Personvernerklæring – Bokholderen

Bokholderen er en app i Shopify App Store som fører en butikks dag fra Shopify i Fiken som ett dagsoppgjør, etter at en bruker i butikken har signert dagen. Appen er bygget for å ikke ha kundedata liggende.

Erklæringen har to deler:

• Del A gjelder opplysninger Kreativ Tørke AS behandler på vegne av butikken. Der er butikken behandlingsansvarlig, og Kreativ Tørke AS er databehandler.
• Del B gjelder opplysninger Kreativ Tørke AS behandler for egne formål. Der er Kreativ Tørke AS behandlingsansvarlig.

Hvem som står bak

Kreativ Tørke AS, org.nr. [ORG.NR KREATIV TØRKE AS], [ADRESSE KREATIV TØRKE AS].

Kreativ Tørke AS har ikke personvernombud. Spørsmål om personvern sendes til hjelp@krto.no.

Del A – butikken er behandlingsansvarlig

A1. Roller

Butikken som har installert Bokholderen, er behandlingsansvarlig for opplysninger om sine kunder. Kreativ Tørke AS behandler dem bare på vegne av butikken og etter butikkens instruks, etter databehandleravtalen (/databehandleravtale).

Er du kunde i en butikk som bruker Bokholderen, skal du kontakte butikken om dine opplysninger. Henvendelser som kommer til oss, sendes videre til butikken.

A2. Hva som behandles, hvor og hvor lenge

Lagres aldri:

• kundenavn, kunde-e-post, telefon, adresse
• rå ordre (raw_json) og receiptJson utover PayPal-beløpene og referansen
• PDF-bilaget
• kundedata i logger eller MCP-svar

Logging: bare id-er. Kall som inneholder persondata logges aldri med body. Feiltekster fra Fiken og Shopify vaskes for feltverdier før lagring. Ingen Sentry.

«Så lenge tenanten er aktiv» betyr så lenge butikken har appen installert. Revisjonsloggen og eiers e-postadresse er også omtalt i del B, fordi Kreativ Tørke AS bruker dem til egne formål.

En Shopify-ansatt legges til i users første gang hen åpner appen. Eieren fjerner ansatte som har sluttet under Personvern og tilgang, i delen Roller. Id-en og rollen slettes da, og revisjonsloggen viser at brukeren ble fjernet.

Ordrenumre, transaksjons-id-er og beløp kan knyttes til en kjøper i butikkens egne systemer, og regnes derfor som personopplysninger selv om Bokholderen ikke lagrer navn eller kontaktopplysninger.

A3. Formål

Opplysningene brukes bare til å levere tjenesten til butikken:

• synke ordre, transaksjoner og refusjoner fra Shopify
• bygge dagsoppgjøret per dato og vise merknader der noe ikke kan avgjøres sikkert
• føre dagen i Fiken etter signering: salg, innbetalinger, kreditnota og PDF-bilag
• oppdage ordre som er endret etter at dagen er ført
• sende morgenvarsel når en dag er klar eller har merknader
• svare MCP-verktøy eieren har godkjent

Utover dette brukes revisjonsloggen og eiers e-postadresse også til formålene i del B. Opplysningene brukes ikke til markedsføring, profilering, statistikk på tvers av butikker eller andre formål, og de selges ikke.

A4. Hvorfor kjøpers navn og adresse er med

Bokføringsforskriften § 5-1-1 krever at salgsdokumentet for nettsalg viser kjøpers navn og adresse. Når en dag signeres, leses kjøpers navn og fakturaadresse (leveringsadresse hvis fakturaadresse mangler) fra ordren i Shopify. De settes inn i PDF-bilaget, som lastes opp til dagens salg i Fiken. Opplysningene finnes bare i minnet mens bilaget lages, og lagres aldri hos Bokholderen. E-post og telefonnummer hentes aldri fra ordren.

A5. Hvor opplysningene kommer fra

• Shopify: ordre, transaksjoner og refusjoner, hentet med tilgangene read_orders og read_all_orders. Bokholderen ber ikke om tilgang til kundeobjektet (read_customers). Navn og adresse leses fra ordrens fakturerings- og leveringsadresse, og bare når bilaget lages.
• PayPal-kvitteringen i Shopify: for en PayPal-betaling leses brutto, gebyr, netto og PayPal-referansen fra kvitteringen Shopify lagrer på transaksjonen (receiptJson). Kvitteringen er PayPal sin ordre og inneholder også kjøpers navn, e-post, telefon og adresse. Bare beløpene og referansen leses ut. Resten forkastes med en gang og lagres eller logges aldri. Bokholderen kobler seg ikke til PayPal og har ingen PayPal-nøkler.
• Brukerne i butikken: valg i oppsett og merknader, signering og eiers e-postadresse for morgenvarsel.

