Vilkår for bruk av Smartbook

Avtale mellom Smartbook AS og bedriftskunde · Versjon 1.0 · Gjelder fra 25. august 2026

Plattformgebyr ved refusjon. Plattformgebyret krediteres ikke ved refusjon eller avbestilling, jf. punkt 3 og 4. Bookinger som er opprettet før 25. august 2026 følger vilkårene slik de var da bookingen ble opprettet.

Disse vilkårene regulerer bedriftens bruk av Smartbook. Ved å opprette konto, akseptere vilkårene i løsningen eller ta tjenesten i bruk, aksepterer bedriften vilkårene. Aksept i løsningen logges med tidspunkt, versjonsnummer og hvilken bruker som aksepterte, og er bindende på samme måte som en signatur.

Avtalen er inngått mellom Smartbook AS, org.nr. 937 622 252 MVA, Lyngsalpeveien 900, 9060 Lyngseidet («Smartbook»), og den bedriften som er registrert som kontoinnehaver («Bedriften»). Smartbook og Bedriften omtales sammen som «partene».

Avtalen gjelder mellom næringsdrivende. Forbrukerkjøpsloven og angrerettloven kommer ikke til anvendelse i forholdet mellom Smartbook og Bedriften. Gjestens bruk av bookingløsningen reguleres av Smartbooks gjestevilkår på smartbook.now/terms, og av Bedriftens egne vilkår for den tjenesten som leveres.

0. Definisjoner og avtaledokumenter

Gjest — den som bestiller eller kjøper en tjeneste av Bedriften gjennom Smartbook.

Bruker — en fysisk person Bedriften har gitt tilgang til Bedriftens konto, herunder ansatte, innleide og samarbeidspartnere.

Brutto tjenestebeløp — det beløpet Gjesten betaler for tjenesten, inkludert merverdiavgift på Bedriftens salg, tillegg og pakker. Sikkerhetsdepositum inngår ikke.

Sikkerhetsdepositum — beløp som kreves inn som sikkerhet og som skal tilbakebetales til Gjesten dersom det ikke gjøres fradrag.

Plattformgebyr — Smartbooks vederlag etter punkt 3.

Bedriftens data — innhold, tilbudsdata, kunde- og bookingdata som Bedriften eller Bedriftens gjester legger inn i tjenesten.

Avtalen består av disse dokumentene. Ved motstrid gjelder de i denne rekkefølgen:

1. Individuelt skriftlig avtalte vilkår mellom partene, for eksempel avtale om lavere gebyrsats
2. Vedlegg A — Databehandleravtale, med vedlegg A-1 til A-4
3. Disse vilkårene

Smartbooks personvernerklæring og gjestevilkår er informasjon og en del av tjenestebeskrivelsen, men går ikke foran punktene over.

1. Tjenesten

Smartbook er en skybasert løsning for salg, booking og presentasjon av reiselivstjenester. Tjenesten omfatter nettsted og bookingløsning, håndtering av bestillinger og betaling, varsling til gjest og vert, rapporter til regnskap, samt strukturering av Bedriftens tilbudsdata slik at de kan leses av søkemotorer og KI-agenter.

Smartbook er formidler og betalingsformidler. Smartbook er ikke part i avtalen mellom Bedriften og Gjesten, ikke arbeidsgiver for Bedriftens personell, og ikke reisearrangør eller formidler etter pakkereiseloven.

Forretningsmodell. Smartbook er en formidlingstjeneste, ikke en programvarelisens som selges for seg. Bedriften betaler ingen lisens- eller abonnementsavgift for tilgang til løsningen. Smartbooks eneste vederlag er plattformgebyret etter punkt 3, som påløper når Smartbook har formidlet et salg.

Smartbook formidler i Bedriftens navn og for Bedriftens regning, ikke i eget navn. Brutto tjenestebeløp er derfor Bedriftens omsetning, og Bedriften bokfører, fakturerer og innberetter salget som sitt eget. Bare plattformgebyret er Smartbooks omsetning.

Smartbook utvikles i tett samspill med kundene. Funksjonalitet endres, kommer til og kan fjernes. Smartbook varsler om vesentlige endringer i god tid, jf. punkt 15. Smartbook fjerner ikke funksjonalitet som Bedriften er avhengig av for å gjennomføre allerede bekreftede bestillinger.

Smartbook kan benytte underleverandører til å levere tjenesten, og er ansvarlig for deres arbeid som for sitt eget. Underdatabehandlere er regulert i vedlegg A punkt A4 og listet i vedlegg A-3.

2. Bedriftens ansvar

Leveransen til gjesten. Bedriften leverer selv den tjenesten Gjesten bestiller, og er ansvarlig for gjennomføringen av den, for kvaliteten, for sikkerheten og for å håndtere klager og reklamasjoner fra Gjesten.

Informasjon og vilkår. Bedriften er ansvarlig for at informasjon om tilbud, priser, kapasitet og vilkår er korrekt og oppdatert, og for at egne avbestillingsvilkår er tilgjengelige for Gjesten før bestilling.

Forbrukerregler. Overfor gjester som er forbrukere er Bedriften selger og ansvarlig for å oppfylle blant annet angrerettloven, markedsføringsloven, prisopplysningsforskriften, og pakkereiseloven dersom Bedriften setter sammen reisetjenester som utgjør en pakkereise. Bedriften er ansvarlig for at egne vilkår oppfyller disse kravene.

Løyver og forsikring. Bedriften er ansvarlig for nødvendige løyver, godkjenninger og reisegarantier, og for at virksomheten drives i samsvar med gjeldende lovgivning. Bedriften skal ha ansvarsforsikring som er alminnelig og forsvarlig for sin virksomhet, og skal på forespørsel dokumentere dette.

Avgifter. Bedriften er ansvarlig for beregning, innkreving og innbetaling av merverdiavgift, besøksbidrag og andre offentlige avgifter knyttet til egne salg. Dersom det følger av lov at Smartbook som formidler skal kreve inn, innberette eller rapportere slik avgift eller slike opplysninger — herunder eventuell rapporteringsplikt for digitale plattformer — skal partene uten ugrunnet opphold tilpasse rutinene. Bedriften skal da gi Smartbook de opplysningene loven krever, herunder organisasjonsnummer og andre identifikasjonsopplysninger. Smartbook kan justere gebyret tilsvarende dokumenterte merkostnader, med varsel etter punkt 3.

Kontosikkerhet. Bedriften er ansvarlig for bruk av egne innloggingsopplysninger og for handlinger utført av egne brukere. Bedriften skal fjerne tilgang for brukere som slutter, og varsle Smartbook uten ugrunnet opphold ved mistanke om uautorisert tilgang. Smartbook anbefaler at flerfaktorautentisering aktiveres for alle brukere.

