Databehandleravtale for Roret

Versjon: 2026-10-29

Gjelder fra: 29.10.2026

1. Partene og bakgrunnen

1.1 Avtalen er mellom Kunden, som er behandlingsansvarlig, og Roret AS, org.nr. 836 684 052 («Roret»), som er databehandler. Kunden er selskapet som står i ordrebekreftelsen for Roret.

1.2 Databehandleravtalen er en del av avtalen om Roret (kundevilkårene punkt 1.3). Den oppfyller kravene i personvernforordningen (GDPR) art. 28, som gjelder som norsk lov etter personopplysningsloven § 1. Ordene har samme betydning som i forordningen art. 4.

1.3 Har tenanten flere selskaper, er hvert selskap behandlingsansvarlig for sine egne opplysninger, og avtalen gjelder for hvert av dem.

1.4 Avtalen gjelder ikke opplysningene Roret behandler om Kunden som kunde, som kontaktpersoner, fakturering og support. Der er Roret selv behandlingsansvarlig. Det står i personvernerklæringen på roret.no.

2. Formål, art og varighet

2.1 Roret behandler personopplysninger bare for å levere Roret til Kunden slik avtalen sier:

lagre og behandle Kundens data i systemet
kjøre funksjonene Kunden bruker: regnskap, bank, MVA, lønn og a-melding, CRM, nettsted og nettbutikk, kundeservice, prosjekter, Styring, appen for ansatte og Assistent
sende til myndighetene, til banken og som EHF når Kunden ber om det
ta backup, gi support, rette feil og holde tjenesten sikker
måle omfanget av bruken når prisen bygger på det, for eksempel antall selskaper eller antall ansatte med lønnsslipp, uten å hente ut opplysninger om hver enkelt person

2.2 Behandlingen er lagring, organisering, endring, overføring, utlevering etter Kundens instruks, og sletting (art. 4 nr. 2).

2.3 Avtalen varer så lenge Roret behandler personopplysninger for Kunden. Det omfatter de 30 dagene med lesetilgang etter opphør og slettingen i punkt 11.

3. De registrerte og opplysningene

3.1 Hvilke opplysninger som behandles, avhenger av hvilke funksjoner Kunden bruker og hva Kunden legger inn.

De registrerte	Opplysningene
Kundens ansatte og tidligere ansatte	Navn, kontaktinformasjon, adresse og pårørende. Fødselsnummer eller D-nummer (til a-melding og lønnsslipp). Arbeidsforhold, lønn, skattekort og skattetrekk, feriepenger og kontonummer. Timer, utlegg og reiser med kvitteringer og reiseruter. Fravær, også egenmelding og sykmelding. Trekk av fagforeningskontingent når lønnen trekker den
Brukere av appen for ansatte	Det samme som over, og telefonens navn eller modell og push-tokenet. Rorets innsendingstjeneste har bare en kontrollsum av tokenet
Kundens kunder og mulige kunder	Navn, kontaktinformasjon, adresse og organisasjonsnummer. Tilbud, ordrer, fakturaer og betalinger. CRM-historikk, supportsaker og e-post. Leveringsadresse og ordrehistorikk for kjøpere i nettbutikken
Leverandører og kontaktpersonene deres	Navn, kontaktinformasjon, kontonummer og fakturaer, også EHF
Styremedlemmer, daglig leder, aksjeeiere og reelle rettighetshavere (Styring)	Navn, adresse, fødselsnummer eller D-nummer der aksjeeierboken eller registrene krever det, aksjer og verv. Innkallinger, protokoller og vedtak. Signaturer med navn, tidspunkt, IP-adresse og nettleser
Brukere av Roret (Kundens ansatte, regnskapsfører, revisor)	Brukerkonto, roller, innloggingstidspunkter og IP-adresser, API-nøkler og koblingen til Assistent
Besøkende på Kundens nettsted og nettbutikk	Det Kunden samler inn, for eksempel skjemaer og besøksdata
Andre personer i bilag og dokumenter	Det som står i dokumentene Kunden laster opp

3.2 Særlige kategorier (art. 9): helseopplysninger (at en ansatt er syk, med egenmelding eller sykmelding, men ikke diagnose eller årsak) og fagforeningsmedlemskap (trekk av kontingent).

3.3 Fødselsnummer behandles der det trengs for sikker identifisering, for eksempel i a-meldingen (personopplysningsloven § 12).

4. Kundens plikter

4.1 Kunden skal ha behandlingsgrunnlag for opplysningene (art. 6 og 9). For helseopplysninger og fagforeningsmedlemskap i arbeidsforholdet er grunnlaget typisk art. 9 nr. 2 bokstav b og personopplysningsloven § 6.

4.2 Kunden skal informere de registrerte (art. 13 og 14). For appen for ansatte kan Kunden vise til personvernerklæringen på roret.no/personvern/ansattappen.html.

