Personvernerklæring

Behandlingsansvarlig

Regnskapsbasen.no drives av Elgfarm AS, org.nr 926 940 546.
Lofotgata 1, 0458 Oslo

Spørsmål om personvern kan rettes til kontaktskjemaet eller på e-post via kontaktsiden.

Hvilke personopplysninger behandles?

Brukerkonto

Ved registrering av brukerkonto lagrer vi e-postadresse og et kryptert passord (bcrypt). Vi lagrer aldri passord i klartekst. E-postadressen brukes til innlogging og eventuell utsending av varsler du selv har aktivert.

Varsler og digest

Dersom du aktiverer konkursvarsel eller daglig digest, lagrer vi e-postadressen din og tidspunkt for siste utsending. Dette slettes om du deaktiverer tjenesten på kontosiden.

Kontaktskjema

Meldinger sendt via kontaktskjemaet inneholder navn, e-postadresse og meldingstekst. Disse sendes direkte til vår e-post og lagres ikke i databasen.

Salgslister-bestillinger

Ved bestilling av salgsliste lagrer vi e-postadressen din, valgt filter (bransje, geografi, omsetning osv.), antall rader, beløp og betalingsstatus. Informasjonen oppbevares i opptil 12 måneder for regnskapsmessige formål, kundeservice og eventuelle refusjonshenvendelser. Rettslig grunnlag er oppfyllelse av avtale (GDPR art. 6 (1) b) og rettslig forpliktelse (bokføringsloven, GDPR art. 6 (1) c). Selve salgslisten du laster ned inneholder offentlig informasjon fra Brønnøysundregistrene (se eget avsnitt) - vi lagrer ikke en kopi av filen etter at den er generert.

Krypto-betalinger

Ved kjøp av kryptoskatt-rapport lagrer vi brukerkonto-ID, valgt plan, skatteår, beløp og betalingsstatus. Informasjonen oppbevares i opptil 5 år av hensyn til bokføringsloven.

Mobilappen: kjøp og push-varsler

Bruker du Regnskapsbasen-appen for Android, behandler vi i tillegg:

• Push-token fra Google Firebase Cloud Messaging (FCM), knyttet til brukerkontoen din, sammen med hvilke varseltyper du har slått på. Tokenet er en teknisk enhets-ID og brukes kun til å levere varslene du har bedt om. Slår du av varsler, eller sletter kontoen, fjernes tokenet.
• Kjøpsdata fra Google Play: kjøps-ID, produkt, tidspunkt, fornyelses- og utløpsdato samt saldo for ubrukte klipp. Selve betalingen håndteres av Google Play, og vi mottar aldri kortopplysninger. Vi bruker RevenueCat (USA) som databehandler for å verifisere kjøp mot Google Play; overføringen skjer under EU-kommisjonens standardkontraktsbestemmelser (SCC).

Behandlingsgrunnlaget er oppfyllelse av avtale (GDPR art. 6 (1) b) for kjøp, og samtykke (art. 6 (1) a) for varsler. Appen viser ikke annonser.

Server-logger

Webserveren logger IP-adresse, tidspunkt og hvilke sider som besøkes. Loggene brukes utelukkende for feilsøking og slettes jevnlig.

Offentlig tilgjengelige personopplysninger

Regnskapsbasen.no viser navn og roller (f.eks. styremedlem, daglig leder) for personer registrert i Brønnøysundregistrene. Dette er offentlig informasjon som er pålagt registrert etter norsk lov (foretaksregisterloven og enhetsregisterloven) og distribuert av Brønnøysundregistrene under NLOD-lisensen.

Det rettslige grunnlaget for behandlingen er berettiget interesse (GDPR art. 6 (1) f), jf. at opplysningene er offentliggjort av staten og at allmennheten har krav på innsyn i hvem som driver norske foretak. Reelle rettighetshavere er offentliggjort med hjemmel i hvitvaskingsloven.

Vår interesseavveining (LIA)

Berettiget interesse-grunnlaget krever en eksplisitt avveining mellom vår (og samfunnets) interesse i å publisere opplysningene mot den enkeltes rett til personvern. Vi vurderer:

• Formål: Allmennhetens og næringslivets behov for innsyn i hvem som driver norske foretak, forhindring av økonomisk kriminalitet, og åpenhet om eierforhold.
• Nødvendighet: Opplysningene er allerede offentliggjort av staten i åpne registre under NLOD-lisens, og kan ikke effektivt skjules etter offentliggjøring.
• Den registrertes forventning: Personer som tar styreverv eller kjøper aksjer i et AS gjør dette med viten om at rolle- og eierskapsdata er offentlige.
• Mitigerende tiltak: Vi viser kun navn + fødselsår (ikke postnummer/adresse), skjermer alle personer under 18 automatisk, har en innsigelsesprosess, og noindex-er sider om avdøde og kun-historiske personer.
• Konklusjon: Den berettigede interessen veier tyngre enn den enkeltes interesse i skjerming, forutsatt mitigerende tiltak. Ved særlige forhold (sperret adresse, dokumenterte trusler) vurderes innsigelsen individuelt og opplysningene kan skjermes.

