Databehandleravtale

Avtalen er inngått mellom revisjonsselskapet som bruker Kryssa, som behandlingsansvarlig («kunden»), og SB Solutions (org.nr. [fylles inn]), [forretningsadresse], som databehandler («vi»).

Avtalen er en del av vilkårene for bruk og gjelder fra kunden oppretter konto. Kunden kan be om en signert utgave på hei@kryssa.no. Ved motstrid går denne avtalen foran vilkårene i spørsmål om personopplysninger.

Ord som «personopplysninger», «behandling», «brudd på personopplysningssikkerheten» og «underdatabehandler» har samme betydning som i personvernforordningen (forordning (EU) 2016/679), som gjelder i Norge gjennom personopplysningsloven.

Vi behandler personopplysninger for å levere Kryssa til kunden. Formålet, hvilke registrerte og opplysninger det gjelder, og hvordan behandlingen skjer, står i vedlegg 1.

Kundens data lagres og behandles i Norge. Unntaket er e-post som tjenesten sender, se Overføring ut av EØS.

Behandlingen varer så lenge avtalen gjelder, og deretter til opplysningene er slettet eller levert tilbake, se Sletting og tilbakelevering.

Vi behandler personopplysninger bare etter dokumenterte instrukser fra kunden. Avtalen, vilkårene og kundens bruk og innstillinger i tjenesten er kundens instrukser. Kunden kan gi andre skriftlige instrukser så lenge de er i samsvar med avtalen.

Mener vi at en instruks er i strid med personvernregelverket, sier vi fra til kunden straks.

Uten instruks behandler vi opplysninger bare når norsk rett eller EØS-rett krever det. Da varsler vi kunden først, med mindre loven forbyr det.

Kunden er ansvarlig for at det finnes behandlingsgrunnlag for opplysningene som legges inn i tjenesten, og for at de registrerte får informasjon der loven krever det.

Bare personer som trenger det for å levere tjenesten, får tilgang til kundens personopplysninger. Alle som får tilgang, har skriftlig taushetsplikt, som gjelder også etter at arbeidsforholdet eller oppdraget er slutt.

Vi går ikke inn i kundens data med mindre det trengs for drift, sikkerhet eller brukerstøtte kunden har bedt om.

Vi gjennomfører tekniske og organisatoriske tiltak som gir et sikkerhetsnivå tilpasset risikoen, etter personvernforordningen artikkel 32. Revisjonsdokumentasjon kan inneholde opplysninger om lønn, helse og økonomiske forhold, og tiltakene er valgt med det i tankene. De står i vedlegg 2.

Vi kan endre tiltakene så lenge sikkerhetsnivået ikke blir lavere.

Kunden gir generell tillatelse til at vi bruker underdatabehandlere. De vi bruker i dag, står i vedlegg 3.

Vi varsler kunden på e-post minst 30 dager før vi tar i bruk eller bytter ut en underdatabehandler. Kunden kan protestere innen fristen. Finner vi ingen løsning, kan kunden si opp avtalen fra endringen trer i kraft, uten å betale for tiden etter.

Underdatabehandlere må ha en skriftlig avtale med oss med de samme forpliktelsene som i denne avtalen. Vi er ansvarlige overfor kunden for underdatabehandlernes behandling.

Kundens data lagres i Norge. E-post fra tjenesten sendes gjennom Resend i USA, som behandler mottakerens e-postadresse, emnet og innholdet i e-posten. Overføringen bygger på EUs standardpersonvernbestemmelser.

Andre overføringer til land utenfor EØS skjer bare når det finnes et gyldig overføringsgrunnlag etter personvernforordningen kapittel V, og når overføringen står i vedlegg 3 eller er varslet som beskrevet under Underdatabehandlere.

Vi hjelper kunden, så langt det er mulig, med å

• svare på forespørsler fra registrerte om innsyn, retting, sletting, begrensning, dataportabilitet og protest. Får vi en slik forespørsel direkte, sender vi den videre til kunden uten å svare selv.
• oppfylle pliktene om sikkerhet, melding om brudd, vurdering av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet (personvernforordningen artikkel 32 til 36)

Vi kan kreve dekket rimelige kostnader for bistand utover det vanlige, med mindre behovet skyldes forhold hos oss.

Vi varsler kunden uten ugrunnet opphold, og senest 36 timer etter at vi ble kjent med et brudd på personopplysningssikkerheten som gjelder kundens opplysninger. Da rekker kunden å melde fra til Datatilsynet innen fristen på 72 timer.

Varselet beskriver så langt det er mulig

• hva som har skjedd, og når
• hvilke kategorier og omtrent hvor mange registrerte og opplysninger det gjelder
• de sannsynlige konsekvensene
• hva vi har gjort og foreslår å gjøre for å håndtere bruddet og begrense skadene
• hvem hos oss kunden kan kontakte

Opplysninger vi ikke har når vi varsler, gir vi så snart vi får dem.

Vi gir kunden informasjonen som trengs for å kontrollere at vi oppfyller avtalen og artikkel 28.

Kunden kan selv, eller ved en uavhengig revisor med taushetsplikt, revidere behandlingen vår én gang i året, og i tillegg etter et brudd på personopplysningssikkerheten. Revisjonen varsles minst 30 dager i forveien og gjennomføres slik at den ikke forstyrrer driften eller røper andre kunders opplysninger. Kunden dekker egne kostnader.

