Avtaler
Avtalen regulerer hvordan Cencit AS behandler personopplysninger på vegne av kunden når kunden bruker BAS21. Den er et bilag til vilkårene for BAS21.
Mellom kunden og Cencit AS, org.nr. 814 513 572 («Cencit»), gjelder denne avtalen om behandling av personopplysninger («Databehandleravtalen»). Kunden er behandlingsansvarlig og Cencit er databehandler etter personvernforordningen (GDPR) artikkel 28.
Avtalen gjelder all behandling av personopplysninger Cencit gjør på vegne av kunden for å levere BAS21 etter vilkårene for BAS21 («Vilkårene»). Databehandleravtalen er et bilag til Vilkårene og godtas sammen med dem.
Avtalen består av dette dokumentet og bilag A–D. Ved motstrid går Databehandleravtalen foran Vilkårene i spørsmål om behandling av personopplysninger, og bilagene går foran dette dokumentet.
Begreper som ikke er definert her, har samme betydning som i GDPR artikkel 4. «Personvernreglene» er til enhver tid gjeldende GDPR, personopplysningsloven med forskrifter og annen lov om behandling av personopplysninger.
Bruker kunden BAS21 som forbruker og bare til rent private formål, gjelder unntaket for private aktiviteter i GDPR artikkel 2. Da gjelder avtalen så langt den passer.
Kunden er ansvarlig for at behandlingen er lovlig. Kunden skal særlig sørge for at
Cencit behandler personopplysningene bare etter kundens dokumenterte instruks. Instruksen står i Vilkårene, i denne avtalen med bilag og i det kunden gjør i BAS21, for eksempel når kunden sender en MVA-melding eller en faktura. Cencit bruker ikke opplysningene til egne formål.
Krever lov at Cencit behandler opplysningene på annen måte, varsler Cencit kunden før behandlingen så langt loven tillater det. Mener Cencit at en instruks er i strid med Personvernreglene, sier Cencit fra til kunden straks.
Endringer i instruksen avtales skriftlig og føres inn i bilag D. Medfører en endret instruks ekstra kostnader for Cencit, kan Cencit kreve dem dekket.
Bare personer Cencit har autorisert, og som trenger det for å levere tjenesten, får tilgang til personopplysningene. Alle med tilgang har taushetsplikt gjennom avtale eller lov. Taushetsplikten gjelder også etter at avtalen eller ansettelsen er slutt. Når en person ikke lenger skal ha tilgang, fjernes den uten ugrunnet opphold.
Cencit hjelper kunden med å oppfylle de registrertes rettigheter etter GDPR kapittel III, så langt det er mulig ut fra behandlingens art. Det meste kan kunden gjøre selv i BAS21: søke opp, rette, eksportere og slette opplysninger.
Henvender en registrert seg til Cencit om opplysninger kunden er ansvarlig for, sender Cencit henvendelsen videre til kunden uten ugrunnet opphold og svarer ikke selv uten kundens samtykke.
Cencit bistår også kunden med sikkerhet, avviksmelding, personvernkonsekvensvurderinger og forhåndsdrøfting med Datatilsynet (GDPR artikkel 32–36). Går bistanden ut over det Cencit uansett må gjøre etter Personvernreglene, kan Cencit kreve betaling etter gjeldende timepris.
Cencit gjennomfører tekniske og organisatoriske tiltak som gir et sikkerhetsnivå tilpasset risikoen, minst de som står i bilag C. Cencit vurderer risikoen jevnlig og tester og evaluerer tiltakene. Risikovurderingen og beskrivelsen av tiltakene gjøres tilgjengelig for kunden på forespørsel.
Cencit varsler kunden skriftlig uten ugrunnet opphold, og senest 48 timer etter at Cencit ble kjent med et brudd som gjelder kundens personopplysninger. Varselet sendes til kundens kontaktpunkt etter bilag C og skal, så langt det er kjent:
Opplysninger som ikke er kjent ennå, ettersendes fortløpende. Det er kunden som melder bruddet til Datatilsynet og varsler de registrerte. Cencit informerer ikke andre om bruddet med mindre loven krever det eller kunden ber om det.
Kunden gir med denne avtalen en generell godkjenning av at Cencit bruker underdatabehandlere. Underdatabehandlerne som brukes i dag, står i bilag B.
Cencit inngår skriftlig avtale med hver underdatabehandler som pålegger den de samme pliktene som Cencit har etter denne avtalen, og er ansvarlig overfor kunden for underdatabehandlerens behandling som om Cencit gjorde den selv.
Skal Cencit ta i bruk en ny underdatabehandler eller bytte ut en eksisterende, varsler Cencit kunden minst 14 dager før endringen, på e-post til kundeadministratorene og ved å oppdatere bilag B. Kunden kan protestere mot endringen med saklig grunn. Blir partene ikke enige, kan kunden si opp avtalen med virkning fra endringen, uten kostnad for perioden etter endringen.
Personopplysninger kunden har lagt inn i BAS21, behandles og lagres i EØS. Cencit overfører dem ikke til land utenfor EØS eller til internasjonale organisasjoner uten at kunden har godkjent det skriftlig og overføringen har grunnlag i GDPR kapittel V (adekvansbeslutning, EUs standardkontrakter eller bindende virksomhetsregler). Krever EØS-rett eller nasjonal rett en overføring, varsler Cencit kunden så langt loven tillater det.