Bruksbegrensninger. Bedriften skal ikke bruke tjenesten til ulovlig virksomhet, laste opp innhold Bedriften ikke har rettigheter til, laste opp skadelig kode, forsøke å omgå tilgangskontroller, dekompilere eller kopiere løsningen, hente ut data automatisert i større omfang enn API-et tillater, eller belaste tjenesten på en måte som går vesentlig ut over normal bruk.

Salgskanaler. Bedriften står fritt til å selge gjennom andre kanaler og til å sette sine egne priser der, også lavere priser enn i Smartbook. Smartbook stiller ingen krav om prisparitet. Bedriften skal likevel ikke aktivt lede en gjest som har startet en bestilling i Smartbook over i en annen kanal for å unngå plattformgebyret.

3. Priser og plattformgebyr

Smartbook har ingen abonnementspris, ingen etableringsavgift og ingen bindingstid. Bedriften betaler ikke for tilgang til løsningen, men for formidlet salg: et plattformgebyr på 10 % av brutto tjenestebeløp for bestillinger som betales med kort gjennom Smartbook.

Sikkerhetsdepositum inngår ikke i gebyrgrunnlaget. Gebyret gjelder ikke betaling som skjer utenfor Smartbook, for eksempel betaling på stedet.

Gebyret dekker Smartbooks kostnader til betalingsformidling, herunder Stripes transaksjonsgebyrer. Disse belastes ikke Bedriften i tillegg. Gebyret er ikke et tillegg som Gjesten skal betale, og Bedriften skal ikke legge det på prisen Gjesten ser.

Merverdiavgift. Smartbook er merverdiavgiftsregistrert. Satsen på 10 % er inklusive merverdiavgift på selve plattformgebyret. Av et gebyr på 1 000 kroner utgjør vederlaget til Smartbook 800 kroner og merverdiavgiften 200 kroner ved en sats på 25 %. Merverdiavgiften spesifiseres i salgsdokumentet Smartbook utsteder, slik at Bedriften kan føre den til fradrag som inngående merverdiavgift på vanlig måte. Endres den lovbestemte avgiftssatsen, endres fordelingen mellom vederlag og avgift tilsvarende, uten at de 10 prosentene endres.

Er Bedriften ikke merverdiavgiftsregistrert i Norge, faktureres gebyret etter reglene for grensekryssende tjenester, og norsk merverdiavgift beregnes bare der merverdiavgiftsloven krever det. Satsen på 10 % endres ikke av dette.

Eksempel. Gjesten betaler 10 000 kroner for et opphold. Plattformgebyret er 1 000 kroner, hvorav 200 kroner er merverdiavgift. Bedriften får utbetalt 9 000 kroner for tjenesten. Eventuelt sikkerhetsdepositum utbetales i sin helhet.

Individuell sats. Smartbook kan avtale en lavere sats individuelt, blant annet for pilot- og samskapingsbedrifter. Slik avtale skal være skriftlig og angi hvor lenge satsen gjelder.

Verving. Er Bedriften vervet av en annen bedrift, går 1 prosentpoeng av brutto tjenestebeløp til den som har vervet. Dette tas av Smartbooks andel, kommer ikke i tillegg til gebyret, og Bedriften betaler ikke noe ekstra.

Endring av sats. Smartbook kan endre gebyrsatsen med tre måneders skriftlig varsel. Endringen får bare virkning for bestillinger som opprettes etter at endringen har trådt i kraft. Bedriften kan si opp avtalen med virkning senest fra det tidspunktet endringen trer i kraft, uten kostnad.

4. Betaling og utbetaling

Betalingsløsning. Betaling fra Gjest håndteres gjennom Stripe. Bedriften må godta Stripes vilkår for tilknyttede kontoer og gi de opplysningene som kreves etter hvitvaskingsregelverket, herunder organisasjonsnummer, kontonummer og legitimasjon for reelle rettighetshavere. Manglende eller ufullstendig registrering kan medføre at utbetaling holdes tilbake av Stripe. Midler som står hos Stripe før utbetaling tilhører ikke Smartbook og inngår ikke i Smartbooks konkursbo.

Utbetaling. Utbetaling til Bedriften skjer én gang per måned, normalt den 1. i måneden, etter fradrag for plattformgebyr, refusjoner og eventuell negativ saldo, og forutsatt at beløpet er tilgjengelig for utbetaling hos Stripe. Bedriften kan ikke velge hyppigere utbetaling. Alle beløp er i norske kroner med mindre annet er avtalt.

Refusjon. Ved hel eller delvis refusjon av tjenestebeløp til Gjest får Gjesten tilbake det refunderte tjenestebeløpet. Plattformgebyret krediteres ikke. Smartbook beholder gebyret på samme måte som Stripe beholder sitt transaksjonsgebyr. Sikkerhetsdepositum belastes ikke ved bestilling; Gjestens kort lagres og trekkes bare ved dokumentert skade. Et slikt trekk er ikke gebyrpliktig.

Tilbakeføringskrav (chargeback). Tilbakeføringskrav fra kortutsteder og tilhørende gebyr fra kortnettverket belastes Bedriften. Smartbook varsler Bedriften uten ugrunnet opphold og videreformidler dokumentasjon Bedriften sender inn, forutsatt at den mottas innen den fristen kortnettverket setter. Bedriften skal svare på slike henvendelser innen fem virkedager. Smartbook avgjør ikke tilbakeføringssaken og er ikke ansvarlig for utfallet.

Motregning og negativ saldo. Smartbook kan motregne krav mot fremtidige utbetalinger. Dekker ikke utbetalingene kravet, forfaller restbeløpet til betaling 14 dager etter faktura. Ved forsinket betaling påløper forsinkelsesrente etter forsinkelsesrenteloven.

Tilbakehold. Smartbook kan holde tilbake en utbetaling helt eller delvis ved konkret og saklig mistanke om svindel, hvitvasking eller vesentlig mislighold, eller når Stripe eller en myndighet krever det. Bedriften varsles skriftlig med begrunnelse samtidig med tilbakeholdet, eller så snart det er lovlig å varsle. Tilbakeholdet oppheves uten ugrunnet opphold når grunnlaget faller bort.

Uenighet om oppgjør. Mener Bedriften at et oppgjør er feil, må innsigelsen fremsettes skriftlig innen tre måneder fra utbetalingsdato. Smartbook svarer innen 30 dager.

