Personvern og sikkerhet

Retningslinjer for personvern og sikkerhet

HULC AS (HUL Capital), org.nr. 937 070 047. Versjon 1, 10. oktober 2026.

Dere deler regnskapstallene deres med oss. Her står hele veien tallene går: hva vi får, hvordan det kommer til oss, hvor det lagres, hvem som ser det, hva vi gjør med det, hva som aldri går inn i appen, hvordan det slettes, og hva som skjer hvis noe går galt eller HULC slutter. Til slutt svarer vi på spørsmålene regnskapsførere, banker, revisorer og jurister pleier å stille. Avtalen vi signerer før dere sender noe, sier det samme, bare mer formelt.

1. Roller og avtaler

• Avtaleparten er HULC AS, org.nr. 937 070 047, ved daglig leder Noah Lekhal Husnes.
• Før dere sender noe, signerer vi en avtale i to deler. Den første er en fullmakt med taushetsplikt: hva vi henter, og hva vi aldri gjør. Den andre er en databehandleravtale etter personvernforordningen (GDPR) artikkel 28: hvordan personopplysningene i tallene behandles. Har dere advokat, må dere gjerne la vedkommende lese den.
• Rollene: tallene er deres. For personopplysningene i dem er dere behandlingsansvarlig, og HULC AS er databehandler. Det betyr at vi bare gjør det avtalen sier. For kontaktopplysningene til dere som avtalepart, som navn, e-post og telefon, er HULC AS selv ansvarlig, og grunnlaget er avtalen med dere.
• Grunnlaget: dere bestemmer at tallene skal analyseres, for å styre økonomien i bedriften. Etter vår vurdering er det en berettiget interesse som ikke krever samtykke fra de ansatte, så lenge vi bare får det som trengs. Derfor ber vi om minst mulig, for eksempel lønnsoversikten uten navn.
• Taushetsplikten gjelder alt vi får vite om bedriften, de ansatte, kundene og leverandørene deres. Den gjelder også etter at oppdraget er over.
• Ingen tredjeparter. Vi kontakter ikke regnskapsføreren, revisoren eller banken deres, og vi henter ingenting fra dem. Vil dere at noen av dem skal se resultatet, gir dere dem tilgang selv (punkt 6).
• Bacheloroppgaven ved BI: vi bruker bare anonymiserte erfaringer, uten bedriftens navn og uten tall, og bare med skriftlig samtykke fra dere.

2. Hva vi får fra dere, og hva som er personopplysninger

Vi ber om seks rapporter fra regnskapet:

1. saldobalansen
2. resultatrapporten per måned for de siste 24 månedene
3. salg per kunde for de siste 12 månedene
4. åpne kundefordringer
5. åpen leverandørgjeld
6. en lønnsoversikt med stilling, stillingsprosent og fast månedslønn, uten navn

I tillegg får vi det daglig leder forteller i samtalen, som planer, anslag og hva som blir annerledes. Vi får også e-postadressene til dem som skal logge inn i appen. Det eneste vi slår opp selv, er offentlige opplysninger i Brønnøysundregistrene, på organisasjonsnummeret.

Det meste av dette er tall om bedriften, ikke om personer. Dette er personopplysninger:

Vi ber ikke om, og skriver ikke ned, opplysninger om helse eller andre personlige forhold. Blir en ansatt borte en periode, noterer vi bare hvordan kostnaden endres. Vi får aldri tilgang til bankkontoen eller til noe vi kan endre.

3. Hvordan tallene kommer til oss

Dere velger selv:

• Rapportene på e-post til noah@hulc.no. E-post mellom bedrifter går nesten alltid kryptert mellom e-postsystemene, men ikke fra ende til ende. Vil dere ikke sende lønnsoversikten på e-post, får dere en lenke der dere laster den opp direkte til oss, eller dere leser tallene opp i samtalen.
• En egen lesebruker i regnskapssystemet deres, som Tripletex, PowerOffice, Fiken eller Visma. Brukeren kan bare lese og hente rapporter. Den kan ikke bokføre, betale, sende inn oppgaver eller endre noe, og vi ber ikke om tilgang til lønnsmodulen. Dere fjerner brukeren når dere vil.

