Siffer | Databehandleravtale

Sist oppdatert: 3. november 2026

Databehandleravtale i henhold til artikkel 28 nr. 3 i Europaparlamentets og Rådets forordning (EU) 2016/679 (personvernforordningen) om databehandlerens behandling av personopplysninger

mellom

Kunden, heretter «den behandlingsansvarlige»,

Siffer Systemer AS, org.nr. 923 344 101, Stortingsgata 28, 0161 Oslo, Norge, heretter «databehandleren»,

som hver for seg er en «part» og sammen utgjør «partene».

Partene har avtalt følgende vilkår («Vilkårene») for å overholde personvernforordningen og sikre beskyttelse av fysiske personers grunnleggende rettigheter og friheter.

1. Innhold

Innledning
Den behandlingsansvarliges rettigheter og plikter
Databehandleren handler etter instrukser
Konfidensialitet
Sikkerhet ved behandlingen
Bruk av underdatabehandlere
Overføring til tredjeland eller internasjonale organisasjoner
Bistand til den behandlingsansvarlige
Underretning om brudd på personopplysningssikkerheten
Sletting og returnering av opplysninger
Revisjon, herunder inspeksjon
Partenes avtale om andre forhold
Ikrafttredelse og opphør
Kontaktpersoner hos den behandlingsansvarlige og databehandleren

Vedlegg A: Opplysninger om behandlingen
Vedlegg B: Underdatabehandlere
Vedlegg C: Instruks for behandling av personopplysninger
Vedlegg D: Partenes regulering av andre forhold

2. Innledning

Disse Vilkårene fastsetter den behandlingsansvarlige og databehandlerens rettigheter og plikter når databehandleren utfører behandling av personopplysninger på vegne av den behandlingsansvarlige.
Disse Vilkårene er utformet for å sikre partenes etterlevelse av artikkel 28 nr. 3 i Europaparlamentets og Rådets forordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (personvernforordningen).
I forbindelse med leveringen av regnskapssystemet Siffer behandler databehandleren personopplysninger på vegne av den behandlingsansvarlige i overensstemmelse med disse Vilkårene.
Vilkårene har forrang i forhold til eventuelle tilsvarende bestemmelser i andre avtaler mellom partene.
Det er fire vedlegg til disse Vilkårene, og vedleggene utgjør en integrert del av Vilkårene.
Vedlegg A inneholder nærmere opplysninger om behandlingen av personopplysninger, herunder om behandlingens formål og art, typen av personopplysninger, kategoriene av registrerte og behandlingens varighet.
Vedlegg B inneholder den behandlingsansvarliges betingelser for databehandlerens bruk av underdatabehandlere og en liste over underdatabehandlere som den behandlingsansvarlige har godkjent.
Vedlegg C inneholder den behandlingsansvarliges instruks når det gjelder databehandlerens behandling av personopplysninger, en beskrivelse av de sikkerhetstiltakene som databehandleren som minimum skal gjennomføre, og hvordan revisjoner av databehandleren og eventuelle underdatabehandlere skal utføres.
Vedlegg D inneholder bestemmelser om andre aktiviteter som ikke er omfattet av Vilkårene.
Vilkårene med tilhørende vedlegg skal oppbevares skriftlig, herunder elektronisk, av begge parter.
Disse Vilkårene fritar ikke databehandleren fra plikter som databehandleren er pålagt etter personvernforordningen eller annen lovgivning.

3. Den behandlingsansvarliges rettigheter og plikter

Den behandlingsansvarlige er ansvarlig for å sikre at behandlingen av personopplysninger skjer i overensstemmelse med personvernforordningen (se personvernforordningen artikkel 24), gjeldende personopplysningsvernbestemmelser i unionsretten eller medlemsstatenes nasjonale rett og disse Vilkårene. Henvisninger til «medlemsstater» i disse Vilkårene skal forstås som en henvisning til stater som er del av Det europeiske økonomiske samarbeidsområdet (EØS-stater).
Den behandlingsansvarlige har rett og plikt til å bestemme formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.
Den behandlingsansvarlige er ansvarlig for, blant annet, å sikre at det foreligger et behandlingsgrunnlag for behandlingen av personopplysninger som databehandleren instrueres om å gjøre.

