1. Partene og avtalens hensikt
Kunden er behandlingsansvarlig, og Accountera AS (heretter «Accountera» eller «regnskapsforetaket») er databehandler for personopplysninger som behandles på vegne av kunden.
Avtalen regulerer partenes rettigheter og plikter etter GDPR. Den skal sikre at personopplysninger ikke brukes urettmessig eller kommer uberettigede i hende.
Avtalen omfatter innsamling, registrering, sammenstilling, lagring, utlevering og kombinasjoner av disse behandlingene, innenfor rammene av oppdragsavtalen.
2. Formål og personopplysninger
Accountera kan registrere, systematisere og lagre personopplysninger for å utføre oppgavene og overholde fristene i oppdragsavtalen. Hvilke behandlinger som er aktuelle, avhenger av oppdragets omfang.
Opplysningene kan gjelde kundens kontaktpersoner, eiere, ansatte, styremedlemmer og andre personer som fremgår av dokumentasjonen for oppdraget.
| Formål | Typer personopplysninger |
|---|---|
| Kommunikasjon | Navn, adresser, telefonnummer og andre kontaktopplysninger. |
| Ekstern rapportering | Eieropplysninger, fødselsnummer, lønn, arbeidstid, fraværsårsak, stillingsopplysninger og arbeidsvilkår. Rapporteringen kan omfatte årsregnskap, skattemelding, aksjonærregisteroppgave og a-melding. |
| Lønn, ytelser, skattetrekk og innrapportering | Kontaktopplysninger, kontonummer, stilling og arbeidsvilkår, skattetrekk, fravær, naturalytelser og timelister. Medlemskap i fagforening er en særlig kategori av personopplysninger. |
| Forsikringsdekning etter avtale mellom arbeidsgiver og forsikringsselskap | Forsikringsavtaler og opplysninger i egenerklæringsskjemaer. Helseopplysninger er en særlig kategori av personopplysninger. |
| Oppfølging av inngåtte avtaler | Vilkår i aksjonæravtaler, ansettelsesavtaler og avtaler med styret og tilknyttede personer. |
| Utlegg, privatkonto, mellomregning og reiseregninger | Opplysninger om kjøp av varer og tjenester, reiser og oppholdssteder. |
Særlige kategorier av personopplysninger behandles bare når dette inngår i det avtalte oppdraget og behandlingen har nødvendig rettslig grunnlag.
3. Accounteras plikter
Behandlingen skal skje innenfor kundens instrukser og rammene i denne avtalen og tilknyttede lisensavtaler og brukervilkår.
Accountera skal bistå kunden med å oppfylle kravene i GDPR artikkel 32–36 om informasjonssikkerhet og avvikshåndtering. Kunden skal få tilgang til sikkerhetsdokumentasjon og nødvendig bistand til å ivareta sitt ansvar etter lov og forskrift.
Med mindre annet er avtalt eller følger av lov, har kunden rett til tilgang til og innsyn i personopplysningene og systemene som brukes til behandlingen. Accountera skal gi nødvendig bistand og, så langt det er mulig, hjelpe kunden med å oppfylle de registrertes rettigheter etter GDPR kapittel III.
Accountera har taushetsplikt om dokumentasjon og personopplysninger foretaket får tilgang til. Taushetsplikten gjelder også etter at avtalen er avsluttet.
Personopplysninger kan bare utleveres til underleverandører etter punkt 4, ved pålegg fra offentlige myndigheter, for å oppfylle rettslige forpliktelser eller til revisor.
Accountera og underleverandørene skal bare behandle personopplysninger i Norge og EU, med mindre annet er avtalt og lovlig.
4. Underleverandører
Kunden gir Accountera generell fullmakt til å inngå avtaler med underleverandører i den utstrekning det er hensiktsmessig og forsvarlig. Accountera skal sørge for at underleverandørene pålegges de samme avtalemessige forpliktelsene som databehandleren.
Kunden skal informeres skriftlig før behandling av personopplysninger starter hos en underleverandør eller andre som ikke er ansatt i regnskapsforetaket. Dersom kunden motsetter seg ny bruk eller bytte av underleverandør, kan begge parter si opp avtalen med virkning fra datoen behandlingen hos underleverandøren skal starte.
Oversikt over underleverandører og tjenester
Følgende navn inngår i leverandøroversikten. Hvilke tjenester som benyttes i kundens oppdrag, skal fremgå av informasjonen som gis før behandlingen starter.
- Sticos
- Visma Periode & År
- ChatGPT
- Microsoft Office
- Snapbooks AS
Alle som utfører oppgaver på vegne av Accountera og behandler personopplysninger, skal kjenne og oppfylle de relevante avtalemessige og lovbestemte forpliktelsene.
5. Informasjonssikkerhet og avvik
Accountera skal gjennomføre sikkerhetstiltak som oppfyller kravene i GDPR, særlig artikkel 32. Rutiner og tiltak skal dokumenteres. Dokumentasjonen skal være tilgjengelig på kundens forespørsel.
Ved brudd på personopplysningssikkerheten skal Accountera varsle kunden uten ugrunnet opphold. Kunden har ansvaret for å vurdere og oppfylle plikten til å varsle Datatilsynet og berørte registrerte etter GDPR artikkel 33 og 34.
6. Sikkerhetsrevisjoner
Kunden kan be om sikkerhetsrevisjon eller inspeksjon av systemer og andre forhold som omfattes av avtalen. Accountera skal medvirke til at dette gjennomføres innen rimelig tid etter kundens forespørsel.
Accountera har rutiner for risikovurdering og oppfølging. Vesentlige risikoer og tiltak gjennomgås årlig. Gjennomgangen omfatter også systemene som inngår i databehandleravtalen. Risikovurderingen er underlagt revisjon av ekstern revisor.
7. Varighet og endringer
Avtalen gjelder så lenge Accountera behandler personopplysninger på vegne av kunden i henhold til oppdragsavtalen.
Ved brudd på avtalen eller personopplysningsloven kan kunden pålegge Accountera å stoppe videre behandling med øyeblikkelig virkning.
Endringer følger reglene om avtaleendringer i de generelle avtaleklausulene som gjelder for oppdraget.
8. Ved opphør
Når avtalen avsluttes, skal Accountera tilbakelevere personopplysninger som er mottatt på vegne av kunden og omfattes av avtalen.
Dokumenter, data og annet materiale som inneholder slike opplysninger, skal slettes eller destrueres forsvarlig innen rimelig tid, med mindre annet er skriftlig avtalt eller følger av lov. Kunden kan be om umiddelbar sletting, med forbehold om lovpålagt oppbevaring.
Opplysninger som inngår i oppbevaringspliktig oppdragsdokumentasjon, kan måtte oppbevares i opptil ti år. Ved opphør skal Accountera gjennomgå slik dokumentasjon og sørge for at personopplysningene fortsatt ivaretas etter avtalen.
9. Meddelelser
Meddelelser etter denne avtalen skal sendes skriftlig til oppdragsansvarlig hos Accountera. Kontaktinformasjon følger av oppdragsavtalen.
Accountera AS
Statsautorisert regnskapsførerselskap