Originalene lagres urørt. Vi endrer aldri et tall dere har sendt.

4. Hvor dataene lagres, og hvordan de er sikret

• Landene: rapportene og modellen ligger i EU/EØS, e-posten i Danmark og databasen i Sverige. Analysene lagres i databasen og går kryptert gjennom Cloudflares nett på vei til nettleseren. Til KI-verktøyet i USA går bare tall uten navn (punkt 5).
• Kryptering: alle forbindelser til og fra appen, databasen, OneDrive og KI-verktøyet er kryptert (HTTPS/TLS). Lagrede data er kryptert hos Microsoft, Supabase og Anthropic, og på PC-en.
• Avtalene med leverandørene: Supabase, Brevo, Cloudflare og one.com har databehandlervilkår som en del av vilkårene sine. Microsoft-kontoen er foreløpig en del av BIs avtale med Microsoft, og flyttes til HULCs egen konto før første betalende kunde. KI-verktøyet brukes uten databehandleravtale, og derfor sender vi aldri personopplysninger dit.
• Utenfor EØS: Supabase har avtalepart i Singapore, og Cloudflare er amerikansk. Der de behandler data utenfor EØS, skjer det med EUs standardkontrakter i vilkårene deres. Ingen annen overføring av personopplysninger ut av EØS skjer uten skriftlig samtykke fra dere.
• Nye leverandører: tabellen viser alle vi bruker til tallene deres. Tar vi i bruk en ny, får dere skriftlig beskjed først, og dere kan si nei.

5. Hvem ser tallene, og hvordan vi jobber med dem

Tilgang

• Én person: Noah Lekhal Husnes. HULC AS har ingen ansatte, og ingen andre jobber med filene. Ingen regnskapsfører, bank, revisor, medstudent eller sensor får se dem.
• Alle kontoene vi bruker til tallene, har tofaktorpålogging og egne, sterke passord i en passordbehandler. Ingen kontoer deles.
• Enhetene: kundefiler behandles bare på en PC med kryptert disk og automatisk skjermlås. E-posten leses også på telefon og Mac, som begge er kryptert og låst med kode.
• Leverandørene med databehandlervilkår lagrer og flytter data for oss, og bruker dem ikke til egne formål.

Arbeidet

• Analysene lages i Excel på PC-en, i modeller HULC har utviklet selv. Hver kunde har sin egen modellfil. Ingen tall fra én kunde brukes i en annen kundes modell, og vi sammenligner ikke kunder med hverandre uten samtykke.
• KI-verktøyet er Claude fra Anthropic. Det hjelper oss å kontrollere modellen og skrive tekst. Dette kan gå til verktøyet: tall per konto og per måned, modellens beregninger og det dere fortalte i samtalen, alltid uten navn på personer, kunder og leverandører. Dette går aldri til verktøyet: lønnsoversikten og lønn per person, også eierens, navn på ansatte, kunder og leverandører, åpne poster, salg per kunde og innloggingsopplysninger. Samtalene brukes ikke til å trene verktøyet, og vi sletter dem når dere slettes (punkt 8). Vil dere at vi ikke bruker verktøyet på deres tall, sier dere fra (punkt 9).
• Logger: appen logger innlogginger med e-postadresse, tidspunkt og IP-adresse, så vi kan oppdage misbruk. Leverandørene har tekniske logger med IP-adresse og tidspunkt i en kort periode. Selv fører vi bare en slettelogg og en avvikslogg, begge uten tall. Har dere samtykket til bacheloroppgaven, fører vi i tillegg en anonym logg over tidsbruk og erfaringer, uten navn og tall.

