Personvernerklæring

Oppdatert, 20. august 2026

1. Innledning
Denne personvernerklæringen forklarer hvordan Phrontech («vi», «oss» eller «vår») behandler personopplysninger i forbindelse med våre tjenester for analyse av virksomheters regnskapsdata. Tjenestene brukes i dag på to måter:

• Regnskapsanalyse av en annen virksomhet, levert til bestilleren: utarbeidelse av finansielle rapporter til bruk ved søknad om kreditt, lån eller finansiering hos selskaper, banker eller kredittinstitusjoner (heretter «finansforetak»).

• Regnskapsanalyse levert til virksomheten selv: en tjeneste der en virksomhet får analyse av sine egne regnskapsdata.

Personvernerklæringen beskriver:

• hvilke personopplysninger vi behandler

• hvorfor vi behandler opplysningene

• hvordan opplysningene brukes og beskyttes

• hvem opplysningene deles med

• hvor lenge opplysningene lagres

• hvilke rettigheter personer har etter personvernregelverket

2. Behandlingsansvarlig og vår rolle
Phrontech AS, org.nr. 934 864 557, er et norsk foretak som leverer tjenester for innhenting, analyse og rapportering av økonomisk informasjon om virksomheter.

Hvilken rolle vi har etter personvernregelverket avhenger av behandlingen:

• Vi er databehandler for behandlingen av virksomhetens regnskapsdata i regnskapsanalysen som leveres til virksomheten selv. Der er det virksomheten selv som er behandlingsansvarlig og som bestemmer formålet, og vi behandler dataene på virksomhetens instruks etter en databehandleravtale. Overfor personer som fremgår av regnskapsmaterialet er det virksomhetens egen personvernerklæring som gjelder for denne behandlingen.

• Vi er behandlingsansvarlige for opplysninger om brukerne av tjenesten, for dokumentasjon av avgitte aksepter og erklæringer, for fakturering, og for anonymisering av data som beskrevet i punkt 5.

• Vår rolle overfor bestilleren følger av avtalen med den enkelte bestiller. For analyser som leveres til et finansforetak ved kreditt- og lånesøknader er vi felles behandlingsansvarlige med finansforetaket, jf. personvernforordningen artikkel 26. Finansforetaket fastsetter kredittformålet og kravene til rapportens innhold, mens vi fastsetter den tekniske gjennomføringen av tjenesten, herunder metodevalg, modellering og sikkerhetsarkitektur. Til sammen utgjør disse beslutningene en felles fastsettelse av formål og vesentlige midler.

Det vesentlige i ordningen med finansforetaket
Ansvaret mellom oss og finansforetaket er fordelt slik: vi er ansvarlige for informasjon om innhenting, analyse og teknisk behandling av opplysningene, og er kontaktpunkt for innsyn i datainnhentingen og analysen og for retting og sletting knyttet til tjenesten. Finansforetaket er ansvarlig for informasjon om kredittvurderingsprosessen overfor sine egne kunder, og er kontaktpunkt for rettigheter knyttet til kredittbeslutninger. Finansforetakets videre behandling av rapporten i egne systemer og beslutningsprosesser omfattes ikke av det felles ansvaret. Registrerte kan utøve sine rettigheter overfor begge parter, jf. punkt 11.

Denne personvernerklæringen beskriver behandlingene der vi selv er behandlingsansvarlige, alene eller sammen med finansforetaket. Der vi er databehandler, beskrives behandlingen for oversiktens skyld, men rettighetene utøves overfor virksomheten som er behandlingsansvarlig.

3. Hvordan tjenesten fungerer

Regnskapsanalyse av en annen virksomhet, levert til bestilleren
Når en virksomhet søker om kreditt, lån eller finansiering hos et finansforetak:

1. Finansforetaket informerer lånesøkeren om at det må innhentes en finansiell rapport fra Phrontech.

2. Finansforetaket sender lånesøkeren en lenke til vår tjeneste.

3. Lånesøkeren går til vår nettside og gir fullmakt til at regnskapsdata kan hentes inn og behandles, og velger hvilke deler av virksomhetens egne data som skal inngå i leveransen til finansforetaket.

