Personuppgiftsbiträdesavtal

1. Behandlingens föremål, art, ändamål och varaktighet

Biträdet hämtar, lagrar, bearbetar och visar Kundens bokföring för att ta fram rapporter, nyckeltal, budget, prognoser och periodrapporter, skickar aviseringar och ger Kundens användare åtkomst till Insum. Behandlingen sker bara för att tillhandahålla tjänsten till Kunden och pågår så länge Kunden använder tjänsten, och därefter till dess att uppgifterna raderats enligt punkt 11.

2. Kategorier av personuppgifter och registrerade

• Uppgifter i Kundens bokföring: namn på kunder, leverantörer, anställda och andra personer i verifikationstexter, kontonamn, kostnadsställen, projekt och belopp.
• Bilagor till verifikationer, som hämtas från bokföringssystemet när en användare öppnar dem och inte lagras av Biträdet.
• Kundens användare och inbjudna: namn, e-postadress, roll, behörigheter och inloggningshändelser.
• Mottagare av delade rapporter: namn som anges vid kommentarer.

Registrerade är alltså Kundens kunder, leverantörer, anställda och andra personer som förekommer i bokföringen, samt Kundens användare. Kunden ska inte föra in särskilda kategorier av personuppgifter (t.ex. hälsouppgifter) utöver vad som följer av en normal bokföring.

3. Kundens ansvar

• Kunden ansvarar för att det finns laglig grund för behandlingen och för att de registrerade får den information som GDPR kräver.
• Kundens instruktioner består av villkoren, detta Avtal och Kundens val i tjänsten (t.ex. vilka bolag som kopplas och vem som bjuds in).
• Kunden ansvarar för vilka användare som får åtkomst och med vilken behörighet.

4. Biträdets åtaganden

• Behandla personuppgifterna endast enligt Kundens dokumenterade instruktioner, om inte annat krävs enligt lag – i så fall informeras Kunden först, om lagen tillåter det.
• Informera Kunden om Biträdet anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning.
• Se till att personer som behandlar uppgifterna omfattas av tystnadsplikt och bara får åtkomst när det behövs, t.ex. för support som Kunden begärt eller för att åtgärda fel.
• Inte använda personuppgifterna för egna ändamål, inte sälja dem och inte använda dem för att träna AI-modeller.
• Utan dröjsmål vidarebefordra begäranden från registrerade till Kunden och, med hänsyn till behandlingens art, bistå Kunden med att besvara dem.
• Bistå Kunden med att fullgöra skyldigheterna enligt artiklarna 32–36 i GDPR (säkerhet, anmälan av incidenter, konsekvensbedömningar och förhandssamråd), med hänsyn till den information Biträdet har.

5. Säkerhet

Biträdet vidtar tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR, bland annat:

• Krypterad trafik (TLS) och kryptering av lagrad data hos driftleverantören.
• Inloggningsnycklar till bokföringssystem krypteras med AES-256-GCM, bundna till respektive koppling, innan de sparas.
• Behörighet per bolag, roll, kostnadsställe och flik kontrolleras i databasen (radnivåsäkerhet), inte bara i appen.
• Tvåstegsinloggning (obligatorisk för redovisningsbyråer och administratörer), spärr mot lösenordsgissning och revisionslogg över viktiga händelser.
• Kopplingarna till bokföringssystem används bara för att läsa – tjänsten ändrar aldrig Kundens bokföring.
• Ur bokföringen skickas bara aggregerade belopp, nyckeltal och kontonamn till AI-tjänsten – aldrig bolagsnamn, organisationsnummer, person- eller motpartsnamn. I Fråga din ekonomi skickas också användarens egen fråga, och användaren uppmanas att inte skriva in namn.
• Uppladdade och hämtade bokföringsfiler raderas när importen är klar, senast efter ett dygn. Rapporternas PDF:er skapas vid nedladdning och sparas inte.
• Dagliga säkerhetskopior av databasen och lagring inom EU.

6. Underbiträden

Kunden ger ett allmänt tillstånd till att Biträdet anlitar underbiträden. De underbiträden som används i dag finns i listan över underbiträden. Biträdet ingår skriftliga avtal med varje underbiträde som ger minst samma skydd som detta Avtal och ansvarar gentemot Kunden för underbiträdets behandling.

Biträdet meddelar Kundens administratörer via e-post minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Kunden får invända av sakliga skäl inom den tiden. Kan parterna inte enas har Kunden rätt att säga upp avtalet till dess att ändringen träder i kraft, med återbetalning av förskottsbetald avgift för tiden därefter.

7. Överföring till tredje land

Personuppgifterna lagras och behandlas inom EU/EES. Överföring till land utanför EU/EES sker bara när det behövs för tjänsten och med stöd av EU-kommissionens standardavtalsklausuler eller annan giltig mekanism enligt kapitel V i GDPR – i dag AI-tjänsten (USA), som ur bokföringen bara tar emot uppgifter utan namn enligt punkt 5. Underbiträden med säte i USA omfattas av standardavtalsklausuler även när uppgifterna lagras inom EU.

8. Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar efter att ha upptäckt en personuppgiftsincident som berör Kundens uppgifter. Underrättelsen innehåller, i den mån det är känt: vad som hänt, vilka kategorier och ungefär hur många registrerade och poster som berörs, sannolika följder och vilka åtgärder som vidtagits eller föreslås. Biträdet bistår Kunden med den information som behövs för anmälan till Integritetsskyddsmyndigheten och, vid behov, information till de registrerade.

9. Information och granskning

Biträdet tillhandahåller på begäran den information som behövs för att visa att Avtalet följs och medverkar vid granskningar som Kunden eller en oberoende revisor som Kunden anlitar genomför, efter skriftligt varsel om minst 30 dagar. Granskningen bekostas av Kunden, får inte röja andra kunders uppgifter eller Biträdets affärshemligheter och sker högst en gång per år, om inte en incident eller myndighet motiverar annat.

10. Kundens egna åtgärder

Kunden kan själv när som helst ta bort användare, återkalla en redovisningsbyrås åtkomst, koppla från bokföringssystemet och radera ett bolag med all dess data under Inställningar i Insum.

11. När avtalet upphör

När avtalet upphört och den betalda perioden har gått ut är Kundens bolag skrivskyddade i 90 dagar, så att Kunden kan läsa och spara rapporterna eller starta abonnemanget igen. Kundens administratörer påminns via e-post 14 dagar innan perioden löper ut. Därefter raderar Biträdet Kundens personuppgifter i tjänsten, inklusive uppladdade filer. Vill Kunden ha uppgifterna raderade tidigare kan Kunden radera bolaget själv eller kontakta oss.

Raderade uppgifter finns kvar i Biträdets säkerhetskopior tills de skrivs över, senast 30 dagar efter raderingen. Uppgifter som Biträdet måste spara enligt lag, till exempel fakturaunderlag enligt bokföringslagen, sparas så länge lagen kräver och bara för det ändamålet.

12. Ansvar

Var part ansvarar för att fullgöra sina egna skyldigheter enligt GDPR. Ansvaret enligt Avtalet följer ansvarsbegränsningen i villkoren, utom när annat följer av tvingande lag. Ersättning till registrerade fördelas mellan parterna enligt artikel 82 i GDPR.

13. Giltighet, ändringar och tillämplig lag

Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Ändringar meddelas på samma sätt som ändringar av villkoren. Svensk lag gäller och tvister avgörs enligt villkoren.

Kontakt

Frågor om personuppgifter och detta Avtal: support@insum.se