Personvernerklæring for Lintel

Versjon 1.0 — 17.10.2026

Denne erklæringen forklarer hvordan Tom & Jerry AS behandler personopplysninger i forbindelse med regnskaps- og økonomiplattformen Lintel («Tjenesten»), herunder nettstedene lintel.no og api.lintel.no, API-et og MCP-serveren.

1. Hvem som er ansvarlig

Tom & Jerry AS, org.nr. 936 154 441, med forretningsadresse i Skien («vi»), er behandlingsansvarlig for behandlingen som beskrives i punkt 3 til 5.

Spørsmål om personvern, og krav om å utøve rettighetene dine, sendes til hei@lintel.no.

2. To roller: behandlingsansvarlig og databehandler

Lintel brukes av virksomheter til å føre regnskap, fakturere, kjøre lønn og sende oppgaver til myndighetene. Opplysningene virksomheten registrerer i Tjenesten — for eksempel om egne ansatte, kunder og leverandører — er virksomhetens data. For disse er virksomheten behandlingsansvarlig, og vi er databehandler som behandler opplysningene etter virksomhetens instruks og i samsvar med databehandleravtalen, jf. punkt 7 i vilkårene. Dette er beskrevet nærmere i punkt 6.

Er du ansatt hos, kunde av eller leverandør til en virksomhet som bruker Lintel, og har spørsmål om opplysninger om deg i regnskapet, må du derfor henvende deg til den virksomheten. Vi bistår virksomheten med å besvare henvendelsen.

Vi er selv behandlingsansvarlig for opplysninger om brukerne av Tjenesten, om kontaktpersoner i kundeforholdet og for sikkerhets- og driftslogger. Det er dette punkt 3 til 5 handler om.

3. Hvilke opplysninger vi behandler, og hvorfor

3.1 Brukerkonto og innlogging

Opplysninger: navn, e-postadresse, passord (lagret kun som hash, aldri i klartekst), hvilke arbeidsområder og selskaper du har tilgang til og med hvilken rolle, invitasjoner du har fått eller sendt, og tidspunkt for innlogging.
Innlogging med Google: velger du «Fortsett med Google», mottar vi navn, e-postadresse og Googles identifikator for kontoen din. Vi får ikke passordet ditt hos Google. Google behandler innloggingen som selvstendig behandlingsansvarlig etter sine egne vilkår.
Formål: å gi deg tilgang til Tjenesten og kontrollere at du bare ser det du har rettigheter til.
Rettslig grunnlag: avtalen med kunden du representerer, og vår berettigede interesse i å levere en sikker tjeneste (personvernforordningen artikkel 6 nr. 1 bokstav b og f).

3.2 Kundeforholdet

Opplysninger: navn og kontaktopplysninger til kontaktpersoner, opplysninger om aksept av vilkårene (hvem, når og hvilken versjon), fakturagrunnlag og korrespondanse med support.
Formål: å administrere avtalen, fakturere og gi support.
Rettslig grunnlag: avtalen (bokstav b), og for fakturagrunnlag vår rettslige plikt etter bokføringsloven (bokstav c).

3.3 Søknad om byråkonto

Opplysninger: navn og e-postadresse til den som søker, og byråets organisasjonsnummer. Vi kontrollerer byråets autorisasjon mot Finanstilsynets register.
Formål: å vurdere søknaden.
Rettslig grunnlag: tiltak før inngåelse av avtale (bokstav b).

3.4 Sikkerhets- og driftslogger

Opplysninger: for hvert kall til API-et logger vi tidspunkt, metode og sti, statuskode, IP-adresse, nettleserens eller klientens identifikasjon (user-agent), hvilken bruker, app eller API-nøkkel som gjorde kallet, og innholdet i forespørselen. Passord, tokens og andre hemmeligheter lagres aldri. Fødselsnummer, kortnummer, IBAN og kontonummer maskeres før lagring. Svarets innhold lagres bare når kallet feilet.
Formål: å oppdage og stanse misbruk og innbruddsforsøk, feilsøke, og dokumentere hva som har skjedd ved en hendelse.
Rettslig grunnlag: vår berettigede interesse i å holde Tjenesten sikker og stabil (bokstav f).

I tillegg fører Tjenesten en endringslogg over hvem som har endret hva i regnskapet. Den er en del av kundens regnskapsmateriale og følger punkt 6.

