Databehandleravtale
Versjon 4. september 2026. Tillegg til vilkårene for Sporo.
Parter og instruks
Kunden er behandlingsansvarlig for personopplysninger i regnskapet. Bluebox AS (org.nr. 911 765 586), leverandør av Sporo, er databehandler. Denne avtalen gjelder som del av avtalen om Sporo. Bluebox behandler opplysningene bare etter kundens dokumenterte instruks for å levere de funksjonene kunden benytter, eller når lov krever det. Kunden varsles om lovkrav når dette er tillatt, og om instrukser som etter vår vurdering bryter personvernreglene.
Behandlingens innhold og varighet
Behandlingen omfatter mottak, lagring, strukturering, bilagstolkning, bokføring, rapportering, overføring og eksport av regnskapsmateriale. Opplysninger kan gjelde ansatte, eiere, deltakere, kunder, leverandører og kontaktpersoner, og omfatter blant annet navn, kontaktopplysninger, identifikatorer, kontonumre, betalinger og dokumentinnhold. Behandlingen varer mens tjenesten leveres og frem til avtalt tilbakelevering eller sletting. Kunden skal begrense opplastede opplysninger til det som er nødvendig.
Taushetsplikt og sikkerhet
Tilgang gis til autoriserte personer med taushetsplikt og tjenstlig behov. Bluebox skal vedlikeholde egnede tekniske og organisatoriske sikkerhetstiltak etter GDPR artikkel 32, herunder tilgangsstyring, kundeskille, kryptert transport, logging, sikkerhetskopiering og rutiner for hendelseshåndtering. Kunden skal sikre sine brukerkontoer og styre egne brukeres tilgang.
Underdatabehandlere og overføring
Kunden gir generell tillatelse til underdatabehandlerne som er angitt i personvernerklæringen for de funksjonene kunden benytter. Bluebox skal inngå avtaler som pålegger underdatabehandleren tilsvarende plikter, og er ansvarlig overfor kunden for deres oppfyllelse. Kunden skal varsles før nye eller erstattede underdatabehandlere tas i bruk og gis anledning til å motsette seg endringen på saklig personverngrunnlag. Overføring utenfor EØS skal bare skje med gyldig overføringsgrunnlag og nødvendige supplerende tiltak. Kunden kan be om dokumentasjon hos hei@sporo.no.
AI og dokumentinnhold
Ved bruk av AI-bilagstolkning sendes hele PDF-en eller bildet til Anthropic. Andre AI-funksjoner kan sende transaksjonsbeskrivelser og regnskapsinformasjon. Materialet kan inneholde personopplysninger og behandles utenfor EØS. Det gis ingen generell garanti om null lagring hos Anthropic. Leverandørens API-lagringsvilkår og avtalte beskyttelsestiltak gjelder.
Bistand, avvik og kontroll
Bluebox skal bistå kunden med registrertes rettigheter, sikkerhet, konsekvensvurderinger og forhåndsdrøfting, ut fra behandlingens art og tilgjengelig informasjon. Brudd på personopplysningssikkerheten varsles kunden uten ugrunnet opphold med tilgjengelig informasjon og videre oppdateringer. Bluebox skal gjøre nødvendig dokumentasjon tilgjengelig og muliggjøre revisjon av etterlevelsen etter GDPR artikkel 28.
Tilbakelevering og sletting
Ved opphør skal personopplysninger etter kundens valg tilbakeleveres eller slettes, og kopier slettes med mindre lov krever videre oppbevaring. Kunden kan eksportere regnskapet og be om dokumenteksport. Sletting av sikkerhetskopier følger dokumentert rotasjon; data i kopier skal være utilgjengelige for ordinær bruk og slettingen gjentas ved eventuell gjenoppretting. Kunden har ansvar for fortsatt lovpålagt oppbevaring av sitt regnskapsmateriale. Kontakt hei@sporo.no for instruks og bekreftelse.