Automatisert avgjørelse og profilering (kredittscore)

Vi beregner en kredittscore for selskaper basert på regnskapstall (driftsmargin, soliditet, likviditet og lignende nøkkeltall). Scoren er en automatisk beregning, ikke en manuell vurdering.

Scoren retter seg mot foretaket, ikke enkeltpersoner, og brukes utelukkende som informasjon - ikke som beslutningsgrunnlag for kredittgivning eller rettslig handling. GDPR art. 22 (forbud mot automatiserte avgjørelser med rettsvirkning) kommer derfor som regel ikke til anvendelse.

Hvis du representerer et selskap og mener kredittscoren er feilbasert, kan du kontakte oss for manuell gjennomgang.

Lagringstid

Vi lagrer opplysninger så lenge det er nødvendig for formålet. Konkrete lagringstider:

Datakategori	Lagringstid
Server-logger (IP, request)	90 dager
Brukerkonto (ved registrering)	Inntil bruker selv sletter
Betalinger og kvitteringer	5 år (bokføringsloven)
Kontaktskjema-meldinger	12 måneder etter behandling
Administrativ aktivitetslogg	5 år
GDPR-innsigelser og behandlingsspor	5 år (dokumentasjonsplikt)
E-postvarsler (avmeldte)	Slettes ved avmelding
Offentlige selskaps- og rolledata	Så lenge tilgjengelig fra kilderegister

Overføring til land utenfor EØS

Noen av våre underleverandører er etablert utenfor EU/EØS. Følgende overføringer skjer:

• Stripe (USA) - betalingsformidler. Overføring skjer under EU-US Data Privacy Framework (Stripe er sertifisert) samt EU-kommisjonens standardkontraktsbestemmelser (SCC).
• Google (USA) - Analytics og Tag Manager. Overføring skjer under EU-US Data Privacy Framework (DPF) og SCC. Målingen kjøres kun etter ditt samtykke; se «Informasjonskapsler og måling».
• Anthropic (USA) - AI-leverandør (Claude) som driver de valgfrie AI-funksjonene i regnskapsverktøyene. Aktiveres KUN hvis du selv slår på AI under «Min konto». Da sendes de aktuelle tallene/teksten i verktøyet til Anthropic for å generere svaret; fødselsnummer, e-post og telefon fjernes automatisk før sending, og dataene lagres ikke hos Anthropic til trening eller utover selve behandlingen. Overføring skjer under SCC. Du kan skru AI av igjen når som helst under «Min konto».
• RevenueCat (USA) - verifiserer kjøp gjort i Android-appen mot Google Play. Mottar bruker-ID, produkt-ID og kjøpsstatus. Overføring skjer under SCC. Gjelder kun appbrukere.
• Google Firebase Cloud Messaging (USA) - leverer push-varsler til Android-appen. Mottar enhetens push-token og varselinnholdet. Overføring skjer under DPF og SCC. Gjelder kun appbrukere som har slått på varsler.

Du kan kontakte oss hvis du ønsker mer informasjon om hvilke beskyttelsestiltak som gjelder for hver overføring.

Salgslister - overføring av behandlingsansvar

Når en kunde kjøper og laster ned en salgsliste fra Regnskapsbasen.no, overføres behandlingsansvaret for personopplysningene i listen (f.eks. navn på daglig leder og styreleder) til kunden. Kunden blir da selvstendig behandlingsansvarlig etter GDPR for sin videre bruk av dataene.

Som behandlingsansvarlig må kunden:

• Overholde markedsføringsloven, herunder reservasjonsregister hos Brønnøysund og samtykkekrav for elektronisk markedsføring (mfl. § 15)
• Sørge for at videre bruk har gyldig rettslig grunnlag (typisk berettiget interesse for B2B-prospektering)
• Informere de registrerte ved første kontakt (GDPR art. 14)
• Slette opplysningene når formålet er oppfylt
• Sikre opplysningene mot uautorisert tilgang

Se også Salgsbetingelser for Salgslister.

Deling med tredjeparter

Vi selger ikke, leier ut eller deler personopplysninger med tredjeparter for kommersielle formål. Følgende tredjepartstjenester benyttes:

• Uniweb - SMTP-leverandør for utsending av e-post, altså varsler og kvitteringer.
• Google Analytics 4 - aggregert statistikk om bruk av nettstedet. Kjøres kun etter ditt samtykke, se avsnittet under.
• Google Tag Manager - teknisk lastestyring av analyseskriptet. Setter ingen informasjonskapsler hos oss.
• Stripe - betalingsformidler for betalte tjenester. Stripe behandler kortopplysninger direkte, og vi ser aldri kortnummeret ditt.
• Vipps - betalingsformidler for abonnement og engangskjøp.

