Personvernerklæring

1Hvem er behandlingsansvarlig

Hvem som har ansvaret avhenger av hvilke opplysninger det gjelder:

• Foreningens medlemmer. Her er foreningen (klubben) behandlingsansvarlig, og Rosa er databehandler som behandler opplysningene på foreningens vegne (personvernforordningen art. 28).
• Foreningens egne brukere (kasserer, styre, revisor) og kontaktpersoner Rosa selv registrerer for oppfølging og support. Her er Rosa behandlingsansvarlig.
• Besøkende på rosaregnskap.no. Her er Rosa behandlingsansvarlig.

Behandlingsansvarlig for Rosas del er:

Rosa AS, org.nr. 938 281 688
Trøengata 18, 7503 Stjørdal
post@rosaregnskap.no

2Hvilke opplysninger vi behandler

Om særlige kategorier

Rosa er ikke innrettet for særlige kategorier personopplysninger, som helse, religion, politisk oppfatning eller fagforeningsmedlemskap, og vi etterspør ikke slike opplysninger. Foreningen bestemmer selv hva som legges inn i tjenesten og er ansvarlig for at det er lov. Vi oppfordrer foreninger til ikke å registrere slike opplysninger i Rosa.

Om banken

Rosa har ingen tilkobling til foreningens bankkonto. Kassereren laster selv ned kontoutskriften fra nettbanken og laster den opp i Rosa. Vi har verken nettbanktilgang eller avtale om kontoinformasjonstjeneste. Skulle dette endre seg, oppdaterer vi denne erklæringen og varsler foreningene.

3Formål og rettslig grunnlag

• Levere programvaren. Rosa stiller til rådighet systemet foreningen bruker til å føre sitt eget regnskap, avstemme bank og forvalte kontingent. Foreningen fastsetter selv formål og behandlingsgrunnlag for medlemsdata; Rosa behandler dem kun på foreningens dokumenterte instruks (art. 28).
• Gi tilgang og innlogging til foreningens brukere — berettiget interesse (art. 6 nr. 1 f). Rosa har en berettiget interesse i å administrere brukerkontoer for de personene foreningen har gitt en rolle i tjenesten, slik at avtalen med foreningen kan oppfylles.
• Kundeoppfølging og support mot foreningens kontaktpersoner — berettiget interesse (art. 6 nr. 1 f), ordinær kontakt mot foreningens rollepersoner.
• Betaling og bokføring av kundeforholdet — rettslig forpliktelse (art. 6 nr. 1 c), jf. bokføringsloven. Navnet på foreningens kontaktperson kan fremgå av Rosas egne bilag.
• Besøksstatistikk på rosaregnskap.no — berettiget interesse (art. 6 nr. 1 f). Vi har en berettiget interesse i å vite hvor mange som besøker nettstedet og hvilke sider de leser, slik at vi kan forbedre det. Se punkt 12.

Er det frivillig å gi oss opplysningene? For å få brukerkonto i Rosa må navn og e-postadresse registreres. Uten disse opplysningene kan vi ikke opprette en konto eller gi tilgang til tjenesten. For kontaktpersoner er det frivillig, og du kan når som helst be om å bli fjernet fra kundeoppfølgingen.

4Behandling som del av tjenesten

Når Rosa behandler medlems- og regnskapsopplysninger på vegne av en forening, gjør vi det utelukkende på foreningens dokumenterte instruks og for å levere tjenesten. Vi bruker dem ikke til egne formål, og vi kobler dem ikke sammen på tvers av foreninger.

Tjenesten er bygget med tilgangskontroll på radnivå, slik at den enkelte forening bare har tilgang til sine egne data.

Forholdet mellom foreningen og Rosa reguleres av en egen databehandleravtale, som beskriver hva Rosa kan og ikke kan gjøre med opplysningene. Avtalen er tilgjengelig her og inngås som del av kundeforholdet.

