Databehandleravtale – Bokholderen

Denne avtalen regulerer hvordan Kreativ Tørke AS behandler personopplysninger på vegne av butikken når butikken bruker Bokholderen. Den oppfyller kravene i personvernforordningen (GDPR) artikkel 28 nr. 3, som gjelder som norsk lov etter personopplysningsloven § 1. Oppbygningen følger malen Datatilsynet viser til for databehandleravtaler.

1. Parter

Behandlingsansvarlig: virksomheten som eier Shopify-butikken der Bokholderen er installert («butikken»). Butikken identifiseres med sitt Shopify-domene (*.myshopify.com). Avtalen inngås når eieren av butikken godtar den i oppsettet i appen.

Databehandler: Kreativ Tørke AS, org.nr. [ORG.NR KREATIV TØRKE AS], [ADRESSE KREATIV TØRKE AS] («Kreativ Tørke AS»).

2. Avtalens formål og forhold til andre avtaler

1. Avtalen sikrer at personopplysninger som Kreativ Tørke AS behandler på vegne av butikken, behandles i samsvar med personvernregelverket.
2. Avtalen gjelder sammen med vilkårene for Bokholderen (/vilkar). Ved motstrid går denne avtalen foran for alt som gjelder behandling av personopplysninger.
3. Noen av opplysningene i punkt 5 bruker Kreativ Tørke AS også til egne formål: revisjonsloggen til sikkerhet og sporbarhet, og eiers e-postadresse til beskjeder om tjenesten. For dette, og for support og loggen over aksepterte databehandleravtaler, er Kreativ Tørke AS selv behandlingsansvarlig. Det er beskrevet i del B av personvernerklæringen (/personvern).
4. «Vi» i denne avtalen betyr Kreativ Tørke AS.

3. Formål med og art av behandlingen

Formål. Bokholderen fører butikkens dag fra Shopify i Fiken som ett dagsoppgjør etter at en bruker i butikken har signert dagen. Behandlingen skjer bare for å levere denne tjenesten:

• synk av ordre, transaksjoner og refusjoner fra Shopify
• bygging av dagsoppgjør per dato, med merknader der noe ikke kan avgjøres sikkert
• føring i Fiken etter signering: salg, innbetalinger, kreditnota og PDF-bilag
• korreksjon av ordre som endres etter at dagen er ført
• morgenvarsel på e-post når en dag er klar eller har merknader
• MCP-tilgang for verktøy eieren har godkjent, hvis eieren slår det på

Art. Innhenting fra Shopify (GraphQL Admin API med read_orders og read_all_orders, ikke read_customers), lesing av PayPal-gebyret fra kvitteringen Shopify lagrer på en PayPal-betaling, lagring i Postgres hos Railway i EU West, sammenstilling per dag, overføring til butikkens Fiken-konto når dagen signeres, og sletting etter punkt 11.

Kjøpers navn og adresse leses bare i transitt. Bokføringsforskriften § 5-1-1 krever at salgsdokumentet for nettsalg viser kjøpers navn og adresse. Når en dag signeres, leses derfor kjøpers navn og fakturaadresse (leveringsadresse hvis fakturaadresse mangler) for dagens ordre fra Shopify. Opplysningene finnes bare i minnet mens PDF-bilaget lages, sendes til Fiken som vedlegg til dagens salg, og lagres aldri hos Bokholderen. Bilaget ligger deretter i Fiken, i butikkens regnskap.

PayPal-kvitteringen leses bare ved inntak. Kvitteringen Shopify lagrer på en PayPal-betaling, er PayPal sin ordre og inneholder også kjøpers navn, e-post, telefon og adresse. Bokholderen leser bare brutto, gebyr, netto og PayPal-referansen. Resten forkastes med en gang og lagres eller logges aldri. Bokholderen kobler seg ikke til PayPal.

Ordre-id-er er personopplysninger. Bokholderen lagrer ikke kundenavn, e-post, telefon eller adresse. Ordrenumre, transaksjons-id-er og beløp kan likevel knyttes til en kjøper i butikkens egne systemer, og behandles derfor som personopplysninger etter denne avtalen.