4. Databehandleren handler etter instrukser

Databehandleren skal bare behandle personopplysninger etter dokumenterte instrukser fra den behandlingsansvarlige, med mindre noe annet kreves av unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt. Disse instruksene skal være spesifisert i vedlegg A og C. Etterfølgende instrukser kan også gis av den behandlingsansvarlige mens det skjer behandling av personopplysninger, men instruksene skal alltid være dokumenterte og oppbevares skriftlig, herunder elektronisk, sammen med disse Vilkårene.
Databehandleren skal omgående underrette den behandlingsansvarlige dersom en instruks fra den behandlingsansvarlige, etter databehandlerens mening, er i strid med personvernforordningen eller gjeldende personopplysningsvernbestemmelser i unionsretten eller medlemsstatenes nasjonale rett.

5. Konfidensialitet

Databehandleren kan bare gi tilgang til personopplysninger som behandles på den behandlingsansvarliges vegne til personer underlagt databehandlerens instruksjonsmyndighet som har forpliktet seg til konfidensialitet eller er underlagt en passende lovbestemt taushetsplikt, og bare i det nødvendige omfang. Listen av personer som har fått tilgang skal gjennomgås fortløpende. På bakgrunn av en slik gjennomgang kan tilgangen til personopplysninger stenges dersom den ikke lenger er nødvendig, og personopplysningene skal deretter ikke lenger være tilgjengelig for disse personene.
Databehandleren skal etter anmodning fra den behandlingsansvarlige kunne påvise at de aktuelle personene underlagt databehandlerens instruksjonsmyndighet er underlagt ovennevnte taushetsplikt.

6. Sikkerhet ved behandlingen

Personvernforordningen artikkel 32 fastslår at, idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige og databehandleren gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen. Den behandlingsansvarlige skal vurdere risikoene for fysiske personers rettigheter og friheter som behandlingen utgjør og gjennomføre tiltak for å imøtegå disse risikoene. Avhengig av relevans kan tiltakene omfatte:
1. pseudonymisering og kryptering av personopplysninger
2. evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene og -tjenestene
3. evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger i rett tid dersom det oppstår en fysisk eller teknisk hendelse
4. en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er.
Ifølge personvernforordningen artikkel 32 skal databehandleren, uavhengig av den behandlingsansvarlige, også vurdere risikoene for fysiske personers rettigheter og friheter som behandlingen utgjør, og gjennomføre tiltak for å imøtegå risikoene. Med henblikk på denne vurderingen skal den behandlingsansvarlige stille den nødvendige informasjonen til rådighet for databehandleren som gjør vedkommende i stand til å identifisere og vurdere slike risikoer.
Databehandleren skal også bistå den behandlingsansvarlige med å overholde den behandlingsansvarliges plikter etter personvernforordningen artikkel 32, ved blant annet å stille til den behandlingsansvarliges rådighet nødvendig informasjon om de tekniske og organisatoriske sikkerhetstiltakene som databehandleren allerede har gjennomført i henhold til personvernforordningen artikkel 32, samt all annen informasjon som er nødvendig for at den behandlingsansvarlige skal kunne overholde sine plikter etter personvernforordningen artikkel 32. Hvis imøtegåelse av de identifiserte risikoene etter den behandlingsansvarliges vurdering krever at det gjennomføres flere tiltak enn det databehandleren allerede har gjennomført, skal den behandlingsansvarlige angi disse tiltakene i vedlegg C.