5. Rangering, synlighet og differensiert behandling

Rekkefølgen tilbud vises i på Smartbooks flater bestemmes av relevans for søket, geografi og dato, tilgjengelighet, hvor komplett og oppdatert tilbudsinformasjonen er, og gjestens egne valg og filtre. Bedriften kan ikke betale for bedre plassering, og betaling påvirker ikke rangeringen.

Smartbook kan gi ulike vilkår til ulike bedrifter når det er saklig grunn til det, for eksempel lavere gebyrsats for pilot- og samskapingsbedrifter i en tidsbegrenset periode. Smartbook favoriserer ikke egne eller tilknyttede tilbud i rangeringen.

Bedriften bestemmer selv hvilke tilleggstjenester og pakker som tilbys gjennom løsningen. Smartbook selger ikke tilleggsprodukter til Bedriftens gjester for egen regning.

6. Tilgang til data

Bedriften har til enhver tid tilgang til sine egne kunde- og bookingdata i løsningen, og kan eksportere dem i et vanlig maskinlesbart format. Bedriften får også tilgang til rapporter over egne bestillinger, oppgjør og gebyrer.

Smartbook deler ikke Bedriftens kunde- eller bookingdata med andre bedrifter på plattformen. Aggregerte og anonymiserte tall kan deles, jf. punkt 7.

Utlevering ved opphør er regulert i punkt 13.

7. Rettigheter til innhold og data

Bedriften eier sitt eget innhold og sine egne data, herunder kunde- og bookingdata. Smartbook har en begrenset, ikke-eksklusiv bruksrett til å behandle, vise og strukturere dette innholdet for å levere, sikre og videreutvikle tjenesten, herunder å gjøre tilbudsdata tilgjengelig for søkemotorer og KI-agenter som beskrevet i punkt 1. Bruksretten opphører når avtalen opphører, med unntak av det som følger av avsnittet under.

Smartbook kan bruke aggregerte og anonymiserte data — som ikke kan knyttes til Bedriften eller til enkeltpersoner — til statistikk, produktutvikling og bransjeinnsikt. Denne retten består også etter at avtalen er opphørt.

Bedriften garanterer å ha nødvendige rettigheter til innhold som lastes opp, herunder bilder, tekst og varemerker, og holder Smartbook skadesløs for krav fra tredjepart om at innholdet krenker andres rettigheter.

Smartbook eier alle rettigheter til plattformen, programvaren og eget materiale. Bedriften får en ikke-eksklusiv, ikke-overførbar rett til å bruke løsningen så lenge avtalen varer. Bruksretten er en del av formidlingstjenesten og gis ikke som en selvstendig programvarelisens; den kan ikke skilles ut, viderelisensieres eller leies ut.

Gir Bedriften forslag eller tilbakemeldinger om tjenesten, kan Smartbook bruke disse fritt i produktutviklingen uten vederlag eller begrensninger.

Smartbook kan omtale Bedriften som kunde og bruke Bedriftens navn og logo som referanse på nettsted og i presentasjoner. Bedriften kan når som helst reservere seg mot dette ved melding til hello@smartbook.now.

8. Personvern

Bedriften er behandlingsansvarlig for personopplysninger om egne gjester. Smartbook er databehandler for disse. Databehandleravtalen i vedlegg A, med vedlegg A-1 til A-4, er en integrert del av disse vilkårene, og oppfyller kravene i personvernforordningen artikkel 28 nr. 3.

Smartbook er selvstendig behandlingsansvarlig for opplysninger om Bedriftens egne brukere, for tekniske logger og sikkerhet, for kundeforholdet med Bedriften, og for opplysninger som behandles for å oppfylle egne rettslige plikter, herunder bokføring, hvitvasking og betaling. Denne behandlingen er beskrevet i Smartbooks personvernerklæring på smartbook.now/privacy.

Når Bedriften aktiverer en integrasjon mot en tjeneste Bedriften selv har avtale med — for eksempel Google Kalender eller Tripletex — skjer overføringen etter Bedriftens instruks. Den aktuelle leverandøren er da Bedriftens egen behandler, ikke Smartbooks underdatabehandler, med mindre annet følger av vedlegg A.

Ilegges en av partene overtredelsesgebyr eller erstatningsansvar etter personvernforordningen artikkel 82 eller 83 som følge av forhold den andre parten svarer for, kan den ansvarlige parten kreve dette dekket av den andre, i samsvar med ansvarsfordelingen i punkt 11.

9. Kunstig intelligens

Tjenesten bruker KI til blant annet tekstforslag, gjestechat, innsikt og onboarding. Kall formidles via OpenRouter til modelleverandører, per i dag Google (Gemini). Bedriftens innhold og gjestedata brukes ikke til å trene KI-modeller hos tredjepart. Hvilke funksjoner som bruker KI, hva som sendes til modellen, og hvordan gjesten informeres, framgår av vedlegg A punkt A11 og vedlegg A-4.

KI-generert innhold kan inneholde feil. Bedriften er ansvarlig for å kontrollere innhold som publiseres eller sendes til Gjest i Bedriftens navn. KI-funksjonene gir forslag og beslutningsstøtte; de treffer ikke automatiserte avgjørelser med rettsvirkning eller tilsvarende vesentlig betydning for enkeltpersoner, jf. personvernforordningen artikkel 22.

Smartbook kan sette rimelige bruksgrenser for KI-funksjoner for å beskytte driften mot misbruk og utilsiktet forbruk. Grensene skal ikke settes så lavt at ordinær bruk hindres.

10. Tilgjengelighet, support og sikkerhet

Oppetid. Smartbook har som mål 99,5 % månedlig tilgjengelighet, målt utenom planlagt vedlikehold. I dagens utviklingsfase er dette et mål, ikke en garantert tjenestenivåavtale med kompensasjon. Smartbook rapporterer på forespørsel faktisk tilgjengelighet siste 12 måneder.

Vedlikehold. Planlagt vedlikehold varsles når det er praktisk mulig, og legges så langt det lar seg gjøre utenom høysesong, helg og tidsrommet 08:00–22:00. Kritiske sikkerhetsoppdateringer kan gjennomføres uten forhåndsvarsel.

Support. Support gis på norsk via e-post til hello@smartbook.now og digitale møter innenfor normal arbeidstid, mandag til fredag 09:00–16:00. Smartbook tilstreber førstesvar innen én virkedag, og samme virkedag for feil som stanser salg eller betaling. Dette er mål, ikke garanterte responstider.

Sikkerhetshendelser. Smartbook varsler Bedriften uten ugrunnet opphold ved sikkerhetshendelser som berører Bedriftens data. Gjelder hendelsen personopplysninger, gjelder fristene i vedlegg A punkt A7.