4. Kategorier av registrerte

• Butikkens kunder (kjøpere i nettbutikken).
• Butikkens ansatte som bruker appen i Shopify-admin.
• Butikkens eier, gjennom e-postadressen for morgenvarsel (se punkt 2.3).

5. Kategorier av personopplysninger

Tabellen er den samme som i personvernerklæringen og i App Store-listingen.

Lagres aldri:

• kundenavn, kunde-e-post, telefon, adresse
• rå ordre (raw_json) og receiptJson utover PayPal-beløpene og referansen
• PDF-bilaget
• kundedata i logger eller MCP-svar

Logging: bare id-er. Kall som inneholder persondata logges aldri med body. Feiltekster fra Fiken og Shopify vaskes for feltverdier før lagring. Ingen Sentry.

Det behandles ingen særlige kategorier av personopplysninger (artikkel 9) og ingen opplysninger om straffedommer og lovovertredelser (artikkel 10).

6. Varighet

Avtalen gjelder fra eieren godtar den i appen og så lenge butikken har Bokholderen installert. Pliktene om taushet, sikkerhet og sletting gjelder til alle personopplysninger er slettet etter punkt 11.

7. Instruks

1. Kreativ Tørke AS behandler personopplysningene bare etter dokumentert instruks fra butikken, med mindre noe annet følger av lov (artikkel 28 nr. 3 bokstav a).
2. Instruksen er denne avtalen, sammen med butikkens egne valg i appen: oppsett, startdato, kontovalg, valg i merknader, signering av dager, «Før manuelt», roller og MCP.
3. Utover det som står i punkt 2.3, bruker Kreativ Tørke AS ikke opplysningene til egne formål. De brukes aldri til statistikk på tvers av butikker eller til markedsføring, og de selges eller deles ikke.
4. Mener Kreativ Tørke AS at en instruks strider mot personvernregelverket, varsles butikken straks.

8. Taushetsplikt

Bare personer hos Kreativ Tørke AS som trenger det for drift eller for en konkret supportsak, får tilgang til opplysningene. Kreativ Tørke AS sørger for at hver av dem har forpliktet seg skriftlig til taushet før tilgangen gis, også for tiden etter at de har sluttet (artikkel 28 nr. 3 bokstav b). Tilgang til butikkens data skjer bare ved supportsak, og loggføres alltid (punkt 9).

9. Sikkerhet

Kreativ Tørke AS gjennomfører tekniske og organisatoriske tiltak etter artikkel 32. De er beskrevet nærmere i behandlingsprotokollen, som butikken får på forespørsel (punkt 15):

• Legitimasjon til Shopify og Fiken er kryptert med AES-256-GCM med butikkens egen nøkkel. Butikknøklene ligger innpakket med en hovednøkkel fra miljøet, i en egen database med bare daglig backup, som beholdes i 6 dager. Hovednøkkelen ligger ikke i en database eller i koden, og rotasjonsrutinen er dokumentert.
• Tenant-isolasjon: all tilgang til forretningsdata går gjennom en tenant-avgrenset databasetilgang og row-level security i Postgres. Det er tester som viser at én butikk ikke kan lese en annen butikks data.
• Innlogging skjer bare via Shopify, med session token fra App Bridge som verifiseres på hver forespørsel. Bokholderen har ingen egne passord.
• MCP krever OAuth 2.1 med PKCE og godkjenning fra eier inne i appen. Tokens lagres bare som hash og sendes aldri i URL-er.
• Roller og signeringsrett: eier, signerer og leser. Bare eier og signerer kan signere en dag.
• Kryptert overføring (TLS) mellom nettleser, Bokholderen, Shopify, Fiken og Lettermint.
• Logging med bare id-er. Feiltekster vaskes for feltverdier før de lagres. Ingen tredjeparts feilsporing.
• Avhengighetsskanning i CI.
• Adskilt test og produksjon: utvikling og test skjer mot en utviklingsbutikk i Shopify og et testforetak i Fiken, aldri mot ekte data.
• Operatørtilgang til butikkens data skjer bare ved en supportsak, alltid loggført i butikkens revisjonslogg med handlingen operator.access.

