Personvernerklæring

Oversettelsen er kun ment som informasjon; kun den tyske versjonen er bindende.

Denne personvernerklæringen forklarer hvordan personopplysninger behandles når du bruker ZUGFeRD-plattformen på zugferd-invoice.attrian.de og Stripe-appen «ZUGFeRD E-Invoicing» (samlet «tjenesten»).

1. Behandlingsansvarlig og kontakt

BrainWave Software GmbH, Heilig-Kreuz-Straße 24, 86152 Augsburg, Tyskland. Ytterligere opplysninger finnes i den juridiske informasjonen (/impressum).

Henvendelser om personvern: zugferd-support@brainwave-software.de eller per post til adressen ovenfor.

2. Roller: behandlingsansvarlig og databehandler

Vi er behandlingsansvarlig for opplysningene i kundenes brukerkontoer (pålogging, firmaprofil).

Fakturaopplysningene som kundene våre håndterer via Stripe – særlig opplysninger om fakturamottakerne deres – behandler vi som databehandler på vegne av den enkelte kunde (personvernforordningen (GDPR) art. 28). Kunden er behandlingsansvarlig for disse opplysningene. Fakturamottakere bør først henvende seg til virksomheten som har utstedt fakturaen. Se punkt 11 om databehandleravtalen.

3. Opplysninger vi behandler

• Kontoopplysninger: brukernavn, e-postadresse, rolle, passord (lagres kun som bcrypt-hash), organisasjonstilhørighet.
• Kundens firmaprofil: firmanavn, adresse, MVA-nummer, skattenummer, bankopplysninger (IBAN, BIC, kontoinnehaver), logo. Noe av dette kopieres fra Stripe-kontoen under oppsettet (navn, e-post, skatte-ID, supportadresse) og vises på genererte fakturaer.
• Fakturaopplysninger fra Stripe: fakturanummer, dato, fakturalinjer, beløp, avgiftssatser, valuta og opplysninger om fakturamottakeren (navn, adresse, e-postadresse, MVA-nummer).
• Genererte dokumenter: ZUGFeRD/XRechnung-XML, PDF/A-3-filer, valideringsrapporter.
• Opplysninger om Stripe-tilkoblingen: Stripe-konto-ID og – dersom en kunde lagrer dem – API-nøkler og webhook-hemmeligheter; innstillinger for levering via e-post og PEPPOL.
• API-nøkler for det eksterne API-et (lagres kun som hash) og tidspunkt for siste bruk.
• Tilgangsforespørsler (tittel, beskrivelse, begrunnelse, status, administratornotater).
• Tekniske opplysninger: øktdata, serverlogger (tidspunkt, API-sti, statuskode, varighet, avkortet svarinnhold), IP-adresse (holdes kun i minnet for begrensning av antall forespørsler og lagres ikke).

4. Formål og rettslig grunnlag

• Levering av tjenesten (konvertering av Stripe-fakturaer til ZUGFeRD/XRechnung, validering, arkivering, valgfri levering): GDPR art. 6 nr. 1 bokstav b (avtale) eller, på vegne av kunden, GDPR art. 28.
• Pålogging, økthåndtering og enkel pålogging (single sign-on): GDPR art. 6 nr. 1 bokstav b.
• Sikkerhet, forebygging av misbruk og feilsøking (logger, begrensning av antall forespørsler): GDPR art. 6 nr. 1 bokstav f; vår berettigede interesse er å drive tjenesten sikkert og pålitelig.
• Våre egne lovpålagte oppbevaringsplikter: GDPR art. 6 nr. 1 bokstav c.

Vi bruker ikke opplysninger til reklame, selger ikke opplysninger og bruker ingen analyse- eller sporingsverktøy.

Det er nødvendig å oppgi konto- og firmaopplysninger for å inngå avtalen og bruke tjenesten; uten dem kan vi ikke levere tjenesten. Det foreligger ingen lovpålagt plikt til å oppgi dem.

Det forekommer ingen automatiserte avgjørelser, herunder profilering, i henhold til GDPR art. 22.

5. Stripe og Stripe-appen

Når du installerer Stripe-appen eller kobler til Stripe-kontoen din, leser tjenesten via Stripe API: fakturaer og faktura-PDF-er, kunder (navn, e-post, adresse, skatte-ID-er), avgiftssatser, kontoopplysninger (firmanavn, e-post, skatte-ID, supportadresse) og merkevareprofil (logo). Forespørsler fra Stripe Dashboard autentiseres med Stripes signerte forespørsel. Vi mottar Stripe-webhooks for installasjon/avinstallasjon av appen og for ferdigstilte og betalte fakturaer.

Stripes egen behandling reguleres av avtalen din med Stripe og Stripes personvernerklæring (stripe.com/privacy). For kunder i EØS er avtaleparten vanligvis Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland.