7. Bruk av underdatabehandlere

Databehandleren skal oppfylle betingelsene som er fastsatt i personvernforordningen artikkel 28 nr. 2 og nr. 4 for å gjøre bruk av en annen databehandler (en underdatabehandler).
Databehandleren må således ikke bruke en underdatabehandler for å oppfylle Vilkårene uten på forhånd å ha innhentet en generell skriftlig godkjennelse fra den behandlingsansvarlige.
Databehandleren har den behandlingsansvarliges generelle godkjennelse til å benytte underdatabehandlere. Databehandleren skal skriftlig underrette den behandlingsansvarlige om eventuelle planlagte endringer som gjelder tilføyelse eller utskiftning av underdatabehandlere med minst 14 dagers varsel, og dermed gi den behandlingsansvarlige mulighet til å motsette seg slike endringer før den eller de beskrevne underdatabehandlerne engasjeres. Lengre varslingsfrister for spesifikke underdatabehandlertjenester kan angis i vedlegg B. Listen over underdatabehandlere som den behandlingsansvarlige allerede har godkjent, fremgår av vedlegg B.
Når databehandleren engasjerer en underdatabehandler for å utføre spesifikke behandlingsaktiviteter på vegne av den behandlingsansvarlige, skal underdatabehandleren pålegges de samme forpliktelsene med hensyn til vern av personopplysninger som er fastsatt i disse Vilkårene, ved hjelp av en avtale eller et annet rettslig dokument i henhold til unionsretten eller medlemsstatenes nasjonale rett, der det særlig gis tilstrekkelige garantier for at det vil bli gjennomført tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i personvernforordningen. Databehandleren er derfor ansvarlig for å kreve at underdatabehandleren som minimum overholder databehandlerens forpliktelser etter disse Vilkårene og personvernforordningen.
En kopi av slik underdatabehandleravtale og eventuelle etterfølgende endringer skal, ved den behandlingsansvarliges anmodning, sendes til den behandlingsansvarlige, som på denne måten har mulighet for å sørge for at underdatabehandleren er pålagt de samme forpliktelsene med hensyn til vern av personopplysninger som er fastsatt i disse Vilkårene. Kommersielle bestemmelser som ikke påvirker det personopplysningsvernrettslige innholdet av underdatabehandleravtalen, er ikke underlagt kravet om kopi til den behandlingsansvarlige.
Hvis underdatabehandleren ikke oppfyller sine personopplysningsvernforpliktelser, blir databehandleren fullt ut ansvarlig overfor den behandlingsansvarlige når det gjelder oppfyllelse av underdatabehandlerens forpliktelser. Dette påvirker ikke de registrertes rettigheter etter personvernforordningen, særlig de nedfelt i personvernforordningen artikkel 79 og 82, overfor den behandlingsansvarlige og databehandleren, herunder underdatabehandleren.

8. Overføring til tredjeland eller internasjonale organisasjoner

Databehandleren kan kun overføre personopplysninger til tredjeland eller internasjonale organisasjoner etter dokumentert instruks fra den behandlingsansvarlige, og slik overføring skal alltid skje i overensstemmelse med personvernforordningen kapittel V.
Hvis overføring av personopplysninger til tredjeland eller internasjonale organisasjoner, som databehandleren ikke er blitt instruert av den behandlingsansvarlige om å gjennomføre, kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt, skal databehandleren underrette den behandlingsansvarlige om nevnte rettslige krav før behandlingen, med mindre denne retten av hensyn til viktige allmenne interesser forbyr en slik underretning.
Uten dokumentert instruks fra den behandlingsansvarlige kan databehandleren innenfor rammene av disse Vilkårene således ikke:
1. overføre personopplysninger til en behandlingsansvarlig eller databehandler i et tredjeland eller en internasjonal organisasjon
2. overlate behandling av personopplysninger til en underdatabehandler i et tredjeland
3. behandle personopplysningene i et tredjeland.
Den behandlingsansvarliges instruks når det gjelder overføring av personopplysninger til et tredjeland, herunder det eventuelle overføringsgrunnlaget i personvernforordningen kapittel V som overføringen er basert på, skal angis i vedlegg C.6.
Disse Vilkårene skal ikke forveksles med standard personvernbestemmelser som omhandlet i personvernforordningen artikkel 46 nr. 2 bokstav c og d, og disse Vilkårene kan ikke utgjøre et grunnlag for overføring av personopplysninger under personvernforordningen kapittel V.