A6. Hvem opplysningene deles med

• Fiken, butikkens eget regnskapssystem, når en dag signeres: salget, innbetalingene, kreditnotaen og bilaget.
• En MCP-klient eieren selv har slått på og godkjent. Den får dagsdata og ordrenumre, aldri kundefelt.
• Underdatabehandlere:

Railway er et amerikansk selskap. EU-region betyr at dataene lagres i EU, ikke at det ikke skjer overføring. Overføringer dekkes av DPF eller SCC i Railways databehandleravtale.

Lettermint (Lettermint B.V., Nederland) behandler e-post i EU. Lettermint beholder sendte morgenvarsler, med mottakeradresse, innhold og leveringshendelser, i 28 dager og sletter dem deretter. Fristen er fast hos Lettermint og kan ikke endres.

Nye underdatabehandlere varsles minst 14 dager, eller så snart vi selv blir varslet hvis leverandøren gir kortere frist.

A7. Oppbevaring og sletting

Backuper brukes bare til gjenoppretting etter driftsavbrudd. Opplysninger om en avinstallert butikk er borte fra alle backuper senest når den siste backupen fra før slettingen har rotert ut. Butikkenes krypteringsnøkler ligger i en egen database, nøkkellageret, som har kortere backup enn resten. Derfor kan legitimasjonen til en avinstallert butikk ikke leses fra en backup av databasen alene. Unntaket er backuper av databasen tatt før legitimasjonen ble flyttet til butikkens nøkkel, da nøkkel per butikk ble innført. De har legitimasjonen kryptert med hovednøkkelen og er borte når de har rotert ut.

Sendte morgenvarsler ligger hos Lettermint i 28 dager etter at de ble sendt (A6), også etter at butikken har avinstallert appen.

Bilagene og føringene i Fiken er butikkens regnskap og slettes ikke av Bokholderen. Butikken har selv ansvar for oppbevaringen etter bokføringsloven.

A8. Rettighetene til kundene

Kunder i butikken utøver rettighetene sine overfor butikken. Kreativ Tørke AS hjelper butikken gjennom Shopifys personvern-webhooks:

• Innsyn (customers/data_request): det som finnes om kundens ordre (ordrenumre, beløp, datoer, og betalingene og refusjonene til ordren, også for en ordre fra før startdatoen), gjort tilgjengelig for butikken. Ingen kundefelt finnes å eksportere.
• Sletting (customers/redact): Bokholderen har ingen kundefelt å slette. Forespørselen loggføres. Bilagene i Fiken tilhører butikkens regnskap og blir liggende.
• Butikken slettes (shop/redact): alle butikkens data slettes.

A9. Sikkerhet

• Legitimasjon til Shopify og Fiken er kryptert med AES-256-GCM med butikkens egen nøkkel. Butikknøklene ligger innpakket med en hovednøkkel fra miljøet, i en egen database med kort backup, og rotasjonsrutinen er dokumentert. Butikkens nøkkel slettes når appen avinstalleres.
• Hver butikks data er skilt fra de andre med tenant-avgrenset databasetilgang og row-level security i Postgres.
• Innlogging skjer bare via Shopify. Bokholderen har ingen egne passord.
• MCP krever OAuth 2.1 med PKCE og godkjenning fra eier i appen. Tokens lagres bare som hash.
• All trafikk er kryptert (TLS). Loggene inneholder bare id-er.
• Kreativ Tørke AS ser på butikkens data bare ved en supportsak, og det loggføres alltid.

A10. Brudd på sikkerheten

Berørte butikker varsles innen 24 timer, med banner i appen og e-post til eier, slik at de rekker sin egen frist på 72 timer mot Datatilsynet. Shopify varsles etter app-vilkårene. Kontakt: sikkerhet@krto.no.