5Underdatabehandlere og andre mottakere

Rosa bruker et lite sett underleverandører for å drive tjenesten, og har noen mottakere som er selvstendig ansvarlige for sin egen behandling (som Vipps). Fordi dette oppsettet kan endres over tid, holder vi den fullstendige, oppdaterte oversikten — med hvem som gjør hva — på en egen side, med egen endringslogg:

Underdatabehandlere og andre mottakere →

Nye underdatabehandlere varsles til foreningene på forhånd, slik at foreningen har anledning til å motsette seg endringen. Frist og fremgangsmåte følger av databehandleravtalen.

6Hvor dataene lagres

Foreningenes database ligger i Frankfurt, og sikkerhetskopiene kjøres og lagres kryptert i Amsterdam. Begge er innenfor EØS.

Sikkerhetskopieringen kjøres og lagres i sin helhet innenfor EØS. Selve kjøringen behandler en kopi av dataene kortvarig i minnet før de krypteres; det som lagres, er alltid kryptert.

Enkelte av leverandørene i oversikten det er lenket til i punkt 5 er også etablert utenfor EØS eller har personell der, slik at det kan forekomme tilgang fra land utenfor EØS i forbindelse med drift og support. For all behandling utenfor EØS bruker Rosa EU-kommisjonens standardavtalevilkår eller annet gyldig overføringsgrunnlag. Foreningen kan be om informasjon om, og kopi av, overføringsgrunnlaget for den enkelte leverandør ved å kontakte post@rosaregnskap.no.

7Lagringstid og oppbevaringsansvar

Regnskapet tilhører foreningen, og det er foreningen som har ansvaret for å oppbevare det. Er foreningen bokføringspliktig, skal regnskapet oppbevares i den lovpålagte perioden — som hovedregel minst fem år. Rosa er ikke foreningens arkiv.

Last ned når som helst. Foreningen kan laste ned rapporter i regneark og alle vedlegg med «Last ned alt» så lenge vi har dataene — gjennom hele kundeforholdet og helt fram til dataene slettes etter et opphør. Også i perioder der foreningen ikke har kjøpt tilgang til å føre videre.

Mens foreningen er kunde lagrer Rosa regnskapet som del av tjenesten. Avsluttede regnskapsår er skrivebeskyttet.

Ved opphør varsler Rosa foreningen skriftlig. Foreningen velger da om dataene skal slettes eller leveres tilbake, og har 30 dager på seg til å gi beskjed. Sier foreningen ingenting, slettes de. Vi gjennomfører innen 30 dager etter at foreningen har valgt, og uansett senest 120 dager etter at kundeforholdet tok slutt.

Manglende kjøp av tilgang fører ikke i seg selv til at data slettes.

Kontoer som ikke er i bruk. Har foreningen opprettet konto uten å legge inn regnskapsdata, avsluttes kundeforholdet etter 30 dager uten aktivitet. Har foreningen tatt tjenesten i bruk uten å kjøpe tilgang, avsluttes det etter tolv måneder uten aktivitet, regnet fra siste aktivitet. Vi varsler på e-post minst 30 dager før, slik at foreningen rekker å laste ned regnskapet sitt. Deretter gjelder slettefristene over. Sletting bekreftes alltid manuelt av en ansatt hos Rosa.

Sikkerhetskopier. Vi tar sikkerhetskopi to ganger i døgnet. Kopiene rulleres, og den eldste er aldri mer enn seks måneder gammel. Data som er slettet, forsvinner derfor fra sikkerhetskopiene innen seks måneder. De gjenoppstår heller ikke hvis vi må gjenopprette fra en kopi, fordi gjenopprettingen alltid avsluttes med å gjennomføre slettingene på nytt.

Øvrige opplysninger

8Sikkerhet

Rosa bruker blant annet disse sikkerhetstiltakene:

• Tilgangskontroll på radnivå, som begrenser tilgang til den enkelte forenings egne data.
• Kryptering av data både under overføring og i hvile.
• Sikkerhetskopiene krypteres før de lagres hos lagringsleverandøren, som ikke har krypteringsnøkkelen. Vi henter dem tilbake og kontrollerer dem mot originalen for å bekrefte at de faktisk lar seg gjenopprette.
• Private fillagre for vedlegg.
• Adgangsstyring for Rosas egne ansatte, med logging.
• Testet gjenoppretting av sikkerhetskopi. Vi gjennomfører og dokumenterer gjenopprettingstester, der data hentes tilbake fra sikkerhetskopi og kontrolleres mot original.