4. Regnskapsdata overføres fra virksomhetens regnskapssystem til oss.

5. Vi analyserer dataene og utarbeider en finansiell rapport.

6. Rapporten sendes til finansforetaket for bruk i finansforetakets videre vurdering.

Rapporten inneholder de opplysningene virksomheten har godkjent utlevert, og kan i tillegg inneholde offentlig tilgjengelig informasjon om virksomheten og dens motparter, herunder opplysninger om roller og eierskap, jf. punkt 4.

Opplysninger om personer som fremgår av regnskapsmaterialet vises maskert, jf. punkt 4. Verken vi eller finansforetaket kan identifisere hvem som står bak.

Regnskapsanalyse levert til virksomheten selv
En virksomhet kjøper analyse av sine egne regnskapsdata. Regnskapsdata tilgjengeliggjøres av virksomheten selv eller av den virksomheten utpeker, for eksempel virksomhetens regnskapsfører, og analyseres sammen med offentlig tilgjengelige opplysninger som beskrevet i punkt 4. Analysen leveres til virksomheten og de brukerne virksomheten selv gir tilgang, jf. punkt 7. Denne behandlingen utfører vi som databehandler på virksomhetens vegne, jf. punkt 2.

4. Hvilke personopplysninger vi behandler

Personopplysninger i regnskapsdata

Regnskapsdata som overføres til oss kan inneholde personopplysninger om personer som ikke selv bruker tjenestene. Dette kan for eksempel være opplysninger om:

• kunder

• leverandører

• kontaktpersoner hos samarbeidspartnere

• enkeltpersonforetak

• andre personer som fremgår av transaksjoner eller fakturaer

Slike opplysninger kan fremkomme i regnskapsmateriale, for eksempel i fakturaer, betalingsinformasjon, transaksjonsbeskrivelser og regnskapsbilag. Vi etterspør ikke personopplysninger direkte om privatpersoner, men slike opplysninger kan forekomme i regnskapsdata som overføres til oss.

I regnskapsanalysen som leveres til virksomheten selv, behandler vi disse opplysningene som databehandler på virksomhetens vegne, jf. punkt 2.

I begge tjenestene inngår opplysningene i analysen, men vises maskert i det som leveres: der en motpart er en privatperson eller et foretak vi ikke kan identifisere, vises «Ikke identifisert» sammen med økonomiske tall.

Opplysninger om brukere av regnskapsanalysen
For virksomheter som kjøper regnskapsanalyse levert til seg selv, behandler vi i tillegg opplysninger om personene som bruker tjenesten på virksomhetens vegne:

• kontaktopplysninger som er nødvendige for å opprette og administrere kontoen rolle og tilganger i tjenesten

• dokumentasjon av avgitte aksepter og erklæringer, med tidspunkt, IP-adresse og hvilken versjon av teksten som ble akseptert

• kontakt- og fakturaopplysninger knyttet til virksomhetens kjøp

Opplysninger om personer fra offentlige registre
I begge tjenestene henter vi opplysninger om personer fra offentlige registre og bruker dem i analysen, uavhengig av hvem analysen leveres til. Dette gjelder opplysninger om hvem som innehar roller i en virksomhet og hvem som eier den, hentet fra Enhetsregisteret og aksjonærregisteret. Opplysningene gjelder både virksomheten som analyseres og identifiserte foretak som er motparter.

Hva analysen skal omfatte, avtales med bestilleren ved bestilling. Dette er en annen beslutning enn virksomhetens valg av hvilke av sine egne regnskapsdata som utleveres, jf. punkt 3.

5. Formål med behandlingen
Vi behandler personopplysninger for følgende formål:

Utarbeidelse av finansielle analyser
Vi analyserer regnskapsdata for å utarbeide finansielle rapporter og analyser til bruk som beskrevet i punkt 3.

Levering og administrasjon av tjenestene
For regnskapsanalysen behandler vi opplysninger om brukere for å opprette og administrere kontoer og tilganger, dokumentere avtaleinngåelse og avgitte erklæringer, og fakturere virksomhetens kjøp.

