Databehandleravtale

Du godtar avtalen sammen med vilkårene når du tar foretaket i bruk i Klapp. Se også underdatabehandlerne.

1. Partene og hva avtalen er

Avtalen er mellom foretaket som bruker Klapp («du»), som er behandlingsansvarlig, og Klikk Regnskap AS, org.nr. 812 589 792, som leverer Klapp («vi»), og som er databehandler.

Den oppfyller kravet til databehandleravtale i personvernforordningen (GDPR) artikkel 28. Den inngås elektronisk når noen godtar vilkårene for Klapp på vegne av foretaket, og er en del av dem. Står noe i vilkårene i strid med denne avtalen, gjelder denne avtalen for behandlingen av personopplysninger.

2. Hva vi behandler for deg

Artikkel 28 nr. 3 første ledd

Gjenstand og formål: Vi behandler personopplysninger på dine vegne når du bruker Klapp til bokføring, bilag, bank, fakturering, lønn, a-melding, timer, årsoppgjør og innsending til myndighetene. Formålet er at du skal kunne føre regnskapet ditt og oppfylle pliktene dine med Klapp.

De registrerte er personer du legger inn opplysninger om:

• eiere, deltakere og aksjonærer
• brukerne du gir tilgang til foretaket
• kundene dine og andre fakturamottakere
• leverandører og andre motparter i bilag og banktransaksjoner
• ansatte og frilansere i lønnsmodulen

Typene opplysninger er:

• navn, adresse, e-postadresse og telefonnummer
• fødselsnummer, som bare lagres kryptert
• organisasjonsnummer, kontonummer, beløp, KID og banktransaksjoner
• bilag, bilagsbilder og kontoutskrifter, og teksten Klapp leser av dem
• fakturaer, kunderegister og leverandørregister
• arbeidsforhold, lønn, skattekort, forskuddstrekk, feriepenger og timer
• kjøreturer med rute og registreringsnummer
• fritekst: kommentarer, notater og meldinger

Klapp er ikke laget for særlige kategorier av personopplysninger (artikkel 9), og du skal ikke registrere slike med vilje. Et bilag eller en fritekst kan likevel inneholde dem, for eksempel en kvittering fra et apotek. De behandles da med samme sikkerhet som alt annet.

Behandlingen består i å lagre, registrere, strukturere, sammenstille, regne ut, vise, overføre dit du ber om (for eksempel en faktura på e-post eller en a-melding til Skatteetaten), lese bilag og kontoutskrifter automatisk med en språkmodell, og slette.

Varighet: så lenge foretaket bruker Klapp, og deretter til opplysningene er slettet eller levert tilbake etter punkt 10.

Avtalen gjelder ikke det vi behandler for egne formål, som brukerkontoer, innlogging, drift, sikkerhet, feilsøking og fakturering av Klapp. Det står i personvernerklæringen. Den gjelder heller ikke regnskapsføring eller årsoppgjør et regnskapsbyrå utfører for deg. Det reguleres av oppdragsavtalen med byrået.

Vi bruker ikke opplysningene dine til egne formål, som markedsføring eller trening av språkmodeller.

3. Dine plikter

Som behandlingsansvarlig er du ansvarlig for:

• at det finnes et rettslig grunnlag for opplysningene du legger inn
• å informere dem opplysningene gjelder, for eksempel de ansatte, etter artikkel 13 og 14
• at opplysningene er riktige og ikke flere enn du trenger
• å gi oss instrukser som er i samsvar med regelverket

Regnskapsmaterialet lagres i EØS, se lista over underdatabehandlere. Trenger du opplysninger om hvor og hvordan det oppbevares for å oppfylle kravene i bokføringsregelverket, gir vi deg dem.

4. Instrukser

Artikkel 28 nr. 3 bokstav a

Vi behandler opplysningene bare etter dokumenterte instrukser fra deg. Instruksene er denne avtalen, vilkårene og det du ber Klapp gjøre når du bruker funksjonene. Det gjelder også overføring ut av EØS: du instruerer oss om å bruke underdatabehandlerne på lista, med overføringsgrunnlaget som står der.

Pålegger loven oss å behandle opplysningene på en annen måte, sier vi fra til deg før vi gjør det, med mindre loven forbyr det.

Mener vi at en instruks er i strid med personvernregelverket, sier vi fra med én gang, og kan vente med å følge den til det er avklart.

5. Taushetsplikt og sikkerhet

Artikkel 28 nr. 3 bokstav b og c, artikkel 32

Alle hos oss som har tilgang til opplysningene, har taushetsplikt, også etter at de slutter. Tilgangen er begrenset til dem som trenger den for drift, feilretting eller hjelp du har bedt om.

Tiltakene vi har i dag:

• All trafikk er kryptert (HTTPS).
• Fødselsnumre krypteres med AES-256-GCM i en serverfunksjon. Nøkkelen finnes bare der og sendes aldri til nettleseren.
• Hvert oppslag av et fødselsnummer logges med hvem og når. Kan oppslaget ikke logges, vises ikke nummeret.
• Tilgangen styres i databasereglene, per foretak og per del av Klapp, ikke bare i skjermbildene. Reglene testes automatisk før hver endring.
• En regnskapsfører ser bare sitt eget byrås kunder.
• En e-postadresse gir ingen tilgang før den er bekreftet.
• Hendelsesloggen kan ikke endres eller slettes, heller ikke av oss fra appen.
• Databasen og alle opplastede filer kopieres til en sikkerhetskopi hver natt, og vi varsles hvis kopieringen feiler.
• Data er kryptert der de lagres, hos leverandørene.