Force majeure. Ingen av partene er ansvarlig for manglende oppfyllelse som skyldes forhold utenfor partens rimelige kontroll, herunder svikt hos underleverandører, nettverk eller strøm, krig, pandemi, arbeidskonflikt, tjenestenektangrep eller myndighetspålegg. Parten skal varsle den andre så snart det er praktisk mulig og søke å begrense virkningen. Varer forholdet i mer enn 60 sammenhengende dager, kan hver av partene si opp avtalen med umiddelbar virkning uten ansvar. Force majeure fritar ikke for betalingsforpliktelser som allerede er forfalt.

11. Ansvar

Smartbook er ansvarlig for direkte tap som skyldes uaktsomhet fra Smartbooks side. Smartbook er ikke ansvarlig for indirekte tap, herunder tapt fortjeneste, tapte bestillinger, tapt omdømme, tap av data som Bedriften selv kunne ha sikret gjennom eksport, eller tap som følge av feil i Bedriftens egen informasjon eller egen leveranse.

Smartbooks samlede ansvar er begrenset til de plattformgebyrene Bedriften har betalt de siste tolv månedene før kravet oppsto, likevel minst 25 000 kroner. Flere krav som springer ut av samme forhold regnes som ett krav.

Begrensningene gjelder ikke ved forsett eller grov uaktsomhet, ved brudd på taushetsplikten i punkt 14, ved krenkelse av den andre partens immaterielle rettigheter, ved personskade, eller ved ansvar som ikke lovlig kan begrenses.

Bedriften holder Smartbook skadesløs for krav fra gjester, tredjeparter eller myndigheter som knytter seg til Bedriftens egen leveranse, informasjon, innhold eller avgiftsplikt. Denne plikten er ikke omfattet av beløpsbegrensningen over.

Krav må fremsettes skriftlig uten ugrunnet opphold etter at parten ble eller burde blitt kjent med forholdet, og senest tolv måneder etter at tapet oppsto. Ellers bortfaller kravet.

12. Varighet, utestengelse og oppsigelse

Varighet. Avtalen løper til den sies opp.

Ordinær oppsigelse. Bedriften kan si opp avtalen skriftlig med umiddelbar virkning. Smartbook kan si opp avtalen skriftlig med minst 30 dagers varsel, med begrunnelse.

Hvilende kontoer. Fordi Smartbook ikke tar abonnementsavgift, bæres kostnaden ved en konto av de salgene som formidles gjennom den. Har Bedriften ikke hatt formidlede bestillinger gjennom Smartbook på tolv sammenhengende måneder, kan Smartbook si opp avtalen etter varselet over. Bedriften får da tilbud om å eksportere sine data etter punkt 13 før kontoen avsluttes. Sesongdrift regnes ikke som inaktivitet.

Grunnlag for utestengelse, begrensning og heving. Smartbook kan begrense, midlertidig stanse eller avslutte Bedriftens tilgang dersom

• Bedriften vesentlig misligholder avtalen,
• det foreligger konkret mistanke om svindel, hvitvasking, misbruk eller ulovlig virksomhet,
• Bedriften mangler nødvendige løyver eller godkjenninger,
• Bedriften ikke fullfører eller opprettholder påkrevd registrering hos Stripe,
• innhold Bedriften har lagt inn er ulovlig eller krenker tredjeparts rettigheter,
• bruken truer sikkerheten eller den tekniske driften av plattformen, eller
• lov, dom eller myndighetspålegg krever det.

Fremgangsmåte. Ved vesentlig mislighold gir Smartbook skriftlig varsel med begrunnelse og 30 dagers frist til å rette forholdet. Rettes ikke forholdet innen fristen, kan avtalen heves med umiddelbar virkning. Ved mistanke om svindel, misbruk, ulovlig virksomhet eller trussel mot sikkerheten kan tilgangen stanses straks; begrunnelse gis skriftlig samtidig, eller så snart det er lovlig å gi den. Bedriften kan bestride avgjørelsen etter punkt 16, og tilgangen gjenopprettes uten ugrunnet opphold dersom grunnlaget faller bort.

Bedriften kan heve avtalen med umiddelbar virkning ved vesentlig mislighold fra Smartbook som ikke er rettet innen 30 dager etter skriftlig varsel.

Insolvens. Hver av partene kan heve avtalen med umiddelbar virkning dersom den andre parten innstiller betalingene, tas under gjeldsforhandling eller konkursbehandling, eller på annen måte må antas å være insolvent, så langt loven tillater det.

Bekreftede bestillinger. Bestillinger som allerede er bekreftet, gjennomføres og gjøres opp etter disse vilkårene også etter at avtalen er avsluttet, med mindre Bedriften er utestengt for svindel eller ulovlig virksomhet. I så fall håndteres oppgjøret slik at Gjestens interesser ivaretas.

13. Ved opphør

Bedriften kan be om utlevering av egne data i et vanlig maskinlesbart format. Smartbook leverer dette uten ugrunnet opphold, og senest 30 dager etter at avtalen er opphørt. Forespørsel sendes til hello@smartbook.now. Utleveringen er gratis. Ber Bedriften om et særskilt tilrettelagt uttrekk utover standard eksport, kan Smartbook kreve dekket dokumenterte kostnader etter forhåndsavtale.

Smartbook sletter eller anonymiserer Bedriftens data senest 90 dager etter opphør, med unntak av opplysninger Smartbook er pålagt å oppbevare etter bokførings- og hvitvaskingsregelverket. Sletting av personopplysninger følger vedlegg A punkt A9.

Utestående oppgjør gjøres opp etter punkt 4 også etter opphør.

14. Konfidensialitet

Partene skal bevare taushet om hverandres forretningsforhold som ikke er alminnelig kjent, herunder priser i individuelle avtaler, tekniske løsninger, kundelister og planer. Opplysningene kan bare deles med egne ansatte og rådgivere som har behov for dem, og som er underlagt tilsvarende taushetsplikt.

Taushetsplikten gjelder ikke opplysninger som er eller blir alminnelig kjent uten brudd på avtalen, som parten hadde fra før uten taushetsplikt, som er utviklet uavhengig, eller som må gis ut etter lov, dom eller myndighetspålegg. I det siste tilfellet skal den andre parten varsles på forhånd når det er lovlig.

Plikten gjelder i fem år etter at avtalen er avsluttet. For forretningshemmeligheter gjelder den så lenge opplysningen er en forretningshemmelighet.

15. Endringer i vilkårene

Smartbook kan endre vilkårene. Endringer varsles på e-post til Bedriftens registrerte kontaktadresse og i løsningen minst 30 dager før de trer i kraft, likevel minst tre måneder for endringer i gebyrsats.

