Databehandleravtale

Du godtar avtalen sammen med vilkårene når du tar foretaket i bruk i Klapp. Se også underdatabehandlerne.

1. Partene og hva avtalen er

Avtalen er mellom foretaket som bruker Klapp («du»), som er behandlingsansvarlig, og Klikk AS, org.nr. 812 589 792, som leverer Klapp («vi»), og som er databehandler.

Den oppfyller kravet til databehandleravtale i personvernforordningen (GDPR) artikkel 28. Den inngås elektronisk når noen godtar vilkårene for Klapp på vegne av foretaket, og er en del av dem. Står noe i vilkårene i strid med denne avtalen, gjelder denne avtalen for behandlingen av personopplysninger.

2. Hva vi behandler for deg

Artikkel 28 nr. 3 første ledd

Gjenstand og formål: Vi behandler personopplysninger på dine vegne når du bruker Klapp til bokføring, bilag, bank, fakturering, lønn, a-melding, timer, årsoppgjør og innsending til myndighetene. Formålet er at du skal kunne føre regnskapet ditt og oppfylle pliktene dine med Klapp.

De registrerte er personer du legger inn opplysninger om:

• eiere, deltakere og aksjonærer
• brukerne du gir tilgang til foretaket
• kundene dine og andre fakturamottakere
• leverandører og andre motparter i bilag og banktransaksjoner
• ansatte og frilansere i lønnsmodulen

Typene opplysninger er:

• navn, adresse, e-postadresse og telefonnummer
• fødselsnummer, som bare lagres kryptert
• organisasjonsnummer, kontonummer, beløp, KID og banktransaksjoner
• bilag, bilagsbilder og kontoutskrifter, og teksten Klapp leser av dem
• fakturaer, kunderegister og leverandørregister
• arbeidsforhold, lønn, skattekort, forskuddstrekk, feriepenger og timer
• kjøreturer med rute og registreringsnummer
• fritekst: kommentarer, notater og meldinger

Klapp er ikke laget for særlige kategorier av personopplysninger (artikkel 9), og du skal ikke registrere slike med vilje. Et bilag eller en fritekst kan likevel inneholde dem, for eksempel en kvittering fra et apotek. De behandles da med samme sikkerhet som alt annet.

Behandlingen består i å lagre, registrere, strukturere, sammenstille, regne ut, vise, overføre dit du ber om (for eksempel en faktura på e-post eller en a-melding til Skatteetaten), lese bilag og kontoutskrifter automatisk med en språkmodell, og slette.

Varighet: så lenge foretaket bruker Klapp, og deretter til opplysningene er slettet eller levert tilbake etter punkt 10.

Avtalen gjelder ikke det vi behandler for egne formål, som brukerkontoer, innlogging, drift, sikkerhet, feilsøking og fakturering av Klapp. Det står i personvernerklæringen. Den gjelder heller ikke regnskapsføring eller årsoppgjør et regnskapsbyrå utfører for deg. Det reguleres av oppdragsavtalen med byrået.

Vi bruker ikke opplysningene dine til egne formål, som markedsføring eller trening av språkmodeller.

3. Dine plikter

Som behandlingsansvarlig er du ansvarlig for:

• at det finnes et rettslig grunnlag for opplysningene du legger inn
• å informere dem opplysningene gjelder, for eksempel de ansatte, etter artikkel 13 og 14
• at opplysningene er riktige og ikke flere enn du trenger
• å gi oss instrukser som er i samsvar med regelverket

Regnskapsmaterialet lagres i EØS, se lista over underdatabehandlere. Trenger du opplysninger om hvor og hvordan det oppbevares for å oppfylle kravene i bokføringsregelverket, gir vi deg dem.