Vi kan endre tiltakene, men ikke slik at sikkerheten blir svakere.

6. Underdatabehandlere

Artikkel 28 nr. 2, nr. 3 bokstav d og nr. 4

Du gir generell tillatelse til at vi bruker underdatabehandlere. De vi bruker, står i lista over underdatabehandlere, med hva de gjør, hvilke opplysninger de får, hvor de behandles og grunnlaget for overføring ut av EØS. Lista har dato for siste endring.

Før vi tar i bruk eller bytter en underdatabehandler, varsler vi deg minst 30 dager i forveien, i Klapp eller på e-post. Du kan protestere innen fristen hvis du har en saklig grunn knyttet til personvernet. Blir vi ikke enige, bruker vi ikke den nye underdatabehandleren for dine opplysninger, eller du kan si opp avtalen før endringen gjelder, uten kostnad.

Hver underdatabehandler er bundet av en skriftlig avtale med de samme pliktene som vi har etter denne avtalen. Vi er ansvarlige overfor deg for at de følger den.

7. Overføring ut av EØS

Kapittel V

Opplysninger går ut av EØS bare når det trengs for å levere Klapp, og bare med et gyldig grunnlag etter kapittel V: EU–US Data Privacy Framework eller EUs standard personvernbestemmelser (SCC), som oppgitt for hver underdatabehandler.

Faller et grunnlag bort, varsler vi deg uten ugrunnet opphold, og enten finner vi et nytt gyldig grunnlag eller stanser overføringen.

8. Hjelp med de registrertes rettigheter

Artikkel 28 nr. 3 bokstav e

Du kan rette og slette opplysninger i Klapp selv, innenfor det bokføringsloven krever at du oppbevarer. Du kan ta ut dataene dine når som helst: hovedboka som SAF-T-fil, og alt samlet, med bilagsbildene og de andre filene, under «Mine data».

Henvender en registrert seg til oss, for eksempel en av dine ansatte, svarer vi ikke selv. Vi sender henvendelsen til deg uten ugrunnet opphold, og hjelper deg med det som ikke kan gjøres i Klapp.

9. Brudd på sikkerheten, og hjelp med dine andre plikter

Artikkel 28 nr. 3 bokstav f, artikkel 32–36

Oppdager vi et brudd på personopplysningssikkerheten som gjelder dine opplysninger, varsler vi deg uten ugrunnet opphold, og senest 48 timer etter at vi oppdaget det. Varselet sier så langt vi vet:

• hva som har skjedd, og hvilke og omtrent hvor mange personer og opplysninger det gjelder
• hvilke følger det sannsynligvis får
• hva vi har gjort og foreslår å gjøre
• hvem du kan kontakte hos oss

Vi hjelper deg med å melde bruddet til Datatilsynet og å varsle dem det gjelder. Vi melder ikke på dine vegne med mindre du ber om det.

Skal du vurdere personvernkonsekvenser (artikkel 35) eller rådføre deg med Datatilsynet (artikkel 36), gir vi deg opplysningene om Klapp du trenger.

10. Når avtalen opphører

Artikkel 28 nr. 3 bokstav g

Du velger om opplysningene skal slettes eller leveres tilbake. Du kan ta ut alt selv før opphør, som beskrevet i punkt 8. Sier du ikke fra, beholder vi opplysningene i 90 dager etter opphør så du kan ta dem ut, og sletter deretter det som ikke må oppbevares. Når slettingen er gjort, bekrefter vi det skriftlig hvis du ber om det.

Regnskapsmateriale, som bilag, fakturaer og posteringer, må oppbevares i fem år etter regnskapsårets slutt (bokføringsloven § 13). Det slettes ikke før oppbevaringstiden er ute, og vi bruker det i den tiden bare til å oppbevare det.

Sikkerhetskopiene:

• Kopiene av databasen slettes etter 30 dager.
• Kopiene av opplastede filer (bilagsbilder, vedlegg, dokumenter) slettes ikke fortløpende, fordi de er regnskapsmateriale. Det gjelder også en fil som er slettet i Klapp. De slettes når oppbevaringstiden for dem er ute.

11. Dokumentasjon og revisjon

Artikkel 28 nr. 3 bokstav h

Vi gir deg opplysningene du trenger for å se at vi følger avtalen: denne avtalen, lista over underdatabehandlere, en beskrivelse av sikkerhetstiltakene, og svar på spørsmål.

Du kan kreve revisjon, også inspeksjon, én gang i året, og i tillegg ved mistanke om brudd eller etter pålegg fra Datatilsynet. Gi beskjed minst 30 dager før, med mindre det gjelder et brudd. Du velger hvem som reviderer. Den som reviderer, skal ha taushetsplikt og får ikke se andre kunders opplysninger. Hver part dekker egne kostnader, med mindre revisjonen viser vesentlige brudd hos oss.

12. Varighet, endringer og lovvalg

Avtalen gjelder så lenge vi behandler opplysninger på dine vegne. Taushetsplikten gjelder også etter at den er slutt.

Vi kan endre avtalen med minst 30 dagers varsel. En endring du må ta stilling til, godtar du i Klapp før den gjelder, som for vilkårene. Lista over underdatabehandlere endres etter punkt 6 uten at resten av avtalen endres.

Ansvaret mellom oss følger vilkårene og personvernforordningen artikkel 82. Ansvarsbegrensningen i vilkårene gjelder ikke for krav fra de registrerte etter artikkel 82.

Avtalen er underlagt norsk rett.