Fortsatt bruk etter ikrafttredelsen regnes som aksept. Er Bedriften uenig, kan avtalen sies opp med virkning senest fra samme tidspunkt, uten kostnad. Bedriften kan velge å frafalle varslingsfristen ved uttrykkelig aksept i løsningen.

Endringer gis ikke tilbakevirkende kraft. De gjelder ikke for bestillinger som er opprettet før ikrafttredelsen.

Endringer som er nødvendige for å oppfylle lov, dom eller myndighetspålegg, eller for å avverge en sikkerhetsrisiko, kan tre i kraft straks. Bedriften varsles så snart som mulig, og kan i så fall si opp avtalen med én måneds varsel.

Gjeldende og tidligere versjoner av vilkårene er tilgjengelige på forespørsel til hello@smartbook.now.

16. Klager og tvisteløsning

Klager på Smartbooks tjeneste, oppgjør eller beslutninger sendes til hello@smartbook.now. Smartbook bekrefter mottak innen fem virkedager og gir et begrunnet svar innen 30 dager. Svaret gis skriftlig og på norsk.

Smartbook er per i dag en liten virksomhet med færre enn 50 ansatte, og er derfor ikke pålagt å ha et formelt internt klagebehandlingssystem eller å utpeke meklere etter reglene om nettbaserte formidlingstjenester. Klagekanalen over tilbys likevel. Blir Smartbook større enn dette, opprettes de ordningene regelverket krever, og vilkårene oppdateres etter punkt 15.

Fører klagebehandlingen ikke fram, skal partene forsøke å løse tvisten i minnelighet, om nødvendig ved mekling. Partene kan i fellesskap velge en mekler, for eksempel gjennom Norsk forening for konfliktløsning eller Oslo Chamber of Commerce.

17. Øvrige bestemmelser

Uavhengige parter. Avtalen etablerer ikke et selskap, arbeidsforhold, agentur eller fullmaktsforhold mellom partene. Ingen av partene kan forplikte den andre.

Overdragelse. Bedriften kan ikke overdra avtalen uten Smartbooks skriftlige samtykke, som ikke kan nektes uten saklig grunn. Smartbook kan overdra avtalen ved fusjon, oppkjøp eller annen virksomhetsoverdragelse, og skal varsle Bedriften om dette. Bedriften kan i så fall si opp avtalen med én måneds varsel.

Meldinger. Meldinger etter avtalen gis skriftlig til den e-postadressen partene har registrert, eller i løsningen. Til Smartbook: hello@smartbook.now. En melding anses mottatt neste virkedag etter at den er sendt. Bedriften er ansvarlig for å holde kontaktopplysningene oppdatert.

Hele avtalen. Avtalen med vedlegg utgjør hele avtalen mellom partene om det den regulerer, og erstatter tidligere avtaler, tilbud og uttalelser om det samme.

Ugyldighet. Blir en bestemmelse helt eller delvis ugyldig, består resten av avtalen. Bestemmelsen erstattes av en gyldig bestemmelse som ligger nærmest opp til det partene ville avtalt.

Passivitet. At en part ikke gjør en rettighet gjeldende, innebærer ikke at rettigheten er frafalt.

Bestemmelser som består. Punktene 7, 11, 13, 14, 17 og 18, samt vedlegg A punkt A9 og A10, gjelder også etter at avtalen er avsluttet.

Språk. Avtalen er inngått på norsk. Ved oversettelse til andre språk går den norske teksten foran.

18. Lovvalg og verneting

Avtalen reguleres av norsk rett, med unntak av lovvalgsregler som peker til annen rett.

Tvister søkes løst etter punkt 16. Fører dette ikke fram, er avtalt verneting Nord-Troms og Senja tingrett. Dette er ikke til hinder for at en part begjærer midlertidig sikring eller forføyning ved annen kompetent domstol.

Smartbook AS · org.nr. 937 622 252 MVA · Lyngsalpeveien 900, 9060 Lyngseidet · hello@smartbook.now · smartbook.now

Versjonshistorikk

Vedlegg A: Databehandleravtale

Inngått som del av Vilkår for bruk av Smartbook · Personvernforordningen artikkel 28 nr. 3 · Versjon 1.0

Denne avtalen regulerer Smartbooks behandling av personopplysninger på vegne av Bedriften. Den følger strukturen i EU-kommisjonens standardavtale mellom behandlingsansvarlig og databehandler, gjennomføringsbeslutning (EU) 2021/915, som Datatilsynet viser til. Begreper har samme betydning som i personvernforordningen.

Behandlingsansvarlig: den bedriften som er registrert som kontoinnehaver i Smartbook («Bedriften»).

Databehandler: Smartbook AS, org.nr. 937 622 252, Lyngsalpeveien 900, 9060 Lyngseidet («Smartbook»).

Avtalen inngås elektronisk sammen med vilkårene, jf. punkt A12, og gjelder så lenge Smartbook behandler personopplysninger på Bedriftens vegne. Vedlegg A-1 til A-4 er en del av avtalen. Avtalen begrenser ikke rettigheter den registrerte har etter personvernforordningen.

A1. Behandlingens gjenstand, art og formål

Smartbook behandler personopplysninger utelukkende for å levere tjenesten beskrevet i vilkårene: å ta imot og bekrefte bestillinger, gjennomføre betaling, varsle Gjest og vert på e-post og SMS, drive gjestechat og meldingstråder, gi Bedriften rapporter og innsikt, og — når Bedriften har aktivert det — synkronisere kalender og eksportere regnskapsdata. Drift, sikring og feilretting av løsningen inngår i formålet.

Behandlingens art, formål og varighet, kategoriene registrerte og kategoriene personopplysninger er beskrevet i vedlegg A-1. Sikkerhetstiltakene framgår av vedlegg A-2, godkjente underdatabehandlere av vedlegg A-3, og KI-systemene i tjenesten av vedlegg A-4.

Særlige kategorier: skal ikke registreres i tjenesten. Bedriften skal ikke be Gjesten om helseopplysninger, kostholdsrestriksjoner av medisinsk art, opplysninger om religion, opplysninger om straffbare forhold eller andre særlige kategorier, heller ikke i fritekst- eller innsjekkingsfelt. Registreres slike opplysninger likevel av Gjesten på eget initiativ, behandler Smartbook dem etter denne avtalen, men Bedriften er ansvarlig for å ha et gyldig grunnlag og for å fjerne dem.