10. Bistand til butikken

1. De registrertes rettigheter (artikkel 28 nr. 3 bokstav e). Kreativ Tørke AS bistår gjennom Shopifys personvern-webhooks, som besvares innen 30 dager:
   • customers/data_request: det som finnes om kundens ordre (ordrenumre, beløp, datoer, og betalingene og refusjonene til ordren, også for en ordre fra før startdatoen) gjøres tilgjengelig for eksport for butikken. Ingen kundefelt finnes å eksportere.
   • customers/redact: ingen kundefelt finnes å slette i Bokholderen. Forespørselen loggføres, og butikken får beskjed om at bilagene i Fiken tilhører regnskapet deres og blir liggende.
   • shop/redact: alle butikkens data slettes.
   • Henvendelser som kommer direkte fra en registrert, sendes videre til butikken uten at Kreativ Tørke AS svarer på vegne av butikken.
2. Annen bistand (artikkel 28 nr. 3 bokstav f): Kreativ Tørke AS gir butikken den informasjonen som trengs for butikkens egne vurderinger, blant annet notatet om vurdering av personvernkonsekvenser (DPIA), og bistår ved eventuell forhåndsdrøftelse med Datatilsynet.

11. Sletting og tilbakelevering

Ved avinstallasjon slettes butikkens krypteringsnøkkel med en gang ved app/uninstalled, etter at tilgangen til Fiken er trukket tilbake. Legitimasjonen til Shopify og Fiken kan da ikke leses, heller ikke fra en backup av databasen alene. Alt annet hos Bokholderen slettes 48 timer etter app/uninstalled, også om shop/redact aldri kommer. Kopier hos underdatabehandlerne slettes etter deres faste frister: backuper hos Railway etter tabellen under, og sendte morgenvarsler hos Lettermint etter 28 dager.

Mens butikken er aktiv gjelder disse fristene:

Ansatte som har sluttet fjernes av eieren under Personvern og tilgang, i delen Roller. Shopify-id-en og rollen slettes da fra users, og fjerningen loggføres i revisjonsloggen.

Backuper roterer ut etter Railways rotasjon og brukes bare til gjenoppretting etter driftsavbrudd. Gjenopprettes en backup, slettes data og krypteringsnøkler for butikker som er avinstallert etter at backupen ble tatt, før tjenesten startes igjen.

Tilbakelevering. Før avinstallasjon kan eieren eksportere det Bokholderen har lagret, under Personvern og tilgang i appen. Det som har betydning for regnskapet, ligger allerede i Fiken.

Operatørdata (aksept av denne avtalen) holdes adskilt og slettes ikke med butikkens data (punkt 16).

12. Brudd på personopplysningssikkerheten

1. Kreativ Tørke AS varsler butikken uten ugrunnet opphold og senest innen 24 timer etter å ha blitt kjent med et brudd som berører butikkens data. Varselet gis med banner i appen og e-post til eier, slik at butikken rekker sin egen frist på 72 timer mot Datatilsynet (artikkel 33).
2. Varselet beskriver så langt det er kjent: hva som har skjedd, hvilke kategorier og omtrent hvor mange registrerte og registreringer som er berørt, sannsynlige konsekvenser, hvilke tiltak som er satt i verk, og hvem butikken kan kontakte. Er ikke alt kjent innen fristen, gis opplysningene trinnvis.
3. Shopify varsles etter app-vilkårene. Kreativ Tørke AS har en skriftlig rutine for brudd, som butikken får på forespørsel.
4. Kontakt ved brudd: sikkerhet@krto.no.

13. Underdatabehandlere

Godkjente underdatabehandlere. Butikken gir generell skriftlig godkjenning til at Kreativ Tørke AS bruker disse underdatabehandlerne (artikkel 28 nr. 2):

• Railway: Railway Corporation, 548 Market St PMB 68956, San Francisco, California 94104, USA. Railways egne underleverandører står på trust.railway.com/item/subprocessors.
• Lettermint: Lettermint B.V., Zwolle, Nederland. Lettermint beholder sendte e-poster med mottakeradresse, innhold og leveringshendelser i 28 dager og sletter dem deretter. Fristen kan ikke endres. Morgenvarselet inneholder dato, sum, status og antall merknader, aldri kundedata.

