Databehandleravtale

Databehandleravtale for Cerana

Denne avtalen regulerer hvordan Fram Solutions AS behandler personopplysninger for regnskapsbyrået når byrået bruker Cerana, og oppfyller kravene i personvernforordningen (GDPR) artikkel 28.

1. Parter og roller

Avtalen inngås mellom regnskapsbyrået som bruker Cerana («Behandlingsansvarlig») og Fram Solutions AS (org.nr. 938 676 771), Langgårdslia 16, 1622 Gressvik («Databehandler»).

Byråets kunder er behandlingsansvarlige for sine regnskapsopplysninger, og byrået behandler dem på kundenes vegne. Databehandler er da byråets underdatabehandler. For opplysninger om byråets egne ansatte er byrået selv behandlingsansvarlig. «Behandlingsansvarlig» i denne avtalen betyr byrået, enten det opptrer som behandlingsansvarlig eller som databehandler for sine kunder. Byrået sørger for at kundene har gitt den tillatelsen som trengs for denne avtalen.

Avtalen er en del av vilkårene for bruk av Cerana, og aksepteres sammen med vilkårene når byrået signerer tilbudet.

2. Formål, art og varighet

Databehandler behandler personopplysninger for å levere Cerana til Behandlingsansvarlig: en kundeapp der byråets kunder ser status, frister, oppgaver og månedsoppsummering, og en byråkonsoll der byråets ansatte følger opp kundene.

Behandlingen omfatter innhenting av tall fra kundens regnskapssystem, lagring, utregning av fakta, utkast til månedsoppsummering, innlogging, meldinger, opplasting av bilag, varsler og logging. Databehandler fører ikke regnskap.

Behandlingen varer så lenge avtalen om bruk av Cerana gjelder, og deretter til opplysningene er slettet eller tilbakelevert etter punkt 12.

3. Typer personopplysninger

Navn, e-post og eventuelt telefonnummer til byråets ansatte og til kundenes kontaktpersoner og brukere.

Identifikator fra BankID-tjenesten (en tilfeldig id fra innloggingstjenesten). Fødselsnummer lagres aldri.

Regnskapsopplysninger hentet fra kundens regnskapssystem (Tripletex eller PowerOffice Go): saldo og bevegelser per konto og måned, åpne kunde- og leverandørposter med navn på motparten, og banksaldo.

Opplastede bilag og kvitteringer, meldinger mellom byrået og kunden, månedsoppsummeringer og revisjonslogg over hvem som har sett eller endret hva.

4. Kategorier av registrerte

Byråets ansatte, kundenes daglige ledere, kontaktpersoner og andre brukere, og personer som står som motpart i kundenes regnskap eller er nevnt i bilag og meldinger.

5. Behandling etter instruks

Databehandler behandler personopplysninger bare etter dokumenterte instrukser fra Behandlingsansvarlig. Avtalen, vilkårene og byråets bruk av tjenesten utgjør instruksene. Databehandler bruker ikke opplysningene til egne formål. Hvis Databehandler mener at en instruks er i strid med personvernregelverket, varsler Databehandler Behandlingsansvarlig straks.

Krever lov at Databehandler behandler opplysninger på annen måte, varsles Behandlingsansvarlig før behandlingen starter, med mindre loven forbyr det.

6. Taushetsplikt

Alle som arbeider for Databehandler og har tilgang til personopplysningene, har taushetsplikt og får bare tilgang i den grad arbeidet krever det. Taushetsplikten gjelder også etter at avtalen er opphørt.

7. Sikkerhet

Databehandler gjennomfører tekniske og organisatoriske tiltak etter artikkel 32. Tiltakene er beskrevet på sikkerhetssiden, og omfatter blant annet:

Databasen skiller byråene på radnivå. Hver forespørsel kjører med en rolle som bare får tilgang til eget byrås data, og en kunde ser bare sitt eget selskap. Automatiske tester kontrollerer skillet.

