert som fakta foreligger. Leverandørendringer følger punkt 5, inkludert abonnement på varsler fra leverandørene. Tiltakene innebærer ikke at Sipio har et døgnbemannet sikkerhetsteam.

Vedlegg C. Leverandører og overføringsinstrukser

Stedet godkjenner følgende leverandører for angitt databehandlerarbeid. En leverandør kan også ha en særskilt oppgave der Sipio er behandlingsansvarlig. Godkjenningens omfang følger opplysningene og oppgaven, ikke bare at leverandøren inngår i den tekniske løsningen.

Vercel Inc., USA. Drift og kjøring av bestillings- og vertsfunksjoner, levering av den offentlige tjenesten, tekniske logger og stedets profilfiler. Opplysningene kan omfatte bestillings- og kontaktopplysninger under kjøring, forespørsels- og tekniske identifikatorer og opplastet profilmateriale. Valgte regioner for Functions og Blob er Stockholm, Sverige (`arn1`). Levering fra kanten av nettet, logger, kundestøtte og annen leverandørdrift er atskilt fra regionvalgene og kan innebære USA eller godkjente steder lenger ned i kjeden.

Databricks, Inc. / Neon, LLC, USA. Driftet produksjonsdatabase for bestillinger, arrangementer, kontaktopplysninger, meldinger og tilknyttede oppføringer beskrevet i punkt 2. Valgt produksjonslagring er AWS Europe Central 1, Frankfurt, Tyskland. Konfigurert historikk er syv dager, med 30 dagers lagring av sikkerhetskopier. Dette er produktinnstillinger, ikke en påstand om at alle leverandørkopier eller all kundestøtte er begrenset til samme sted eller periode.

Plus Five Five, Inc., med tjenestenavnet Resend, USA. Utsending og mottak av bestillingsrelatert e-post: avsender- og mottakeradresser, meldingsinnhold, svar og leveringsopplysninger. Valgt utsendings- og domeneregion er `eu-west-1`, Irland. Dette garanterer ikke at all behandling av innkommende meldinger, logger, kundestøtte eller sikkerhetskopier skjer der. Pro har publisert 30 dagers lagring. Konkrete kopityper og tidligere sletteinstrukser krever særskilt håndtering.

Functional Software, Inc., med tjenestenavnet Sentry, USA. Teknisk feilovervåking, inkludert begrensede forespørsels- og enhetsopplysninger, diagnostikk og korrelasjonsidentifikatorer for bestillinger. Organisasjonen bruker EU-lagring av hendelser. Session Replay er deaktivert, og gjenopprettingskopier av gjesteskjema er utelatt. Developer lagrer feilhendelser i 30 dager. Organisasjonens revisjonsopplysninger og leverandørkopier er egne kategorier.

Upstash, Inc., USA. Redis for trafikkbegrensning og signaler om driftsendringer og arbeid. Opplysningene omfatter HMAC-avledede IP-identifikatorer, steds- og bestillingsidentifikatorer, tellere og planleggingssignaler, fremfor kopier av gjestens bestillingstekst eller meldinger. Produksjonens primærlagring er Frankfurt, Tyskland (`fra1`), uten lesereplikaer. Identifikatorene er fortsatt underlagt relevante personvernplikter.

Google Cloud EMEA Limited, Irland, med Google LLC og godkjente leverandører lenger ned i kjeden. Google Workspace for personvern- og kundestøttepost og begrenset dokumentasjon av instruksbehandling, inkludert gjesteopplysninger når de trengs for bistand til stedet. Business Starter har ingen konfigurert europeisk datalagringspolicy. Behandling kan skje ved Googles publiserte tjeneste- og datasentersteder og hos godkjente leverandører, inkludert i USA. Godkjenningen gjelder nødvendig databehandlerarbeid i Workspace, ikke andre Google-produkter uten tilknytning. Sletting i leverandørsystemer følger gjeldende CDPA-vilkår og er atskilt fra Sipios fjerning av innhold fra aktive postbokser.

Særskilte behandlingsansvarligformål. Clerk, Inc. leverer plattforminnlogging og øktsikkerhet for brukeridentitet, innlogging og tilhørende tekniske opplysninger. Stripe og DNB Regnskap/Unimicro støtter Sipios egen abonnementsfakturering og regnskap. Oppføringen gir dem ikke i seg selv tillatelse til å motta stedets gjestesamtaler. Når Sipio bruker en oppført leverandør til egne behandlingsansvarligformål, gjelder personvernerklæringen for den særskilte behandlingen. Samme skille gjelder dokumentasjon av egen etterlevelse i Workspace og plattformsikkerhetsopplysninger i Sentry.

Tredjelandsinstrukser. Stedet instruerer nødvendig behandling i de valgte EØS-regionene og tillater kvalifiserende USA-overføringer til de navngitte mottakerne under EU–US Data Privacy Framework når mottaker og opplysninger omfattes av aktiv deltakelse og en gyldig adekvansbeslutning. Relevante registerprofiler ble kontrollert 18. oktober 2026, inkludert Neon under Databricks. Resend var oppført som aktiv med fornyelse under vurdering. Status og dekning skal kontrolleres på nytt ved endrede forhold.

For overføringer uten dekning av en relevant adekvansbeslutning skal leverandøravtalens EU-standardavtalevilkår etter beslutning 2021/914, med modul tilpasset de faktiske rollene, nødvendige vurderinger og tilleggstiltak være på plass før overføring. Et EØS-lagringsvalg eller morselskapets DPF-oppføring godkjenner ikke alene alle videre land eller mottakere. Sipio skal identifisere relevant videre behandling og garantier, gi relevant informasjon på forespørsel og bruke punkt 5 ved endringer. Behandling uten gyldig beskyttelse skal ikke starte eller fortsette.

Gjeldende offentlig leverandøroversikt finnes på /providers (norsk) og /en/providers (engelsk). Sipio gir relevant informasjon om leverandørlister og overføringsgarantier gjennom privacy@sipio.no. En oppdatering på leverandørens nettsted opphever ikke avtalens plikter om varsel, innsigelser eller overføringer.