Personvern

Hvem som er ansvarlig

Tjenesten drives av Daia AS (org.nr. 935541018). Spørsmål om personvern: hello@daia.no.

For brukerkontoene bestemmer vi hva som skjer med opplysningene (vi er behandlingsansvarlig). Regnskapet bestemmer firmaet over: vi behandler det bare på firmaets vegne (som databehandler), etter en avtale med firmaet som er en del av vilkårene.

Hva vi behandler, og hvorfor

• Brukerkonto: e-postadresse, passord (bare som hash), når du logget inn, om det var på nett eller i appen og navnet nettleseren eller appen oppgir, telefonene du får varsler på, hvilken versjon av vilkårene du har godtatt, og e-postadressene til dem som inviteres til et firma. For å gi deg tilgang og holde kontoen sikker (avtale, GDPR art. 6 nr. 1 b).
• Regnskapet: bilag, posteringer, kunder og leverandører, bankutskrifter og fakturaer. For å føre regnskapet for firmaet (avtale), og fordi bokføringsloven krever at det oppbevares (rettslig forpliktelse, art. 6 nr. 1 c).
• Leveringsstatus for e-post: en faktura eller purring som sendes på e-post, har med Kvitts' referanse (bare id-er), og e-postleverandøren forteller oss om den kom fram, ble avvist av mottakerens server eller ble merket som søppelpost. Statusen står på fakturaen eller purringen; leverandørens id for e-posten slettes etter 30 dager. For å vise firmaet om kunden fikk den, og for at en purring som ikke kom fram, ikke skal koste gebyr (avtale).
• Sikkerhet: IP-adresse i tekniske logger og for å begrense innloggingsforsøk, og e-postadresser som prøver å logge inn for ofte. For å verne tjenesten mot misbruk (berettiget interesse, art. 6 nr. 1 f). Revisjonsloggen, som viser hvem som gjorde hva, har ingen IP-adresser.

Kunstig intelligens leser bilagene og foreslår føringer; ingenting føres før en person har godkjent det. Språkmodellen får bare bilaget den leser (eller, når den foreslår konto, leverandøren, varelinjene, beløpet og kontoplanen). Hver forespørsel krever nullagring: bare tilbydere som etter egne opplysninger verken lagrer innholdet eller trener modeller på det, kan svare. Innholdet kan likevel ligge kort i minnet hos dem.

Hvor lenge

• Bilag og annet regnskapsmateriale: i fem år etter utgangen av regnskapsåret (bokføringsloven § 13), og dokumentasjon av kjøp av kapitalvarer i ti år (bokføringsforskriften § 7-3). Så lenge firmaet bruker Kvitts, beholder vi regnskapet.
• Avslutter eieren firmaet, kan ingenting nytt føres. Medlemmer som ikke er eiere, mister tilgangen; eierne beholder den, bare for å lese regnskapet og ta full eksport. Invitasjoner trekkes tilbake, og bilagsadressen, integrasjonene og EHF slås av. Dokumenter vi har funnet ut ikke er bilag, slettes, uansett hvordan de kom inn; det som ligger ubehandlet i innboksen, blir med i eksporten. Vi henter først de uleste EHF-dokumentene som ligger hos tilbyderen av tilgangspunktet, så de blir med i eksporten. Regnskapet beholdes skrivebeskyttet i oppbevaringstiden, og så slettes alt om firmaet for godt 1. januar i det sjette året etter siste regnskapsår (det ellevte når eieren oppgir at firmaet har kjøpt kapitalvarer): firmaets nøkkel, radene og filene. Kopiene i sikkerhetskopiene utløper etter den faste planen under (Sikkerhetskopier): filkopiene er borte innen 35 dager, og Railways kopier av databasen innen tre måneder.
• Full eksport: filene er krypterte i lageret, kommer i deler på høyst 500 MB (høyst 10 GB til sammen, og tre eksporter i døgnet), kan lastes ned i 7 dager og slettes natten etter, og kommer ikke i sikkerhetskopiene.
• SAF-T-filer fra en import: i fem år etter det siste regnskapsåret filen har bokføring for. Eldre år i samme fil beholdes like lenge, fordi filen ikke kan deles.
• E-post til bilagsadressen som ikke er bilag: slettes når den er 30 dager gammel.
• Brukerkontoen: til du sletter den selv (Innstillinger → Sikkerhet, eller på /konto hvis du ikke er med i noe firma, eller fra appen). Da sletter vi kontoen, innloggingene og enhetene dine med en gang, og du logges ut på alle enheter. Bilag du har lastet opp eller godkjent, står fortsatt i firmaets regnskap, med bruker-id-en din og uten e-postadresse, passord og opplysninger om vilkårene du godtok, så lenge regnskapet må oppbevares. Har du sendt bilag inn på e-post til et firma du var med i, slettes e-postadressen til kontoen din som avsender i firmaets oversikt over bilagene. Ble selve e-posten bilaget (vi lager en PDF av en e-post uten vedlegg), står adressen din i den PDF-en som en del av bilaget, og den oppbevares med regnskapet. Linjene om innloggingene dine i revisjonsloggen slettes innen et døgn; linjen om selve slettingen (bare bruker-id-en) beholdes. Firmaer som har invitert deg, har fortsatt adressen din i oversikten over hvem de inviterte, så lenge de beholder regnskapet. Den siste eieren av et firma som er i bruk, må avslutte firmaet først, og den siste eieren av et avsluttet firma må selv ha lastet ned alle delene av en full eksport som er bestilt etter avslutningen. En konto der e-postadressen aldri ble bekreftet, slettes 30 dager etter siste registrering. En invitasjon som ikke ble godtatt, slettes 30 dager etter at den gikk ut; firmaets revisjonslogg viser fortsatt hvem som ble invitert.
• Innloggingsforsøk med IP-adresse, og e-postadresser som prøver å logge inn for ofte: ett døgn. Tekniske logger: inntil 30 dager. Feilrapporter: inntil 90 dager.
• Sikkerhetskopier: filene dine (bilag, fakturaer, bankfiler og SAF-T) lagres kryptert med firmaets egen nøkkel, også i sikkerhetskopien. Det som slettes, forsvinner straks fra den løpende tjenesten, men ikke straks fra sikkerhetskopiene: de utløper etter en fast plan, filkopiene senest 35 dager etter slettingen og databasekopiene hos Railway senest etter tre måneder. Sikkerhetskopiene brukes bare til å gjenopprette tjenesten etter en feil. Må vi gjenopprette, sletter vi på nytt det som var slettet etter tidspunktet vi gjenoppretter til: hver sletting av en konto og hver avslutning av et firma skrives også i en egen logg utenfor databasen, med bare id-er, tidspunkt og, for en avslutning, svaret om kapitalvarer og slettedatoen, og etter en gjenoppretting gjør vi dem på nytt fra den loggen. Loggen sletter seg selv: en oppføring slettes etter 120 dager (en avslutning står så lenge firmaet finnes), noe som er lenger enn databasekopiene hos Railway varer.