4. Instrukser

Artikkel 28 nr. 3 bokstav a

Vi behandler opplysningene bare etter dokumenterte instrukser fra deg. Instruksene er denne avtalen, vilkårene og det du ber Klapp gjøre når du bruker funksjonene. Det gjelder også overføring ut av EØS: du instruerer oss om å bruke underdatabehandlerne på lista, med overføringsgrunnlaget som står der.

Pålegger loven oss å behandle opplysningene på en annen måte, sier vi fra til deg før vi gjør det, med mindre loven forbyr det.

Mener vi at en instruks er i strid med personvernregelverket, sier vi fra med én gang, og kan vente med å følge den til det er avklart.

5. Taushetsplikt og sikkerhet

Artikkel 28 nr. 3 bokstav b og c, artikkel 32

Alle hos oss som har tilgang til opplysningene, har taushetsplikt, også etter at de slutter. Tilgangen er begrenset til dem som trenger den for drift, feilretting eller hjelp du har bedt om.

Tiltakene vi har i dag:

• All trafikk er kryptert (HTTPS).
• Fødselsnumre krypteres med AES-256-GCM i en serverfunksjon. Nøkkelen finnes bare der og sendes aldri til nettleseren.
• Hvert oppslag av et fødselsnummer logges med hvem og når. Kan oppslaget ikke logges, vises ikke nummeret.
• Tilgangen styres i databasereglene, per foretak og per del av Klapp, ikke bare i skjermbildene. Reglene testes automatisk før hver endring.
• En regnskapsfører ser bare sitt eget byrås kunder.
• En e-postadresse gir ingen tilgang før den er bekreftet.
• Hendelsesloggen kan ikke endres eller slettes, heller ikke av oss fra appen.
• Databasen og alle opplastede filer kopieres til en sikkerhetskopi hver natt, og vi varsles hvis kopieringen feiler.
• Data er kryptert der de lagres, hos leverandørene.

Vi kan endre tiltakene, men ikke slik at sikkerheten blir svakere.

6. Underdatabehandlere

Artikkel 28 nr. 2, nr. 3 bokstav d og nr. 4

Du gir generell tillatelse til at vi bruker underdatabehandlere. De vi bruker, står i lista over underdatabehandlere, med hva de gjør, hvilke opplysninger de får, hvor de behandles og grunnlaget for overføring ut av EØS. Lista har dato for siste endring.

Før vi tar i bruk eller bytter en underdatabehandler, varsler vi deg minst 30 dager i forveien, i Klapp eller på e-post. Du kan protestere innen fristen hvis du har en saklig grunn knyttet til personvernet. Blir vi ikke enige, bruker vi ikke den nye underdatabehandleren for dine opplysninger, eller du kan si opp avtalen før endringen gjelder, uten kostnad.

Hver underdatabehandler er bundet av en skriftlig avtale med de samme pliktene som vi har etter denne avtalen. Vi er ansvarlige overfor deg for at de følger den.

7. Overføring ut av EØS

Kapittel V

Opplysninger går ut av EØS bare når det trengs for å levere Klapp, og bare med et gyldig grunnlag etter kapittel V: EU–US Data Privacy Framework eller EUs standard personvernbestemmelser (SCC), som oppgitt for hver underdatabehandler.

Faller et grunnlag bort, varsler vi deg uten ugrunnet opphold, og enten finner vi et nytt gyldig grunnlag eller stanser overføringen.

8. Hjelp med de registrertes rettigheter

Artikkel 28 nr. 3 bokstav e

Du kan rette og slette opplysninger i Klapp selv, innenfor det bokføringsloven krever at du oppbevarer. Du kan ta ut dataene dine når som helst: hovedboka som SAF-T-fil, og alt samlet, med bilagsbildene og de andre filene, under «Mine data».

Henvender en registrert seg til oss, for eksempel en av dine ansatte, svarer vi ikke selv. Vi sender henvendelsen til deg uten ugrunnet opphold, og hjelper deg med det som ikke kan gjøres i Klapp.