Varsel om nye underdatabehandlere: minst 14 dager, eller så snart vi selv blir varslet hvis leverandøren gir kortere frist. Varselet gis med banner i appen og e-post til eier. Butikken kan protestere innen fristen. Kan protesten ikke imøtekommes, kan butikken avslutte ved å avinstallere appen, og data slettes etter punkt 11.

Samme plikter. Kreativ Tørke AS pålegger underdatabehandlerne de samme pliktene som følger av denne avtalen (artikkel 28 nr. 4), og er ansvarlig overfor butikken for at de oppfyller dem.

Ikke underdatabehandlere. Shopify og Fiken er butikkens egne leverandører, som butikken har egne avtaler med. Bokholderen henter data fra Shopify og sender data til Fiken etter butikkens instruks. Det samme gjelder en MCP-klient eieren selv godkjenner. Den får dagsdata uten kundefelt. PayPal er heller ikke underdatabehandler: PayPal-gebyret leses fra kvitteringen i Shopify, og Bokholderen kobler seg ikke til PayPal.

14. Overføring til tredjeland

Railway er et amerikansk selskap. EU-region betyr at dataene lagres i EU, ikke at det ikke skjer overføring. Overføringer dekkes av DPF eller SCC i Railways databehandleravtale.

Lettermint er et nederlandsk selskap og behandler e-post i EU. Andre overføringer til land utenfor EU/EØS skjer ikke uten varsel etter punkt 13.

15. Dokumentasjon og revisjon

1. Kreativ Tørke AS gjør tilgjengelig all informasjon som trengs for å vise at pliktene i denne avtalen og artikkel 28 er oppfylt (artikkel 28 nr. 3 bokstav h): denne avtalen, behandlingsprotokollen, notatet om personvernkonsekvenser, rutinene for brudd, nøkkelrotasjon og operatørtilgang, og Railways revisjonsrapporter (SOC 2) så langt Railway tillater at de deles.
2. Butikken, eller en uavhengig revisor med taushetsplikt som butikken utpeker, kan gjennomføre revisjon med [VARSELFRIST FOR REVISJON] varsel, høyst én gang i året, og i tillegg etter et brudd på sikkerheten. Hver part bærer egne kostnader, med mindre revisjonen avdekker vesentlige brudd på avtalen fra Kreativ Tørke AS.

16. Aksept og versjoner

1. Eieren av butikken godtar avtalen i oppsettet i appen. Aksepten loggføres i operator_dpa_acceptances med butikkens domene, avtaleversjonen, eierens Shopify-bruker-id (sub) og tidspunktet. Loggen tilhører Kreativ Tørke AS, holdes adskilt fra butikkens data og slettes ikke med dem, fordi den dokumenterer at avtalen ble inngått.
2. Hver versjon har et nummer. Vesentlige endringer får et nytt versjonsnummer, varsles med [VARSELFRIST FOR ENDRINGER] varsel og må godtas av eier i appen. Nye underdatabehandlere varsles etter punkt 13.

17. Ansvar

1. Hver part er ansvarlig etter personvernforordningen artikkel 82.
2. Pliktene Kreativ Tørke AS har som databehandler etter personvernregelverket og denne avtalen, kan ikke avtales bort. Ansvarsbegrensningene i vilkårene gjelder ikke for slike plikter i den grad ufravikelig lov er til hinder for det, og aldri ved grov uaktsomhet eller forsett.
3. Butikken er ansvarlig for at behandlingen har rettslig grunnlag, blant annet bokføringsplikten etter bokføringsloven, og for å informere sine kunder.

18. Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister som ikke løses i minnelighet, avgjøres av norske domstoler med [VERNETING] som avtalt verneting.

Endringslogg

Plassholdere

Fylles inn før avtalen publiseres. Denne delen fjernes når alle er fylt inn.