Personvern
Hvilke personopplysninger vi behandler i BAS21 og på nettsidene våre, hvorfor vi gjør det, og hvilke rettigheter du har.
BAS21 leveres av Cencit AS. Denne erklæringen gjelder nettsidene bas21.no og hjelp.bas21.no, nettversjonen av BAS21 på app.bas21.no og BAS21s API.
Cencit ASHer bestemmer vi selv hvorfor og hvordan opplysningene behandles. Under hvert punkt står hva vi behandler, hvorfor, hvilket rettslig grunnlag vi bygger på etter personvernforordningen (GDPR) og hvor lenge vi tar vare på opplysningene.
Vi teller besøk på bas21.no med Matomo, et analyseverktøy vi drifter selv på matomo.cencit.no. Ingen tredjepart får tilgang til opplysningene. Matomo kjører uten informasjonskapsler og lagrer ikke noe på enheten din. Vi ser hvilke sider som besøkes, hvor besøkende kommer fra (lenke eller søkemotor), omtrentlig land, nettleser og skjermstørrelse. IP-adressen forkortes før den lagres, slik at den ikke kan knyttes til deg.
Formålet er å se hvilke sider som brukes, slik at vi kan forbedre dem. Grunnlaget er vår berettigede interesse (art. 6 nr. 1 f). Rådata slettes etter tre måneder. Etter det har vi bare samlet statistikk som ikke kan knyttes til noen.
Webserveren logger i tillegg IP-adresse, tidspunkt, adressen som ble bedt om, og nettleser for hver forespørsel. Loggen brukes til drift og til å oppdage angrep, og slettes etter 14 dager. Grunnlaget er vår berettigede interesse og vår plikt til å sikre tjenesten (art. 6 nr. 1 f og art. 32).
Når du registrerer deg i BAS21, behandler vi navn, e-postadresse, passord (lagret bare som en kryptografisk hash vi ikke kan lese), eventuelt telefonnummer og oppsett for tofaktorinnlogging. For selskapet du registrerer, behandler vi navn, organisasjonsnummer og adresse, abonnement, tilleggsmoduler og fakturaer fra oss.
Opplysningene trengs for å opprette kontoen, levere tjenesten og fakturere for den. Grunnlaget er avtalen med deg eller virksomheten du representerer (art. 6 nr. 1 b). Opplysningene beholdes så lenge kontoen er aktiv. Fakturaer og annen regnskapsdokumentasjon om kundeforholdet oppbevarer vi så lenge bokføringsloven krever, i dag inntil fem år etter regnskapsåret (art. 6 nr. 1 c).
Betaler du med kort, legger du inn kortopplysningene direkte hos vår betalingsleverandør Stripe. Vi ser dem aldri og lagrer dem ikke.
For hver innlogging lagrer vi tidspunkt, brukernavn, IP-adresse og hvilke regnskap brukeren hadde tilgang til. Endringer i regnskapene logges med hvem som gjorde dem og når. Loggene viser deg og administratoren hos kunden hvem som har vært inne, og lar oss oppdage og etterforske misbruk av kontoer.
Grunnlaget er vår berettigede interesse i å sikre tjenesten og vår plikt til å sikre personopplysninger (art. 6 nr. 1 f og art. 32). Innloggingsloggen beholdes så lenge den trengs til dette formålet. Endringsloggen i et regnskap er en del av regnskapsdataene og følger dem.
Før vi registrerer en virksomhet for å sende og motta elektronisk faktura (EHF/Peppol), må vi kontrollere at personen som bestiller, har rett til å handle på virksomhetens vegne. Du logger da inn med ID-porten. Vi lagrer fødselsnummeret ditt kryptert, sammen med hvilke roller du har i virksomheten ifølge Altinn og Brønnøysundregistrene, tidspunktet og hvilken versjon av vilkårene du godtok.
Kontrollen kreves av aksesspunktet vi bruker og av reglene for Peppol-nettverket. Grunnlaget er avtalen med virksomheten og vår berettigede interesse i å kunne dokumentere kontrollen (art. 6 nr. 1 b og f). Opplysningene beholdes så lenge virksomheten er registrert for EHF gjennom oss, og deretter så lenge vi må kunne dokumentere at kontrollen ble gjort.
Skriver du til oss, behandler vi navn, e-postadresse og det du skriver. Ber du om hjelp med et regnskap, kan supportpersonell med din tillatelse se de dataene som trengs for å løse saken. Grunnlaget er vår berettigede interesse i å svare og dokumentere henvendelser (art. 6 nr. 1 f). Henvendelser slettes når saken er avsluttet og vi ikke lenger trenger dem, normalt innen to år.
Vi sender e-post til brukere når det er nødvendig for bruken av tjenesten: bekreftelse av e-postadresse, invitasjoner, nytt passord, varsel om planlagt nedetid, viktige endringer og fakturaer. Grunnlaget er avtalen (art. 6 nr. 1 b). Vi sender ikke markedsføring på e-post uten at du har sagt ja til det.
Det kundene legger inn i BAS21, eier kundene. Det gjelder kunder og leverandører, fakturaer, bilag, bankopplysninger, ansatte og lønn (med fødselsnummer) og alt annet i regnskapet. Kunden er behandlingsansvarlig, og vi er databehandler. Vi behandler dataene bare etter kundens instruks og for å levere tjenesten. Behandlingen er regulert i databehandleravtalen, som er et bilag til vilkårene for BAS21.