All trafikk krypteres under overføring. Tilganger til regnskapssystemer, meldinger, samtaleemner og opplastede filer krypteres i tillegg med en egen nøkkel per byrå. Hver kryptert verdi er bundet til sitt byrå, sin tabell og sin rad, og hovednøkkelen lagres ikke i databasen.

Kundene logger inn med BankID, og byråets ansatte med passnøkkel. Fødselsnummer lagres aldri.

Visninger, godkjenninger, opplastinger, nedlastinger og innlogginger føres i en revisjonslogg. Driftslogger inneholder bare id-er, ikke navn, beløp eller meldingstekst.

Månedsoppsummeringer når kunden først når en regnskapsfører i byrået har godkjent dem, og regelen håndheves i databasen.

8. Underdatabehandlere

Behandlingsansvarlig gir generell tillatelse til at Databehandler bruker disse underdatabehandlerne:

Databehandler varsler Behandlingsansvarlig minst 30 dager før en ny underdatabehandler tas i bruk eller en eksisterende byttes ut. Behandlingsansvarlig kan protestere innen fristen. Hvis partene ikke finner en løsning, kan Behandlingsansvarlig si opp avtalen før endringen trer i kraft.

Databehandler inngår avtaler med underdatabehandlerne som gir minst samme vern som denne avtalen, og er ansvarlig overfor Behandlingsansvarlig for deres behandling.

9. Overføring utenfor EU/EØS

Personopplysninger overføres ikke til land utenfor EU/EØS, unntatt til underdatabehandlerne i listen over. Tekstutkastene lages hos Anthropic utenfor EU/EØS, og Sentry lagrer data i EU men er et amerikansk selskap underlagt amerikansk lov.

Databehandler sørger for at slike overføringer har et gyldig overføringsgrunnlag etter personvernforordningen kapittel V, og opplyser på forespørsel hvilket grunnlag som brukes.

10. Bistand til Behandlingsansvarlig

Databehandler bistår Behandlingsansvarlig med å oppfylle de registrertes rettigheter, som innsyn, retting og sletting. Henvendelser fra registrerte som kommer til Databehandler, sendes videre til Behandlingsansvarlig uten ugrunnet opphold.

Databehandler bistår også, ut fra behandlingens art og opplysningene Databehandler har tilgang til, med sikkerhet, vurderinger av personvernkonsekvenser (DPIA), forhåndsdrøftinger med Datatilsynet og varsling av brudd.

11. Brudd på personopplysningssikkerheten

Databehandler varsler Behandlingsansvarlig uten ugrunnet opphold, og senest innen 36 timer etter å ha blitt kjent med et brudd, slik at Behandlingsansvarlig kan overholde sin frist på 72 timer overfor Datatilsynet. Varselet beskriver så langt det er kjent hva som har skjedd, hvilke opplysninger og registrerte som er berørt, sannsynlige konsekvenser og hvilke tiltak som er satt i verk.

12. Sletting og tilbakelevering

Når avtalen opphører, tilbakeleverer eller sletter Databehandler personopplysningene etter Behandlingsansvarliges valg, senest innen 30 dager, med mindre lov krever at de oppbevares lenger. Kopier hos underdatabehandlere slettes på samme måte.

13. Revisjon og informasjon

Databehandler gir Behandlingsansvarlig den informasjonen som trengs for å vise at avtalen overholdes, og gir mulighet for revisjoner, også inspeksjoner, som Behandlingsansvarlig eller en uavhengig revisor gjennomfører. Revisjoner varsles i rimelig tid og gjennomføres slik at de ikke gir andre kunder innsyn eller unødig forstyrrer driften.

14. Varighet og forrang

Avtalen gjelder så lenge Databehandler behandler personopplysninger for Behandlingsansvarlig. Ved motstrid mellom denne avtalen og vilkårene går denne avtalen foran i spørsmål om personopplysninger. Endringer gjøres etter samme regler som endringer i vilkårene.

15. Kontakt

Spørsmål om avtalen og varsler etter den sendes til kontakt@cerana.no.

Sist oppdatert 15. oktober 2026.