Databehandleravtale
Versjon 1 — gjelder fra 1. juni 2026
Denne avtalen er inngått mellom foretaket som er innlogget (heretter «Behandlingsansvarlig») og Peil Røste Moen ENK, org.nr. 937 719 981, handelsnavn Finro (heretter «Databehandler»).
1. Avtalens formål og omfang
Avtalen regulerer Databehandlerens behandling av personopplysninger på vegne av Behandlingsansvarlig i forbindelse med bruk av tjenesten Finro — et AI-basert forretningsanalyseverktøy.
Behandlingens formål: Levere AI-drevet forretningsrådgivning basert på foretakets regnskapsdata.
Type personopplysninger som behandles:
- Kontaktopplysninger om kunder og leverandører (navn, e-post, adresse, organisasjonsnummer)
- Finansielle transaksjoner, fakturaer og bilag fra regnskapssystemet ditt
- Øvrige regnskapsdata tilgjengelig via disse systemene
Kategorier av registrerte: Foretakets kunder, leverandører og ansatte som forekommer i regnskapet.
2. Databehandlerens plikter
Databehandleren skal:
- Kun behandle personopplysninger etter dokumenterte instrukser fra Behandlingsansvarlig
- Sikre at personer med tilgang er underlagt taushetsplikt
- Iverksette tekniske og organisatoriske sikkerhetstiltak i tråd med GDPR artikkel 32
- Varsle Behandlingsansvarlig uten unødig opphold ved avvik eller sikkerhetsbrudd
- Bistå Behandlingsansvarlig med å ivareta de registrertes rettigheter (innsyn, retting, sletting)
- Slette alle personopplysninger knyttet til kontoen når avtalen opphører
3. Underdatabehandlere
Behandlingsansvarlig gir forhåndstillatelse til bruk av følgende underdatabehandlere:
| Leverandør | Land | Formål |
|---|---|---|
| Anthropic PBC | USA | AI-behandling — regnskapsdata sendes til Claude for analyse |
| Railway Corp | USA | Applikasjonshosting |
| Neon Inc | EU (Frankfurt) | Databasehosting (PostgreSQL) |
Overføring til tredjeland: Anthropic og Railway er lokalisert i USA. Overføring skjer på grunnlag av EUs standardkontraktbestemmelser (SCCs), jf. GDPR artikkel 46(2)(c). Regnskapsdata overføres til Anthropic kun for den aktuelle forespørselen og lagres ikke permanent der.
Databehandleren vil varsle Behandlingsansvarlig med rimelig frist ved endringer i underdatabehandlere.
4. Sikkerhet
Databehandleren har iverksatt følgende tiltak:
- Kryptering av tilgangstokens i hvile (AES-256-GCM)
- HTTPS for all dataoverføring
- Tilgangskontroll basert på autentisert sesjon
- Ingen lagring av regnskapsdata utover det som er nødvendig for tjenestens funksjon
5. Varighet og avslutning
Avtalen gjelder så lenge Behandlingsansvarlig har en aktiv konto i Finro. Ved avslutning slettes alle personopplysninger innen 30 dager, med mindre lovpålagt lagringsplikt tilsier noe annet.
6. Revisjon
Behandlingsansvarlig har rett til å gjennomføre revisjoner av Databehandlerens etterlevelse av denne avtalen. Kostnader bæres av Behandlingsansvarlig med mindre revisjonen avdekker vesentlige avvik.
7. Kontaktinformasjon
Databehandler:
Peil Røste Moen ENK (Finro)
kontakt@finro.no
Avtalen aksepteres digitalt ved avkrysning under registrering. Aksepttidspunkt og IP-adresse logges.