Står du selv i et regnskap i BAS21, for eksempel som kunde, leverandør eller ansatt hos en av kundene våre, er det den virksomheten du skal kontakte for innsyn, retting eller sletting. Tar du kontakt med oss, hjelper vi deg å finne rett virksomhet.
Når kunden ber om det, sender vi data videre på kundens vegne: til Skatteetaten (MVA-melding, a-melding, skattemelding), til Brønnøysundregistrene (årsregnskap, aksjonærregisteroppgave), via Altinn, og som EHF-faktura gjennom Peppol-nettverket. Mottakerne er selv behandlingsansvarlige for det de mottar.
Tolking av bilag. Når kunden laster opp en kvittering eller faktura i bilagsinnboksen, sendes dokumentet til Mistral AI i Frankrike, som leser det og foreslår felter som dato, beløp og leverandør. Dokumentet sendes bare for å bli tolket. Mistral har ikke lov til å bruke det til å trene modeller.
Kunden kan når som helst hente ut regnskapet som SAF-T og laste ned bilag og rapporter. Sletter kunden et regnskap, slettes det med en gang. Når kundeforholdet er avsluttet, har kunden lesetilgang i 12 måneder. Deretter sletter vi dataene, etter varsel på e-post minst 30 dager før. Slettede data er borte fra sikkerhetskopiene innen 90 dager.
Vi bruker disse leverandørene til å drifte BAS21. Alle har databehandleravtale med oss og får bare de opplysningene de trenger for oppgaven sin.
| Leverandør | Hva de gjør for oss | Hvor data behandles |
|---|---|---|
| UpCloud Oy | Servere, database og sikkerhetskopier for hele tjenesten | Norge |
| UpCloud Oy | Lagring av opplastede filer, som bilag og vedlegg | Sverige |
| Lettermint | Utsending av e-post fra BAS21, også fakturaer kunden sender på e-post | Nederland |
| Qvalia AB | Aksesspunkt for sending og mottak av EHF-faktura | Sverige |
| Mistral AI SAS | Tolking av opplastede bilag | Frankrike |
| Stripe Payments Europe Ltd. | Kortbetaling av abonnement | Irland, med overføring til USA (se punkt 5) |
I tillegg utveksler BAS21 data med offentlige tjenester når du eller kunden ber om det: ID-porten og Maskinporten (Digitaliseringsdirektoratet) for innlogging og tilgang, Altinn, Skatteetaten og Brønnøysundregistrene. Det samme gjelder tjenester kunden selv kobler til BAS21, som Vipps MobilePay eller en nettbutikk gjennom API-et. Disse er selv behandlingsansvarlige.
Utover dette gir vi ikke personopplysninger til andre, med mindre loven pålegger oss det, for eksempel etter pålegg fra politi eller andre myndigheter.
Vi velger leverandører i Norge og EØS. Stripe kan overføre betalingsopplysninger til USA. Overføringen bygger på EUs adekvansbeslutning for EU–US Data Privacy Framework og EUs standardkontrakter (GDPR kapittel V). Regnskapsdata forlater ikke EØS.
bas21.no og hjelp.bas21.no bruker ingen informasjonskapsler. Hjelpesidene husker bare om du har valgt lyst eller mørkt tema, lagret i nettleseren din.
BAS21 på app.bas21.no bruker bare det som trengs for at tjenesten skal virke. Det krever ikke samtykke etter ekomloven § 3-15.
| Navn | Type | Formål | Varighet |
|---|---|---|---|
bas21_session |
Informasjonskapsel | Holder deg innlogget. Kan ikke leses av JavaScript. | 8 timer, fornyes når du er aktiv |
bas21_csrf |
Informasjonskapsel | Hindrer at andre nettsider sender forespørsler i ditt navn | Som innloggingen |
bas21_* |
Lokal lagring i nettleseren | Husker brukernavn, valgt regnskap, periode, tema og menyoppsett | Til du logger ut eller tømmer nettleseren |
All trafikk er kryptert. Hvert regnskap er skilt fra de andre i databasen, slik at en bruker bare kan se regnskap hen har fått tilgang til. Fødselsnumre lagres kryptert. Vi tilbyr tofaktorinnlogging, og vårt eget driftspersonell må alltid bruke det. Tilgang til produksjonsmiljøet er begrenset til de som trenger den.
Skulle det skje et brudd på personopplysningssikkerheten, melder vi det til Datatilsynet innen 72 timer når loven krever det. Gjelder bruddet regnskapsdata, varsler vi kunden uten ugrunnet opphold. Er risikoen for deg høy, varsler vi deg direkte.
Der vi er behandlingsansvarlig, kan du kontakte oss på post@cencit.no for å:
Mye kan du gjøre selv under Profil i BAS21. Vi svarer innen én måned og kan be deg bekrefte hvem du er før vi utleverer noe. Vi tar ikke avgjørelser om deg som bare bygger på automatisk behandling.
Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet. Vi setter pris på om du tar kontakt med oss først, så vi får rettet feilen.
Endrer vi måten vi behandler personopplysninger på, oppdaterer vi denne siden. Er endringen vesentlig for deg som bruker BAS21, gir vi beskjed på e-post eller i tjenesten.
Sist oppdatert 27. oktober 2026.