6. Appen: hva som aldri går inn, hva som vises, og hvordan den er sikret

Før analysene legges i appen, fjerner vi rådataene fra leveransen. Dette går aldri inn i appen:

• lønn per ansatt
• åpne poster per kunde og per leverandør
• salget per kunde, bortsett fra kundene lønnsomhetskartet viser (avsnittet under)
• rapportene dere sendte oss

Appen viser de ferdige analysene: likviditet måned for måned, budsjettet, scenarioer, investeringer, verdsettelse og lønnsomhet. Noen navn må være med for at analysen skal gi mening. Likviditet viser navnet på den største kunden deres, og budsjettet nevner den samme kunden i forklaringen av det verste scenarioet. Lønnsomhetskartet viser de ti mest og de ti minst lønnsomme kundene med omsetning og margin. Verdsettelsen regner med eierens lønn, men viser den bare hvis dere ber om det. I tillegg vises notatene fra samtalen, slik dere fortalte det. Vil dere at et navn ikke skal vises, sier dere fra, så skriver vi det om.

Slik er appen sikret:

• Dere logger inn med e-post og en sekssifret engangskode som virker i 10 minutter. Ingen passord å miste. Bare adresser vi har lagt inn, kan logge inn, og dere bestemmer skriftlig hvem det er. Dere kan gi regnskapsfører, bank eller en partner tilgang på samme måte, og ta den bort igjen.
• Slutter en som har tilgang, sier dere fra, så fjerner vi tilgangen innen én arbeidsdag.
• Hver bruker ser bare selskapene brukeren har fått tilgang til. Regelen håndheves i databasen, ikke bare i skjermbildet. Uinnloggede får ingenting.
• Vi logger inn med tofaktor, engangskode og autentiseringsapp, for å legge inn analyser og gi tilgang.
• Innloggingen huskes i nettleseren til dere logger ut. Logg derfor ut på en maskin dere deler med andre. Appen har ingen sporing, ingen analyseverktøy, ingen informasjonskapsler fra andre og ingen reklame, og søkemotorer får beskjed om å holde seg unna. Sikkerhetsinnstillingene (CSP og HSTS) gjør at bare appens egen kode kan kjøre, og bare over kryptert forbindelse.
• Koden ble gjennomgått for sikkerhet i oktober 2026: tilgangsreglene, hemmelige nøkler og innsprøyting av kode. Gjennomgangen gjentas ved større endringer.
• Demoen på hulc.no/demo viser et oppdiktet selskap og er helt adskilt fra kundenes tall.
• Mister dere en telefon eller PC, sier dere fra, så stenger vi tilgangen til den brukeren med en gang.

7. Sikkerhetskopi og gjenoppretting

• Filene: OneDrive tar vare på tidligere versjoner av filene, og slettede filer kan hentes tilbake i 93 dager. PC-en har i tillegg en kopi.
• Appen: leveransekopien ligger i OneDrive, og alt som står i appen, kan legges inn på nytt derfra på få minutter.
• Mister dere tilgangen, for eksempel med ny e-postadresse, legger vi inn den nye adressen når daglig leder ber om det skriftlig.

8. Sletting: hva, hvor og når

Piloten er gratis og uforpliktende, og ingenting fortsetter av seg selv. Avslutter dere, enten etter piloten eller senere, sletter vi dette:

Dere får en e-post som bekrefter at det er gjort. Leverandørenes egne kopier og logger forsvinner etter deres faste rutiner. Så lenge Microsoft-kontoen administreres av BI, gjelder også BIs regler for slettede filer der. Det vi beholder, er bare det loven krever, som avtalen og eventuelle fakturaer, og anonymiserte erfaringer uten navn og tall, hvis dere har gitt samtykke til det.

Underveis i oppdraget beholder vi rapportene dere har sendt, urørt, så vi alltid kan vise at ingen tall er endret. Fortsetter dere, beholder vi bare de siste 24 månedene og sletter eldre rapporter én gang i året. Får vi lønnsoversikten med navn, fjerner vi navnene og sletter versjonen med navn så snart modellen er bygd.

