1. Hvem vi er og våre roller
Rapportly er en B2B SaaS-tjeneste for norske regnskapsbyråer, drevet av Rapportly AS, org.nr. 938 473 234.
Rollefordeling etter GDPR: Rapportly AS opptrer som databehandler på vegne av regnskapsbyrået, som er behandlingsansvarlig for sine klienters personopplysninger. Forholdet mellom partene reguleres av en egen databehandleravtale. De registrertes rettigheter (byråets klienter og ansatte) ivaretas primært av det respektive regnskapsbyrået, som igjen kan henvende seg til oss.
Rapportly AS er selv behandlingsansvarlig for opplysninger om kundenes kontaktpersoner og fakturering, for henvendelser til oss, og for opplysninger om kontaktpersoner i regnskapsbyrå vi tar kontakt med om Rapportly (se punkt 2 C og 3).
2. Hvilke opplysninger vi behandler
Vi behandler tre kategorier opplysninger:
A. Brukerkontoer — ansatte i regnskapsbyrået
- Navn, e-postadresse og byrånavn (brukt til autentisering og kontoidentifikasjon)
- Krypterte tilgangsnøkler til regnskapssystemer (f.eks. Tripletex, PowerOffice Go)
- Tekniske logg- og sesjonsdata (innloggingstidspunkter, IP-adresse, nettlesertype)
- Fakturerings- og kontraktsinformasjon
B. Klientdata — byråets klienter
- Klientbedriftens navn og e-postadresse (for levering av rapport)
- Finansdata hentet read-only fra regnskapssystemet: resultatregnskap, balanse, kundefordringer, leverandørgjeld og MVA-data
- Genererte PDF-rapporter
C. Henvendelser og kontakt om Rapportly
- Når du kontakter oss på e-post eller via kontaktskjemaet: navn, e-post, telefon, byrå og det du skriver til oss
- Kontaktpersoner i regnskapsbyrå vi tar kontakt med om Rapportly: navn, rolle, jobb-e-post, telefon og byrå. Opplysningene er hentet fra offentlige kilder: Enhetsregisteret og rolleregisteret i Brønnøysund, Finanstilsynets register over autoriserte regnskapsforetak, regnskapssystemenes offentlige partnerlister og byråenes egne nettsider
Vi henter ikke mer data enn det som er nødvendig for å generere rapporten (dataminimeringsprinsippet, GDPR art. 5(1)(c)).
Om AI-genererte kommentarer: For å lage en kort oppsummerende tekst i rapporten overføres et begrenset sett aggregerte regnskapstall til vår AI-leverandør. Det overføres ikke firmanavn, org.nr., kontaktpersoner eller navngitte kunder/leverandører — disse pseudonymiseres eksplisitt i koden før overføring (kunde-/leverandørnavn erstattes med «Kunde 1 / Leverandør 1»). Kun pseudonymiserte nøkkeltall (omsetning, driftsresultat, årsresultat o.l.) oversendes. Se punkt 5 om tredjelandsoverføring og databehandleravtalen for full liste over underdatabehandlere.
3. Formål og rettslig grunnlag
| Formål | Rettslig grunnlag (GDPR) |
|---|---|
| Opprette og administrere brukerkonto for regnskapsbyråets ansatte | På vegne av byrået, etter databehandleravtalen punkt 2 |
| Koble til regnskapssystemer og hente finansdata | Avtale / berettiget interesse — art. 6(1)(b) og (f) |
| Generere og sende finansrapporter til klienter | Avtale med regnskapsbyrået — art. 6(1)(b) |
| Oppbevare fakturerings- og transaksjonsdata | Rettslig forpliktelse — bokføringsloven — art. 6(1)(c) |
| Teknisk drift, sikkerhet og feilsøking | Berettiget interesse — art. 6(1)(f) |
| Besvare henvendelser og gi kundestøtte | Berettiget interesse — art. 6(1)(f) |
| Kontakte regnskapsbyrå om Rapportly | Berettiget interesse — art. 6(1)(f). Du kan når som helst protestere, se punkt 6 |
Der grunnlaget er berettiget interesse, er interessen vår å levere tjenesten byråene har avtale om, å holde den sikker og feilfri, å svare dem som kontakter oss, og å gjøre Rapportly kjent for regnskapsbyrå tjenesten er laget for. Vi har vurdert at dette ikke går foran dine interesser, blant annet fordi opplysningene gjelder yrkesrollen din og du når som helst kan reservere deg.
4. Oppbevaringstid
Vi lagrer personopplysninger kun så lenge det er nødvendig for formålet de ble innsamlet for.
