Tjenestenivåavtale (SLA)

Versjon 1.0 · 8. mai 2026 · Vedlegg til den kommersielle SaaS-avtalen

Kort fortalt: 99 % månedlig tilgjengelighet (~7 t 18 min tillatt nedetid per måned). 4-tier insident-klassifisering. Service-credit 10/25/50 % av månedsavgift ved brudd. Post-mortem innen 7 virkedager etter kritisk hendelse.

1. Formål og virkeområde

Denne avtalen definerer servicenivået Påvakt AS (org.nr. 937 620 187) forplikter seg til å levere for tjenesten DigiReq. Den utfyller og er underlagt den kommersielle SaaS-avtalen og databehandleravtalen mellom partene.

Tjenestene som dekkes:

Mobil-app (iOS/Android) for registrering og godkjenning av rekvisisjoner
API-backend på api.digireq.no
Admin-dashboard på digireq.no/admin/
EHF-leveranse av godkjente rekvisisjoner som Peppol BIS Order 3.0 til kundens innkjøps-/ERP-system (SFTP, HTTPS-webhook eller Peppol AP)

2. Definisjoner

Tilgjengelighet — andelen av en målperiode der tjenesten er operasjonell, målt mot helse-endepunktet api.digireq.no/health.
Nedetid — periode der helse-endepunktet returnerer feil i mer enn 5 sammenhengende minutter, eller der kjernefunksjonalitet er utilgjengelig for et flertall av brukerne.
Planlagt vedlikehold — vedlikeholdsvindu varslet minst 5 virkedager i forveien. Regnes ikke som nedetid.
Akutt vedlikehold — sikkerhets-patches uten praktisk mulighet for forhåndsvarsel. Regnes ikke som nedetid hvis varslet retroaktivt innen 24 timer og samlet under 60 min/mnd.
Insident — hver hendelse som påvirker tjenestens kvalitet eller funksjon.
Virkedag — mandag-fredag, 08:00-16:00 norsk tid, eksklusive offentlige helligdager i Norge.

3. Tilgjengelighet

3.1 Mål

Leverandør forplikter seg til 99,0 % månedlig tilgjengelighet for tjenesten samlet (~7 timer 18 minutter maks nedetid per måned). 99 % er bevisst valgt som realistisk nivå for en tidlig-produksjons-tjeneste på enkelt-region cloud-VPS uten formell HA. Kan oppgraderes ved senere avtaler.

3.2 Måling

Måles ved ekstern monitorering (UptimeRobot eller tilsvarende) som spør https://api.digireq.no/healthhvert 5. minutt fra to geografiske regioner. Tjenesten regnes som "oppe" når begge regioner får HTTP 200 med db: true i responsen. Månedlig rapport leveres på forespørsel.

3.3 Hva regnes IKKE som nedetid

Planlagt vedlikehold varslet i forveien
Akutt sikkerhetsvedlikehold under 60 min/mnd
Utfall hos sub-prosessorer utenfor Leverandørs kontroll (Hetzner, Cloudflare, Apple APNs, Google FCM, 46elks). Rapporteres separat med årsaksbeskrivelse.
Nedetid forårsaket av kundens egen konfigurasjon eller integrasjon
Force majeure (DDoS utenfor Cloudflare-mitigering, naturkatastrofer, krig, regulatoriske pålegg)

4. Insident-kategorier og responstider

Alvorlighet 1 — Kritisk

Komplett produksjonsstopp; brudd på dataintegritet/-konfidensialitet; sikkerhets-insident med eksponert person- eller finansdata; vedvarende EHF-leveransestopp.

Bekreftelse: < 2 timer (24/7 best-effort, garantert virkedager)
Aktiv arbeids-start: < 4 timer
Mål-løsning eller workaround: < 24 timer
Endelig fix: < 5 virkedager

Sikkerhetsbrudd følger separat varslings-frist på 24 timer per databehandleravtale §10.

Alvorlighet 2 — Alvorlig

En kjernefunksjon utilgjengelig, men tjenesten kan brukes med workaround.

Bekreftelse: < 1 virkedag
Aktiv arbeids-start: < 2 virkedager
Mål-løsning: < 5 virkedager

Alvorlighet 3 — Moderat

Feil i mindre brukt funksjon; ytelses-degradering; UI-problemer.

Bekreftelse: < 5 virkedager
Mål-løsning: < 30 virkedager

Alvorlighet 4 — Lav

Kosmetiske feil, forbedrings-forslag.

