Kommunal innbyggerkommunikasjon som faktisk er GDPR-kompatibel – ikke bare tilnærmet

Ja. Townbase er bygget med GDPR som arkitekturprinsipp. All data lagres på EU-baserte servere, kommunen inngår en databehandleravtale i tråd med GDPR artikkel 28, og plattformens forretningsmodell er utelukkende basert på abonnementsinntekter – ingen annonsefinansiering som krever innsamling av brukerdata for kommersielle formål.

Kommunen er behandlingsansvarlig (data controller) etter GDPR. Townbase er databehandler (data processor) som behandler data på vegne av kommunen. Rollene er klart definert i databehandleravtalen. Kommunen bestemmer formålet med behandlingen; Townbase utfører behandlingen etter kommunens instruksjoner.

Ja, potensielt. EU-domstolen (Schrems II) og etterfølgende avgjørelser fra europeiske tilsynsmyndigheter har fastslått at overføring av personopplysninger til USA-baserte servere er problematisk uten tilstrekkelige garantier. Meta-plattformer samler atferdsdata om alle brukere, inkludert innbyggere som besøker kommunale Facebook-sider, og behandler disse under amerikanske lover. Datatilsynet i Norge har anbefalt offentlige organisasjoner å vurdere alternativer.

Alle Townbase sine tekniske sub-prosessorer er EU-baserte. Komplett sub-prosessoroversikt med navn, land, formål og behandlingsgrunnlag er tilgjengelig som del av GDPR-dokumentasjonspakken. Kommunen godkjenner sub-prosessorlisten som del av databehandleravtalen, og varsles ved endringer.

Townbase har dokumenterte prosedyrer for hendelseshåndtering. Ved et databrudd som kan utgjøre en risiko for innbyggernes rettigheter, varsles kommunens kontaktperson umiddelbart og senest innen 72 timer – i tråd med kommunens plikt etter GDPR artikkel 33 til å varsle Datatilsynet. Varslingen inneholder informasjon om hendelsens art, berørte data, tiltak som er iverksatt og anbefalt kommunikasjon til berørte innbyggere.

Townbase er en plattform for publisering av aktiviteter, arrangementer og lokalt innhold – ikke et fagsystem for sensitiv personinformasjon. Plattformen er ikke egnet for behandling av helsedata, biometriske data eller andre særlige kategorier av personopplysninger som definert i GDPR artikkel 9. Kommunen bør ikke legge inn sensitiv personinformasjon i plattformens innholdssystem.

Ja, og vi støtter dette. Townbase leverer teknisk dokumentasjon strukturert for å støtte kommunens DPIA, inkludert dataflytdiagram, risikovurdering av behandlingen og beskrivelse av tekniske og organisatoriske tiltak. For de fleste kommuner vil en standard DPIA-prosess konkludere positivt gitt plattformens EU-baserte infrastruktur og transparente databehandlingspraksis.

Townbase leverer dokumentasjon strukturert for kommunal ROS-analyse (risiko- og sårbarhetsanalyse), inkludert sikkerhetsarkitektur, penetrasjonstesthistorikk og hendelseshåndteringsrutiner. Vi bistår gjerne med en dedikert sikkerhetsgjennomgang for kommunens beredskapsansvarlige og IT-sikkerhetsteam.

Ja. Kommunen kan fullt ut ivareta innbyggernes rettigheter etter GDPR – innsyn, retting, sletting og dataportabilitet – uten bistand fra Townbase. Kommunens administrator har full tilgang til alle brukerdata og kan eksportere, rette eller slette disse på forespørsel. Dette er et vesentlig skille fra Meta-plattformer, der kommunen har minimal kontroll over innbyggerdata.

Townbase samler teknisk nødvendig informasjon for å levere tjenesten (IP-adresse i server-logger, øktcookies). Det samles ikke inn atferdsdata for kommersielle formål. Innbyggere som ikke oppretter en profil, er ikke identifisert i plattformen. Cookiebanneret på plattformen følger norsk praksis og ePrivacy-direktivet.

Ja. Townbase er utformet i samsvar med norsk ekomlov og ePrivacy-direktivet. Kommunen konfigurerer samtykkebannerinnstillingene i tråd med sin lokale personvernpolicy. Vi leverer veiledning for korrekt konfigurasjon av samtykkeinnstillinger ved oppstart.

For brukere som oppretter en konto på plattformen, er behandlingsgrunnlaget avtale (GDPR artikkel 6(1)(b)). For teknisk nødvendig behandling er grunnlaget berettiget interesse (GDPR artikkel 6(1)(f)) knyttet til drifting av plattformtjenesten. Kommunen som behandlingsansvarlig har behandlingsgrunnlag etter offentlig interesse og oppgave (GDPR artikkel 6(1)(e)) for kommunal innbyggerkommunikasjon.

Ja. Kommunen eier all data og kan eksportere den i åpne standardformater (JSON/CSV) til enhver tid, ikke bare ved avslutning. Ved avslutning av abonnementet eksporteres alt i organisert format. Townbase sletter kommunens data fra sine servere i henhold til databehandleravtalen etter en definert oppbevaringsperiode. Det er ingen vendor lock-in.

Townbase opererer i samsvar med ISO 27001-prinsippene for informasjonssikkerhet og er under løpende utvikling mot formell sertifisering. Sikkerhetsdokumentasjon, penetrasjonstestrapporter og hendelseshåndteringsrutiner er tilgjengelig for gjennomgang i anskaffelsesprosessen.

Townbase sletter all kommunens data fra alle systemer innen 90 dager etter abonnementsslutt. Kommunen mottar en slettingsbekreftelse. Eventuelle backup-kopier slettes etter maksimalt 180 dager. Detaljert slettingsprosedyre er dokumentert i databehandleravtalen og kan tilpasses kommunens spesifikke krav.