Del B – Kreativ Tørke AS er behandlingsansvarlig

B1. Revisjonslogg

• Hva: hvem som gjorde hva og når, med bare id-er: id-en til brukeren i appen (eller «system» eller MCP-klientens id), handlingen (for eksempel signering, endret oppsett, endret rolle, MCP-godkjenning eller operatørtilgang), id-en til det handlingen gjaldt, og tidspunktet.
• Hvorfor: sikkerhet og sporbarhet – å kunne vise hvem som signerte en dag eller endret oppsettet, og at Kreativ Tørke AS bare har sett på butikkens data ved en supportsak.
• Grunnlag: berettiget interesse (personvernforordningen artikkel 6 nr. 1 bokstav f) i en sikker og etterprøvbar tjeneste.
• Hvor lenge: så lenge butikken har appen installert. Slettes med butikkens øvrige data 48 timer etter avinstallasjon.

B2. Support

• Hva: navn, e-postadresse og innholdet i henvendelser til hjelp@krto.no og sikkerhet@krto.no.
• Hvorfor: for å svare på henvendelsen og følge opp saken.
• Grunnlag: avtalen med butikken (artikkel 6 nr. 1 bokstav b) og berettiget interesse i å kunne svare (bokstav f).
• Hvor lenge: [OPPBEVARINGSTID SUPPORT].
• Hvor: e-posten ligger hos [E-POSTLEVERANDØR FOR KRTO.NO].
• Send ikke kundeopplysninger i henvendelser. Ordrenummer er nok til å finne en ordre.

B3. Logg over aksepterte databehandleravtaler

• Hva: butikkens Shopify-domene, avtaleversjonen, Shopify-bruker-id-en (sub) til eieren som godtok, og tidspunktet.
• Hvorfor: for å kunne dokumentere at det finnes en skriftlig databehandleravtale med hver butikk (artikkel 28 nr. 9 og artikkel 5 nr. 2).
• Grunnlag: rettslig forpliktelse (artikkel 6 nr. 1 bokstav c) og berettiget interesse (bokstav f).
• Hvor lenge: holdes adskilt og slettes ikke med butikkens data. Slettes [OPPBEVARINGSTID AVTALEAKSEPT].

B4. Eiers e-postadresse for morgenvarsel

• Hva: e-postadressen eieren selv oppgir i oppsettet (tenants.notify_email).
• Hvorfor: morgenvarsel når en dag er klar eller har merknader, og beskjeder om tjenesten: brudd på sikkerheten, nye underdatabehandlere og endrede vilkår.
• Grunnlag: avtalen med butikken (artikkel 6 nr. 1 bokstav b).
• Hvor lenge: til den endres, og senest til butikkens data slettes 48 timer etter avinstallasjon. Lettermint beholder sendte varsler, med mottakeradressen, i 28 dager etter sending.
• Hvem: e-posten sendes gjennom Lettermint i EU. Varselet inneholder dato, sum, status og antall merknader, aldri kundedata.

B5. Abonnement og betaling

Shopify fakturerer butikken for appen og betaler ut til Kreativ Tørke AS. Betalingsopplysninger for abonnementet kommer aldri til Bokholderen. Bokholderen lagrer bare hvilket nivå butikken har (plan_status).

B6. Tekniske logger og informasjonskapsler

• Bokholderen bruker ikke informasjonskapsler til sporing eller analyse, og har ingen tredjeparts analyseverktøy eller feilsporing.
• Railway registrerer tekniske tilgangslogger for drift og sikkerhet, blant annet IP-adresse og tidspunkt. De beholdes i [OPPBEVARINGSTID RAILWAY-LOGGER].
• Appens egne logger inneholder bare id-er, antall og status.

B7. Dine rettigheter

Du kan be om innsyn i, retting eller sletting av opplysninger Kreativ Tørke AS behandler om deg, be om begrenset behandling, protestere mot behandling som bygger på berettiget interesse, og be om dataportabilitet. Skriv til hjelp@krto.no. Du får svar innen én måned.

Du kan klage til Datatilsynet (datatilsynet.no, Postboks 458 Sentrum, 0105 Oslo).

Samsvar med App Store-listingen

Listingen i Shopify App Store lenker hit og oppgir de samme kategoriene som tabellen i A2, med samme ordlyd.

Endringer

Vesentlige endringer får ny versjon og varsles i appen og på e-post til eier. Gjeldende versjon ligger alltid på bokholderen.no/personvern.

Endringslogg

Plassholdere

Fylles inn før erklæringen publiseres. Denne delen fjernes når alle er fylt inn.

Kontrolleres før publisering: at landingssiden ikke setter informasjonskapsler, og at innholdet stemmer med App Store-listingen.