Behandlingsansvarliges plikter. Bedriften bestemmer formålet med og midlene for behandlingen, og er ansvarlig for at det finnes et gyldig behandlingsgrunnlag, at de registrerte har fått nødvendig informasjon etter artikkel 13 og 14, for innholdet i egen personvernerklæring, og for at instruksene til Smartbook er lovlige. Bedriften skal ikke legge inn flere personopplysninger i tjenesten enn formålet krever, og skal varsle Smartbook uten ugrunnet opphold om forhold som påvirker Smartbooks behandling.

A2. Instruks, formålsbegrensning og taushetsplikt

Instruks. Smartbook behandler personopplysninger bare etter dokumentert instruks fra Bedriften, slik den framgår av vilkårene, denne avtalen og Bedriftens bruk av løsningen og dens innstillinger, med mindre annet kreves etter norsk rett eller EØS-rett. Kreves behandling etter loven, varsler Smartbook Bedriften før behandlingen, med mindre loven forbyr slik varsling.

Smartbook varsler Bedriften dersom en instruks etter Smartbooks vurdering er i strid med personvernregelverket, og kan avvente gjennomføring til forholdet er avklart.

Formålsbegrensning. Smartbook behandler ikke personopplysningene til egne formål. Opplysningene brukes ikke til markedsføring, videresalg, profilering på tvers av bedrifter, eller til trening, finjustering eller evaluering av KI-modeller — verken hos Smartbook eller hos underdatabehandler. Smartbook kan bruke aggregert statistikk som ikke kan knyttes til en enkelt bedrift eller en enkeltperson. Slik statistikk skal være anonymisert, ikke pseudonymisert.

Taushetsplikt. Alle som behandler opplysningene hos Smartbook er underlagt taushetsplikt, enten ved arbeidsavtale eller egen erklæring, og har tilgang bare i den grad arbeidet krever det. Taushetsplikten gjelder også etter at arbeidsforholdet er avsluttet.

A3. Sikkerhet

Smartbook gjennomfører egnede tekniske og organisatoriske tiltak etter artikkel 32. Tiltakene er beskrevet i vedlegg A-2 og gjennomgås minst én gang i året. Smartbook kan endre tiltakene i takt med teknisk utvikling, men ikke slik at sikkerhetsnivået samlet sett svekkes.

Personell hos Smartbook har ikke tilgang til produksjonsdata uten dokumentert behov, og slik tilgang logges.

A4. Underdatabehandlere

Bedriften gir generell godkjenning til bruk av underdatabehandlere. Smartbook inngår skriftlig avtale med hver av dem på minst like strenge vilkår som denne avtalen, og er ansvarlig overfor Bedriften for deres arbeid som for sitt eget.

Godkjente underdatabehandlere per avtaletidspunktet framgår av vedlegg A-3, med behandlingssted, jurisdiksjon og overføringsgrunnlag. Til enhver tid gjeldende liste er tilgjengelig på smartbook.now, og oppdateres samtidig med varselet etter avsnittet Endringer under.

Innhold som sendes til KI-leverandører brukes ikke til å trene modeller, jf. punkt A11. Smartbook kan bytte modelleverandør; ny leverandør varsles som ny underdatabehandler.

Når Bedriften aktiverer Google Kalender eller et regnskapssystem (for eksempel Tripletex / Visma Tripletex AS), overføres opplysninger til den leverandøren etter Bedriftens instruks. Disse er Bedriftens egne behandlere, ikke Smartbooks underdatabehandlere. Smartbook er ansvarlig for at overføringen gjennom tjenesten skjer sikkert og i tråd med denne avtalen.

Endringer. Smartbook varsler skriftlig minst 30 dager før en ny underdatabehandler tas i bruk eller en eksisterende erstattes. Bedriften kan innen 30 dager fra varselet protestere skriftlig på saklig personvernfaglig grunnlag. Finner partene ikke en løsning innen 30 dager etter protesten, kan Bedriften si opp avtalen uten kostnad, med virkning fra det tidspunktet den nye underdatabehandleren tas i bruk. Byttes en underdatabehandler ut umiddelbart av sikkerhetsgrunner, varsles Bedriften så snart som mulig i etterkant.

A5. Overføring til land utenfor EØS

Underdatabehandlerne i vedlegg A-3 er amerikanskeide, og noe behandling skjer utenfor EØS, særlig hos OpenRouter, Google, Stripe og Twilio.

Overføring skjer på grunnlag av EU-kommisjonens standard personvernbestemmelser (SCC, beslutning 2021/914), supplert av EU–US Data Privacy Framework der leverandøren er sertifisert, og av supplerende tekniske og organisatoriske tiltak som kryptering og tilgangsbegrensning. Overføringsgrunnlaget for hver leverandør framgår av vedlegg A-3. Smartbook gjennomfører en overføringsvurdering per leverandør og gjør den tilgjengelig for Bedriften på forespørsel.

Amerikansk jurisdiksjon. Smartbook opplyser uttrykkelig at driftsgeografi i EU ikke i seg selv fjerner amerikansk jurisdiksjon. En amerikanskeid leverandør kan være underlagt CLOUD Act, og kan i prinsippet pålegges å utlevere data uten at Bedriften varsles. Dette gjelder også data som er lagret i EU. Smartbook vurderer leverandørvalget på nytt minst hver tolvte måned, og arbeider for å flytte databehandlingen til leverandører under europeisk jurisdiksjon.

Blir et overføringsgrunnlag kjent ugyldig eller trukket tilbake — for eksempel ved at Data Privacy Framework settes til side — skal Smartbook uten ugrunnet opphold varsle Bedriften og enten etablere et annet gyldig grunnlag, iverksette ytterligere tiltak eller stanse den aktuelle overføringen.

A6. Bistand til Bedriften

Smartbook bistår Bedriften, i den grad det er rimelig og står i forhold til behandlingens art og de opplysningene Smartbook har tilgang til:

• med å svare på henvendelser fra registrerte om innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse, jf. artikkel 12–22. Løsningen har funksjoner for uttrekk og sletting som Bedriften kan bruke selv,
• med å oppfylle pliktene etter artikkel 32–36, herunder sikkerhet, avviksmelding, personvernkonsekvensvurdering (DPIA) og forhåndsdrøfting med Datatilsynet,
• med de opplysningene om behandlingen som Bedriften trenger til sin egen behandlingsprotokoll etter artikkel 30 nr. 1.

Bistanden er gratis for henvendelser som kan besvares gjennom funksjonalitet i løsningen. For bistand som krever vesentlig manuelt arbeid utover dette, kan Smartbook kreve dekket dokumenterte kostnader, etter at Bedriften er varslet om omfanget og har godkjent det.

Blir Smartbook kontaktet direkte av en registrert om forhold Bedriften er behandlingsansvarlig for, videreformidles henvendelsen til Bedriften uten ugrunnet opphold. Smartbook svarer ikke på Bedriftens vegne uten avtale.