9Support og innsyn

Som hovedregel ser ikke Rosas ansatte en forenings regnskap uten at foreningen selv har åpnet et tidsavgrenset og logget innsynsvindu. Foreningen åpner vinduet når den trenger hjelp, og kan lukke det når som helst. Så lenge et vindu er åpent, vises et tydelig varsel i foreningens egen visning.

Unntak fra hovedregelen kan bare skje ved kritisk feilretting eller sikkerhetshendelse der tilgang er nødvendig for å beskytte foreningens egne data, eller når vi er rettslig forpliktet til det. All slik tilgang logges, og foreningen informeres i etterkant, med mindre vi er rettslig avskåret fra å informere.

10Barn

Foreningens medlemsregister kan inneholde opplysninger om barn, for eksempel i barne- og ungdomsidrett. Foreningen er behandlingsansvarlig og har ansvaret for grunnlaget for slik registrering, herunder eventuelt samtykke fra foreldre.

Rosa retter seg ikke mot barn som brukere av tjenesten. Brukerne av systemet er kasserer, styre og revisor i foreningen.

11Dine rettigheter

Alle registrerte har rett til innsyn, retting, sletting (der loven tillater), begrensning, å protestere mot behandlingen, og dataportabilitet.

Er du medlem i en forening, retter du henvendelsen til din egen forening, som er behandlingsansvarlig for medlemsopplysningene. Foreningen kan be Rosa om bistand, og vi hjelper til så raskt vi kan. Får vi en henvendelse som skulle vært rettet til foreningen, sier vi fra til deg om det.

Er du bruker, kontaktperson eller besøkende, kan du kontakte oss direkte på post@rosaregnskap.no. Vi svarer normalt innen én måned. Det gjelder også hvis du er registrert som kontaktperson uten selv å ha oppgitt opplysningene dine.

Automatiserte avgjørelser. Vi bruker ikke automatiserte avgjørelser eller profilering som har rettsvirkning for deg eller påvirker deg på tilsvarende måte.

Foreningen kan laste ned rapporter i regneark og alle vedlegg med «Last ned alt», som beskrevet i punkt 7.

12Informasjonskapsler og besøksstatistikk

Informasjonskapsler. Rosa bruker bare informasjonskapsler som er nødvendige for å drive tjenesten, som å holde deg innlogget. Vi bruker ikke informasjonskapsler til annonsering eller til sporing på tvers av nettsteder.

Besøksstatistikk. På rosaregnskap.no bruker vi Umami for å telle besøk og se hvilke sider som leses. Umami setter ingen informasjonskapsler og lagrer ingen identifikator som gjør at vi kan gjenkjenne deg mellom besøk eller følge deg til andre nettsteder. Statistikken lagres aggregert, og data behandles i EØS.

Vi bruker statistikken bare til å forbedre nettstedet. Den deles ikke med annonsenettverk, og vi bygger ingen profil av deg.

Vi vurderer det slik at løsningen ikke krever samtykke etter ekomloven § 3-15, fordi den verken lagrer opplysninger i utstyret ditt eller gjenkjenner deg mellom besøk. Du vil derfor ikke møte en samtykkeboks. Behandlingen skjer på grunnlag av berettiget interesse (art. 6 nr. 1 f), og du kan protestere mot den ved å kontakte oss.

13Utlevering til andre

Opplysninger utleveres til underdatabehandlerne i oversikten det er lenket til i punkt 5, og ellers bare

• til rådgivere som revisor, advokat eller inkassoselskap, når det er nødvendig for å ivareta Rosas rettigheter,
• ved fusjon, oppkjøp eller annen virksomhetsoverdragelse, der den nye eieren overtar de samme forpliktelsene, eller
• når Rosa er rettslig forpliktet til det.

Rosa selger ikke personopplysninger.

14Endringer og klager

Vi kan oppdatere denne erklæringen. Ved vesentlige endringer varsler vi foreningene på e-post. Dato for siste oppdatering står øverst.

Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet (datatilsynet.no).