For underdatabehandlere kan vi vise til deres sertifiseringer og revisjonsrapporter, som Microsofts ISO 27001- og SOC 2-rapporter for Azure.

Kunden kan eksportere oppdragene med arbeidspapirer, revisjonsbevis og revisjonsspor mens avtalen gjelder og i 90 dager etter at den er opphørt.

Arkiverte oppdrag beholdes med lesetilgang så lenge revisorloven krever at de oppbevares, med mindre kunden ber om at de slettes. Andre personopplysninger sletter vi 90 dager etter at avtalen er opphørt, med mindre norsk rett krever at vi lagrer dem.

Slettede data forsvinner fra sikkerhetskopiene når de overskrives etter sju dager, og fra loggene etter 30 dager. Vi bekrefter slettingen skriftlig når kunden ber om det.

Ansvaret overfor de registrerte følger personvernforordningen artikkel 82. Mellom partene gjelder ansvarsbegrensningene i vilkårene så langt loven tillater det.

Avtalen gjelder så lenge vi behandler personopplysninger for kunden. Den reguleres av norsk rett, og tvister løses som beskrevet i vilkårene.

Formål

Å levere Kryssa til kunden: planlegging, gjennomføring, dokumentasjon og arkivering av revisjonsoppdrag, kommunikasjon med kundens klienter i kundeportalen, og drift, sikkerhet og brukerstøtte for tjenesten.

Behandlingens art

Lagring, strukturering, sammenstilling, analyse (som posteringstester og utvalg), visning, eksport, utsending av e-post og sletting.

Registrerte

• ansatte og andre brukere i kundens revisjonsselskap
• kontaktpersoner og brukere av kundeportalen hos kundens klienter
• personer i klientenes regnskap og dokumentasjon, som ansatte, kunder, leverandører, aksjonærer, styremedlemmer og daglig leder
• andre personer som er omtalt i revisjonsbevis eller arbeidspapirer

Personopplysninger

• navn, e-postadresse, rolle og andre kontaktopplysninger
• innloggingsdata: passord-hash, tofaktorinnstillinger, IP-adresse, nettleser og tidspunkt
• revisjonsspor: hvem som har gjort hva, og når
• regnskapsdata fra SAF-T med navn på kunder og leverandører, transaksjoner, beløp og kontonummer
• innholdet i revisjonsbevis, meldinger og arbeidspapirer, som lønnslister, avtaler og kontoutskrifter
• opplysninger fra kundekontroll etter hvitvaskingsloven, som identitet og om noen er politisk eksponert

Særlige kategorier

Revisjonsbevis kan inneholde særlige kategorier av personopplysninger (artikkel 9), som helseopplysninger i dokumentasjon av sykepenger eller fagforeningskontingent i lønnsdata, opplysninger om straffbare forhold (artikkel 10) og fødselsnummer. Kunden bør bare laste opp slike opplysninger når revisjonen krever det.

Varighet

Så lenge avtalen gjelder, og for arkiverte oppdrag så lenge kunden har oppbevaringsplikt etter revisorloven, med mindre kunden ber om sletting.

Drift og lagring i Norge

• Tjenesten driftes i Microsoft Azure i regionen Norway East, i Norge. Databasen og sikkerhetskopiene ligger i samme region.
• Data er kryptert når de lagres, og sendes kryptert med TLS mellom nettleseren, tjenesten og databasen. Tjenesten svarer ikke på ukryptert HTTP.
• Databasen sikkerhetskopieres automatisk og kan gjenopprettes til et hvilket som helst tidspunkt de siste sju dagene.
• Logger fra tjenesten lagres i 30 dager.

Tilgang

• Hvert revisjonsselskaps data er skilt fra andre selskapers. Hver spørring avgrenses til selskapet brukeren tilhører.
• Roller i selskapet (eier, administrator og medarbeider) og på oppdraget (partner, oppdragsansvarlig og medarbeider) styrer hva hver bruker kan gjøre.
• Kontaktpersoner i kundeportalen ser bare forespørsler fra sitt eget revisjonsselskap til sin egen klient.
• Vedlegg lastes bare ned etter at tilgangen er kontrollert på serveren.
• Passord lagres som saltet hash og må ha minst ti tegn.
• Tofaktorinnlogging med autentiseringsapp og engangskoder. Teamsiden viser hvem i selskapet som har slått det på.
• Innloggingslenker til kundeportalen gjelder i 15 minutter, virker én gang og lagres som hash.
• Driftstilgang til produksjonsmiljøet er begrenset til navngitte personer hos oss. Nye versjoner rulles ut automatisk fra kildekoden med føderert identitet, uten lagrede nøkler.

Sporbarhet og integritet

• Endringer i oppdragene skrives til et revisjonsspor med hvem, hva og når.
• Revisjonsbevis lagres med en SHA-256-sjekksum.
• Arkiverte oppdrag er låst for endringer, både i tjenesten og i databasen.

Organisatoriske tiltak

• Skriftlig taushetserklæring for alle som kan få tilgang til kundens data.
• Tilgang gis etter behov og fjernes når den ikke lenger trengs.
• Rutine for å håndtere og varsle om brudd på personopplysningssikkerheten.

Vi bruker ingen KI-tjenester eller andre tredjeparter som behandler kundens data.