9. Brudd på sikkerheten, og hjelp med dine andre plikter

Artikkel 28 nr. 3 bokstav f, artikkel 32–36

Oppdager vi et brudd på personopplysningssikkerheten som gjelder dine opplysninger, varsler vi deg uten ugrunnet opphold, og senest 48 timer etter at vi oppdaget det. Varselet sier så langt vi vet:

• hva som har skjedd, og hvilke og omtrent hvor mange personer og opplysninger det gjelder
• hvilke følger det sannsynligvis får
• hva vi har gjort og foreslår å gjøre
• hvem du kan kontakte hos oss

Vi hjelper deg med å melde bruddet til Datatilsynet og å varsle dem det gjelder. Vi melder ikke på dine vegne med mindre du ber om det.

Skal du vurdere personvernkonsekvenser (artikkel 35) eller rådføre deg med Datatilsynet (artikkel 36), gir vi deg opplysningene om Klapp du trenger.

10. Når avtalen opphører

Artikkel 28 nr. 3 bokstav g

Du velger om opplysningene skal slettes eller leveres tilbake. Du kan ta ut alt selv før opphør, som beskrevet i punkt 8. Sier du ikke fra, beholder vi opplysningene i 90 dager etter opphør så du kan ta dem ut, og sletter deretter det som ikke må oppbevares. Når slettingen er gjort, bekrefter vi det skriftlig hvis du ber om det.

Regnskapsmateriale, som bilag, fakturaer og posteringer, må oppbevares i fem år etter regnskapsårets slutt (bokføringsloven § 13). Det slettes ikke før oppbevaringstiden er ute, og vi bruker det i den tiden bare til å oppbevare det.

Sikkerhetskopiene:

• Kopiene av databasen slettes etter 30 dager.
• Kopiene av opplastede filer (bilagsbilder, vedlegg, dokumenter) slettes ikke fortløpende, fordi de er regnskapsmateriale. Det gjelder også en fil som er slettet i Klapp. De slettes når oppbevaringstiden for dem er ute.

11. Dokumentasjon og revisjon

Artikkel 28 nr. 3 bokstav h

Vi gir deg opplysningene du trenger for å se at vi følger avtalen: denne avtalen, lista over underdatabehandlere, en beskrivelse av sikkerhetstiltakene, og svar på spørsmål.

Du kan kreve revisjon, også inspeksjon, én gang i året, og i tillegg ved mistanke om brudd eller etter pålegg fra Datatilsynet. Gi beskjed minst 30 dager før, med mindre det gjelder et brudd. Du velger hvem som reviderer. Den som reviderer, skal ha taushetsplikt og får ikke se andre kunders opplysninger. Hver part dekker egne kostnader, med mindre revisjonen viser vesentlige brudd hos oss.

12. Varighet, endringer og lovvalg

Avtalen gjelder så lenge vi behandler opplysninger på dine vegne. Taushetsplikten gjelder også etter at den er slutt.

Vi kan endre avtalen med minst 30 dagers varsel. En endring du må ta stilling til, godtar du i Klapp før den gjelder, som for vilkårene. Lista over underdatabehandlere endres etter punkt 6 uten at resten av avtalen endres.

Ansvaret mellom oss følger vilkårene og personvernforordningen artikkel 82. Ansvarsbegrensningen i vilkårene gjelder ikke for krav fra de registrerte etter artikkel 82.

Avtalen er underlagt norsk rett.

Tillegg for regnskapsbyråer: Sikker melding

Versjon 21. oktober 2026. Byrået godtar tillegget i Klapp før det sender den første sikre meldingen.

1. Hva tillegget gjelder

Tillegget gjelder når et regnskapsbyrå («du») bruker Sikker melding i Klapp til å sende og motta meldinger og filer. For det du sender og mottar, er byrået behandlingsansvarlig og Klikk AS, org.nr. 812 589 792 databehandler.