4.3 Kunden vurderer selv om det trengs en vurdering av personvernkonsekvenser (art. 35).

4.4 Kunden bestemmer hvem som får tilgang i tenanten. Regnskapsfører, revisor og andre Kunden gir tilgang, er Kundens egne leverandører eller selvstendig ansvarlige, ikke Rorets.

4.5 Kunden skal ikke legge inn flere opplysninger enn formålet krever, for eksempel diagnose i et fritekstfelt.

5. Rorets plikter

5.1 Roret behandler opplysningene bare etter Kundens dokumenterte instrukser (art. 28 nr. 3 bokstav a). Instruksene er denne avtalen, ordrebekreftelsen og det Kundens brukere gjør i Roret. Krever lov i EØS eller Norge en annen behandling, sier Roret fra til Kunden først, med mindre loven forbyr det.

5.2 Mener Roret at en instruks bryter personvernreglene, sier Roret fra straks (art. 28 nr. 3 annet ledd).

5.3 Roret bruker ikke opplysningene til egne formål.

5.4 Alle hos Roret som har tilgang til opplysningene, har taushetsplikt (art. 28 nr. 3 bokstav b). Rorets folk går inn i Kundens tenant bare når Kunden ber om det, når det trengs for å gjøre det avtalen sier (som å sette opp tenanten, endre statusen, lage eksportpakken og slette), eller når det trengs for å rette en feil, holde tjenesten sikker eller oppfylle et lovkrav. Hver gang logger Roret hvem som var inne, når og hvorfor, og Kunden får loggen når Kunden ber om det.

5.5 Roret hjelper Kunden å svare på krav fra de registrerte om innsyn, retting, sletting, begrensning, protest og dataportabilitet (art. 12–22). Roret har funksjoner for å finne, rette, eksportere og slette opplysninger. Får Roret et slikt krav direkte, sender Roret det til Kunden uten ugrunnet opphold og svarer ikke selv.

5.6 Roret hjelper Kunden med sikkerheten, avvik, vurderinger av personvernkonsekvenser og forhåndsdrøftinger (art. 32–36), med det Roret vet om systemet. Bistand som går ut over dette, for eksempel å skrive en vurdering av personvernkonsekvenser for Kunden, kan Roret fakturere etter medgått tid, avtalt på forhånd. Hjelp med et brudd Roret har ansvaret for, faktureres ikke.

5.7 Roret fører protokoll over behandlingen (art. 30 nr. 2).

6. Sikkerhet

6.1 Roret har tekniske og organisatoriske tiltak som passer til risikoen (art. 32). På et overordnet nivå:

Hvert kundeforhold har sin egen database.
Data er kryptert under overføring (TLS 1.2 eller 1.3) og lagret på krypterte disker. Backupen er kryptert.
Serveren nås ikke med åpen SSH. Driften skjer gjennom AWS' egen tilgangskontroll.
Passord og nøkler for driften ligger på den krypterte serveren eller i AWS' lager for hemmeligheter, aldri i Kundens database.
Virksomhetssertifikatet og nøklene for innsending og pushvarsler ligger i en egen tjeneste som Kundens database ikke kan lese.
Hver kunde har egen API-nøkkel mot innsendingstjenesten, med kvoter.
Kundens administrator får bare rettigheter som er gått gjennom for sikkerheten (kundevilkårene punkt 6.6).
Brukerne kan slå på tofaktorinnlogging, og Roret krever den for alle Kundens brukere når Kunden ber om det (kundevilkårene punkt 6.5).
Drift og innsendinger overvåkes, med varsling ved feil.
Gjenoppretting fra backup testes hver uke.

6.2 Roret gir Kunden en mer detaljert beskrivelse av sikkerheten når Kunden ber om det. Tiltakene endres når risikoen tilsier det, men blir ikke svakere enn det som står i punkt 6.1.

7. Underdatabehandlere

7.1 Kunden gir Roret generell tillatelse til å bruke underdatabehandlere (art. 28 nr. 2). Roret varsler Kunden på e-post minst 30 dager før en underdatabehandler legges til eller byttes. Kunden kan protestere. Finner partene ingen løsning, kan Kunden si opp avtalen før endringen gjelder.

7.2 Roret pålegger underdatabehandlerne de samme pliktene som i denne avtalen, og svarer overfor Kunden for dem (art. 28 nr. 4).

