Versjon 16. oktober 2026. Aiak AS, org.nr. 936 856 101. Kontakt: post@aiak.no.

Disse vilkårene gjelder når de er innlemmet i oppdragsavtalen eller særskilt avtalt skriftlig. De skal brukes sammen med et oppdragsspesifikt vedlegg. Nettsiden alene fastsetter ikke hvilke opplysninger, leverandører eller behandlingssteder som er godkjent i det enkelte oppdraget. En ny versjon på nettsiden endrer ikke en allerede inngått avtale uten at avtalte endringsregler følges.

1. Roller, formål og instrukser

Kunden er behandlingsansvarlig for personopplysninger i sin virksomhet. Aiak er databehandler når vi utfører avtalte regnskaps-, fakturerings- og lønnsoppgaver på kundens vegne. Aiak behandler da bare opplysninger etter dokumenterte instrukser, inkludert ved eventuell overføring utenfor EØS.

Aiak kan være selvstendig behandlingsansvarlig for egne lovpålagte plikter, blant annet kundekontroll etter hvitvaskingsregelverket og dokumentasjon av eget oppdrag. Slike formål skal skilles fra behandling på kundens vegne. Kundens instrukser kan ikke oppheve Aiaks lovpålagte plikter.

Aiak varsler kunden straks dersom en instruks etter vår vurdering strider mot personvernregelverket. Hvis lov krever annen behandling, informerer vi kunden før behandlingen, med mindre loven forbyr det.

2. Oppdragsspesifikt vedlegg

Før behandlingen begynner, skal partene dokumentere:

  • oppdragets formål, varighet og hvilke handlinger Aiak skal utføre
  • kategorier av registrerte, for eksempel kundens kunder, leverandører og ansatte
  • typer personopplysninger og eventuelle særlige kategorier
  • hvem som trenger tilgang, med roller og avgrensninger
  • avtalte systemer, kanaler og eventuell bruk av AI
  • underdatabehandlere, deres oppgaver og behandlings-, lagrings- og sikkerhetskopieringssteder
  • eventuelle overføringer utenfor EØS og grunnlaget for disse
  • konkrete sikkerhetstiltak, kontaktpersoner og avviksrutiner
  • tilbakelevering, oppbevaring, sletting og håndtering av sikkerhetskopier ved opphør.

Vedlegget og særskilt avtalte instrukser har forrang ved motstrid med disse generelle vilkårene. Uavklarte forhold som er nødvendige for lovlig behandling, skal avklares før de berørte opplysningene gjøres tilgjengelige.

3. Opplysninger og dataminimering

Regnskapsarbeidet kan omfatte navn, kontaktopplysninger, kunde- og leverandørreferanser, fakturaer, bilag, betalinger, kontoinformasjon og rapporter. Lønn og personopplysninger om ansatte omfattes bare når dette er del av oppdraget.

Kunden skal bare dele opplysninger som er nødvendige for den avtalte oppgaven. Behandlingsnotater, diagnoser, journaler og andre detaljer som ikke trengs for regnskapet, skal holdes utenfor regnskapsgrunnlaget.

Helseopplysninger og andre særlige kategorier

Et navn koblet til terapi eller en helsetjeneste kan i seg selv røpe helseopplysninger. Fravær av journalnotater betyr derfor ikke automatisk at fakturagrunnlaget er uten særlige kategorier personopplysninger.

Slik behandling krever et særskilt skriftlig vedlegg som uttrykkelig omfatter opplysningene og fastsetter nødvendige begrensninger og sikkerhetstiltak. Kunden må dokumentere relevant behandlingsgrunnlag etter både artikkel 6 og, der det er aktuelt, artikkel 9. Databehandleravtalen gir ikke i seg selv et slikt grunnlag.

4. Tilgang, taushetsplikt og sikkerhet

Aiak begrenser tilgangen til personer med tjenstlig behov. Personer med tilgang skal være underlagt taushetsplikt og få nødvendige instrukser. Tilgang skal endres eller fjernes når behovet opphører.

Sikkerhetstiltakene skal være tilpasset risikoen og dokumenteres i vedlegget. De skal omfatte personlig tilgangsstyring, sikker overføring, beskyttelse av utstyr, logging der relevant, sikkerhetskopiering, gjenoppretting og regelmessig vurdering av tiltakene. Tekniske funksjoner skal beskrives slik de faktisk er levert; avtalen er ikke en bekreftelse på at en bestemt funksjon er aktivert.

Se også sikkerhet hos Aiak.

5. Regnskapssystem og underdatabehandlere

Aiak og Reai AS er ulike avtalepartnere. ReAIs databehandlervilkår erstatter ikke Aiaks avtale for regnskapsarbeidet. Når Reai behandler data som Aiaks underdatabehandler, skal dette fremgå av vedlegget. Har kunden egen avtale med systemleverandøren, beskrives dette særskilt.

Leverandørkjeden kan omfatte regnskapssystem, hosting, sikkerhetskopiering, e-post, dokumentlevering og AI. Det at Aiak gjør regnskapsarbeidet selv, innebærer ikke at det ikke brukes underdatabehandlere.