Cencit gir kunden på forespørsel den informasjonen som trengs for å vise at pliktene i GDPR artikkel 28 og denne avtalen er oppfylt. Kunden kan revidere Cencit, selv eller ved en uavhengig revisor med taushetsplikt, høyst én gang per år med mindre et brudd gir grunn til mer. Revisjonen varsles minst 30 dager i forveien, gjennomføres i vanlig arbeidstid og skal ikke forstyrre driften mer enn nødvendig. Tilsyn med underdatabehandlere skjer gjennom Cencit.
Partene bærer egne kostnader ved revisjonen. Avdekker revisjonen vesentlige brudd på avtalen eller Personvernreglene, dekker Cencit kundens rimelige kostnader. Avvik skal rettes så snart som mulig.
Kunden kan når som helst hente ut regnskapet som SAF-T og laste ned bilag og rapporter, også når kundeforholdet er i lesemodus.
Sletter kunden et regnskap i BAS21, slettes det fra databasen og fillageret med en gang. Når kundeforholdet er avsluttet, har kunden lesetilgang i 12 måneder etter Vilkårene. Deretter sletter Cencit alle personopplysninger som er behandlet for kunden. Cencit varsler kunden på e-post minst 30 dager før slettingen.
Sikkerhetskopier overskrives fortløpende. Slettede opplysninger er borte fra alle sikkerhetskopier senest 90 dager etter slettingen, og kan ikke tas i bruk igjen i mellomtiden annet enn for å gjenopprette tjenesten etter en hendelse. Cencit bekrefter slettingen skriftlig på forespørsel.
Kunden er selv ansvarlig for å ta vare på regnskapsmaterialet så lenge bokføringsloven krever det, og må hente det ut før slettingen.
Bryter Cencit denne avtalen eller Personvernreglene, kan kunden og Datatilsynet kreve at hele eller deler av behandlingen stanses med øyeblikkelig virkning. Brudd på denne avtalen er mislighold av Vilkårene, og Vilkårenes regler om mislighold og ansvar gjelder, med de unntakene som følger av ufravikelig lov.
Avtalen gjelder fra kunden godtar Vilkårene, og så lenge Cencit behandler personopplysninger for kunden, også etter at kundeforholdet er avsluttet. Den kan ikke sies opp for seg selv så lenge Vilkårene gjelder.
Cencit kan endre avtalen med minst 30 dagers skriftlig varsel. Endringer av underdatabehandlere følger punkt 8. Endringer som ikke svekker kundens vern, for eksempel nye krav i Personvernreglene, kan gjøres med kortere varsel.
Avtalen er underlagt norsk rett. Tvister løses etter Vilkårenes bestemmelser om tvister og verneting.
Å levere BAS21 til kunden: regnskapsføring, fakturering, reskontro, lønn, innsending til offentlige myndigheter, elektronisk faktura, tolking av bilag og de øvrige funksjonene kunden tar i bruk.
Innsamling gjennom kundens registrering og import, lagring, strukturering, beregning, søk, visning, sikkerhetskopiering, overføring til offentlige myndigheter og Peppol-nettverket på kundens instruks, utsending av e-post på kundens instruks, automatisk tolking av opplastede dokumenter, eksport og sletting.
Bruker kunden lønnsmodulen, kan BAS21 inneholde opplysninger om sykefravær og permisjon (helseopplysninger) og trekk av fagforeningskontingent (fagforeningsmedlemskap), jf. GDPR artikkel 9. Sikkerhetstiltakene i bilag C er tilpasset dette.
Behandlingen varer så lenge kunden bruker BAS21, og deretter til opplysningene er slettet etter punkt 11.
Kunden godkjenner disse underdatabehandlerne:
| Underdatabehandler | Behandling | Sted | Overføringsgrunnlag |
|---|---|---|---|
| UpCloud Oy | Servere, database og sikkerhetskopier for hele tjenesten, også av fillageret | Norge | EØS |
| UpCloud Oy | Fillager (objektlagring) for opplastede bilag, vedlegg og andre dokumenter | Sverige | EØS |
| Lettermint | Utsending av e-post fra BAS21, også fakturaer og purringer kunden sender på e-post | Nederland | EØS |
| Qvalia AB | Aksesspunkt for sending og mottak av EHF-faktura, når kunden har tatt i bruk EHF | Sverige | EØS |
| Mistral AI SAS | Tolking av dokumenter kunden laster opp i bilagsinnboksen. Opplysningene brukes ikke til å trene modeller | Frankrike | EØS |
Når kunden ber BAS21 sende opplysninger til Skatteetaten, Brønnøysundregistrene, Altinn, en mottaker i Peppol-nettverket eller en tjeneste kunden selv har koblet til (for eksempel Vipps MobilePay eller en nettbutikk gjennom API-et), er mottakeren ikke underdatabehandler for Cencit. Mottakeren behandler opplysningene på eget ansvar eller etter egen avtale med kunden.
Fordi BAS21 kan inneholde fødselsnumre, lønnsopplysninger og særlige kategorier av personopplysninger, legges det til grunn et høyt sikkerhetsnivå.
Servere og database er i Norge. Fillageret, med opplastede bilag, vedlegg og andre dokumenter, ligger i Sverige. Sikkerhetskopier av alle opplysninger, også av fillageret, lagres i Norge. De øvrige underdatabehandlerne i bilag B behandler opplysningene i landene som står der, alle i EØS. Cencits personell har tilgang fra Norge og andre EØS-land.
Cencit: post@cencit.no. Kunden: e-postadressen til kundeadministratorene i BAS21, og ellers fakturaadressen på kundekortet. Kunden sørger for at adressene er riktige.
Standardteksten gjelder uten endringer. Avvik fra den må avtales skriftlig mellom kunden og Cencit og føres inn her.
Versjon 2026-10-27. Sist oppdatert 27. oktober 2026.