Kvalitetssikring og videreutvikling av tjenestene
Vi kan aggregere og anonymisere data som genereres gjennom bruk av tjenestene, og bruke disse til produktforbedring, utvikling av ny funksjonalitet samt lage statistikk og analyser; anonymiseringen utfører vi som behandlingsansvarlige, og ferdig anonymiserte data er ikke lenger personopplysninger.

Begrenset bruk av personopplysninger i regnskapsdata
Vi behandler personopplysninger i regnskapsdata utelukkende som en del av virksomhetens regnskapsdata og kun i den grad det er nødvendig for å gjennomføre analysene. Vi har ikke noe selvstendig formål med å identifisere eller analysere enkeltpersoner som fremgår av regnskapsdataene. Ved behandling av regnskapsdata:

• analyseres opplysningene primært på aggregert og virksomhetsnivå

• benyttes personopplysninger kun i den grad de inngår i regnskapsposter

• brukes ikke opplysninger til å kartlegge eller profilere enkeltpersoner

6. Rettslig grunnlag for behandlingen
Vi behandler personopplysninger på følgende grunnlag etter personvernforordningen (GDPR):

• Berettiget interesse (artikkel 6 nr. 1 bokstav f) – for anonymisering av data som genereres gjennom bruk av tjenestene (punkt 5), for personopplysninger som inngår i regnskapsdata og for opplysninger om personer fra offentlige registre i analysen som leveres til en bestiller, og for dokumentasjon av avgitte aksepter og erklæringer.

• Avtale (artikkel 6 nr. 1 bokstav b) – for opplysninger om brukere av regnskapsanalysen, i den grad behandlingen er nødvendig for å opprette kontoen, levere tjenesten og administrere kundeforholdet.

• Rettslig forpliktelse (artikkel 6 nr. 1 bokstav c) – for opplysninger vi må oppbevare etter regnskaps- og bokføringslovgivningen, for eksempel fakturaopplysninger.

For analysen av virksomhetens egne regnskapsdata levert til virksomheten selv, herunder registeropplysningene som inngår i den, er det virksomheten som behandlingsansvarlig som har behandlingsgrunnlaget overfor de registrerte; vi behandler opplysningene på virksomhetens instruks etter databehandleravtalen.

I den finansielle rapporteringen gir virksomheten oss fullmakt til å hente inn og behandle regnskapsdata, og til å utlevere de delene virksomheten har godkjent. Fullmakten gjelder virksomhetens egne data. For personopplysninger om andre — personer som fremgår av regnskapsmaterialet, og personer som har roller eller eierandeler — er behandlingsgrunnlaget berettiget interesse, ettersom ingen kan gi fullmakt på deres vegne. Finansforetaket er ansvarlig for behandlingsgrunnlaget for sin egen kredittvurdering og bruk av rapporten.

Vi varsler ikke hver enkelt person som har en rolle eller eierandel. Vi har ikke kontaktopplysninger til dem, og individuell varsling ville kreve uforholdsmessig stor innsats. Denne personvernerklæringen er derfor informasjonstiltaket, jf. personvernforordningen artikkel 14 nr. 5 bokstav b. Virksomheten som analyseres mottar alltid kopi av rapporten, og kan dermed se hvilke opplysninger som er utlevert.

Vår vurdering av berettiget interesse kan fås ved henvendelse til personvern@phrontech.no.

7. Deling av opplysninger

Regnskapsanalyse levert til bestilleren: Den finansielle rapporten vi utarbeider sendes til finansforetaket, som er felles behandlingsansvarlig med oss, jf. punkt 2. Rapporten inneholder de opplysningene virksomheten har godkjent utlevert, og kan inneholde offentlig tilgjengelig informasjon om virksomheten og dens motparter, herunder opplysninger om roller og eierskap. Virksomheten som analyseres mottar kopi av rapporten. Finansforetaket får ikke tilgang til regnskapsdataene ut over det som inngår i rapporten.