Mobilappen

Appen holder innloggingen i telefonens sikre lager. Face ID eller Touch ID er et valg du gjør, og blir på telefonen: vi får aldri ansiktet eller fingeren din. Bilder du tar og filer du deler med appen, går til firmaet ditt i Kvitts når du sender dem. Slår du på varsler, får vi telefonens varselnøkkel.

Dine rettigheter

Du kan be om innsyn, retting og sletting (sletting så langt bokføringsloven tillater), om begrenset behandling og om å få opplysningene dine utlevert, og du kan protestere mot det vi gjør av berettiget interesse. Skriv til hello@daia.no, så svarer vi innen en måned. Du kan selv slette kontoen og avslutte firmaet. Eieren kan når som helst ta full eksport: regnskapet som SAF-T-filer og alle bilag, med revisjonsloggen. Er du kunde, leverandør eller ansatt i et firma som bruker Kvitts, er det firmaet som bestemmer over opplysningene om deg; spør firmaet først. Du kan klage til Datatilsynet.

Informasjonskapsler

Vi bruker én informasjonskapsel: den som holder deg innlogget. Nettleseren husker i tillegg hvilket firma du sist åpnet, og en invitasjon du er i ferd med å ta imot (også lenken til den, så lenge fanen er åpen). Ingen analyse- eller reklamekapsler.

Underleverandører

Disse behandler personopplysninger for oss. Flere er amerikanske selskaper. Når opplysninger kan nås fra land utenfor EU og EØS, skal de være sikret på en av to måter: med EUs standardavtale (avtalevilkår EU-kommisjonen har laget for slike overføringer), eller med EU-US Data Privacy Framework (en ordning der amerikanske selskaper forplikter seg til regler EU har godkjent).

• Railway Corporation

  Drift av tjenesten: servere, database, sikkerhetskopier av databasen og logger. Railway lagrer ikke filene

  Opplysninger: Databasen og loggene

  Sted: Servere og database i EU (Amsterdam, Nederland), den regionen vi har valgt. Railway lover ikke i avtalen at data blir i EU.

  Overføring: Selskapet er amerikansk, så opplysningene kan nås fra USA. Sikret med EU-US Data Privacy Framework eller EUs standardavtale.

• Cloudflare, Inc. (R2)

  Lagring av bilag og andre filer (også eksportene og loggen over slettinger), og den nattlige kopien av dem

  Opplysninger: Filer, kryptert med firmaets egen nøkkel før de lagres. Kopien er like kryptert og kan ikke leses uten nøkkelen

  Sted: EU: lagringen er satt til EU-jurisdiksjon, og Cloudflare oppgir at objektene i en slik lagringsplass lagres innenfor EU. Cloudflare oppgir ikke et bestemt land.

