Standardvilkår og databehandleravtale

Del 1: Standardvilkår

Vilkårene gjelder mellom kunden og Kerna AS («Kerna») for bruk av tjenesten Kerna. Tjenesten leveres bare til næringsdrivende.

1. Avtalen og partene

Avtalen består av bestillingen, disse standardvilkårene og databehandleravtalen i del 2. Ved motstrid går bestillingen foran standardvilkårene. Kunden er virksomheten som bestiller tjenesten, og personen som bestiller bekrefter å ha fullmakt til å binde kunden.

2. Tjenesten

Kerna er en skytjeneste for styring av prosjektøkonomi: arbeidspakker, budsjett, prognose, kontrakter, endringer, bilag, reserve, signaler og rapporter. Tjenesten leveres i pakkene Standard og Full slik de er beskrevet på kerna.no. Kerna er ikke et regnskapssystem og erstatter ikke kundens regnskapsføring eller revisjon.

3. Brukere og tilgang

Kunden administrerer selv egne brukere, roller og tilganger i tjenesten, og er ansvarlig for at brukerne følger avtalen og for å beskytte påloggingsinformasjon. Lesetilgang kan deles fritt uten kostnad, også med eksterne samarbeidspartnere, som da blir bundet av disse vilkårene. Kunden skal fjerne tilganger som ikke lenger er nødvendige.

4. Pris og betaling

Prisen er per bruker med skriverettigheter per måned, etter gjeldende prisliste eller bestillingen. Vederlaget faktureres forskuddsvis per måned for antall brukere med skriverettigheter ved periodens start, med 14 dagers betalingsfrist. Endringer i antall brukere i løpet av perioden justeres på neste faktura. Alle priser er eksklusive merverdiavgift, og forsinkelsesrente påløper etter forsinkelsesrenteloven. Prisendringer varsles minst 60 dager før de trer i kraft og gjelder fra neste avtaleperiode. Forskuddsbetalte perioder refunderes ikke ved oppsigelse fra kunden.

5. Rimelig bruk

Tjenesten er dimensjonert for styring av kundens egne prosjekter, med den lagringen av bilag, vedlegg og dokumentasjon som naturlig hører til disse prosjektene. Ved vedvarende bruk som klart overstiger dette, særlig lagret datamengde, kan Kerna be kunden om å endre pakke eller redusere bruken med 30 dagers varsel. Blir partene ikke enige, kan Kerna begrense nye opplastinger. Data kunden allerede har lagret, slettes ikke og forblir tilgjengelig for lesing og uttrekk.

Tjenesten skal ikke brukes til å lagre eller dele ulovlig innhold, omgå tilgangskontroller, belaste tjenesten urimelig, eller utvikle en konkurrerende tjeneste. Kerna kan stenge tilgang ved vesentlig brudd, om mulig etter varsel.

6. Kundens data

Kunden eier alle data som legges inn i tjenesten. Kerna bruker kundens data bare for å levere, drifte, sikre og supportere tjenesten for kunden. Kerna bruker ikke kundens data til produktutvikling, analyse på tvers av kunder, trening av modeller, profilering eller markedsføring, og selger dem ikke. Kunden kan når som helst ta ut et fullt kundeuttrekk med strukturerte data og originalfiler.

Kerna måler bruk av tjenesten bare som anonyme tellinger av navngitte flater, uten bruker, organisasjon, prosjekt, IP-adresse eller nettadresse. Tellingene inneholder ikke personopplysninger. Kerna er behandlingsansvarlig for kontaktopplysninger til kundens representanter og faktureringsinformasjon som brukes til egen kundeadministrasjon. Kerna er databehandler for kundens innhold og for brukernes identitet, roller, tilganger og aktivitet som behandles på kundens vegne. Se del 2.

7. Beslutningsstøtte og forbehold

Kerna er et styrings- og dokumentasjonsverktøy. Beregninger, prognoser, signaler, rapporter og annen avledet informasjon bygger på grunnlaget kunden selv legger inn, og kan inneholde feil. Kunden skal kontrollere tallene mot eget grunnlag før de brukes i beslutninger, tilbud, kontrakter, fakturering eller rapportering til andre. Partenes ansvar reguleres av punkt 10.

8. Drift, tilgjengelighet og support

Kerna driftes hos underdatabehandlerne i vedlegget, med kryptert overføring, tilgangsstyring, logging og daglige sikkerhetskopier. Sikkerhetskopiene har en slettelås på 30 dager. Oppbevaring og sletting følger del 2, punkt 8. Kerna arbeider for høy tilgjengelighet, men gir ingen garanti for oppetid. Planlagt vedlikehold som gir nedetid varsles så langt det er praktisk mulig og legges utenom ordinær arbeidstid der det lar seg gjøre. Kerna gir support på e-post til hei@kerna.no på norske virkedager.

9. Rettigheter og taushetsplikt

Kerna eier alle rettigheter til tjenesten, programvaren, dokumentasjonen og forbedringer av disse. Kunden får en ikke-eksklusiv og ikke-overførbar rett til å bruke tjenesten i avtaleperioden, og kan ikke kopiere eller videreselge den. Partene skal holde konfidensiell informasjon fra den andre parten hemmelig og bare bruke den til å oppfylle avtalen, også etter at avtalen er avsluttet.

