Góður – driftsvilkår

Versjon: 2.2 – 29.07.2026 Dato: 29.07.2026 Endringene under er rettelser. Punktene beskrev funksjoner vilkårene ikke skulle lovet, og de er fjernet fordi de ikke finnes i tjenesten — ikke fordi noe er tatt bort fra den.

Endring fra 2.0 — rent subtraktiv. Hver endring lover mindre eller fraskriver mindre enn 2.0; ingen utvider Leverandørens rettigheter og ingen pålegger Kunden nye plikter. Fjernet: virtuell patching/WAF/malware-skann som egen sikkerhetspakke, nivåstyrt backup-retensjon, timesbackup, WCAG- og NIS2-dokumentasjon. Presisert: backup gjelder databasen — filer og mediebibliotek er ikke omfattet. Strøket: ansvarsfraskrivelsen for compliance-leveranser, som ikke lenger har noe å fraskrive etter at leveransene selv er ute, og «oppdatering via staging» — det finnes ikke noe staging-miljø; løypa er snapshot → oppdatering → smoke-test → tilbakerulling ved feil, og den er lik på alle tre nivåene.

Flyttet til grunnleveransen: e-postoppsett med SPF/DKIM/DMARC. Brevo-oppsettet gjøres ved onboarding for alle nivåer, og salgssiden har oppgitt det slik siden 29.07.2026. Kunden får mer enn 2.1 lovet; ingen mister noe.

Grunnlaget i 2.0 er advokatgodkjent 24.07.2026. Fordi denne revisjonen kun subtraherer, kreves ingen ny advokatgjennomgang før signering. Bygges compliance-dokumentasjon senere, kommer både løftet og fraskrivelsen tilbake i samme runde — og den runden ser advokaten uansett på. Leverandør: LAKI AS, org.nr. 917 220 808 («Leverandøren») Tjeneste/merkenavn: Góður Bruksområde: Avtaler mellom næringsdrivende i Norge

Góður er en drifts- og overvåkningstjeneste for WordPress-nettsted, levert av LAKI AS. Vilkårene brukes på to måter: (a) som selvstendige driftsvilkår for kunder som bestiller Góður direkte, og (b) som Góður-vilkår – et betinget tillegg til Fagurs avtaleverk – når en Fagur-kunde bestiller drift. I begge tilfeller er LAKI AS leverandør og avtalepart.

1. Om vilkårene, virkeområde og dokumentrang

Góður leverer automatisert overvåkning, vedlikehold og dokumentasjon for et WordPress-nettsted. Tjenesten er ikke en garanti for feilfri drift, tilgjengelighet eller sikkerhet, jf. punkt 8.

Vilkårene gjelder bare næringsdrivende (B2B) og skal ikke brukes uendret overfor forbrukere.

Dokumentrang. Der Góður leveres som tillegg til Fagurs avtaleverk, gjelder dokumentrangen i Oppdragsbekreftelsen; disse Góður-vilkårene styrer den løpende driftstjenesten. For spørsmål om behandling av personopplysninger og informasjonssikkerhet gjelder Databehandleravtalen og Sikkerhetsbilaget, med den rangen som følger av disse. Ved motstrid om selve driftstjenesten går disse vilkårene foran Fagurs Standardvilkår.

Der Góður bestilles direkte, uten et Fagur-prosjekt, utgjør disse vilkårene sammen med bestillingen, Databehandleravtalen og Sikkerhetsbilaget hele avtalen for driftstjenesten.

2. Tjenesten og nivåene

Góður tilbys i tre nivåer. Detaljert nivåsammenligning følger av Vedlegg A.

Nivå	Pris per måned (eks. mva.)
Góður Basis	kr 490
Góður Pluss	kr 990
Góður Total	kr 1 990

Basis inkluderer: managed hosting, SSL, CDN/DNS, daglig sikkerhetskopi av databasen (filer og mediebibliotek er ikke omfattet), oppdateringer med testing, e-postoppsett med SPF/DKIM/DMARC, oppetidsovervåkning og en enkel månedlig rapport.

Pluss inkluderer i tillegg: cookie-/samtykkeløsning, ytelsesovervåkning og utvidet rapport.

Total inkluderer i tillegg: inntil fem innholdsendringer per måned og kortere responstid.

