Databehandleravtale

Sist oppdatert: 19. oktober 2026

Denne avtalen gjelder mellom kunden som bruker Avstemt (behandlingsansvarlig) og Schjønhaug AS, org.nr. 914 469 678, Norge (databehandler), og er en del av vilkårene. Avtalen gjelder fra kunden oppretter konto og så lenge Avstemt behandler personopplysninger på kundens vegne.

1. Formål og omfang

Avstemt lager regnskapsbilag fra kundens utbetalinger hos betalingsleverandører (Stripe, WooPayments/WooCommerce, Vipps MobilePay) og leverer bilagene til kundens regnskapssystem eller regnskapsfører. Databehandleren behandler personopplysninger bare for å levere denne tjenesten, og bare etter kundens dokumenterte instrukser – som er bruken av tjenesten slik kunden har satt den opp (tilkoblinger, kontoplan, mottakere).

2. Hvilke opplysninger og hvem det gjelder

• Kundens brukere: e-postadresse og passord-hash for innlogging.
• Transaksjonsdata fra betalingsleverandøren: beløp, gebyrer, datoer, utbetalings- og transaksjons-ID-er, ordrenummer og transaksjonsbeskrivelser. Beskrivelsene kan i enkelte tilfeller inneholde navn eller e-post til kundens kunder (avhengig av hvordan kunden bruker betalingsleverandøren). Avstemt henter ikke kort- eller kontonumre.
• Bilagsmottak: e-postadresse til regnskapssystemets bilagsmottak eller regnskapsfører, og tilkoblingsnøkler til regnskapssystemet.

3. Hvordan opplysningene behandles og lagres

• Tilgang til betalingsleverandøren skjer med nøkler som kun kan lese. Nøkler til betalingsleverandører og regnskapssystemer lagres kryptert (AES-256-GCM).
• Transaksjonsdata hentes når et bilag lages, og lagres ikke varig. Det som lagres, er kundens innstillinger og en logg over hvilke utbetalinger som er levert (ID-er, tidspunkt, mottaker) – ikke bilagsinnholdet.
• Gratis CSV-konvertering uten konto behandles i minnet og lagres ikke.
• Ved levering til regnskapssystemet (f.eks. PowerOffice Go) opprettes bilaget til godkjenning; Avstemt bokfører, godkjenner eller betaler aldri selv.

4. Taushetsplikt og tilgangsstyring

Bare personer hos databehandleren som trenger det for drift og support, har tilgang, og de har taushetsplikt. Databehandleren ser ikke på kundens data utover det som trengs for å levere tjenesten eller løse en supporthenvendelse kunden har bedt om.

5. Sikkerhet

Databehandleren har tiltak tilpasset risikoen (GDPR art. 32), blant annet: kryptert overføring (HTTPS), kryptering av nøkler i ro, kun lesetilgang mot betalingsleverandører, minste nødvendige rettigheter mot regnskapssystemer, adskillelse av kunder, innlogging med passord-hash, logging, sikkerhetskopier og at nøkler aldri skrives til logger. Tjenesten driftes på server i Norge hos Schjønhaug AS, eksponert via Cloudflare.

6. Underleverandører

Kunden godkjenner at databehandleren bruker følgende underleverandører:

Betalingsleverandøren (Stripe, WooCommerce/WooPayments, Vipps MobilePay) og regnskapssystemet (Fiken, Tripletex, PowerOffice, Visma) er kundens egne leverandører, ikke databehandlerens underleverandører. Stripe behandler betaling av Avstemt-abonnementet som selvstendig behandlingsansvarlig.

Databehandleren varsler om nye eller endrede underleverandører minst 30 dager før endringen, og kunden kan da si opp avtalen.

7. Overføring til land utenfor EØS

Overføring skjer bare med gyldig overføringsgrunnlag etter GDPR kapittel V (som EU–US Data Privacy Framework eller EU-kommisjonens standardkontraktsbestemmelser).

8. Bistand til kunden

Databehandleren bistår kunden med å oppfylle de registrertes rettigheter (innsyn, retting, sletting m.m.), med sikkerhet, avviksvarsling og eventuelle personvernkonsekvensvurderinger, så langt det er rimelig ut fra tjenestens art.

9. Avvik

Databehandleren varsler kunden uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører kundens opplysninger, med den informasjonen kunden trenger for å vurdere og varsle Datatilsynet.

10. Revisjon

Kunden kan be om dokumentasjon på at avtalen overholdes. Databehandleren svarer skriftlig innen rimelig tid. Ytterligere revisjon avtales særskilt, og kunden dekker egne kostnader.

11. Varighet og sletting

Avtalen gjelder så lenge kunden har konto. Kunden kan når som helst slette nøkler, klienter eller hele kontoen selv under Innstillinger. Ved opphør slettes kundens opplysninger senest innen 30 dager, med unntak av det databehandleren er lovpålagt å oppbevare (f.eks. regnskapsdokumentasjon for selve abonnementet). Sikkerhetskopier overskrives fortløpende.

12. Kontakt

Schjønhaug AS · [email protected]

13. Lovvalg

Norsk rett. Avtalen har forrang foran vilkårene ved motstrid om behandling av personopplysninger.