10. Ansvar

Hver part er ansvarlig for direkte tap som skyldes eget uaktsomt avtalebrudd. Ingen av partene er ansvarlig for indirekte tap, som tapt fortjeneste, tapte besparelser eller tap som følge av feil i data kunden selv har lagt inn. Kernas samlede ansvar er begrenset til vederlaget kunden har betalt de siste tolv månedene før tapet oppsto. Begrensningene gjelder ikke ved forsett eller grov uaktsomhet.

Kunden er ansvarlig for at bruken av tjenesten ikke krenker andres rettigheter eller bryter lov, og for at kunden har rett til å legge inn opplysningene som registreres.

11. Varighet og opphør

Avtalen løper til den sies opp. Kunden kan si opp med virkning fra utløpet av inneværende avtaleperiode. Kerna kan si opp med tre måneders skriftlig varsel. Ved vesentlig mislighold som ikke rettes innen 14 dager etter skriftlig varsel, kan den andre parten heve avtalen.

Ved opphør stenges tilgangen til tjenesten. Kunden kan be Kerna om kundeuttrekk i 30 dager etter opphør, med mindre kunden allerede har bedt om sletting. Tilbakelevering og sletting følger punkt 8 i databehandleravtalen.

12. Endringer, overdragelse og force majeure

Kerna kan endre standardvilkårene og databehandleravtalen med minst 30 dagers varsel på e-post til kundens administrator. Endringer som er til ugunst for kunden, gir kunden rett til å si opp avtalen med virkning fra endringen trer i kraft. Endringer som følger av lov eller er nødvendige av sikkerhetshensyn, kan tre i kraft umiddelbart.

Kunden kan ikke overdra avtalen uten skriftlig samtykke. Kerna kan overdra avtalen ved omorganisering, fusjon eller salg av virksomheten. Ingen av partene er ansvarlig for mislighold som skyldes forhold utenfor partens rimelige kontroll, inkludert svikt hos underleverandører, så langt forholdet ikke kunne vært unngått med rimelige tiltak.

13. Lovvalg og tvister

Avtalen er underlagt norsk rett. Tvister skal søkes løst i minnelighet. Dersom det ikke lykkes, kan tvisten bringes inn for de ordinære domstolene med Oslo tingrett som verneting.

Del 2: Databehandleravtale

Databehandleravtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28 og personopplysningsloven.

1. Roller og behandlingen

Kunden er behandlingsansvarlig for innholdet kunden og kundens brukere legger inn i tjenesten. Kerna er databehandler for dette innholdet og for brukernes identitet, roller, tilganger og aktivitet som behandles på kundens vegne.

Kerna er selv behandlingsansvarlig for kontaktopplysninger til kundens representanter og faktureringsinformasjon som brukes til egen kundeadministrasjon. Denne behandlingen er beskrevet i personvernerklæringen. Anonyme brukstellinger inneholder ikke personopplysninger og omfattes ikke av databehandleravtalen.

Kerna behandler personopplysninger for å levere tjenesten: lagring, visning, beregning, deling innenfor kundens organisasjon, rapportering, sikkerhetskopiering og support. Behandlingen varer så lenge avtalen løper, og deretter til data er slettet etter punkt 8.

2. Registrerte og opplysningstyper

Tjenesten er ikke laget for særlige kategorier av personopplysninger eller opplysninger om straffbare forhold. Kunden skal ikke legge inn slike opplysninger.

3. Instrukser

Kerna behandler personopplysninger bare etter dokumenterte instrukser fra kunden. Avtalen, bestillingen og kundens bruk av funksjonene i tjenesten utgjør instruksene. Kerna varsler kunden dersom en instruks etter Kernas syn er i strid med personvernregelverket.

4. Taushetsplikt og sikkerhet

Personer som behandler personopplysninger på vegne av Kerna, er underlagt taushetsplikt og har bare tilgang der det er nødvendig for drift, support og feilretting. Tilgang til kundedata i drift logges.

Kerna gjennomfører tekniske og organisatoriske tiltak etter GDPR artikkel 32, blant annet:

• Kryptert overføring og lagring.
• Tilgangsstyring med roller, og tilgangskontroll i hvert oppslag slik at kundenes organisasjoner holdes adskilt.
• Sporbar historikk: hendelser og korreksjoner legges til, de overskriver ikke tidligere data.
• Daglige sikkerhetskopier av database og filer, lagret adskilt med sletting låst i 30 dager.
• Separate miljøer for produksjon, demo og testing. Demo bruker aldri kundedata.

5. Underdatabehandlere

Kunden gir en generell godkjenning til at Kerna bruker underdatabehandlerne i vedlegget. Kerna varsler kundens administrator minst 30 dager før en ny underdatabehandler tas i bruk. Kunden kan protestere skriftlig på saklig grunnlag; blir partene ikke enige, kan kunden si opp avtalen ved periodens slutt. Kerna inngår skriftlig avtale med hver underdatabehandler med minst like strenge plikter som i denne avtalen, og er ansvarlig overfor kunden for arbeidet deres.