Nettstedet viser ingen annonser, og bruker ingen annonse- eller affiliatenettverk. Skrifttypen Inter serveres fra våre egne servere, ikke fra Google Fonts. Kart er ikke innebygd; adresselenker sender deg til OpenStreetMap eller Google Maps først når du selv klikker på dem.

Informasjonskapsler og måling

Informasjonskapsler og samtykke

Besøker du Regnskapsbasen uten å logge inn, lagres ingenting på enheten din før du har sagt ja. Første gang du kommer, spør vi i et banner nederst på siden. Velger du «Ingen måling», lastes ingenting fra Google i det hele tatt. Valget kan endres når som helst via «Informasjonskapsler» i bunnteksten.

Slik måler vi bruk

Vi bruker to verktøy, og de er ulike med vilje.

Umami kjører på vår egen server i Tyskland. Det setter ingen informasjonskapsler, lagrer ingen identifikator på enheten din og følger deg ikke mellom besøk. Vi ser antall sidevisninger, hvilke sider som leses og omtrentlig land. Slik måling krever ikke samtykke etter ekomloven § 2-7b, fordi den verken lagrer eller henter noe i utstyret ditt. Dataene forlater ikke våre egne servere.

Google Analytics 4 kjøres kun hvis du trykker «Godta». Før den handlingen lastes måleskriptet ikke ned, og verken IP-adresse eller informasjonskapsler sendes til Google eller googletagmanager.com. Sier du ja, settes _ga og _ga_* for å skille besøk fra hverandre.

Google mottar i stedet et anonymt signal per sidevisning. Det inneholder IP-adressen din, hvilken nettleser du bruker og hvilken side du er på. Vi kan se hvor mange som besøker nettstedet, hvilke sider som leses og hvor besøkende kommer fra, men vi kan ikke kjenne igjen deg som enkeltperson eller følge deg mellom besøk.

IP-adressen kortes ned av Google før lagring, og data fra Norge behandles på Googles europeiske servere.

Rettslig grunnlag: for Google Analytics er det ditt samtykke, personvernforordningen artikkel 6 nr. 1 bokstav a. Det kan trekkes tilbake når som helst via «Informasjonskapsler» i bunnteksten. For den cookiefrie målingen med Umami er grunnlaget berettiget interesse, artikkel 6 nr. 1 bokstav f: å forstå hvordan nettstedet brukes, slik at vi kan forbedre det. Fordi den målingen er anonym og ikke følger deg over tid, er inngrepet lite. Du kan likevel protestere, se «Dine rettigheter».

Det vi lagrer lokalt når du bruker funksjoner

Noen funksjoner må huske noe på enheten din for i det hele tatt å virke. Dette lagres i nettleserens lokale lagring, sendes ikke til oss automatisk, og slettes når du tømmer nettleserdata.

I tillegg settes en teknisk øktinformasjonskapsel (session) når du logger inn. Den er nødvendig for innlogging og sikkerhet, og krever derfor ikke samtykke.

Dine rettigheter

Etter GDPR har du rett til innsyn (art. 15), retting (art. 16), sletting i særlige tilfeller (art. 17), begrensning (art. 18), dataportabilitet (art. 20) og innsigelse mot behandling (art. 21).

• Brukerkontodata: Logg inn og slett kontoen din, eller kontakt oss så sletter vi den manuelt.
• Varsel og digest: Deaktiver selv på kontosiden.
• Rolledata fra Brreg: Disse behandles av Brønnøysundregistrene som behandlingsansvarlig. Innsigelser om kildedata rettes til brreg.no.
• Skjerming av deg som person på Regnskapsbasen: Send innsigelse fra innsigelsesskjemaet.
• Skjerming av aksjonærdata: Send innsigelse fra aksjonær-innsigelsesskjemaet.

Innsigelsesprosessen

1. Du sender innsigelse via et av skjemaene over (med navn, fødselsår og begrunnelse).
2. Vi vurderer henvendelsen individuelt og tar hensyn til evt. særlige forhold (sperret adresse, dokumenterte trusler).
3. Vi sender skriftlig svar på e-post innen 30 dager (jf. art. 12 (3)) - enten godkjenning med skjerming, eller avslag med begrunnelse.
4. Ved avslag opplyser vi alltid om klageretten til Datatilsynet.

Du kan klage til Datatilsynet dersom du mener vi behandler personopplysninger i strid med personvernregelverket. Klageveien finnes på datatilsynet.no/klage.

Innlogging med Google

Aksjonærdata

Endringer i erklæringen

Vi kan oppdatere denne erklæringen ved vesentlige endringer i hvordan vi behandler personopplysninger. Datoen øverst på siden viser når erklæringen sist ble revidert.