Regnskapsanalyse levert til virksomheten selv: Analysen leveres til virksomheten og de brukerne virksomheten selv gir tilgang. Vi deler den ikke med andre. Velger virksomheten å sende analysen videre, for eksempel til sin regnskapsfører, er det virksomhetens egen utlevering som behandlingsansvarlig.

Tjenesteleverandører: Vi kan bruke eksterne leverandører (for eksempel leverandører av skytjenester eller IT-drift) for å levere tjenestene. Disse behandler personopplysninger på våre vegne i henhold til databehandleravtaler.

8. Overføring til land utenfor EØS
Dersom personopplysninger overføres til land utenfor EØS, vil vi sikre at overføringen skjer i samsvar med gjeldende personvernregler, for eksempel gjennom:

• EU-kommisjonens standard personvernbestemmelser (Standard Contractual Clauses)

• overføringer til land som EU har godkjent som tilstrekkelig sikre

9. Lagring av opplysninger

Regnskapsanalyse levert til bestilleren: Regnskapsdata lagres i det formatet vi mottar dem, så lenge fullmakten varer. Formålet er praktisk: oppdaterte analyser kan utarbeides uten at alle data må leveres på nytt. Når fullmakten opphører eller trekkes tilbake, slettes dataene innen 90 dager.

Regnskapsanalyse levert til virksomheten selv: Regnskapsdata og analyser lagres så lenge kundeforholdet består, slik at virksomheten kan få utarbeidet de analysene den ønsker. Kundeforholdet består selv om en avtaleperiode utløper eller et enkeltkjøp er gjennomført. Når kundeforholdet avsluttes, slettes dataene innen 90 dager, og tidligere dersom virksomheten ber om det. Lagringstiden følger av databehandleravtalen med virksomheten.

Vi sletter ikke opplysninger vi må oppbevare etter regnskaps- og bokføringslovgivningen, eller data som allerede er anonymisert, som ikke lenger er personopplysninger.

Kontodata og dokumentasjon: Opplysninger om brukere, aksepter og erklæringer lagres så lenge de er nødvendige for å dokumentere avtaleforholdet. Opplysninger som omfattes av regnskaps- og bokføringslovgivningen lagres så lenge denne krever.

Anonymiserte og aggregerte datasett kan lagres videre for analyse, statistikk og utvikling av tjenestene.

10. Informasjonssikkerhet
Vi har etablert tekniske og organisatoriske tiltak for å beskytte personopplysninger, blant annet:

• kryptering ved overføring og lagring

• tilgangskontroll

• logging og overvåking av systemer

• sikker drift av IT-infrastruktur

Tilgang til opplysninger er begrenset til autorisert personell med tjenstlig behov.

11. Rettigheter etter personvernregelverket
Der vi er databehandler på vegne av en virksomhet, utøves rettighetene overfor virksomheten som er behandlingsansvarlig. Vi bistår virksomheten med å oppfylle dem. Henvendelser til oss videreformidles til rett virksomhet.

I den finansielle rapporteringen, der vi er felles behandlingsansvarlige med finansforetaket, kan rettighetene utøves overfor begge parter. Vi er kontaktpunkt for innsyn i datainnhentingen og analysen, og for retting og sletting knyttet til tjenesten. Finansforetaket er kontaktpunkt for rettigheter knyttet til kredittbeslutninger.

Personer hvis personopplysninger behandles har rettigheter etter GDPR, blant annet:

• rett til innsyn

• rett til retting

• rett til sletting

• rett til begrensning av behandling

• rett til å protestere mot behandling

• rett til å klage til Datatilsynet

12. Endringer i denne personvernerklæringen
Vi kan oppdatere denne personvernerklæringen, for eksempel når tjenestene endres eller regelverket krever det. Gjeldende versjon er alltid tilgjengelig på våre nettsider, med dato for siste oppdatering.

13. Kontakt
Hvis du har spørsmål om denne personvernerklæringen eller hvordan vi behandler personopplysninger, kan du kontakte vårt personvernombud på personvern@phrontech.no

© 2026 Phrontech AS, org.nr. 934 864 557