Bestilt nivå og eventuelle tillegg fremgår av bestillingen og ordrebekreftelsen.

3. Responstider (SLA)

Nivå	Responstid (tid til oppstart)
Basis	neste virkedag
Pluss	samme virkedag
Total	4 timer innenfor arbeidstid (kl. 08–16, hverdager)

Responstiden er tid til oppstart av arbeid, ikke en garantert løsningstid. Vakttelefon tilbys på Total-nivå. Kontinuerlig overvåking eller bemannet døgnberedskap utover dette inngår bare når det er særskilt avtalt.

4. Kundens ansvar

Kunden:

• eier eget innhold og er ansvarlig for at det er lovlig;
• er behandlingsansvarlig for personopplysninger på nettstedet;
• skal stå som registrant for domenet og eier av sentrale kontoer;
• skal opprettholde egne kontoer, passord og nødvendige tilganger, og bruke flerfaktorautentisering der det tilbys;
• skal ikke sende passord eller gjenopprettingskoder i vanlig e-post;
• skal varsle Leverandøren uten ugrunnet opphold ved mistanke om misbruk eller sikkerhetshendelse.

Bruk av tjenesten til ulovlig innhold, skadevare eller krenkelse av tredjeparts rettigheter kan medføre suspensjon eller oppsigelse etter punkt 6.

5. Priser og betaling

Alle priser er eks. mva. og forfaller per måned på forskudd.

Betalingsmåte

Betaling for Góður-drift bestilt på godur.no skjer som løpende kortbetaling etter et Driftsmandat gjennom Leverandørens betalingsleverandør. Faktura/EHF, månedlig netto 14 dager, kan avtales særskilt.

Et Driftsmandat gjelder bare Góður og er atskilt fra eventuelle prosjektbetalinger i et Fagur-oppdrag. Mandatet angir beløp, frekvens, oppstart, endringsregler og oppsigelse. Kortregistrering skjer hos betalingsleverandøren; Leverandøren mottar eller lagrer ikke fullstendig kortnummer eller sikkerhetskode.

Forskudd og rabatt. Kunden kan forskuddsbetale en periode mot rabatt (for eksempel betale for ti måneder ved tolv måneders forskudd). Gjeldende forskuddsrabatt fremgår av prisinformasjonen på godur.no ved bestilling.

Prisendringer varsles minst 30 kalenderdager i forveien. En vesentlig ugunstig endring gir Kunden rett til å si opp uten kostnad før endringen trer i kraft.

Manglende betaling. Ved forsinket betaling kan Leverandøren suspendere tjenesten 14 kalenderdager etter skriftlig varsel. Kundens data bevares og tjenesten gjenåpnes ved betaling. Leverandøren kan kreve forsinkelsesrente og standardkompensasjon etter forsinkelsesrenteloven.

6. Oppstart, bindingstid, oppsigelse og migrering

Oppstart: ved bestilling, med mindre annet er skriftlig avtalt.

Bindingstid: ingen. Avtalen kan sies opp av begge parter med 30 kalenderdagers varsel til utløpet av inneværende betalingsperiode. Forskuddsbetalt vederlag refunderes ikke.

Migrering inn koster kr 2 900 eks. mva. og er kostnadsfri ved tolv måneders forskuddsbetaling.

Ved opphør stenger Leverandøren tilganger som ikke lenger er nødvendige, og sletter eller tilbakeleverer personopplysninger etter Databehandleravtalen og Sikkerhetsbilaget. Kunden beholder eget domene, egne data og egne hovedkontoer.

7. Personvern, sikkerhet og kunstig intelligens

Behandling av personopplysninger som Leverandøren utfører på Kundens vegne ved drift, overvåkning og vedlikehold, reguleres av Databehandleravtalen og Sikkerhetsbilaget. Kundeportalens avtale-, fullmakts- og betalingsdata er LAKI AS' egen behandling som behandlingsansvarlig.

Underdatabehandlere følger masterlisten i Databehandleravtalen. Per 24.07.2026 omfatter driftskjeden blant annet Hetzner Online GmbH (server/hosting og backup, Tyskland/EØS), Cloudflare, Inc. (DNS, CDN, WAF; overføring på EU-SCC / Data Privacy Framework) og Brevo (e-postleveranse, Frankrike/EØS). Endringer i underdatabehandlere varsles minst 30 kalenderdager i forveien, og Kunden kan fremme saklig innsigelse.