9. Bistand til den behandlingsansvarlige

Databehandleren bistår, idet det tas hensyn til behandlingens art og i den grad det er mulig, ved hjelp av egnede tekniske og organisatoriske tiltak, den behandlingsansvarlige med å oppfylle vedkommendes plikt til å svare på anmodninger som den registrerte inngir med henblikk på å utøve sine rettigheter fastsatt i personvernforordningen kapittel III. Dette innebærer at databehandleren så langt det er mulig skal bistå den behandlingsansvarlige i oppfyllelsen av:
1. opplysningsplikten ved innsamling av personopplysninger fra den registrerte
2. opplysningsplikten dersom personopplysninger ikke er blitt samlet inn fra den registrerte
3. den registrertes rett til innsyn
4. retten til retting
5. retten til sletting («retten til å bli glemt»)
6. retten til begrensning av behandling
7. underretningsplikten i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling
8. retten til dataportabilitet
9. retten til å protestere
10. retten til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisk behandling, herunder profilering.
I tillegg til databehandlerens forpliktelse til å bistå den behandlingsansvarlige i henhold til punkt 6.3, bistår databehandleren også, idet det tas hensyn til behandlingens art og den informasjonen som er tilgjengelig for databehandleren, den behandlingsansvarlige med:
1. den behandlingsansvarliges forpliktelse ved brudd på personopplysningssikkerheten til uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det, å melde bruddet til den kompetente tilsynsmyndigheten, Datatilsynet, med mindre bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter
2. den behandlingsansvarliges forpliktelse til uten ugrunnet opphold å underrette den registrerte om bruddet på personopplysningssikkerheten når det er sannsynlig at bruddet vil medføre en høy risiko for fysiske personers rettigheter og friheter
3. den behandlingsansvarliges forpliktelse til før behandlingen å foreta en vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for personopplysningsvernet (vurdering av personvernkonsekvenser)
4. den behandlingsansvarliges forpliktelse til å rådføre seg med den kompetente tilsynsmyndigheten, Datatilsynet, før behandlingen dersom en vurdering av personvernkonsekvenser tilsier at behandlingen vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen.
Partene skal i vedlegg C oppgi de egnede tekniske og organisatoriske tiltakene som databehandleren skal bistå den behandlingsansvarlige gjennom, samt omfanget og utstrekningen av den påkrevde bistanden. Dette gjelder forpliktelsene som følger av punkt 9.1 og 9.2.

10. Underretning om brudd på personopplysningssikkerheten

Ved brudd på personopplysningssikkerheten skal databehandleren underrette den behandlingsansvarlige om bruddet uten ugrunnet opphold etter å ha fått kjennskap til det.
Databehandlerens underretning til den behandlingsansvarlige skal om mulig skje innen 48 timer etter at databehandleren har fått kjennskap til bruddet på personopplysningssikkerheten, slik at den behandlingsansvarlige kan overholde sin forpliktelse til å melde bruddet til den kompetente tilsynsmyndigheten, jf. personvernforordningen artikkel 33.
I overensstemmelse med punkt 9.2 bokstav a skal databehandleren bistå den behandlingsansvarlige med å melde bruddet til den kompetente tilsynsmyndigheten. Det innebærer at databehandleren skal bistå med å fremskaffe informasjonen listet opp nedenfor, som ifølge personvernforordningen artikkel 33 nr. 3 skal fremgå av den behandlingsansvarliges melding av bruddet til den kompetente tilsynsmyndigheten:
1. arten av bruddet på personopplysningssikkerheten, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt
2. de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten
3. de tiltakene som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.
Partene skal i vedlegg C oppgi all informasjon som databehandleren skal fremskaffe når vedkommende bistår den behandlingsansvarlige med å melde brudd på personopplysningssikkerheten til den kompetente tilsynsmyndigheten.