6. Overføring utenfor EØS

Prosjektinnhold lagres hos Railway i EU, og sikkerhetskopier lagres i Norge. E-post sendes gjennom Azure Communication Services Email med Norge som valgt datalokasjon. Mottakerens e-postleverandør kan behandle den leverte meldingen i andre land. Innlogging håndteres av WorkOS i USA, som behandler navn, e-postadresse, bekreftelsesstatus og sesjonsinformasjon. Overføringen til WorkOS skjer på EUs standardkontraktsvilkår. Kerna overfører ikke personopplysninger utenfor EØS uten et gyldig overføringsgrunnlag etter GDPR kapittel V.

7. Bistand og avviksvarsling

Kerna bistår kunden i rimelig utstrekning med henvendelser fra registrerte om innsyn, retting, sletting og dataportabilitet, og med kundens plikter etter GDPR artikkel 32 til 36. Mye kan kunden gjøre selv gjennom brukeradministrasjon, historikk og kundeuttrekk. Bistand ut over dette kan faktureres etter medgått tid.

Ved brudd på personopplysningssikkerheten som gjelder kundens data, varsler Kerna kundens administrator uten ugrunnet opphold etter at Kerna ble kjent med bruddet. Varselet beskriver hendelsen, berørte data og registrerte så langt det er kjent, sannsynlige konsekvenser og tiltak, slik at kunden kan overholde sin egen frist på 72 timer til Datatilsynet.

8. Sletting og dataretur

Kunden kan bruke funksjonen for kundeuttrekk når som helst i avtaleperioden. Uttrekket inneholder strukturerte data og originalfiler. Et kundeuttrekk sletter ingenting. Kunden kan også instruere Kerna om sletting i avtaleperioden, i samsvar med personvernregelverket.

Ved opphør velger kunden mellom sletting og tilbakelevering med etterfølgende sletting. Kunden kan be Kerna om kundeuttrekk i 30 dager etter opphør, med mindre kunden allerede har bedt om sletting. Kerna gjennomfører sletting etter kundens dokumenterte instruks uten ugrunnet opphold. Hvis kunden ikke gir annen instruks, sletter Kerna data fra aktive systemer senest 90 dager etter opphør. Denne fristen begrenser ikke kundens rett til tidligere sletting. Sletting omfatter også lagrede kundeuttrekk og kopier hos underdatabehandlere, med unntakene for sikkerhetskopier og lovpålagt oppbevaring nedenfor.

Hver sikkerhetskopi er låst mot sletting i 30 dager fra opprettelsen. Etter låseperioden sletter lagringstjenesten kopien gjennom en automatisk sletteregel. Slettingen skjer asynkront og kan være forsinket. Etter denne slettingen kan kopien gjenopprettes i ytterligere sju dager før den slettes permanent. Slettelåsen på 30 dager er derfor ikke en frist for permanent sletting.

Frem til permanent sletting er tilgangen til sikkerhetskopiene begrenset til nødvendig sikring og gjenoppretting. Ved gjenoppretting gjennomfører Kerna tidligere sletteinstrukser på nytt før data tas i ordinær bruk.

Hvis lov krever lengre oppbevaring, beholder Kerna bare de nødvendige opplysningene. Kerna informerer kunden om grunnlaget og varigheten, med mindre lov forbyr slik informasjon. Opplysningene brukes bare til det lovpålagte formålet. Permanent sletting kan ikke angres. Kerna dokumenterer slettingen og gir skriftlig bekreftelse på forespørsel, med opplysninger om eventuelle gjenværende sikkerhetskopier eller lovpålagt oppbevaring.

9. Dokumentasjon og revisjon

Kerna gjør tilgjengelig informasjonen som er nødvendig for å vise at pliktene i denne avtalen er oppfylt. Kerna muliggjør og bidrar til revisjoner, inkludert inspeksjoner, som kunden eller en uavhengig revisor på kundens vegne gjennomfører. Ordinære stedlige revisjoner kan gjennomføres med minst 30 dagers varsel, én gang per år og for kundens regning.

Ved sikkerhetsbrudd, begrunnet mistanke om brudd på databehandleravtalen eller krav fra tilsynsmyndighet kan kunden gjennomføre ytterligere revisjoner. I slike tilfeller gjelder ikke begrensningene på hyppighet og varslingsfrist. Revisjonene gjennomføres med den fristen situasjonen eller myndighetskravet krever. Vilkår om kostnader skal ikke hindre lovpålagt kontroll. Revisjonen skal ivareta sikkerheten og taushetsplikten overfor andre kunder.

10. Varighet og motstrid

Databehandleravtalen gjelder så lenge Kerna behandler personopplysninger på vegne av kunden. Ved motstrid mellom databehandleravtalen og standardvilkårene, gjelder databehandleravtalen for behandling av personopplysninger.

Vedlegg: Underdatabehandlere

Gjeldende liste per 15. september 2026. Endringer varsles etter del 2, punkt 5.