Kontaktpunkt for personvern hos Smartbook: hello@smartbook.now. Smartbook er ikke pålagt å ha personvernombud.

A7. Brudd på personopplysningssikkerheten

Smartbook varsler Bedriften uten ugrunnet opphold, og senest innen 48 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører personopplysninger Smartbook behandler på Bedriftens vegne. Varselet sendes til den e-postadressen Bedriften har registrert, og følges opp per telefon dersom bruddet er alvorlig.

Varselet beskriver, så langt opplysningene er kjent, hva som har skjedd, når det skjedde, hvilke kategorier opplysninger og registrerte som er berørt og omtrent hvor mange, sannsynlige konsekvenser, iverksatte og planlagte tiltak, og kontaktpunkt for videre oppfølging. Er ikke alt kjent ved første varsel, ettersendes opplysningene fortløpende.

Smartbook bistår Bedriften med melding etter artikkel 33 og eventuell underretning etter artikkel 34, fører logg over alle brudd som berører Bedriftens data, og gjør loggen tilgjengelig for Bedriften.

Bedriften er ansvarlig for melding til Datatilsynet og eventuelt til de registrerte. Smartbook melder ikke på Bedriftens vegne uten skriftlig avtale.

Et varsel er ikke i seg selv en erkjennelse av ansvar eller uaktsomhet.

A8. Protokoll, dokumentasjon og revisjon

Smartbook fører protokoll over behandlingsaktiviteter utført på Bedriftens vegne, jf. artikkel 30 nr. 2, og gjør på forespørsel tilgjengelig den dokumentasjonen som er nødvendig for å vise at pliktene etter artikkel 28 er oppfylt, herunder beskrivelse av sikkerhetstiltak, liste over underdatabehandlere og eventuelle revisjonsrapporter eller sertifiseringer fra underdatabehandlere. Slik dokumentasjon skal først legges til grunn.

Er dokumentasjonen ikke tilstrekkelig, kan Bedriften én gang per kalenderår, med minst 30 dagers skriftlig varsel, gjennomføre revisjon selv eller ved uavhengig tredjepart som ikke er konkurrent av Smartbook. Revisjon skal skje i arbeidstiden og uten unødig forstyrrelse av driften, og gir ikke tilgang til andre kunders opplysninger. Revisor skal undertegne taushetserklæring, og revisjonsrapporten er konfidensiell etter punkt 14 i vilkårene.

Bedriften dekker egne kostnader ved revisjonen. Smartbook dekker sine, med mindre revisjonen krever merarbeid ut over to arbeidsdager. Avdekker revisjonen dokumenterte avvik fra denne avtalen, dekker Smartbook kostnadene ved oppfølgingsrevisjon.

Ved dokumentert vesentlig sikkerhetsbrudd, eller når en tilsynsmyndighet krever det, kan revisjon gjennomføres oftere.

A9. Varighet og sletting

Avtalen gjelder så lenge Smartbook behandler personopplysninger på Bedriftens vegne, og opphører samtidig med vilkårene.

Bedriften kan når som helst, og i minst 30 dager etter opphør, laste ned egne data i et vanlig maskinlesbart format.

Ved opphør sletter eller tilbakeleverer Smartbook deretter opplysningene etter Bedriftens valg. Bedriften må gi beskjed om valget innen 30 dager etter opphør; gjør Bedriften ikke det, slettes opplysningene. Sletting skjer senest 90 dager etter opphør.

Unntatt er opplysninger Smartbook er pålagt å oppbevare etter lov, herunder bokføringsloven og hvitvaskingsloven. Slike opplysninger oppbevares bare så lenge loven krever, behandles bare for det lovpålagte formålet, og slettes deretter.

Sikkerhetskopier slettes etter ordinær rulleringssyklus, senest 90 dager etter at opplysningene er slettet i produksjon. Fram til det er de utilgjengelige for ordinær bruk.

Smartbook bekrefter skriftlig når sletting er gjennomført.

A10. Mislighold, ansvar og forrang

Ved vesentlig mislighold av denne avtalen kan den parten som ikke har misligholdt, heve med umiddelbar virkning dersom forholdet ikke er rettet innen 30 dager etter skriftlig varsel. Bedriften kan i tillegg kreve at Smartbook stanser den aktuelle behandlingen inntil forholdet er brakt i orden.

Ansvar etter denne avtalen følger punkt 11 i vilkårene og artikkel 82 i personvernforordningen. Ansvarsbegrensningen i vilkårene gjelder ikke overtredelsesgebyr eller erstatningsansvar en part er ilagt for eget forhold etter personvernregelverket.

Ved motstrid mellom denne databehandleravtalen og de øvrige vilkårene, går denne avtalen foran i spørsmål om behandling av personopplysninger.

A11. Kunstig intelligens

Tjenesten bruker KI til gjestechat, tekstforslag, innsikt og onboarding. Hvilke funksjoner som bruker KI, hva som sendes til modellen, og hvordan åpenhetskravene er ivaretatt, framgår av vedlegg A-4.

Personopplysninger sendes til en KI-modell bare når det er nødvendig for den funksjonen Bedriften har tatt i bruk. Innhold fra forespørsler og svar brukes ikke til trening, finjustering eller til å forbedre Googles eller OpenRouters produkter. Dette følger av vilkårene for betalt Gemini-API, og av at Smartbook ikke har slått på promptlogging eller produktbruk av innhold hos OpenRouter. Google logger likevel prompt og svar i 55 dager for å avdekke brudd på retningslinjene for bruk; flagget innhold kan gjennomgås av autorisert personell hos Google. Loggretensjon framgår av vedlegg A-4.

Gjesten får vite at hun samhandler med et KI-system, i grensesnittet og ikke bare i vilkårene, i tråd med åpenhetskravene i KI-forordningen artikkel 50. KI-generert innhold merkes maskinlesbart der forordningen krever det.

KI brukes ikke til å treffe avgjørelser med rettsvirkning eller tilsvarende vesentlig betydning for Gjesten, jf. personvernforordningen artikkel 22. Prissetting, avslag og tvistehåndtering avgjøres av Bedriften. Bedriften er ansvarlig for å kontrollere KI-generert innhold som publiseres eller sendes til Gjest i Bedriftens navn.

KI-forordningen (EU) 2024/1689 er EØS-relevant, men er ikke gjennomført i norsk rett per august 2026. Smartbook innretter tjenesten etter forordningens krav uavhengig av dette, fordi tjenesten betjener gjester i EU/EØS. Partene skal tilpasse denne avtalen dersom norsk gjennomføring krever det.