11. Sletting og returnering av opplysninger

Ved opphør av databehandlertjenestene skal databehandleren slette alle personopplysninger som er blitt behandlet på vegne av den behandlingsansvarlige og bekrefte overfor den behandlingsansvarlige at opplysningene er slettet, med mindre unionsretten eller medlemsstatenes nasjonale rett krever oppbevaring av personopplysningene.

12. Revisjon, herunder inspeksjon

Databehandleren skal stille til den behandlingsansvarliges disposisjon all informasjon som er nødvendig for å påvise etterlevelse av forpliktelsene etter personvernforordningen artikkel 28 og disse Vilkårene. Videre skal databehandleren muliggjøre og bidra til revisjoner, herunder inspeksjoner, som utføres av den behandlingsansvarlige eller en annen revisor som er bemyndiget av den behandlingsansvarlige.
Prosedyrene for den behandlingsansvarliges revisjoner, herunder inspeksjoner, av databehandleren og underdatabehandlere er spesifisert i vedlegg C.7.
Databehandleren forplikter seg til å gi tilsynsmyndighetene, som etter gjeldende lovgivning har tilgang til den behandlingsansvarliges eller databehandlerens lokaler, eller representanter som opptrer på slike tilsynsmyndigheters vegne, adgang til databehandlerens fysiske lokaler ved presentasjon av behørig legitimasjon.

13. Partenes avtale om andre forhold

Partene kan avtale andre bestemmelser som gjelder databehandlertjenestene, for eksempel erstatningsansvar, så lenge disse andre bestemmelsene ikke direkte eller indirekte strider mot disse Vilkårene eller er til skade for den registrertes grunnleggende rettigheter og friheter og beskyttelsen som følger av personvernforordningen.

14. Ikrafttredelse og opphør

Vilkårene trer i kraft ved signering av Siffer Systemer AS’ partneravtale eller ved elektronisk aksept av Siffer Systemer AS’ brukeravtale, som inngås ved opprettelse av bruker i databehandlerens programvare.
Begge partene kan kreve Vilkårene reforhandlet dersom lovendringer eller uhensiktsmessigheter i Vilkårene gir grunn til dette.
Vilkårene gjelder så lenge databehandlertjenestene varer. I denne perioden kan Vilkårene ikke sies opp, med mindre partene avtaler andre vilkår som regulerer levering av databehandlertjenestene.
Hvis leveringen av databehandlertjenestene opphører, og personopplysningene er slettet eller returnert til den behandlingsansvarlige i overensstemmelse med punkt 11.1 og vedlegg C.4, kan Vilkårene sies opp med skriftlig varsel av begge partene.

15. Kontaktpersoner hos den behandlingsansvarlige og databehandleren

Databehandler: Siffer Systemer AS, Stortingsgata 28, 0161 Oslo. E-post: kontakt@siffer.no. Telefon: +47 969 05 330.

Behandlingsansvarlig: Som angitt ved signering av Siffer Systemer AS’ partneravtale eller ved opprettelse av bruker i databehandlerens programvare.

Partene forplikter seg til å orientere hverandre løpende om endringer som gjelder kontaktinformasjon.

Vedlegg A: Opplysninger om behandlingen

A.1 Formålet med databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige er: at den behandlingsansvarlige skal kunne benytte seg av databehandlerens tjenester i henhold til inngått bruker- eller partneravtale.

A.2 Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige skal primært dreie seg om (behandlingens art): at databehandleren leverer, drifter og yter kundestøtte for sitt skybaserte regnskapssystem, herunder automatisk tolkning av bilag for å foreslå føringer.

A.3 Behandlingen omfatter følgende typer personopplysninger om de registrerte: navn, e-postadresse, telefonnummer, adresse, bankopplysninger, IP-adresser, lønns- og ansettelsesopplysninger og andre generelle personopplysninger som den behandlingsansvarlige fører inn i eller henter inn til tjenesten.