7.3 Underdatabehandlerne i dag:

Underdatabehandler	Hva de gjør	Hvor dataene behandles
Amazon Web Services EMEA SARL (Luxembourg)	Servere, databaser, fillagring og backup	AWS eu-north-1, Stockholm, Sverige. Får AWS tilgang fra land utenfor EØS, for eksempel ved drift og support, gjelder EUs standard personvernbestemmelser i AWS' databehandlervilkår
Amazon Web Services EMEA SARL (Amazon SES)	Sender e-post fra Roret, som invitasjoner, varsler og fakturaer og purringer Kunden sender på e-post	AWS eu-north-1, Stockholm, Sverige, med de samme vilkårene som over
Anthropic Ireland, Limited (Claude Team)	Claude, som Rorets folk bruker i driften og supporten. Når de retter en feil, går gjennom en sak Kunden har meldt, eller setter opp og endrer tenanten, kan opplysninger fra Kundens tenant sendes til Claude	USA. Rorets avtale er Anthropics Commercial Terms med Anthropics databehandlervilkår, og overføringen skjer med EUs standard personvernbestemmelser i dem
Apple Inc. (Apple Push Notification service)	Leverer pushvarsler til appen for ansatte på iPhone	USA. Apple er ikke med i EU–US Data Privacy Framework, og Apples utviklervilkår har ingen egen databehandleravtale for pushvarsler. Apple oppgir at overføringer fra EØS skjer med EUs standard personvernbestemmelser. Derfor inneholder varslene aldri navn, beløp eller begrunnelse (se under)
Google LLC (Firebase Cloud Messaging)	Leverer pushvarsler til appen for ansatte på Android	Der Google har datasentre, også i USA. Google LLC er sertifisert under EU–US Data Privacy Framework, og Firebases databehandlervilkår sier at rammeverket gjelder for overføringer til Google i USA. Er rammeverket ikke tilgjengelig, gjelder EUs standard personvernbestemmelser i de samme vilkårene

Et pushvarsel sier hva som har skjedd, for eksempel «Utlegget ditt er godkjent», men aldri beløp, navn eller begrunnelse. Push-tokenet lagres i Kundens tenant. Tjenesten som sender varslene videre til Apple og Google, lagrer verken teksten eller tokenet, bare en kontrollsum av tokenet.

Aksesspunktet i Peppol, som sender og tar imot EHF, føres opp på lista med varsel etter punkt 7.1 før Roret slår på EHF for Kunden.

7.4 Disse er ikke Rorets underdatabehandlere:

Myndighetene. Skatteetaten, a-ordningen (Skatteetaten, NAV og SSB), Altinn og Digitaliseringsdirektoratet (ID-porten og Maskinporten) og Brønnøysundregistrene får opplysninger når Kunden sender inn, og navnet eller organisasjonsnummeret en bruker skriver når hen slår opp et selskap i Enhetsregisteret. De er mottakere etter Kundens instruks og behandler opplysningene etter egne lovregler.
Kundens bank (i dag DNB). Bankfilene går under Kundens egen bankavtale. Banken behandler dem som Kundens bank.
Anthropic, når Kunden bruker Assistent. Da går opplysningene til Claude med Kundens egen Claude-konto og etter Kundens egen avtale med Anthropic. For det er Anthropic Kundens leverandør, ikke Rorets underdatabehandler. Kunden avgjør hvilke brukere som kobler til. Rorets egen bruk av Claude i driften og supporten står i punkt 7.3.
Tjenester Kunden kobler til med egen avtale, for eksempel frakt eller SMS, og regnskapsfører og revisor.
Telefonens egne tjenester. Hva appen for ansatte sender til Apple og Google utenom pushvarslene (kartoppslag og tekniske data fra Googles biblioteker på Android), står i personvernerklæringen for appen. Roret regner ikke dette som underdatabehandling: kartoppslagene går til telefonens egen kartjeneste uten noen avtale med Roret, og Google bruker de tekniske dataene fra bibliotekene etter sine egne vilkår.

7.5 Tar Roret i bruk en ny AI-tjeneste med Rorets egen avtale, blir leverandøren underdatabehandler og føres opp etter punkt 7.1.

8. Overføring ut av EØS

8.1 Roret lagrer og behandler Kundens data i EØS (AWS eu-north-1, Sverige). Det er tre unntak:

Pushvarslene til appen for ansatte går til Apple og Google, som kan behandle dem i USA (punkt 7.3).
Tilgang fra AWS. Får AWS' folk tilgang fra land utenfor EØS, for eksempel ved drift og support, gjelder EUs standard personvernbestemmelser i AWS' databehandlervilkår.
Claude i Rorets drift og support. Det Rorets folk sender til Claude, behandles hos Anthropic i USA (punkt 7.3).

8.2 Blir det overføringer, skjer de bare med gyldig grunnlag etter forordningen kapittel V (art. 44–49), for eksempel en beslutning om tilstrekkelig beskyttelsesnivå eller EUs standard personvernbestemmelser, og med varsel etter punkt 7.1.