9. Rettighetene deres

• Innsyn: dere kan når som helst få vite hva vi har om dere, og hvor.
• Kopi og flytting (dataportabilitet): dere får leveransekopiene som Excel-filer. De inneholder alt appen viser, og kan åpnes uten oss. Dere sitter alltid med originalene selv.
• Retting: er et tall eller et navn feil, retter vi det og legger analysen inn på nytt.
• Sletting: når som helst, innen 30 dager, som i punkt 8.
• Protest: dere kan be oss stoppe en bestemt behandling, for eksempel bruken av KI-verktøyet på deres tall. Da gjør vi arbeidet uten.
• Svar innen en måned. Henvendelser sendes til noah@hulc.no.
• De ansatte deres retter sine spørsmål til dere, som behandlingsansvarlig, og vi hjelper dere med svaret.

10. Hvis noe går galt

Oppdager vi at uvedkommende kan ha fått tilgang til tallene deres, eller at data er gått tapt eller endret, gjør vi dette:

1. Stenger tilgangen og stopper skaden først. Vi fjerner tilgang i appen, bytter passord og sletter en mistet enhet.
2. Varsler dere innen 24 timer, med hva som skjedde, hvilke data det gjelder, når det skjedde, hva vi har gjort og hva vi anbefaler.
3. Hjelper dere med meldingen til Datatilsynet. Som behandlingsansvarlig skal dere sende den innen 72 timer når bruddet gjelder personopplysninger og kan gi risiko for noen. Vi skriver utkastet hvis dere vil. Er risikoen høy for de ansatte eller kundene deres, hjelper vi dere også med å varsle dem.
4. Skriver ned hva som skjedde i avviksloggen og retter årsaken. Dere får se loggen hvis dere vil.

11. Hvis HULC slutter

• Avslutter HULC AS tjenesten, får dere skriftlig beskjed minst 30 dager før. Dere får kopi av leveransen, alt slettes som i punkt 8, og appen stenges.
• Ingen data overdras til andre, heller ikke ved salg av selskapet, uten skriftlig samtykke fra dere.
• HULC AS er i dag én person. Derfor sitter dere alltid med originalene, og dere kan avslutte når som helst. Så lenge filene ligger på kontoen BI administrerer, slettes de når BI stenger kontoen.

12. Har du fått en e-post fra oss?

Vi skriver til daglige ledere i små aksjeselskaper for å invitere til en gratis pilot.

• Hvor vi fant deg: bedriften og navnet ditt som daglig leder står i Enhetsregisteret. E-postadressen fant vi i Enhetsregisteret, på bedriftens nettside eller i Proff. For å finne bedrifter som passer, bruker vi også offentlige regnskapstall fra Brønnøysundregistrene og opplysninger om eierskap fra Proff. Vi kjøper ingen e-postlister.
• Hva vi lagrer: bedriften, navnet ditt, e-postadressen, de offentlige nøkkeltallene, når vi skrev, og hva du svarte.
• Hvorfor: for å komme i kontakt med bedrifter som kan ha nytte av tjenesten, og for å ikke skrive til deg to ganger. Grunnlaget er vår berettigede interesse i å komme i kontakt med bedrifter.
• Hvor lenge: til vi er ferdige med kartleggingen, og senest 12 måneder etter siste kontakt.
• Vil du ikke høre mer fra oss, svar «nei takk». Da skriver vi ikke igjen. Ber du om det, sletter vi det vi har om deg, og beholder bare bedriften og e-postadressen på en liste over dem vi ikke skal kontakte.
• Vi deler ingenting av dette med andre.

13. Kontakt

Spørsmål om personvern og sikkerhet, innsyn, kopi, retting eller sletting:

Noah Lekhal Husnes, HULC AS noah@hulc.no, +47 466 28 335

Mener dere at vi behandler personopplysninger feil, kan dere klage til Datatilsynet (datatilsynet.no).

Dette dokumentet beskriver hvordan vi jobber i dag. Endrer vi noe, oppdaterer vi dokumentet og datoen øverst, og dere får beskjed hvis endringen gjelder dere.