Ved bruk av lønnsfunksjonene omfatter behandlingen også fødselsnummer og D-nummer, opplysninger om skattetrekk, og fravær som sykefravær, foreldrepermisjon, permisjon og permittering. Opplysninger om sykefravær er helseopplysninger, og trekk av fagforeningskontingent viser fagforeningsmedlemskap. Begge er særlige kategorier av personopplysninger etter personvernforordningen artikkel 9. Den behandlingsansvarlige skal bare registrere slike opplysninger når det er nødvendig for lønn, rapportering til offentlige myndigheter eller andre plikter som arbeidsgiver.

A.4 Behandlingen omfatter følgende kategorier av registrerte: ansatte, brukere, klienter, kontakter, kunder, leverandører eller liknende.

A.5 Varighet: Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige kan begynne etter at Vilkårene har trådt i kraft. Behandlingen er ikke tidsbegrenset og avsluttes ved opphør av tjenestene i henhold til bruker- eller partneravtale.

Vedlegg B: Underdatabehandlere

B.1 Godkjente underdatabehandlere

Ved Vilkårenes ikrafttredelse godkjenner den behandlingsansvarlige bruken av følgende underdatabehandlere:

Navn	Adresse	Beskrivelse av behandlingen	Lokasjon
Amazon Web Services EMEA SARL, org.nr. 921 416 873	c/o Kvale Advokatfirma DA, Haakon VIIs gate 10, 0161 Oslo	Drift av skytjenesten, database, fillagring, sikkerhetskopiering, e-post inn og ut, tekstgjenkjenning og automatisk tolkning av bilag	EU (Stockholm og Irland)
HubSpot Ireland Ltd.	1 Sir John Rogerson’s Quay, Dublin 2, Irland	Kundestøtte og CRM	USA
Google Ireland Ltd.	Gordon House, Barrow Street, Dublin 4, Irland	Intern e-post og arbeidsverktøy	EU og USA
TrackJS LLC	USA	Feilrapporter fra appen	USA

Ved Vilkårenes ikrafttredelse har den behandlingsansvarlige godkjent bruken av underdatabehandlerne over for den behandlingsaktiviteten som er beskrevet for hver av dem. Databehandleren kan ikke, uten den behandlingsansvarliges eksplisitte skriftlige godkjennelse, benytte en underdatabehandler til en annen behandlingsaktivitet enn den som er avtalt for vedkommende, eller bruke en annen underdatabehandler til den beskrevne behandlingsaktiviteten.

B.2 Varsel for godkjennelse av underdatabehandlere

Databehandleren har den behandlingsansvarliges generelle godkjenning for bruk av underdatabehandlere. Databehandleren må varsle den behandlingsansvarlige skriftlig om planlagte endringer angående tillegg eller utskifting av underdatabehandlere med minst 30 dagers varsel, og dermed gi den behandlingsansvarlige muligheten til å motsette seg slike endringer før underdatabehandleren tas i bruk. Dette er den lengre fristen som punkt 7.3 åpner for.

Varselet sendes på e-post til adressen den behandlingsansvarlige har registrert i tjenesten eller i partneravtalen. Samtidig oppdateres listen i B.1 på denne siden, med dato for endringen. Listen her er alltid den gjeldende.

Den behandlingsansvarlige kan motsette seg endringen innen fristen ved å skrive til kontakt@siffer.no. Partene skal da forsøke å finne en løsning. Lykkes ikke det, kan den behandlingsansvarlige si opp avtalen før den nye underdatabehandleren tas i bruk.

Vedlegg C: Instruks for behandling av personopplysninger

C.1 Behandlingens gjenstand og instruks for behandlingen

Databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige skjer ved at databehandleren stiller tjenesten til rådighet, utfører nødvendig vedlikehold av systemet og yter nødvendig support ved forespørsel.