Aiak skal ha kundens særlige eller generelle skriftlige tillatelse før underdatabehandlere tas i bruk. Underleverandører skal være bundet av skriftlige forpliktelser som gir minst samme beskyttelse for den aktuelle behandlingen. Aiak er ansvarlig overfor kunden for underdatabehandlerens oppfyllelse av disse forpliktelsene.

Ved generell tillatelse varsler Aiak planlagt tillegg eller utskifting skriftlig minst 30 dager før leverandøren får tilgang til kundens opplysninger. Kunden kan fremme en begrunnet innsigelse innen fristen. Partene avklarer alternativ løsning eller avslutning av berørt behandling før endringen gjennomføres; ny leverandør skal ikke brukes for omstridt behandling før dette er avklart.

6. AI og automatisert dokumentanalyse

ReAI har funksjoner som bruker OpenAI til dokumentanalyse og konteringsforslag. Data som følger en analyse, kan omfatte dokumentinnhold og regnskapskontekst, som kunde- eller leverandørnavn og banktransaksjoner. Det er derfor ikke tilstrekkelig å vurdere bare teksten i selve bilaget.

Det oppdragsspesifikke vedlegget skal angi hvilke opplysninger som kan sendes til AI, hvilke funksjoner som kan brukes, og hvordan en eventuell begrensning håndheves. Dette gjelder også Aiaks bruk av eksterne assistentverktøy. Kundens opplysninger skal ikke brukes til egne treningsformål hos Aiak.

En avtale om manuell behandling er ikke en bekreftelse på at systemet har en teknisk av/på-bryter for all AI. Aiak lover ikke at AI er slått av uten at den avtalte løsningen er kontrollert. Opplysninger som er unntatt fra AI-behandling, skal ikke inngå i dokumenter eller kontekst sendt til slike funksjoner.

Eventuelle opplysninger om leverandørens lagringstid, trening og geografiske behandling skal bygge på gjeldende leverandøravtale og faktisk konfigurasjon. Ingen generell garanti om null lagring eller behandling bare i EU gis gjennom denne nettsiden.

7. Behandlingssteder og overføringer

Vedlegget skal skille mellom ordinær drift, dokumentlagring, sikkerhetskopier, fjernaksess og behandling hos øvrige leverandører. Ett oppgitt serverland beskriver ikke nødvendigvis hele behandlingen.

Overføring utenfor EØS krever gyldig overføringsgrunnlag etter personvernforordningens kapittel V og nødvendige supplerende tiltak. Partene skal dokumentere hvilke leverandører og opplysninger dette gjelder. En leverandørs regionale lokasjonshint er ikke alene dokumentasjon på en bindende geografisk begrensning.

8. Sikkerhetsbrudd

Aiak varsler kunden uten ugrunnet opphold etter å ha blitt kjent med brudd på personopplysningssikkerheten. Første varsel skal ikke utsettes fordi undersøkelsen er uferdig.

Varslet skal, så langt informasjonen er tilgjengelig, beskrive hendelsen, berørte registrerte og opplysninger, sannsynlige følger, iverksatte eller planlagte tiltak og kontaktperson. Aiak gir oppdateringer etter hvert, bevarer relevant dokumentasjon og bistår kunden med vurdering av varsling til myndigheter og registrerte.

9. Bistand, dokumentasjon og kontroll

Aiak bistår kunden med rettigheter som innsyn, retting og sletting, og med sikkerhetsvurderinger, vurdering av personvernkonsekvenser og eventuell forhåndsdrøftelse. Henvendelser fra registrerte som gjelder kundens behandling, videreformidles til kunden.

Aiak gjør nødvendig dokumentasjon tilgjengelig for å påvise etterlevelse og muliggjør revisjon og inspeksjon utført av kunden eller en revisor kunden har utpekt. Praktisk gjennomføring avtales med hensyn til sikkerhet og andre kunders fortrolige opplysninger. Eventuell betaling for bistand avtales på forhånd og skal ikke hindre lovpålagt bistand.

10. Opphør, eksport og sletting

Ved opphør velger kunden tilbakelevering eller sletting av personopplysninger, med mindre lov krever videre lagring. Format, frister og eksportomfang skal fremgå av oppdraget. En eksport må skille mellom regnskapsdata og vedlagte bilagsfiler; en SAF-T-fil alene er ikke en full bilagskopi.

Etter avtalt tilbakelevering sletter Aiak gjenværende kopier som ikke må beholdes etter lov, og bekrefter sletting skriftlig. Sikkerhetskopier skal være tilgangsbegrenset og slettes etter den dokumenterte rotasjonen. Ved gjenoppretting skal tidligere sletteinstrukser følges opp igjen. Lovpålagt videre lagring skal begrenses til nødvendige opplysninger, formål og frister.

Kunden har ansvar for sin lovpålagte oppbevaring. Partene skal avtale overleveringen før tilgang avsluttes. Kunden skal ikke regne med ubegrenset systemtilgang etter oppsigelse med mindre dette er avtalt.

11. Varighet og endringer

Avtalen gjelder så lenge Aiak behandler opplysninger på kundens vegne, også under tilbakelevering og sletting. Taushetsplikten fortsetter etter opphør. Endringer som påvirker den avtalte behandlingen, dokumenteres skriftlig før de tas i bruk.

Les også Aiaks personvernerklæring. Kravene til databehandleravtaler følger blant annet av personvernforordningen artikkel 28.