Sikkerhetshendelser. Ved brudd på personopplysningssikkerheten varsler Leverandøren Kunden uten ugrunnet opphold og senest innen 24 timer etter at bruddet er bekreftet, i samsvar med Databehandleravtalen og Sikkerhetsbilaget.

Kunstig intelligens. Leverandøren kan bruke KI-verktøy som arbeidsstøtte innenfor rammene i Sikkerhetsbilaget og Databehandleravtalen. Kundens personopplysninger og konfidensielt materiale brukes ikke til modelltrening, og en KI-tjeneste som mottar personopplysninger på Kundens vegne, føres opp som underdatabehandler.

Sikkerhet er overvåkning og dokumentasjon, ikke en garanti mot angrep eller nedetid.

8. Ansvarsbegrensning

Leverandøren garanterer ikke at nettstedet til enhver tid er feilfritt, tilgjengelig eller usårbart for angrep.

Leverandørens samlede erstatningsansvar under denne driftsavtalen er begrenset til det Kunden har betalt for tjenesten de siste tre månedene før kravet oppsto. Denne begrensningen gjelder driftstjenesten og kommer i tillegg til – ikke i stedet for – ansvarsbestemmelsene for et eventuelt Fagur-prosjekt.

Leverandøren svarer ikke for:

• indirekte tap, herunder tapt fortjeneste, tap av data utover siste tilgjengelige backup, og omdømmeskade;
• feil i tredjepartsprodukter som WordPress, temaer eller utvidelser;
• forhold utenfor Leverandørens rimelige kontroll, herunder underleverandører og force majeure.

Ansvarsbegrensningene gjelder ikke ved forsett, grov uaktsomhet, betalingsforpliktelser eller ansvar som ikke lovlig kan begrenses.

9. Konfidensialitet og referansebruk

Partene skal beskytte hverandres konfidensielle opplysninger og bare bruke dem til å oppfylle avtalen.

Leverandøren kan bruke Kundens navn, logo eller løsning som referanse bare etter en signert Case-tillatelse fra Kunden (LAKIs standardskjema for referansebruk). Uten slik tillatelse brukes ikke Kundens kjennetegn i markedsføring.

10. Kundeportalen

Der Leverandøren tilbyr en Kundeportal, kan den brukes til avtaledokumenter, driftsrapporter, status og betalinger. Portalen brukes bare til bindende handlinger når den er satt i produksjon og de relevante sikkerhets- og betalingskontrollene i Sikkerhetsbilaget er testet og dokumentert. Frem til da brukes elektronisk signering, e-post eller andre dokumenterte reservekanaler.

11. Endringer i vilkårene

Leverandøren kan endre disse vilkårene med minst 30 kalenderdagers varsel. En vesentlig ugunstig endring gir Kunden rett til å si opp uten kostnad før endringen trer i kraft.

12. Lovvalg og verneting

Avtalen reguleres av norsk rett. Partene skal først forsøke å løse en tvist minnelig. Dersom tvisten ikke løses, kan hver part bringe saken inn for Oslo tingrett. Partene kan i stedet skriftlig avtale mekling eller et annet verneting.

13. Avtaledokumenter og aktivering

Driftsavtalen består av:

• disse Góður-vilkårene i den versjonen som fremgår øverst i dokumentet;
• bestillingen/Oppdragsbekreftelsen med valgt nivå og betalingsmåte;
• Databehandleravtalen;
• Sikkerhetsbilaget;
• Vedlegg A (nivåsammenligning).

Sikkerhetsbilaget utleveres ved bestilling og er ellers tilgjengelig på forespørsel til [email protected].

Avtalen inngås elektronisk ved bestilling på godur.no. Akseptbeviset — tidspunkt, avtaleversjon, foretak og brukerkonto — registreres av Leverandøren og trer i stedet for fysisk signatur. Når Kundeportalen er satt i produksjon etter punkt 10, kan avtaledokumenter i tillegg bekreftes der, med tilsvarende registrering.