A12. Inngåelse, endringer og signering

Avtalen inngås elektronisk ved at Bedriften bekrefter vilkårene ved opprettelse av konto på smartbook.now. Smartbook logger tidspunkt, versjon og hvilken bruker som bekreftet, og gjør bekreftelsen tilgjengelig for Bedriften. Elektronisk bekreftelse har samme virkning som signatur.

Endringer i denne avtalen varsles minst 30 dager før de trer i kraft. Tidligere versjoner arkiveres og gjøres tilgjengelige på forespørsel til hello@smartbook.now.

Bedrifter som ønsker et signert eksemplar, kan be om det:

Vedlegg A-1: Beskrivelse av behandlingen

Behandlingens art og formål. Levering av salgs- og bookingtjenesten Smartbook: presentasjon av Bedriftens tilbud, mottak og bekreftelse av bestillinger, betaling og utbetaling, varsling til Gjest og vert, dialog mellom Gjest og vert, rapportering til Bedriften og Bedriftens regnskapsfører, samt drift, sikring og feilretting av løsningen. Behandlingen omfatter innsamling, registrering, lagring, strukturering, bruk, visning, overføring til underdatabehandlere, sletting og anonymisering, utført helt eller delvis automatisert.

Kategorier registrerte. Gjester som bestiller eller forespør tjenester hos Bedriften, og personer Gjesten oppgir som medreisende. Bedriftens egne brukere av løsningen, herunder vert, ansatte og regnskapsfører med tilgang. Kontaktpersoner hos videreselgere og samarbeidspartnere Bedriften registrerer.

Kategorier personopplysninger.

Særlige kategorier personopplysninger etter artikkel 9 og opplysninger om straffbare forhold etter artikkel 10 skal ikke behandles i tjenesten.

Behandlingens varighet. Behandlingen pågår så lenge avtaleforholdet varer. Innenfor dette gjelder:

Lagringstidene for gjestechat, meldinger, tekniske logger og tilgangslogg håndheves av en daglig sletterutine. Følgende holdes utenfor den rutinen:

• Bookings- og betalingsopplysninger (bookings, booking_items, payments, payment_refunds) beholdes for bokføring, og anonymiseres på forespørsel og ved opphør etter punkt A9
• Reservasjonslisten for SMS (sms_opt_outs) beholdes, ellers kan utsending gjenopptas mot den som har reservert seg
• Aksept av vilkår (organization_terms_acceptances) beholdes som dokumentasjon på inngåelsen
• Logger om gjennomført sletting (automation_log med type gdpr_data_deletion) beholdes som dokumentasjon på etterlevelse etter artikkel 5 nr. 2

Ved opphør av avtalen gjelder punkt A9.

Overføring til tredjeland. Se vedlegg A-3. Grunnlaget er EU-kommisjonens standard personvernbestemmelser (SCC 2021/914) med overføringsvurdering per leverandør.

Vedlegg A-2: Tekniske og organisatoriske sikkerhetstiltak

Tiltakene gjennomføres etter personvernforordningen artikkel 32.

Tilgang og identitet

• Rollebasert tilgangsstyring etter minste privilegium. Tilgang gjennomgås ved endring i roller, og minst årlig.
• Radnivåsikkerhet i databasen, slik at en bedrift bare når egne data. Tilgang på tvers er teknisk sperret.
• Flerfaktorautentisering er tilgjengelig for alle brukere, og kreves for administrativ tilgang hos Smartbook.
• Personell hos Smartbook har ikke tilgang til produksjonsdata uten dokumentert behov. Slik tilgang logges.

Kryptering og lagring

• All overføring skjer kryptert over TLS. Data er kryptert ved lagring, inkludert sikkerhetskopier.
• Kortopplysninger behandles av betalingsleverandøren og lagres aldri hos Smartbook.
• Automatiske daglige sikkerhetskopier hos databaseleverandøren, supplert av uavhengig ukentlig kopi i separat lagring. Gjenoppretting testes jevnlig.
• Logisk adskillelse av kundedata. Produksjonsdata brukes ikke i test- eller utviklingsmiljø.

Drift, logging og hendelseshåndtering

• Logging av tilgang og endringer i sikkerhetskritiske data, med overvåking av feil og unormale mønstre.
• Hastighetsbegrensning og kostnadstak på KI-endepunkter for å begrense misbruk.
• Automatisk overvåking av avhengigheter, jevnlig oppdatering, kodegjennomgang og automatiserte tester før produksjonssetting, med prioritert utbedring av kritiske funn.
• Nøkler og passord lagres i egen hemmelighetshåndtering, aldri i kildekode eller klientkode.
• Dokumentert beredskapsrutine for brudd på personopplysningssikkerheten, med varslingsfrist etter punkt A7.

Organisatoriske tiltak

• Taushetserklæring for alle med tilgang, ansatte som innleide.
• Databehandleravtale med alle underdatabehandlere.
• Innebygd personvern og dataminimering vurderes ved hver ny funksjon, ikke bare ved lansering.
• Opplæring i personvern og i bruk av KI-verktøy, jf. KI-forordningen artikkel 4 om KI-kompetanse.
• Årlig gjennomgang av sikkerhetstiltak, underdatabehandlere og jurisdiksjonsrisiko.

Vedlegg A-3: Godkjente underdatabehandlere

Per 25. august 2026. Til enhver tid gjeldende liste er tilgjengelig på smartbook.now. Endringer varsles etter punkt A4.

Merknad om jurisdiksjon. Samtlige leverandører over er amerikanskeide. Drift i EU-region gir europeisk driftsgeografi, men ikke europeisk jurisdiksjon. Smartbook omtaler derfor ikke løsningen som datasuveren slik den står i dag. Migrering til leverandører under europeisk jurisdiksjon er under utredning, jf. punkt A5.

Vedlegg A-4: KI-systemer i tjenesten

Oversikten viser hvor tjenesten bruker kunstig intelligens, hva som sendes til modellen, og hvordan åpenhetskravene i KI-forordningen artikkel 50 er ivaretatt.

Modell, leverandør og retensjon

Vurderingen av risikoklasse gjelder tjenesten slik den er beskrevet her. Tas KI i bruk til nye formål — for eksempel automatisert prissetting mot enkeltgjester, vurdering av gjesters betalingsevne eller ansettelsesrelaterte formål — skal risikoklassen vurderes på nytt før funksjonen settes i drift.

Neste revurdering av dette vedlegget: senest 25. august 2027, eller ved bytte av modelleverandør.

Smartbook AS · org.nr. 937 622 252 MVA · Lyngsalpeveien 900, 9060 Lyngseidet · hello@smartbook.now · smartbook.now