Databehandleravtale
Sist oppdatert: 14. august 2026
Denne databehandleravtalen regulerer FriBees behandling av personopplysninger på vegne av kunden, og utfyller vilkårene. Den gjelder når du bruker FriBee til å levere selskapets skattemelding og årsregnskap. Ved motstrid går denne avtalen foran vilkårene for spørsmål om behandling av personopplysninger.
1. Partene og rollene
Kunden (selskapet som bruker tjenesten) er behandlingsansvarlig, og SOUTHVALLEY AS (org.nr 936 073 611), gjennom FriBee, er databehandler. FriBee behandler personopplysninger kun for å levere tjenesten kunden har bestilt.
2. Formål og instruks
FriBee behandler personopplysninger bare for å utarbeide og sende inn selskapets innsendinger, og bare etter kundens dokumenterte instruks – slik den følger av bruken av tjenesten og denne avtalen. Vi behandler ikke opplysningene til egne, uavhengige formål.
3. Taushetsplikt
Vi sørger for at personer hos oss som behandler opplysningene er underlagt taushetsplikt, og at tilgang begrenses til dem som trenger den for å levere tjenesten.
4. Sikkerhet
Vi gjennomfører egnede tekniske og organisatoriske tiltak for å beskytte opplysningene, i tråd med personvernforordningen artikkel 32 – blant annet kryptert overføring, tilgangsstyring og driftsovervåking. Se vedlegg C.
5. Underdatabehandlere
Kunden gir generell tillatelse til at FriBee bruker underdatabehandlere for drift, lagring, innlogging og betaling. Vi pålegger underdatabehandlere tilsvarende forpliktelser som i denne avtalen, og varsler kunden ved planlagte endringer slik at kunden kan protestere. Gjeldende underdatabehandlere er listet i vedlegg B.
6. Bistand til behandlingsansvarlig
Vi bistår kunden, så langt det er mulig, med å svare på henvendelser fra de registrerte om deres rettigheter, og med kundens plikter etter artiklene 32–36 (sikkerhet, avvik og vurderinger av personvernkonsekvenser).
7. Brudd på personopplysningssikkerheten
Ved et brudd som berører opplysninger vi behandler for kunden, varsler vi kunden uten ugrunnet opphold, med den informasjonen kunden trenger for å oppfylle sine plikter.
8. Overføring utenfor EØS
Behandlingen skjer i utgangspunktet innenfor EØS. Eventuell overføring utenfor EØS skjer bare på et gyldig overføringsgrunnlag, for eksempel EUs standardkontrakter.
9. Revisjon og dokumentasjon
Vi gjør tilgjengelig informasjon som er nødvendig for å vise at forpliktelsene i denne avtalen overholdes, og legger til rette for revisjon på rimelige vilkår.
10. Varighet, sletting og tilbakelevering
Avtalen gjelder så lenge FriBee behandler personopplysninger for kunden. Ved opphør sletter eller tilbakeleverer vi opplysningene, med mindre lov pålegger fortsatt oppbevaring (for eksempel oppbevaringsplikt for regnskapsmateriale).
11. Ansvar og lovvalg
Ansvar mellom partene reguleres av vilkårene. Avtalen er underlagt norsk rett.
Vedlegg A – Behandlingen
- Formål: utarbeidelse og innsending av selskapets skattemelding, næringsspesifikasjon og årsregnskap.
- Varighet: så lenge kunden bruker tjenesten, med etterfølgende lovpålagt oppbevaring.
- Kategorier registrerte: den som logger inn (rollehaver), og personer som fremgår av selskapets opplysninger.
- Kategorier opplysninger: navn, fødselsnummer fra BankID, kontaktopplysninger og selskaps-/regnskapsopplysninger.
Vedlegg B – Underdatabehandlere
Følgende underdatabehandlere benyttes for å levere tjenesten. Behandlingen skjer innenfor EØS. Enkelte leverandører har morselskap utenfor EØS; eventuell overføring skjer på gyldig grunnlag, se punkt 8. Endelige juridiske enheter og databehandleravtaler bekreftes før lansering.
- Vercel – driftsplattform og hosting. Behandlingssted: Frankfurt (EØS).
- Neon – databasetjeneste (PostgreSQL). Behandlingssted: Frankfurt (EØS).
- ID-porten (Digdir) / Criipto – innlogging med BankID (identitetsleverandør). Behandlingssted: EØS.
- Stripe – betalingsleverandør. Behandlingssted: EØS (Irland).
Vedlegg C – Sikkerhetstiltak
- Kryptert overføring (TLS) og kryptert lagring der det er relevant.
- Tilgangsstyring og pålogging som krever autentisering.
- Logging og overvåking av drift.
- Rutiner for håndtering og varsling av avvik.
Spørsmål om databehandleravtalen kan rettes til abraham@south-valley.com.