---

Vedlegg A – Nivåsammenligning

Funksjon	Basis	Pluss	Total
Managed hosting, SSL, CDN/DNS	✓	✓	✓
Daglig sikkerhetskopi av databasen (filer/mediebibliotek ikke omfattet)	✓	✓	✓
Testede plugin-oppdateringer (snapshot → oppdatering → smoke-test → tilbakerulling ved feil)	✓	✓	✓
Oppetidsovervåkning	✓	✓	✓
E-postoppsett med SPF/DKIM/DMARC	✓	✓	✓
Cookie-/samtykkeløsning	–	✓	✓
Ytelsesovervåkning	–	✓	✓
Innholdsendringer per måned	–	–	Inntil 5
Rapport	Enkel, månedlig	Utvidet	Utvidet
Responstid (tid til oppstart)	Neste virkedag	Samme virkedag	4 t (08–16)
Pris per måned (eks. mva.)	kr 490	kr 990	kr 1 990

Databehandleravtale

Versjon: 2.6 – godkjent av LAKI AS 30.07.2026 · Sist oppdatert: 30.07.2026

Versjon 2.6 – 30.07.2026. Retter henvisningen til Sikkerhetsbilaget fra versjon 1.2 til versjon 1.0, som er den som utleveres. Ingen materielle endringer utover dette.

Versjon 2.5 – 30.07.2026. Fastsetter at en ekstern KI-tjeneste som mottar personopplysninger som input på Kundens vegne, er underdatabehandler og skal stå i oversikten før bruk, og at Kundens opplysninger ikke brukes til modelltrening. Presiserer at LAKI AS' behandling for egen avtaleadministrasjon, Kundeportalen, fullmakter, fakturering og betaling faller utenfor denne avtalen, og at LAKI AS er selvstendig behandlingsansvarlig for disse. Kilde: Fagur-avtaleverket DEL III A — den delte databehandleravtalen for LAKI AS (Fagur og Góður), her presentert for Góður-drift.

Denne Databehandleravtalen gjelder når LAKI AS behandler personopplysninger på Kundens vegne — både under et Fagur-webprosjekt og under Góður-drift, vedlikehold og hosting. Kunden er Behandlingsansvarlig og LAKI AS er Databehandler.

LAKI AS’ behandling for egen avtaleadministrasjon, Kundeportalen, fullmakter, fakturering og betaling omfattes ikke av denne Databehandleravtalen. For disse aktivitetene er LAKI AS selvstendig behandlingsansvarlig.

Ved motstrid går denne Databehandleravtalen foran hovedavtalen — Fagurs Standardvilkår ved webprosjekt og Góður Driftsvilkår ved drift — for spørsmål om behandling av personopplysninger.

A.1 Behandlingen

Tema	Beskrivelse
Formål	Bygging, materialinnsamling og produksjon av Kundens nettsted i prosjektfasen, herunder mottak, lagring og bearbeiding av Kundemateriale Kunden leverer gjennom kundeportalen; og drift, vedlikehold, sikkerhet og hosting av Kundens nettsted, herunder feilretting, oppdateringer, sikkerhetskopiering og support
Varighet	I prosjektfasen: til nettstedet er levert og prosjektet avsluttet, med etterfølgende sletting eller tilbakelevering av prosjektmateriale etter A.8 — med mindre behandlingen går over i Góður-drift. Ved Góður-drift: til hovedavtalen (Góður Driftsvilkår) opphører. I begge tilfeller med mindre lov krever videre oppbevaring
Behandlingens art	Tilgang, innsamling, lagring, sikkerhetskopiering, migrering, support, feilsøking og sletting
Kategorier registrerte	Kundens nettstedsbesøkende, personer som sender inn skjema eller henvendelser, Kundens egne brukere og redaktører, og personer som er avbildet eller omtalt i Kundemateriale Kunden laster opp (for eksempel ansatte, kunder/klienter eller andre personer i bilder, video, referanser eller tekst)
Typer personopplysninger	Navn, kontaktopplysninger, IP-adresser i logger, skjema- og henvendelsesdata, brukerkontoer, e-post og samtykkelogger — enten de finnes på Kundens nettsted eller leveres av Kunden gjennom kundeportalen — samt bilde-, video-, lyd- og tekstmateriale og annet Kundemateriale Kunden laster opp i kundeportalen, herunder personopplysninger om personer som er avbildet eller omtalt i materialet
Særlige kategorier	Ingen som standard. Kundeportalen skal ikke brukes til å laste opp særlige kategorier av personopplysninger (for eksempel helseopplysninger, herunder pasient-/klientbilder) uten forutgående egen skriftlig instruks fra Kunden og en risikovurdering, jf. Sikkerhetsbilag v1.0. Der Kunden er en virksomhet som typisk håndterer slike opplysninger, skal instruks og risikovurdering innhentes før slik opplasting aktiveres
Behandlingssteder	EØS (Tyskland), med de unntakene som følger av A.4 og A.5