Bekreftelse: < 30 virkedager
Mål-løsning: best-effort, kvartalsvis release-syklus

5. Vedlikehold

5.1 Planlagt vedlikehold

Varsles minst 5 virkedager i forveien til kundens kontaktperson per e-post
Legges fortrinnsvis utenfor 07:00-17:00 ukedager (normalt natt mellom torsdag-fredag eller helg)
Regnes ikke mot tilgjengelighets-målet

5.2 Akutt sikkerhetsvedlikehold

Kritiske sikkerhetsoppdateringer installeres umiddelbart, uten forhåndsvarsel
Varsel sendes retroaktivt innen 24 timer
Samlet under 60 min/mnd regnes ikke mot tilgjengelighets-målet

6. Support

6.1 Kontaktkanaler

Sikkerhet og sårbarhetsrapportering: sikkerhet@digireq.no — 24/7 monitorert, bekreftelse innen 2 t
Kritiske produksjonsfeil (Alvorlighet 1): sikkerhet@digireq.no med "[KRITISK]" i emnet
Normal support, fakturaspørsmål: info@digireq.no (faktura@ for regnskap) — innen virkedag
Bruker-veiledning og opplæring: support@digireq.no — innen 2 virkedager

6.2 Åpningstid

Normal support bemannet 08:00-16:00 norsk tid, mandag-fredag, eksklusive offentlige norske helligdager. Sikkerhets-kanal monitoreres 24/7 best-effort; aktiv respons utenfor virkedager garantert kun for Alvorlighet 1.

6.3 Eskaleringsvei

Førstelinje: info@digireq.no eller sikkerhet@digireq.no
Ikke besvart innen avtalt responstid: markus@digireq.no
Ikke besvart innen 24 t etter eskalering for Alvorlighet 1: kunden har rett til å kreve telefonkontakt

7. Måling og rapportering

Tilgjengelighet måles automatisk hvert 5. minutt og logges append-only
Månedlig rapport leveres på forespørsel innen 5 virkedager etter månedsslutt
Post-mortem-rapport for Alvorlighet 1 leveres innen 7 virkedager etter løsning, med tidslinje, root cause, løsning og forebyggende tiltak
For Alvorlighet 2-4 dokumenteres løsningen i intern audit-log; sammendrag leveres på forespørsel

8. Brudd på SLA og kompensasjon

8.1 Service-credit ved tilgjengelighets-brudd

Faller månedlig tilgjengelighet under 99 %, har kunden rett til:

99,0 % eller bedre: 0 % (innen mål)
97,0 % - 98,99 %: 10 % av månedsavgift
95,0 % - 96,99 %: 25 % av månedsavgift
Under 95,0 %: 50 % av månedsavgift

Service-credits kreves skriftlig innen 30 dager etter månedsslutt og krediteres på neste faktura. Maksimalt 100 % av månedsavgift per måned; kan ikke overstige totalt innbetalt beløp.

8.2 Vedvarende brudd

Hvis Leverandør har målt tilgjengelighet under 99 % i 3 påfølgende måneder, kan kunden si opp tjenesten med øyeblikkelig virkning uten oppsigelsestid. Forhåndsbetalt periode refunderes prorata.

8.3 Brudd på responstider

Brudd på responstider for Alvorlighet 1 og 2 dokumenteres i månedsrapport. Tre eller flere brudd i samme kategori innen samme kvartal gir kunden rett til kostnadsfri SLA-revisjon.

9. Unntak og force majeure

Force majeure — naturkatastrofer, krig, terror, streik (ikke hos Leverandør), regulatoriske pålegg
Tredjeparts utfall — sub-prosessorer der Leverandør ikke har kontroll. Rapporteres og leverandørbytte vurderes ved mønster
Kunde-induserte feil — feilkonfigurasjon, modifisering av integrasjon-mottak, brudd på sikkerhetsråd
DDoS som overstiger Cloudflares standard mitigering — Leverandør varsler og samarbeider om motangrep
Endringer i kundens system som påvirker integrasjon (f.eks. bytte av Visma-versjon uten varsel)

10. Endringer i SLA

Endringer varsles skriftlig minst 30 dager før ikrafttredelse
Vesentlige endringer (svekking av mål, fjernelse av service-credit) krever ny signering eller skriftlig samtykke
Forbedringer (kortere responstider, høyere tilgjengelighet) kan implementeres uten varsel
Begge parter kan kreve revisjon årlig

11. Forhold til andre avtaler

SLA-en utfyller og er underlagt:

Den kommersielle SaaS-avtalen (definerer pris, oppsigelse, ansvar, IP)
Databehandleravtalen (DPA) (definerer behandling av personopplysninger)

Ved konflikt har den kommersielle SaaS-avtalen forrang i kommersielle spørsmål, og DPA-en forrang i personvern-spørsmål. Tekniske detaljer finnes på /sikkerhet. Risiko- og sårbarhetsanalysen (ROS) kan leveres ved forespørsel.

12. Kontaktinformasjon

Leverandør: Påvakt AS / DigiReq
Org.nr: 937 620 187
Adresse: Narvik, Norge
Sikkerhets-kontakt: sikkerhet@digireq.no
Generell kontakt: info@digireq.no
Eskalering: markus@digireq.no

Dokument-versjon 1.0 · Sist oppdatert 8. mai 2026 · info@digireq.no