Databehandleravtalen over gjelder også for Sikker melding, med punktene under i stedet for punkt 2 og punkt 10. Står noe i avtalen i strid med tillegget, gjelder tillegget for Sikker melding.

2. Hva vi behandler for deg

Artikkel 28 nr. 3 første ledd

Gjenstand og formål: å overføre meldinger og filer kryptert mellom byrået og personer som ikke trenger å ha Klapp, og å vise dem til den de er ment for.

De registrerte er:

• byråets kunder og deres ansatte, eiere og kontaktpersoner
• andre som sender til eller får sikre meldinger fra byrået
• byråets egne ansatte som skriver meldingene

Typene opplysninger er:

• navn og e-postadresse, og mobilnummer når byrået vil at koden skal sendes på SMS
• teksten i meldingene og filene som legges ved. De kan inneholde fødselsnummer, kopi av pass eller annen legitimasjon, lønn, skattekort og andre opplysninger avsenderen velger å sende
• en logg over når en kode ble sendt, når mottakeren logget inn, åpnet, lastet ned og svarte

Sikker melding er ikke laget for særlige kategorier av personopplysninger (artikkel 9), men en fil kan inneholde dem, for eksempel en sykmelding. De behandles da med samme sikkerhet som alt annet.

Behandlingen består i å kryptere og lagre meldingene og filene, sende mottakeren en e-post med lenke og en engangskode på e-post eller SMS, vise meldingen for den som har logget inn med koden, sende et varsel til byrået når noe kommer inn, og slette.

3. Sikkerheten i Sikker melding

Artikkel 32

I tillegg til tiltakene i punkt 5 i avtalen:

• Tekst og filer krypteres med AES-256-GCM i en serverfunksjon før de lagres. Nøkkelen finnes bare der.
• E-posten til mottakeren inneholder aldri meldingen eller filene, bare at det finnes en melding, og lenken.
• Lenker og innlogginger lagres bare som hash. For å åpne en melding må mottakeren skrive inn en engangskode. Den sendes på SMS når byrået har oppgitt et mobilnummer, ellers til e-postadressen. Koden gjelder i 10 minutter og tåler fem feil forsøk.
• Byråets ansatte må logge inn med tofaktor. En ansatt med begrenset klienttilgang ser bare meldinger om kundene den ansatte har tilgang til.
• Hver kode, innlogging, åpning og nedlasting logges i tråden, og byrået kan se loggen.

4. Lagringstid og sletting

Artikkel 28 nr. 3 bokstav g

En tråd slettes automatisk 90 dager etter siste melding i den, med filene, loggen og lenkene. Byrået kan slette en tråd før det.

• Filene i Sikker melding tas ikke med i sikkerhetskopiene av filer.
• Kopiene av databasen, der tekstene ligger kryptert, slettes etter 30 dager.

Lagrer byrået en fil fra en melding i en kundes bilagsmottak eller arkiv i Klapp, er den ikke lenger en del av Sikker melding. Da gjelder databehandleravtalen med kunden og oppbevaringen for regnskapsmateriale.

Avslutter byrået bruken, slettes alle trådene innen 90 dager etter siste melding, som ellers.

5. Underdatabehandlere

Sikker melding bruker bare underdatabehandlere som står på lista: Google (lagring), Cloudflare (serverfunksjonene), Resend (e-postene med lenke og kode) og SMS-leverandøren som står der (koden på SMS). Resend får mottakerens e-postadresse og byråets navn, SMS-leverandøren mobilnummeret, byråets navn og koden. Ingen av dem får innholdet.

6. Dine plikter som byrå

• Du har et rettslig grunnlag for å sende og ta imot opplysningene, og informerer de registrerte om det, for eksempel i personvernerklæringen din.
• Du bruker Sikker melding til byråets egen kommunikasjon, ikke til å sende reklame eller post på vegne av andre.
• Du tar vare på det som må oppbevares lenger enn 90 dager, ved å lagre det i Klapp eller et annet sted.