Ved Fagur-webprosjekt omfatter behandlingen typisk Kundemateriale Kunden laster opp i kundeportalen for å bygge nettstedet — tekst, logo, bilder, video og referanser — og personopplysninger om personer som er avbildet eller omtalt i dette materialet.

Ved Góður-drift omfatter behandlingen typisk besøkendes IP-adresser i logger, skjema- og kontaktdata, brukerkontoer, e-post og samtykkelogger på Kundens nettsted.

A.2 Instrukser og ansvar

Kunden er ansvarlig for at behandlingen har rettslig grunnlag og ellers er lovlig. Leverandøren behandler bare personopplysninger etter dokumenterte instrukser fra Kunden, herunder denne avtalen, med mindre behandling er pålagt ved lov.

Leverandøren skal straks varsle dersom en instruks etter Leverandørens vurdering er i strid med personvernregelverket. Leverandøren kan stanse den aktuelle behandlingen mens partene avklarer instruksen.

Personer med tilgang skal være autorisert, ha tjenstlig behov og være bundet av taushetsplikt.

A.3 Sikkerhetstiltak

Leverandøren skal gjennomføre egnede tekniske og organisatoriske tiltak ut fra risikoen, herunder der det er relevant:

• rolle- og behovsstyrt tilgang;
• tofaktorautentisering;
• kryptert overføring;
• sikker lagring av tilganger;
• logging og sporbarhet;
• sikkerhetskopiering og gjenoppretting;
• oppdaterings- og sårbarhetshåndtering;
• separasjon mellom kunder og miljøer;
• rutiner for hendelseshåndtering, sletting og tilgangsavvikling.

Prosjektspesifikke tiltak: se Sikkerhetsbilag v1.0, datert 30.07.2026, som er en del av avtalen. Sikkerhetsbilaget utleveres ved bestilling og er ellers tilgjengelig på forespørsel til [email protected]. Bilagets rolleangivelse per system avgjør hvilke tiltak som gjelder LAKI AS som databehandler.

Kunden er ansvarlig for sikkerheten i egne systemer og for å begrense Leverandørens tilgang til det som er nødvendig.

A.4 Underdatabehandlere

Kunden gir generell skriftlig godkjenning til underdatabehandlerne i oversikten nedenfor.

Leverandøren skal varsle minst 30 kalenderdager før en ny underdatabehandler tas i bruk når endringen kan påvirke behandlingen. Kunden kan fremme saklig innsigelse basert på personvern eller sikkerhet. Partene skal forsøke å finne en praktisk løsning. Hvis dette ikke lykkes, kan Kunden avslutte den berørte tjenesten.

Leverandøren skal pålegge underdatabehandleren minst de samme personvernforpliktelsene som følger av denne avtalen, og er ansvarlig for underdatabehandlerens oppfyllelse.

En ekstern KI-tjeneste som mottar personopplysninger som input på Kundens vegne, er en underdatabehandler og skal stå i oversikten før bruk. Kundens opplysninger skal ikke brukes til modelltrening.

Leverandør	Tjeneste	Behandlingssted	Opplysninger	Overføringsgrunnlag
Hetzner Online GmbH	Server, hosting og backup	Tyskland (EØS)	Logg-, konto-, skjema- og innholdsdata	Ikke relevant (EØS)
Cloudflare, Inc.	DNS, CDN, WAF	USA/globalt, primært EØS	Trafikk-/sikkerhetsdata, IP-adresser	EU-SCC / Data Privacy Framework
Brevo	E-postleveranse	Frankrike (EØS)	Kontakt- og e-postdata	Ikke relevant (EØS)

(KI-tjenester føres IKKE som underdatabehandlere: LAKI bruker generativ KI kun som intern arbeidsstøtte og legger ikke identifiserbare kundepersonopplysninger inn i slike verktøy, jf. personvernerklæringens §12. Endres praksisen slik at en KI-tjeneste behandler personopplysninger på Kundens vegne, føres den opp her og som mottaker i personvernerklæringen.)