9. Brudd på personopplysningssikkerheten

9.1 Roret varsler Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd (art. 33 nr. 2), og senest innen 24 timer.

9.2 Varselet sier så langt Roret vet hva som har skjedd, hvilke registrerte og opplysninger det gjelder, hvilke følger det kan få, og hva Roret gjør (art. 33 nr. 3). Det som kommer fram senere, sendes etter hvert.

9.3 Kunden melder bruddet til Datatilsynet innen 72 timer når det kreves (art. 33 nr. 1), og varsler de registrerte når det kreves (art. 34). Roret hjelper til.

9.4 Roret dokumenterer bruddene og tiltakene.

10. Revisjon

10.1 Roret gir Kunden det som trengs for å vise at avtalen følges (art. 28 nr. 3 bokstav h), for eksempel denne avtalen, lista over underdatabehandlere og rapportene underdatabehandlerne gjør tilgjengelige.

10.2 Kunden kan revidere Roret selv eller med en uavhengig revisor med taushetsplikt. En revisjon skal ikke gi tilgang til andre kunders data. Kunden varsler minst 30 dager før, og reviderer høyst én gang i året, med mindre et brudd eller Datatilsynet gir grunn til mer. Kunden betaler sine egne kostnader. Bruker Roret mer enn én arbeidsdag på en revisjon, kan Roret fakturere tiden over det etter medgått tid.

10.3 Datatilsynet og andre myndigheter får tilgang slik loven gir dem rett til.

11. Tilbakelevering og sletting

11.1 Mens avtalen løper, bestemmer Kunden hva som lagres og hvor lenge. Roret sletter etter Kundens instruks. Det Kunden sletter, kan ligge i backupen til kopien går ut (kundevilkårene punkt 7.2). Vedlegg og andre filer Kunden sletter, kan likevel ligge i backupen til tenanten slettes etter punkt 11.3.

11.2 Når avtalen opphører, får Kunden eksportpakken etter kundevilkårene punkt 10: SAF-T for hvert regnskapsår med posteringer, alle bilag og vedlegg, utgående fakturaer som PDF, EHF-filene og en full kopi av databasen og filene. I 30 dager fra opphørsdatoen kan Kunden lese og eksportere. Deretter sletter Roret tenanten, med database og filer.

11.3 Backup: kopiene av en slettet tenant slettes senest 50 dager etter at tenanten er slettet.

11.4 Opplysninger om Kunden i innsendingstjenesten:

Loggen over innsendinger har organisasjonsnummer, de fire siste sifrene i fødselsnummeret til den som logget inn, og IP-adresse. Den beholdes i fem år etter innsendingen, også etter at avtalen er opphørt, som dokumentasjon av hva som ble sendt på Kundens vegne.
Rorets arkiv over bankfiler: innkommende filer (kontoutskrifter og bankens svar på betalingsfiler) beholdes i seks år etter at de kom, og sendte betalingsfiler i 90 dager, så lenge avtalen løper. Ved opphør slettes Kundens bankfiler sammen med tenanten (punkt 11.2). En bankfil som kom gjennom bankavtalen til en annen av Rorets kunder, hører til den kunden og slettes ikke ved Kundens opphør, selv om den har kontoer som tilhører Kunden. Oppbevaringsplikten etter bokføringsloven er Kundens. Bankfilene med transaksjoner som Kundens Roret tar imot, følger med i eksportpakken. Bankfiler som ikke er med der, for eksempel eldre filer, filer som ikke ble lest inn, betalingsfilene og bankens svar på dem, får Kunden fra arkivet hvis Kunden ber om det før de slettes.
Kontrollsummen av push-tokenet slettes etter 180 dager uten varsler.

11.5 Roret bekrefter slettingen skriftlig når Kunden ber om det.

11.6 Utover punkt 11.3 og 11.4 beholder Roret bare det loven krever. Rorets eget regnskapsmateriale om Kunden, som fakturaene til Kunden, er ikke omfattet av denne avtalen.

12. Ansvar

Ansvaret overfor de registrerte følger forordningen art. 82. Ellers gjelder ansvarsreglene i kundevilkårene punkt 13, også ansvarstaket i punkt 13.3. Taket begrenser ikke de registrertes rett til erstatning.

13. Varighet, endringer og forrang

13.1 Avtalen gjelder så lenge Roret behandler personopplysninger for Kunden, og til slettingen etter punkt 11 er gjennomført.

13.2 Endringer gir en ny versjon med ny dato. En oppdatert liste over underdatabehandlere etter punkt 7.1 er ikke en ny versjon av avtalen.

13.3 For behandling av personopplysninger går denne avtalen foran kundevilkårene og ordrebekreftelsen.

13.4 Lovvalg og verneting er som i kundevilkårene punkt 17.

14. Kontakt

Roret: personvern@roret.no. Kunden: kontakten i ordrebekreftelsen.