| Datakategori | Lagringstid |
|---|---|
| Brukerkontodata (navn, e-post, sesjonsdata) | Så lenge kontoen er aktiv. Slettes innen 30 dager etter bekreftet avslutning av avtaleforholdet. |
| Finansdata-snapshot (innhentet fra regnskapssystem under rapportgenerering) | Mellomlagres under rapportgenereringen. Dataene slettes fra arbeidsminnet etter at rapporten er generert; de inngår deretter kun som grunnlag for den lagrede rapporten. |
| Genererte rapporter | Lagres så lenge byrået har avtale med oss. Leverte rapporter kan ikke slettes mens avtalen løper, fordi byrået har plikt til å oppbevare dem. Ved opphør gjelder databehandleravtalen punkt 10. |
| Fakturerings- og transaksjonsdata | 5 år i henhold til bokføringsloven § 13. |
| Tekniske logger (feillogg) | Inntil 90 dager, deretter automatisk sletting. |
| Krypterte sikkerhetskopier | Inntil fem år etter en fast plan. Brukes bare til gjenoppretting. |
| Henvendelser og kontaktskjema | Henvendelser fra kunder: inntil 3 år etter siste kontakt. Henvendelser som ikke fører til et kundeforhold: inntil 12 måneder. |
| Kontaktopplysninger i regnskapsbyrå (punkt 2 C) | Inntil 24 måneder etter siste kontakt. Har du bedt oss om ikke å kontakte deg, beholder vi bare e-postadressen, slik at vi kan respektere det. |
5. Overføring til tredjeland
Vår primære datalagring skjer innenfor EØS. Noen av leverandørene våre er amerikanske selskaper eller behandler data i USA, blant annet til e-post, hosting, kontaktskjemaet på nettsiden og rapportkommentarene. Overføringene skjer på grunnlag av EUs standardavtalevilkår (SCCs) etter GDPR art. 46(2)(c), der det er aktuelt supplert av EU-U.S. Data Privacy Framework (art. 45). For rapportkommentarene gjelder dette:
For å generere en kort oppsummerende tekst i rapporten oversendes et begrenset sett pseudonymiserte finansielle nøkkeltall (med lav re-identifiseringsrisiko) til en underdatabehandler (AI-leverandør) lokalisert i USA. Det overføres ikke firmanavn, org.nr., kontaktpersoner eller navngitte kunder/leverandører. Leverandøren bruker ikke opplysningene til modelltrening, og sletter dem automatisk etter inntil 30 dager. Overføringen skjer på grunnlag av EUs standardavtalevilkår (SCCs, Module 3 — processor-to-processor) i henhold til GDPR art. 46(2)(c), og leverandøren har gjennomført en Transfer Impact Assessment (TIA). Se Databehandleravtalen for leverandørens fulle navn og kontaktinformasjon.
En fullstendig liste over alle underdatabehandlere, inkludert region og overføringsgrunnlag, finnes i Databehandleravtalen, som inngås med hver kunde (regnskapsbyrå) og gjøres tilgjengelig ved avtaleinngåelse eller på forespørsel.
Analyse: Nettstedet bruker Vercel Web Analytics og Google Analytics til besøksstatistikk. Begge lastes kun hvis du samtykker til statistikk i cookie-banneret. Vercel Web Analytics setter ikke informasjonskapsler og lagrer ikke vedvarende identifikatorer. Google Analytics setter informasjonskapsler (_ga og _ga_97VHS0PLWM, inntil 2 år) og innebærer overføring av data til Google i USA (på grunnlag av EUs standardavtalevilkår og/eller EU-U.S. Data Privacy Framework). Behandlingsgrunnlaget er samtykke (personvernforordningen art. 6 nr. 1 bokstav a, jf. ekomloven § 3-15). Valget ditt lagres i nettleseren i 6 måneder. Du kan avslå, og trekke tilbake samtykket når som helst via lenken «Informasjonskapsler» nederst på siden.
Telling av lenker: Vi teller også på serveren hvor mange som åpner eksempelrapporten og kommer via lenker vi selv har merket, for eksempel i e-post. Bare et tall per dag og kilde lagres – ingen IP-adresse, ingen informasjonskapsel og ingenting om deg eller nettleseren din.
6. Dine rettigheter
Som registrert har du etter GDPR følgende rettigheter:
- Innsyn (art. 15) — du kan be om kopi av opplysninger vi har om deg
- Retting (art. 16) — du kan kreve at uriktige opplysninger korrigeres
- Sletting (art. 17) — «retten til å bli glemt», der vilkårene er oppfylt
- Begrensning (art. 18) — du kan kreve at behandlingen begrenses i visse tilfeller
- Dataportabilitet (art. 20) — du kan motta egne data i et maskinlesbart format
- Innsigelse (art. 21) — du kan protestere mot behandling basert på berettiget interesse
Brukerkontoen din — inkludert tilhørende data — kan eksporteres eller slettes på forespørsel. Send e-post til hei@rapportly.no, så behandler vi henvendelsen innen 30 dager.
Kontakt om Rapportly: Vil du ikke at vi kontakter deg om Rapportly igjen, svar på e-posten eller skriv til hei@rapportly.no. Da stopper vi straks, uten unntak (art. 21(3)).
Merk: Dersom du er klient hos et regnskapsbyrå som bruker Rapportly, er byrået behandlingsansvarlig for dine opplysninger, og du bør primært henvende deg til dem.
Automatisert beslutningstaking: Rapportly benytter ikke automatisert beslutningstaking eller profilering som har rettslig virkning eller på tilsvarende måte i betydelig grad påvirker deg, jf. GDPR art. 22.
7. Sikkerhetsbrudd
Ved et sikkerhetsbrudd som kan innebære risiko for de registrerte, vil Rapportly AS varsle berørte regnskapsbyråer (behandlingsansvarlige) uten ugrunnet opphold, og normalt innen 48 timer etter at vi er blitt kjent med bruddet, jf. GDPR art. 33(2) og Databehandleravtalen pkt. 8. Dersom ikke all nødvendig informasjon er tilgjengelig innen denne fristen, gis et foreløpig varsel og supplerende informasjon oversendes uten ugrunnet opphold. Byråene er selv ansvarlige — som behandlingsansvarlige — for å vurdere og gjennomføre videre varsling til Datatilsynet innen 72 timer (art. 33) og til sine klienter der det er nødvendig (art. 34).
8. Klagerett
Dersom du mener vi behandler personopplysninger i strid med GDPR, kan du klage til Datatilsynet (datatilsynet.no). Vi oppfordrer deg likevel til å ta kontakt med oss først, slik at vi kan løse eventuelle misforståelser direkte.
9. Kontakt
Spørsmål om personvern og utøvelse av rettigheter rettes til:
Vi svarer normalt innen to virkedager.