(Stripe føres separat: for LAKIs egen kortbetaling er Stripe selvstendig behandlingsansvarlig/databehandler for LAKIs fakturering, ikke underdatabehandler for Kundens data — se personvernerklæringens leverandøroversikt.)

A.5 Overføring utenfor EØS

Personopplysninger kan bare overføres utenfor EØS etter dokumentert instruks og gyldig overføringsgrunnlag. Leverandøren skal på forespørsel gjøre relevant dokumentasjon tilgjengelig for Kunden.

A.6 Bistand

Leverandøren skal, så langt behandlingens art og informasjonen Leverandøren har tilgjengelig gjør det mulig, bistå Kunden med:

• henvendelser og rettigheter fra registrerte;
• sikkerhet og brudd på personopplysningssikkerheten;
• vurderinger av personvernkonsekvenser;
• forhåndsdrøftelser med tilsynsmyndighet;
• dokumentasjon av etterlevelse.

Bistand som går utover Leverandørens egne lovpålagte plikter og det avtalte tjenesteomfanget, kan faktureres etter avtalt timesats. Leverandøren skal varsle før kostnader påløper.

A.7 Brudd på personopplysningssikkerheten

Leverandøren skal varsle Kunden uten ugrunnet opphold og senest innen 24 timer etter å ha blitt kjent med et brudd på personopplysningssikkerheten.

Varslet skal, så langt mulig, beskrive:

• bruddets art;
• berørte opplysninger og registrerte;
• sannsynlige konsekvenser;
• gjennomførte og planlagte tiltak;
• kontaktpunkt for oppfølging.

Informasjonen kan gis trinnvis når alt ikke er tilgjengelig samtidig. Leverandøren skal bevare relevant dokumentasjon og samarbeide om oppfølgingen. Kunden er ansvarlig for eventuell melding til Datatilsynet og informasjon til registrerte.

A.8 Sletting og tilbakelevering

Ved opphør skal Leverandøren, etter Kundens valg, tilbakelevere eller slette personopplysningene og eksisterende kopier, med mindre lov krever videre oppbevaring.

Hvis direkte sletting fra en roterende sikkerhetskopi ikke er teknisk mulig, skal opplysningene sikres mot videre bruk og slettes gjennom ordinær overskriving.

• Valg ved opphør: tilbakelevering, deretter sletting
• Frist: 30 kalenderdager

A.9 Dokumentasjon og kontroll

Leverandøren skal gjøre informasjon som er nødvendig for å dokumentere oppfyllelse tilgjengelig og medvirke til rimelige kontroller.

Kontroll skal normalt:

• varsles minst 14 kalenderdager på forhånd;
• først baseres på tilgjengelig dokumentasjon;
• gjennomføres i normal arbeidstid uten unødvendig forstyrrelse;
• ikke gi tilgang til andre kunders opplysninger eller Leverandørens sikkerhetshemmeligheter;
• utføres av en uavhengig og taushetsbundet kontrollør når stedlig kontroll er nødvendig.

Hver part bærer egne kostnader. Dersom kontrollen avdekker et vesentlig avvik som Leverandøren svarer for, dekker Leverandøren Kundens rimelige kontrollkostnader.

A.10 Varighet, mislighold og ansvar

Databehandleravtalen gjelder så lenge Leverandøren behandler personopplysninger på Kundens vegne.

Ved vesentlig brudd kan Kunden kreve at den berørte behandlingen stanses. Hvis bruddet ikke rettes innen rimelig frist, kan Kunden avslutte den berørte tjenesten.

Ansvar reguleres av ansvarsbestemmelsene i hovedavtalen — Fagurs Standardvilkår punkt 10 ved webprosjekt, og Góður Driftsvilkår punkt 8 ved drift — med mindre ufravikelig rett bestemmer noe annet. Behandling av særlige kategorier kan kreve et særskilt avtalt ansvarsnivå i bestillingen/Oppdragsbekreftelsen eller Sikkerhetsbilaget.