Databehandleravtale

1. Parter, roller og forrang

Denne avtalen inngås mellom Kunden, som er behandlingsansvarlig, og Revisorvennen AS (org.nr. 938 075 123), Eidsvikvegen 26, 5302 Strusshamn, som er databehandler. Databehandleren er etablert i Norge.

Avtalen regulerer databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige i forbindelse med bruk av Revisjonsmotor, og gjelder som et tillegg til avtalen om bruk av tjenesten. Ved motstrid om behandling av personopplysninger går denne avtalen foran den øvrige avtalen mellom partene.

Begrepene personopplysning, særlige kategorier av personopplysninger, behandling, den registrerte, behandlingsansvarlig og databehandler forstås slik de er definert i personvernforordningen (EU) 2016/679 og personopplysningsloven.

2. Formål og behandlingens art

Formålet med behandlingen er å levere Revisjonsmotor: å hente inn regnskapsmateriale fra kildene Kunden peker på, kjøre automatiserte kontroller på materialet, og vise resultatet slik at Kundens revisorer kan vurdere det.

Databehandleren behandler ikke personopplysningene til andre formål. Opplysningene brukes ikke til å utvikle eller trene modeller, og de deles ikke med andre kunder.

3. Kategorier av registrerte og personopplysninger

Behandlingen omfatter to grupper:

Kundens egne brukere. Navn, jobb-e-post, rolle i tjenesten, hvilke klienter brukeren er tildelt, tidspunkt for innlogging og hvilke vurderinger brukeren har registrert.

Fysiske personer som forekommer i regnskapsmaterialet. Typisk ansatte, kunder, leverandører, styremedlemmer og andre motparter. Opplysningene kan omfatte navn, kontaktopplysninger, organisasjons- og kontonummer, beløp, datoer, tekst på bilag og innholdet i dokumentasjon Kunden laster opp.

Databehandleren ber ikke om særlige kategorier av personopplysninger etter artikkel 9. Slike opplysninger kan likevel forekomme i regnskapsmateriale, for eksempel ved at trekk for fagforeningskontingent indirekte røper fagforeningsmedlemskap, eller ved at et bilag omtaler sykefravær eller helserelaterte utlegg. Partene legger til grunn at dette kan skje, og sikkerhetstiltakene i punkt 5 er innrettet deretter.

4. Instruksjonsrett

Databehandleren behandler personopplysninger bare etter dokumenterte instrukser fra den behandlingsansvarlige. Bruk av tjenestens ordinære funksjoner regnes som slik instruks.

Blir databehandleren pålagt ved lov å behandle opplysningene i strid med instruksen, varsles den behandlingsansvarlige før behandlingen skjer, med mindre varsel er forbudt.

Mener databehandleren at en instruks strider mot personvernregelverket, skal dette meldes til den behandlingsansvarlige.

5. Sikkerhet

Databehandleren gjennomfører tekniske og organisatoriske tiltak etter artikkel 32. Følgende tiltak er på plass i dag:

Kryptering. All trafikk går over TLS. Data krypteres i hvile hos driftsleverandøren. API-nøkler mot Kundens regnskapssystem lagres kryptert, med krypteringsnøkkelen lagret utenfor databasen.

Tilgangsstyring. Innlogging skjer med Kundens egen Microsoft-konto. Databehandleren lagrer ingen passord. Hver bruker ser bare klientene som er tildelt, og hvert revisjonsforetak er skilt fra andre foretak i en adgangskontroll som gjelder alle grensesnittets funksjoner.

Sporbarhet. Hver kontroll lagres med regel, kilde og beløp. Revisors egne vurderinger lagres med hvem som vurderte og når, og bevares også når kontrollene kjøres på nytt. Sletting av regnskapsår føres i en egen slettelogg.

Begrenset oppbevaring. Regnskapsdata slettes automatisk når oppbevaringstiden er ute, se punkt 10.

Taushetsplikt. Se punkt 6, som gjelder i tillegg til sikkerhetstiltakene her.

6. Revisors taushetsplikt

Databehandleren er kjent med at den behandlingsansvarlige er underlagt lovbestemt taushetsplikt etter revisorloven § 10-1, og at regnskapsmaterialet som behandles gjennom tjenesten er omfattet av denne.

Databehandleren, databehandlerens ansatte og enhver som handler på databehandlerens vegne, er underlagt samme taushetsplikt som påhviler den behandlingsansvarlige med hensyn til opplysninger de får kjennskap til gjennom leveransen. Taushetsplikten gjelder uten tidsbegrensning og består etter at avtalen er avsluttet.

Databehandleren skal sikre at underdatabehandlere med tilgang til slike opplysninger er bundet av tilsvarende forpliktelse.

7. Underdatabehandlere

Den behandlingsansvarlige gir databehandleren generell tillatelse til å bruke underdatabehandlere. Databehandleren skal binde disse til forpliktelser som tilsvarer denne avtalen, og er fullt ut ansvarlig overfor den behandlingsansvarlige for behandlingen de utfører.

Følgende underdatabehandlere benyttes:

All behandling skjer innenfor EØS. Skulle overføring ut av EØS bli aktuelt, skjer det ikke før den behandlingsansvarlige er varslet og et gyldig overføringsgrunnlag er på plass.

