Databehandleravtale
Når Arvaka leser regnskapet ditt, behandler vi personopplysninger på dine vegne. Denne avtalen regulerer det, slik personvernforordningen (GDPR) artikkel 28 krever. Den inngås før oppstart og gjelder så lenge du er kunde.
Utkastet bør gjennomgås av en jurist før det brukes. Et trygt alternativ er EU-kommisjonens standardavtale for databehandlere (gjennomføringsbeslutning (EU) 2021/915), med vedleggene nederst på denne siden som utfylling.
1. Partene
Behandlingsansvarlig er kunden: bedriften som tar i bruk Arvaka. Databehandler er Arvaka AS, org.nr. [organisasjonsnummer].
2. Formål og instruks
Arvaka behandler personopplysninger bare for å levere tjenesten: analyser, prognoser, varsler, rapporter og svar til kunden. Vi behandler dem bare etter kundens instruks, som er denne avtalen og kundens bruk av tjenesten. Vi bruker ikke opplysningene til egne formål, selger dem ikke, og bruker dem ikke til å trene KI-modeller.
3. Taushetsplikt
Alle hos Arvaka som får tilgang til opplysningene, har taushetsplikt.
4. Sikkerhet
Vi har tekniske og organisatoriske tiltak som gir et sikkerhetsnivå tilpasset risikoen (artikkel 32). Tiltakene står i vedlegg C.
5. Underleverandører
Kunden godkjenner underleverandørene i vedlegg B. Vi varsler kunden [30] dager før vi tar i bruk en ny underleverandør eller bytter ut en, og kunden kan motsette seg endringen. Hver underleverandør er bundet av de samme pliktene som denne avtalen gir oss.
6. Overføring ut av EU/EØS
Opplysninger overføres bare ut av EU/EØS når det finnes et gyldig overføringsgrunnlag (artikkel 44 til 49). Grunnlaget for hver underleverandør står i vedlegg B.
7. Bistand til kunden
Vi hjelper kunden å svare på henvendelser fra registrerte som vil bruke rettighetene sine, og med vurderinger av personvernkonsekvenser når kunden trenger det.
8. Brudd på sikkerheten
Blir vi kjent med et brudd på personopplysningssikkerheten, varsler vi kunden uten ugrunnet opphold, og senest [48] timer etter at vi ble kjent med det. Vi sier hva vi vet, og følger opp med mer når vi vet mer.
9. Revisjon
Vi gir kunden informasjonen som trengs for å vise at avtalen følges, og gir kunden eller en revisor kunden har valgt adgang til revisjon, med [30] dagers varsel.
10. Varighet og avslutning
Avtalen gjelder så lenge Arvaka leverer tjenesten til kunden. Selve regnskapet ligger i kundens regnskapssystem og blir der. Det vi har lagret, som prognoser, saker, samtaler og kundens egen beskrivelse av bedriften, sletter vi innen [30] dager etter at avtalen er over, også fra sikkerhetskopier, med mindre kunden har bedt om å få det utlevert først.
11. Lovvalg
Avtalen følger norsk rett. Tvister avgjøres ved [Oslo tingrett].
Vedlegg A: Behandlingen
| Hva vi gjør | Leser regnskapsdata fra kundens regnskapssystem (Tripletex) med bare lesetilgang, beregner prognoser og nøkkeltall, lagrer resultatene, skriver analyser og svar med en KI-modell, og sender mandagsbrevet på e-post. |
|---|---|
| Hvem opplysningene gjelder | Kundens ansatte, kundens kunder og leverandører som er enkeltpersoner eller enkeltpersonforetak, kontaktpersoner, og brukerne av tjenesten. |
| Hvilke opplysninger | Navn og kontaktinformasjon fra regnskapet. Fakturaer, betalinger og saldoer knyttet til kunder og leverandører. Lønn som samlet kostnad og antall årsverk; individuelle lønnsslipper leses ikke. Brukernes e-postadresser, meldinger i chatten og valg på saker. |
| Særlige kategorier | Tjenesten er ikke laget for å behandle særlige kategorier av personopplysninger, som helseopplysninger. Bilagstekster i regnskapet kan likevel inneholde slike opplysninger. De behandles da bare som en del av regnskapsdataene. |
| Hvor dataene lagres | Plattformen og databasen hos Render i Frankfurt (EU). Innloggingen hos Supabase i Stockholm (EU). [Gjelder når plattformen er flyttet til Render. Avtalen bør ikke signeres før det.] |
Vedlegg B: Underleverandører
| Leverandør | Hva de gjør for oss | Hvor | Overføringsgrunnlag |
|---|---|---|---|
| Render | Drift av plattformen og databasen | Frankfurt, Tyskland (EU) | [Sjekk Renders databehandleravtale.] |
| Supabase | Innlogging: e-postadresse og passord | Stockholm, Sverige (EU) | [Sjekk Supabases databehandleravtale.] |
| Anthropic | KI-modellen som leser regnskapstall og skriver analyser og svar | USA | [Sjekk: EU–US Data Privacy Framework eller EUs standardavtaler.] |
| Resend | Sending av mandagsbrevet på e-post | USA | EUs standardavtaler og EU–US Data Privacy Framework |
Tripletex er kundens eget regnskapssystem, ikke vår underleverandør: vi leser derfra med tilgangen kunden gir oss. For å varsle om konkurs og avvikling slår vi opp kundens kunder og leverandører i Brønnøysundregistrenes åpne data.
Vedlegg C: Sikkerhetstiltak
- Bare lesetilgang. Tilgangen til regnskapssystemet er stengt som utgangspunkt og åpnet ett verktøy om gangen, bare for lesing. Ingen verktøy som skriver, er tilgjengelige.
- Ingen individuelle lønnsslipper. Verktøyene som leser dem, er ikke åpnet.
- Lukket innlogging. Bare e-postadresser kunden har fått lagt inn, slipper inn. Ingen kan registrere seg selv. Hver forespørsel til serveren kontrolleres.
- Kryptert forbindelse. All trafikk mellom nettleseren, serveren og underleverandørene går over HTTPS.
- Hver kunde for seg. Hver kundes data ligger i en egen database, på en egen disk.
- Sporbare kjøringer. Hver jobb og hvert kall til KI-modellen registreres med tidspunkt og utfall.
- Sikkerhetskopi. [Hver natt, lagret i 14 dager, med én kopi utenfor Render. Fylles inn når det er satt opp.]
- Tilgang hos Arvaka. [Hvem hos Arvaka har tilgang til kundedata, og hvordan den tilgangen er sikret.]
Sist oppdatert [dato].