Når den behandlingsansvarlige eller dennes brukere kobler tjenesten til andre tjenester, som bank, Altinn, Skatteetaten, eFaktura, EHF, Folio eller et KI-verktøy via MCP eller API, utgjør dette en dokumentert instruks om å utveksle opplysninger med den aktuelle tjenesten. Slike tjenester er ikke databehandlerens underdatabehandlere.

C.2 Informasjonssikkerhet

Databehandleren skal igangsette og gjennomføre hensiktsmessige tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som samsvarer med risikoen for behandlingsvirksomheten som utføres av databehandleren.

Databehandleren har rett og plikt til å treffe beslutninger om hvilke tekniske og organisatoriske sikkerhetstiltak som skal gjennomføres for å etablere det nødvendige og avtalte sikkerhetsnivået.

Databehandleren skal likevel under enhver omstendighet og som minimum gjennomføre følgende tiltak, som er avtalt med den behandlingsansvarlige:

Kryptere personopplysninger i den grad det er hensiktsmessig.
Ha mulighet til å gjenopprette tilgjengelighet og tilgang til personopplysninger dersom det oppstår en fysisk eller teknisk hendelse, ved å ha minimum to tilgjengelighetssoner, samt sikkerhetskopi på adskilt fysisk lokasjon.
Regelmessig teste, vurdere og evaluere de tekniske og organisatoriske tiltakenes effektivitet.
Tilgang til opplysninger via internett sikres ved kryptering, virtuelle private nett og tilgangskontroll ved hjelp av roller og gateways.
Beskyttelse av opplysninger ved overføring sikres ved kryptering.

C.3 Bistand til den behandlingsansvarlige

Databehandleren skal i den grad det er mulig, i det nedenfor beskrevne omfang og utstrekning, bistå den behandlingsansvarlige i samsvar med punkt 9.1 og 9.2 ved å gjennomføre følgende tekniske og organisatoriske tiltak:

Ved den behandlingsansvarliges forespørsel skal databehandleren bistå så langt det er mulig med passende tekniske og organisatoriske tiltak, med oppfyllelse av den behandlingsansvarliges forpliktelse til å svare på forespørsler om utøvelse av de registrertes rettigheter.

Ved en registrerts forespørsel til databehandleren om utøvelse av sine rettigheter skal databehandleren varsle den behandlingsansvarlige om dette uten ugrunnet opphold.

Dersom det er hensiktsmessig, skal databehandleren også bistå den behandlingsansvarlige ved en bestemt forespørsel for å sikre overholdelse av den behandlingsansvarliges forpliktelser med hensyn til:

gjennomføring av tekniske og organisatoriske tiltak
sikkerhetsbrudd
formidling av brudd på den registrertes personopplysningssikkerhet
gjennomføring av konsekvensanalyser
konsultasjon med Datatilsynet eller andre tilsynsmyndigheter.

C.4 Oppbevaringsperiode og sletteprosedyrer

Ved opphør av databehandlertjenestene skal databehandleren enten slette eller levere tilbake personopplysningene i overensstemmelse med punkt 11.1, med mindre den behandlingsansvarlige etter at Vilkårene trådte i kraft har endret sitt opprinnelige valg. Slike endringer skal være dokumentert og oppbevares skriftlig, herunder elektronisk, sammen med Vilkårene.

C.5 Lokasjon for behandling

Behandling av personopplysninger skjer hovedsakelig på databehandlerens og underdatabehandlernes lokasjoner. Databehandlingen kan finne sted på andre lokasjoner av databehandlerens ansatte dersom tilfredsstillende sikkerhetstiltak er ivaretatt.

C.6 Instruks for overføring av personopplysninger til tredjeland

Personopplysninger lagres og behandles i EU/EØS. Unntaket er underdatabehandlerne i vedlegg B med lokasjon USA. Den behandlingsansvarlige instruerer databehandleren om å benytte disse, og overføringen bygger på EU–US Data Privacy Framework (personvernforordningen artikkel 45) eller EUs standard personvernbestemmelser (artikkel 46 nr. 2 bokstav c).