6. Hosting, lagring og mottakere

• Hosting: applikasjonen og PostgreSQL-databasen kjører på servere hos Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, i selskapets datasenter i Nürnberg (Tyskland).
• Objektlagring: genererte PDF-, XML- og rapportfiler lagres i en S3-kompatibel objektlagring som driftes av oss (s3.attrian.de), med samme hosting som applikasjonen. Filene lagres kryptert med AES-256.
• Levering via e-post: fakturaer sendes per e-post kun dersom kunden har aktivert levering via e-post. Faktura-PDF-en sendes da til fakturamottakerens e-postadresse via SMTP-tjenesten Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankrike).
• Enkel pålogging: «Login with ATTRIAN» bruker en Keycloak-server som driftes av oss (auth.attrian.de). E-postadresse, brukernavn og navn overføres; en konto opprettes ved første pålogging.
• PEPPOL: kun dersom en kunde konfigurerer levering via PEPPOL, sendes faktura-XML-en til aksesspunktet kunden har angitt; katalogtjenester i PEPPOL-nettverket brukes til å slå opp mottakeren.
• Nettverks- og angrepsbeskyttelse: tilgang til tjenesten går via nettverket til Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (omvendt proxy, DDoS-beskyttelse). Cloudflare behandler de overførte opplysningene, inkludert IP-adresser, for å videresende dem til våre servere. Det er inngått en databehandleravtale med Cloudflare.
• Stripe: se punkt 5.

Opplysninger overføres til et land utenfor EØS kun via Cloudflare, Inc. (USA). Cloudflare er sertifisert under EU–US Data Privacy Framework; overføringen er basert på Europakommisjonens beslutning om tilstrekkelig beskyttelsesnivå (GDPR art. 45). I tillegg gjelder standardpersonvernbestemmelsene i databehandleravtalen med Cloudflare. Alle øvrige mottakere behandler opplysningene i EU eller EØS.

7. Informasjonskapsler og lokal lagring

Vi bruker kun lagring som er strengt nødvendig (§ 25 annet ledd nr. 2 TDDDG):

• Informasjonskapsel «sessionId»: øktkapsel for pålogging, gyldig i 24 timer, HttpOnly, kun HTTPS i produksjon. Økten lagres i vår database.
• Informasjonskapsel «sidebar_state»: husker om sidepanelet er skjult, 7 dager.
• Lokal lagring «language» (valgt språk) og «cookie_consent» (ditt valg i varselet om informasjonskapsler).
• Øktlagring «pkce_code_verifier» og «oauth_state»: kun under enkel pålogging.

Skrifttyper leveres fra vår egen server; det lastes ikke inn noe innhold fra tredjeparter (CDN-er, analyse, reklame) i nettleseren.

8. Lagringstid

• Kontoopplysninger, firmaprofil, fakturaopplysninger og genererte dokumenter oppbevares så lenge avtalen løper.
• Når Stripe-appen avinstalleres, deaktiveres kontoen og alle økter avsluttes; opplysningene oppbevares slik at appen kan installeres på nytt. Etter forespørsel til zugferd-support@brainwave-software.de sletter vi opplysningene innen 30 dager, med mindre lovpålagte oppbevaringsplikter gjelder.
• Økter utløper etter 24 timer.
• Serverlogger lagres kun på våre servere og overskrives fortløpende når den tildelte lagringsstørrelsen er nådd; det er for tiden ingen fast slettefrist.

Merk: lovpålagte oppbevaringsplikter for fakturaer påhviler fakturautstederen; fakturaer skal som hovedregel oppbevares i 8 år etter § 14b UStG og § 147 AO (se også GoBD). Tjenesten er ikke et revisjonssikkert arkiv; kundene bør selv arkivere de genererte dokumentene.

9. Sikkerhet

Opplysninger overføres kryptert via HTTPS. Passord og API-nøkler lagres kun som bcrypt-hasher. Genererte filer samt lagrede Stripe-nøkler og tilgangstokener krypteres ved lagring med AES-256. Kundenes (tenants) opplysninger er atskilt i databasen ved sikkerhet på radnivå (row-level security), og tilgangen er rollebasert. Påloggingsforsøk og forespørsler fra Stripe-appen er begrenset i antall. Enkel pålogging krever en verifisert e-postadresse.

10. Dine rettigheter

• Innsyn (GDPR art. 15), retting (art. 16), sletting (art. 17), begrensning av behandling (art. 18), dataportabilitet (art. 20).
• Innsigelse mot behandling basert på berettigede interesser (GDPR art. 21).
• Klage til en tilsynsmyndighet for personvern (GDPR art. 77); myndigheten som er ansvarlig for oss, er det bayerske delstatskontoret for personverntilsyn (BayLDA), Promenade 18, 91522 Ansbach, Tyskland.

Send henvendelser til adressen i punkt 1.

11. Databehandleravtale (DPA / AVV)

Kunder som behandler personopplysninger om sine fakturamottakere via tjenesten, inngår en databehandleravtale med oss etter GDPR art. 28; den er en del av bruksvilkårene (punkt 10). Listen over underdatabehandlere finnes på /no/zugferd/support. Et kontrasignert eksemplar kan fås ved forespørsel til zugferd-support@brainwave-software.de.

12. Endringer

Vi oppdaterer denne personvernerklæringen når tjenesten eller regelverket endres. Versjonen som er publisert her, gjelder.

Sist oppdatert: 11. november 2026