4. Hvor lenge vi lagrer opplysningene

Brukerkonto: så lenge kontoen er i bruk. Slettes kontoen, sletter vi opplysningene, med unntak av det som inngår i en kundes regnskapsmateriale (for eksempel hvem som bokførte et bilag), som følger kundens oppbevaringsplikt.
Kundeforholdet: så lenge avtalen løper. Fakturagrunnlag oppbevares i fem år etter regnskapsårets slutt, som bokføringsloven krever.
Sikkerhets- og driftslogger: 30 dager, deretter slettes de automatisk.
Grunnlag for å begrense antall forespørsler (rate limiting): 24 timer.

5. Informasjonskapsler (cookies)

Vi bruker ingen informasjonskapsler til analyse, sporing eller markedsføring. Vi bruker bare de som er nødvendige for innlogging:

Innloggingsøkt: husker at du er logget inn, så du slipper å skrive passordet hver gang en app ber om tilgang. Varer i 30 dager. Den kan ikke leses av skript på siden.
Google-innlogging: holder rede på en påbegynt innlogging med Google. Varer i ti minutter.

Fordi informasjonskapslene er nødvendige for å levere tjenesten du ber om, krever de ikke samtykke.

6. Når vi behandler opplysninger for kunden

Som databehandler behandler vi opplysningene kunden registrerer — regnskap, bilag, fakturaer, lønn, skattekort, ansatte, kunder og leverandører — bare for å levere Tjenesten, og ikke til egne formål. Hvilke opplysninger som behandles, og hvor lenge, bestemmer kunden innenfor det regelverket kunden er underlagt, blant annet bokføringsloven.

Noen funksjoner sender opplysninger videre når kunden ber om det: en MVA-melding eller a-melding sendes til Skatteetaten og Altinn, en faktura sendes via EHF/Peppol eller e-post, og en betaling sendes til banken. Mottakerne behandler da opplysningene som selvstendig behandlingsansvarlige.

Kunstig intelligens. Bilag og fakturaer som lastes opp i bilagsmottaket, tolkes automatisk av en språkmodell for å foreslå leverandør, beløp og kontering. Innholdet i dokumentet sendes da til modellen, som kjører i EU, og behandles på våre vegne. Forslagene er hjelpemidler og skal kontrolleres av kunden, jf. punkt 6 i vilkårene.

7. Underleverandører og overføring ut av EU/EØS

Vi bruker underleverandører (underdatabehandlere) til drift av Tjenesten. De behandler opplysningene bare etter våre instrukser, og vi har avtaler med dem som oppfyller kravene i personvernforordningen.

Supabase — database, innlogging og fillagring. Lagret i EU (Stockholm).
Vercel — drift av nettstedet og API-et. Kjører i EU (Stockholm).
Resend — sending av e-post fra Tjenesten og mottak av bilag på e-post.
Vercel AI Gateway og Google (Gemini) — tolkning av bilag med kunstig intelligens, jf. punkt 6. Behandles i EU; kallet avvises heller enn å sendes ut av EU.
Folio og ZTL — bankintegrasjon og betalinger, når kunden har koblet til banken.
B2BRouter — sending og mottak av EHF-fakturaer over Peppol.

Kundens data lagres innenfor EU/EØS. Enkelte av underleverandørene er amerikanske selskaper, og opplysninger kan bli behandlet utenfor EU/EØS i forbindelse med e-post. Slik overføring skjer bare med et gyldig overføringsgrunnlag etter personvernforordningen kapittel V, som EU-kommisjonens standardkontrakter eller EU–US Data Privacy Framework.

Vi selger aldri personopplysninger.

8. Sikkerhet

Opplysningene er beskyttet med kryptert overføring (HTTPS), tilgangskontroll per arbeidsområde og selskap, og logging av tilgang og endringer. Våre ansatte har tilgang til kundedata bare når det er nødvendig for drift, support eller feilretting, og har taushetsplikt.

9. Dine rettigheter

Når vi er behandlingsansvarlig, har du rett til å:

be om innsyn i opplysningene vi har om deg;
få uriktige opplysninger rettet;
få opplysninger slettet når de ikke lenger trengs, med de unntakene loven gir, for eksempel oppbevaringsplikten i bokføringsloven;
be om at behandlingen begrenses;
protestere mot behandling som bygger på berettiget interesse;
få utlevert opplysninger du har gitt oss i et maskinlesbart format (dataportabilitet).

Send kravet til hei@lintel.no. Vi svarer innen én måned.

Mener du at vi behandler opplysninger i strid med regelverket, kan du klage til Datatilsynet. Vi setter pris på om du tar kontakt med oss først, så vi kan rette det.

10. Endringer

Vi oppdaterer erklæringen når Tjenesten eller behandlingen endres. Gjeldende versjon ligger alltid på denne siden, med dato øverst. Vesentlige endringer varsles kundene på e-post eller i Tjenesten.