Utover dette kan ikke databehandleren, innenfor rammene av Vilkårene, overføre personopplysninger til et tredjeland eller en internasjonal organisasjon uten en dokumentert instruks fra den behandlingsansvarlige.

C.7 Prosedyrer for den behandlingsansvarliges revisjoner, herunder inspeksjoner, av behandlingen av personopplysninger som er overlatt til databehandleren

Den behandlingsansvarlige kan kontrollere at databehandleren overholder personvernforordningen, gjeldende bestemmelser om vern av personopplysninger i unionsretten eller medlemsstatenes nasjonale rett og Vilkårene. Kontrollen skjer trinnvis:

Dokumentasjon. På skriftlig forespørsel gir databehandleren en beskrivelse av sikkerhetstiltakene og konklusjonen fra databehandlerens årlige interne revisjon. Databehandleren gir også de sertifiseringene og revisjonsrapportene underdatabehandlerne har, så langt vilkårene for rapportene tillater det.
Revisjon. Er dokumentasjonen ikke tilstrekkelig, kan den behandlingsansvarlige selv, eller en revisor som er underlagt taushetsplikt, gjennomføre en revisjon. Den behandlingsansvarlige sender en skriftlig revisjonsplan med omfang og tidspunkt minst 30 dager før. Revisjonen gjennomføres i vanlig arbeidstid, uten unødig forstyrrelse av driften og uten innsyn i andre kunders opplysninger.
Inspeksjon. Fysisk inspeksjon kan bare kreves når særlige forhold tilsier det, som ved høy risiko for lovbrudd eller betydelig tap. Serverne drives av underdatabehandlerne i vedlegg B, og for dem skjer kontrollen gjennom deres egne revisjonsrapporter og sertifiseringer.

Revisjon og inspeksjon kan kreves høyst én gang per kalenderår, med mindre et brudd på personopplysningssikkerheten gir særlig grunn til det.

Den behandlingsansvarlige dekker sine egne kostnader ved revisjon og inspeksjon, og databehandlerens tid etter D.2.

Dette punktet begrenser ikke tilsynsmyndighetenes adgang etter punkt 12.3.

Vedlegg D: Partenes regulering av andre forhold

D.1 Regnskapsvirksomhet som kunde

Dersom kunden er en regnskapsvirksomhet etter norsk lov, gjelder Regnskap Norges kravspesifikasjoner ved utkontraktering av system- og driftsoppgaver fra regnskapsvirksomheten til andre, som gjengitt på regnskapnorge.no/kravspesifikasjon_utkontraktering.

D.2 Vederlag for bistand

Databehandleren har rett til å kreve et vederlag for bistand etter punkt 9, 10 og 12, såfremt bistanden ikke skyldes et brudd fra databehandleren.

D.3 Regnskapsvirksomhet som bruker tjenesten for sine klienter

Når Kunden er en regnskapsvirksomhet som har avtale med Siffer og bruker tjenesten til oppdrag for sine klienter, er klienten behandlingsansvarlig for opplysningene i klientens regnskap. Kunden er da databehandler for klienten, og Siffer er Kundens underdatabehandler. Vilkårene gjelder mellom Kunden og Siffer, og Kunden trer i den behandlingsansvarliges sted. Kunden bekrefter at klienten har godkjent bruken av Siffer og underdatabehandlerne i vedlegg B, og Kunden formidler klientens instrukser til Siffer. Varsler etter vedlegg B.2 gis til Kunden, som sender dem videre til klientene.

Når klienten selv har avtale med Siffer og gir regnskapsvirksomheten tilgang, er klienten den behandlingsansvarlige etter Vilkårene. Regnskapsvirksomheten er da en bruker som klienten har gitt tilgang, og behandlingen regnskapsvirksomheten gjør, reguleres av avtalen mellom klienten og regnskapsvirksomheten.