  Overføring: Selskapet er amerikansk, så opplysningene kan nås fra USA. Sikret med EUs standardavtale eller EU-US Data Privacy Framework i Cloudflares databehandleravtale.

• Tigris Data, Inc. (gjennom Railway)

  Lagring av arkivet Railway bruker til å gjenopprette databasen til et tidspunkt

  Opplysninger: Sikkerhetskopier av databasen (ikke filene)

  Sted: Railway oppgir ikke hvilken region arkivet ligger i.

  Overføring: Selskapet er amerikansk, så opplysningene kan nås fra USA. Vi har ingen egen avtale med Tigris; Railway svarer for dem etter sin databehandleravtale.

• OpenRouter, Inc.

  Sender bilaget videre til språkmodellen som leser det

  Opplysninger: Bilaget som leses, og for kontoforslag leverandøren, varelinjene, beløpet og firmaets kontoplan

  Sted: USA: forespørselen går gjennom OpenRouter der. Vi krever nullagring; etter OpenRouters egne opplysninger lagres ikke innholdet, men det kan ligge kort i minnet, og OpenRouter forbeholder seg å ta vare på det som trengs mot misbruk og for å følge loven.

  Overføring: Sikret med EUs standardavtale i OpenRouters databehandleravtale.

• Google (Vertex AI, gjennom OpenRouter)

  Språkmodellen som leser bilaget (Gemini)

  Opplysninger: Det samme som OpenRouter får

  Sted: Modellen kjører i EU, men forespørselen kommer dit gjennom OpenRouter i USA. Etter OpenRouters opplysninger lagrer ikke Google innholdet og trener ikke modeller på det; Google kan holde det kort i minnet.

  Overføring: Selskapet er amerikansk, så opplysningene kan nås fra USA. Vi har ingen egen avtale med Google; OpenRouter svarer for dem etter sin databehandleravtale.

• Mailgun Technologies, Inc. (Sinch)

  Sender e-post fra tjenesten: innloggingslenker, fakturaer, purringer og beskjeder til brukerne. Tar imot bilag sendt til firmaets bilagsadresse. Forteller oss om en e-post kom fram, ble avvist av mottakerens server eller ble merket som søppelpost

  Opplysninger: E-postadresser, e-postene og vedleggene (fakturaer og purringer som PDF). Hver faktura- og purre-e-post har med Kvitts' referanse (bare id-er, ingen navn eller beløp), og Mailgun sender den tilbake med beskjeden om hvordan det gikk. En adresse som avviser e-post for godt, eller en mottaker som klager, kan komme på Mailguns blokkeringsliste

  Sted: EU (Mailguns EU-region): etter Mailguns egne opplysninger blir meldingene, hendelsesloggene (30 dager), blokkeringslisten og rutene i regionen. Kontoopplysninger, API-nøkler og domenenavn replikeres globalt. Mailgun er en del av det amerikanske Sinch, og kundestøtte og drift hører til selskaper i USA.

  Overføring: Selskapet er amerikansk, så opplysningene kan nås fra USA. Sikret med EUs standardavtale eller EU-US Data Privacy Framework.

• Recommand (BRBX BV)

  Aksesspunkt i Peppol, nettverket for elektroniske fakturaer: sender fakturaene til kundens aksesspunkt, tar imot fakturaer, og melder firmaet inn i Peppols offentlige katalog

  Opplysninger: Fakturaene og opplysningene på dem; i katalogen firmaets navn, organisasjonsnummer og adresse

  Sted: EU (Belgia). Noen av Recommands egne underleverandører er i USA (se Recommands liste).

  Overføring: Til de amerikanske underleverandørene: sikret med EUs standardavtale, etter Recommands databehandleravtale.

• 650 Industries, Inc. (Expo), Apple og Google

  Varsler til mobilappen

  Opplysninger: Varselets tekst (leverandør og firma, aldri beløp) og telefonens varselnøkkel

  Sted: USA. Expo lagrer ikke teksten lenger enn det tar å levere den til Apple eller Google.

  Overføring: Sikret med EUs standardavtale i Expos vilkår.

• Functional Software, Inc. (Sentry)

  Feilrapporter fra tjenesten

  Opplysninger: Feilmeldinger med tekniske detaljer; ikke innholdet i regnskapet, og ikke IP-adresser

  Sted: EU (Frankfurt, Tyskland)

  Overføring: Selskapet er amerikansk, så opplysningene kan nås fra USA. Sikret med EU-US Data Privacy Framework eller EUs standardavtale.

Vi slår også opp i disse tjenestene, uten å gi dem personopplysninger:

• Enhetsregisteret (Brønnøysundregistrene): organisasjonsnumre på bilag
• Norges Bank: valutakurser
• Have I Been Pwned: om et nytt passord er lekket, uten at passordet forlater oss (bare de fem første tegnene av en hash)