Databehandleren varsler den behandlingsansvarlige før en underdatabehandler byttes ut eller legges til, med rimelig frist til å komme med innsigelser. Innsigelse må ha saklig grunn, for eksempel begrunnet tvil om personvernet svekkes. Opprettholdes innsigelsen, kan hver av partene si opp avtalen med virkning fra det tidspunktet endringen skulle tre i kraft.

Regnskapssystemet Kunden henter data fra er ikke en underdatabehandler etter denne avtalen. Kunden er selv ansvarlig for sitt forhold til den leverandøren, og for at API-tilgangen som gis til Revisjonsmotor er i tråd med det forholdet.

8. Bistand til den behandlingsansvarlige

Databehandleren bistår, i lys av behandlingens art og tilgjengelig informasjon, med å svare på henvendelser fra registrerte etter forordningens kapittel III, og med å oppfylle pliktene etter artikkel 32 til 36, herunder sikkerhet, avviksmelding og personvernkonsekvensvurdering.

Databehandleren svarer ikke registrerte direkte uten at den behandlingsansvarlige har bedt om det.

Får databehandleren krav fra en offentlig myndighet om utlevering av personopplysninger som behandles etter denne avtalen, varsles den behandlingsansvarlige umiddelbart, med mindre varsel er forbudt. Opplysninger utleveres ikke uten rettslig grunnlag.

9. Brudd på personopplysningssikkerheten

Databehandleren varsler den behandlingsansvarlige uten ugrunnet opphold etter å ha blitt oppmerksom på et brudd. Varselet skal så langt det er mulig beskrive hva som har skjedd, hvilke kategorier og omtrent hvor mange registrerte og opplysninger som er berørt, sannsynlige konsekvenser, og hvilke tiltak som er truffet eller foreslås.

Er ikke alt kjent i første varsel, ettersendes opplysningene så snart de foreligger. Det er den behandlingsansvarlige som melder til Datatilsynet og eventuelt til de registrerte.

10. Oppbevaring, sletting og retur

Regnskapsdata slettes automatisk fem år etter utløpet av det regnskapsåret de gjelder. Fristen regnes fra regnskapsårets siste dag, slik at avvikende regnskapsår behandles riktig. Den behandlingsansvarlige kan avtale lengre oppbevaring, og kan sette slettesperre på et enkelt regnskapsår ved tvist eller tilsynssak. Hver sletting føres i en logg som viser klient, periode og omfang.

Ved opphør av avtalen kan den behandlingsansvarlige innen 30 dager be om å få utlevert personopplysningene i et maskinlesbart format. Deretter sletter databehandleren personopplysningene innen 90 dager, med mindre lov krever videre oppbevaring. Sletting bekreftes skriftlig på forespørsel.

Oppbevaringsfristen i tjenesten løper fra den datoen revisjonsberetningen ble avlagt, slik revisorloven krever, når denne datoen er registrert på kjøringen. Er datoen ikke registrert, løper fristen fra regnskapsårets slutt. Det er tidligere i tid, og automatisk sletting kan da inntreffe før den behandlingsansvarliges egen oppbevaringsplikt er utløpt.

Den behandlingsansvarlige er ansvarlig for egne oppbevaringsplikter. Datoen for revisjonsberetningen bør registreres så snart den foreligger. Den behandlingsansvarlige må selv vurdere om oppbevaringstiden skal forlenges, og skal ikke bruke tjenesten som eneste arkiv for dokumentasjon som er pålagt oppbevart.

Sikkerhetskopier slettes etter databehandlerens ordinære rutine for sikkerhetskopiering. Fram til det er de omfattet av sikkerhetstiltakene i punkt 5.

11. Revisjon og dokumentasjon

Databehandleren gjør tilgjengelig den dokumentasjonen som er nødvendig for å vise at pliktene etter artikkel 28 er oppfylt, og fører protokoll over behandlingsaktiviteter etter artikkel 30. Kopi av protokollen utleveres på forespørsel.

Den behandlingsansvarlige kan revidere etterlevelsen av avtalen inntil én gang i året, og oftere dersom lovgivning den behandlingsansvarlige er underlagt krever det, eller etter et brudd på personopplysningssikkerheten. Revisjon varsles minst fire uker i forveien med en plan for omfang og varighet.

Hver part dekker egne kostnader ved revisjon. Avdekker revisjonen avvik som ikke er uvesentlige, dekker databehandleren begge parters rimelige kostnader.

12. Ansvar

Hver part svarer for overtredelsesgebyr og andre sanksjoner som ilegges parten selv.

Blir en part holdt erstatningsansvarlig etter artikkel 82 for forhold den andre parten svarer for, skal den ansvarlige parten dekke kostnaden.

Ansvarsbegrensninger følger av brukervilkårene og gjelder tilsvarende for denne avtalen. Begrensningene gjelder likevel ikke for ansvar som ikke kan begrenses etter ufravikelig rett, og heller ikke ved brudd på taushetsplikten.

13. Varighet og opphør

Avtalen gjelder så lenge databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige. Sies avtalen om bruk av tjenesten opp, opphører også denne avtalen.

Ved brudd på denne avtalen eller på personvernregelverket kan den behandlingsansvarlige kreve at videre behandling stanses med umiddelbar virkning, og heve avtalen.

14. Lovvalg og verneting

Avtalen reguleres av norsk rett. Verneting følger av avtalen om bruk av tjenesten.

Kontakt

Henvendelser om personvern og varsel om brudd sendes til info@revisjonsmotor.no.