Spørsmål vi får, og svarene

Fra daglig leder

• Hvem ser tallene våre? Én person jobber med dem, med taushetsplikt. Vi viser dem ikke til noen andre.
• Får dere tilgang til banken vår? Nei. Vi får bare regnskapsrapporter eller en lesebruker i regnskapssystemet, og aldri noe vi kan endre eller betale med.
• Går tallene våre til USA? Bare til KI-verktøyet, og bare tall uten navn. Vil dere ikke det, gjør vi arbeidet uten (punkt 9).
• Bruker dere tallene våre til noe annet? Nei. Ikke til markedsføring, ikke til sammenligning med andre kunder, ikke til å trene KI, og ikke i bacheloroppgaven uten samtykke og uten tall.
• Kan vi få alt slettet? Ja, når som helst, innen 30 dager, med bekreftelse.
• Kan vi få filen? Ja, leveransekopiene som Excel-filer.
• Hvordan kan vi kontrollere at dere følger dette? Dere kan når som helst be om en skriftlig redegjørelse, se avviksloggen og sletteloggen for deres bedrift, og få bekreftelse på sletting.

Fra regnskapsføreren

• Må vi gi HULC tilgang? Nei. Daglig leder velger. Enten tar dere ut de seks rapportene, eller daglig leder inviterer en lesebruker. HULC kontakter ikke regnskapsføreren.
• Fører HULC regnskap? Nei. HULC er ikke regnskapsforetak og endrer aldri noe i regnskapet. Vi lager prognoser og analyser av tallene som allerede er ført.
• Får vi se resultatet? Hvis daglig leder vil, ved å gi dere tilgang til appen.

Fra banken

• Kan tallene i appen brukes i en lånesøknad? Tallene er daglig leders egne, og daglig leder kan gi banken tilgang eller en kopi. Analysene er beslutningsstøtte, ikke reviderte tall.
• Er HULC under tilsyn? Nei. HULC er ikke et verdipapirforetak, regnskapsforetak eller revisjonsselskap, og trenger etter vår vurdering ingen tillatelse fra Finanstilsynet. Vi gir ikke investeringsråd om verdipapirer, formidler ikke lån og forvalter ikke andres penger. Vi lager analyser av bedriftens egne tall.

Fra revisoren

• Får HULC noe fra oss? Nei, og vi gir ingenting til revisor. Alt går gjennom daglig leder.
• Finnes det en logg over hvem som har sett tallene? Ja. Appen logger innlogginger, og OneDrive logger endringer i filene.

Fra juristen

• Hvilken avtale regulerer dette? Fullmakten med taushetsplikt og databehandleravtalen, med HULC AS som part.
• Hvem er behandlingsansvarlig? Kunden, for personopplysningene i regnskapsdataene og for brukerne kunden oppgir. HULC AS er databehandler. For sine egne kontaktopplysninger om kunden er HULC AS ansvarlig.
• Hvilke underleverandører, og hvor? Tabellen i punkt 4, med land, kryptering og avtaleform for hver.
• Hvem eier Microsoft-kontoen? Bare Noah bruker den. Kontoen administreres foreløpig av BI Norwegian Business School, og flyttes til HULCs egen konto før første betalende kunde.
• Er leverandørene amerikanske? Microsoft, Amazon (under Supabase) og Cloudflare er amerikanske selskaper, men dataene lagres i EU/EØS. Overføring ut av EØS skjer bare med EUs standardkontrakter. KI-verktøyet i USA får ingen personopplysninger.
• Overvåkes de ansatte? Nei. Vi får lønnskostnad per stilling, uten navn, for å regne på likviditeten. Ingen personalopplysninger utover det.
• Hva om myndighetene ber om opplysningene? Vi gir bare ut det loven pålegger oss, og varsler dere hvis vi har lov til det.
• Hva skjer ved brudd? Varsel til kunden innen 24 timer, hjelp med meldingen til Datatilsynet innen 72 timer, logg og retting.
• Hva skjer ved opphør? Punkt 11: varsel 30 dager før, kopi til kunden, full sletting og ingen overdragelse uten samtykke.