Personuppgifts­biträdesavtal.

1. Parter och företräde

Detta personuppgiftsbiträdesavtal gäller mellan Kunden som personuppgiftsansvarig och Dataeden AB, org.nr 559348-9197 (”Saldy”), som personuppgiftsbiträde. Det införlivas i användarvillkoren. Vid konflikt om behandling för Kundens räkning gäller detta avtal framför användarvillkoren. Dataskyddsförordningen betyder förordning (EU) 2016/679.

2. Föremål, varaktighet, art och ändamål

Föremålet är behandling av personuppgifter i Kundens bokföring och de funktioner Kunden använder. Behandlingen pågår under avtalet och under den efterföljande arkiv- och gallringsperiod som följer av Kundens instruktioner. Behandlingen omfattar insamling, mottagande, strukturering, lagring, läsning, ändring, sammanställning, överföring, export, begränsning och radering i den utsträckning som krävs för att leverera, säkra, underhålla och ge support för tjänsten.

3. Registrerade och uppgiftstyper

Registrerade kan vara Kundens användare, ägare, styrelseledamöter, anställda, uppdragstagare, kunder, leverantörer, kontaktpersoner, betalare och andra personer som förekommer i Kundens material. Uppgifterna kan omfatta identitets- och kontaktuppgifter, personnummer, roll och anställning, lön och förmåner, bank- och betalningsuppgifter, faktura- och transaktionsuppgifter, skatteuppgifter, kommunikation, underlag, tekniska identifierare och användarhistorik. Material kan innehålla känsliga personuppgifter eller uppgifter om lagöverträdelser endast om Kunden har lagligt stöd och behandlingen är nödvändig för Kundens ändamål.

4. Kundens rättigheter och skyldigheter

Kunden bestämmer ändamål och väsentliga medel, ansvarar för laglig grund, information till registrerade, uppgiftsminimering, riktighet, lagringstid och behörigheter samt för att instruktionerna är förenliga med dataskyddsreglerna. Kunden har rätt att få uppgifterna behandlade enligt detta avtal, få avtalat bistånd, exportera material och kontrollera efterlevnaden. Kunden ska inte instruera Saldy att behandla uppgifter för ett olagligt eller oförenligt ändamål.

5. Dokumenterade instruktioner

Saldy får endast behandla personuppgifter enligt detta avtal, Kundens val och kommandon i tjänsten samt andra sparbara skriftliga instruktioner. Det gäller även överföring till tredjeland. Om EU-rätt eller svensk rätt kräver annan behandling ska Saldy informera Kunden före behandlingen, om lagen inte förbjuder sådan information. Saldy ska omedelbart underrätta Kunden om Saldy anser att en instruktion strider mot dataskyddsförordningen eller annan tillämplig dataskyddsrätt och får pausa den berörda instruktionen i väntan på besked.

Kunden lämnar en stående instruktion att Saldy ska bevara räkenskapsinformation för Kundens räkning till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades och under tiden hålla den skyddad och exporterbar enligt tjänstens arkivfunktioner. En annan instruktion om tidigare radering måste vara dokumenterad; Kunden ansvarar då för att den är förenlig med Kundens bokföringsskyldighet.

6. Konfidentialitet

Saldy ska säkerställa att personer som behandlar uppgifter under Saldys ansvar endast får åtkomst efter behov och har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Skyldigheten gäller även efter att uppdraget eller anställningen upphört.

7. Tekniska och organisatoriska säkerhetsåtgärder

Saldy ska med hänsyn till teknik, kostnad, behandlingens art och risk vidta lämpliga åtgärder enligt artikel 32. Åtgärderna omfattar autentisering, roll- och företagsavgränsad behörighet, minsta privilegium, krypterad överföring, leverantörsstödd kryptering vid lagring, loggning av säkerhets- och revisionsrelevanta händelser, säkerhetskopiering och återställningsrutiner, sårbarhets- och uppdateringsarbete, isolering mellan Kunders data, incidentrutiner samt regelbunden prövning av åtkomst och relevanta leverantörer. Åtgärderna anpassas när riskbilden eller tekniken förändras utan att skyddsnivån väsentligt sänks.

8. Underbiträden och förhandstillstånd

Kunden ger ett allmänt skriftligt förhandstillstånd att anlita underbiträdena i avsnitt 9 för de angivna ändamålen. Saldy ska genom avtal lägga på underbiträdet i sak samma dataskyddsskyldigheter och ansvarar gentemot Kunden för underbiträdets skyldigheter. Saldy ska meddela planerade tillägg eller ersättningar minst trettio dagar i förväg, normalt till registrerad fakturakontakt. Kunden får inom fjorton dagar invända av välgrundade dataskyddsskäl. Parterna ska försöka hitta en rimlig lösning; om det inte går får Kunden säga upp den berörda tjänsten innan ändringen börjar gälla.

9. Godkända underbiträden

Vercel, Inc. används för webbdrift, serverkörning och tekniska loggar. Amazon Web Services EMEA SARL används för PostgreSQL-databas (Amazon RDS) och objektlagring (Amazon S3) av bland annat underlag och exporter, i regionen Stockholm (eu-north-1). Inloggning och användarkatalog hanteras av Saldy i samma databas utan externt underbiträde. Räkenskapsinformation som Kunden lägger in i tjänsten förvaras därmed i Sverige. Plus Five Five, Inc. (Resend) används för utgående och inkommande transaktions-e-post och e-postbilagor. Den Google-avtalspart som anges i Saldys gällande leverantörsavtal används för Cloud Vision OCR och Gemini-baserad dokumenttolkning, bankformatsanalys och momsgranskning när dessa funktioner används. Enable Banking Oy används för bankanslutning när Kunden aktiverar den och är underbiträde endast i den utsträckning bolaget behandlar uppgifter för Saldys räkning. En registrerad webbläsares eller operativsystems pushleverantör används för pushmeddelanden när en användare aktiverar sådana meddelanden.

Skatteverket är myndighetsmottagare och datakälla, inte Saldys underbiträde. Enable Banking, pushleverantörer, fordonsuppslag och andra uttryckligt aktiverade externa mottagare kan för viss behandling vara självständigt personuppgiftsansvariga enligt lag eller sina egna villkor; sådan behandling omfattas inte av deras roll som underbiträde. Externa informationskällor får endast de sökparametrar som krävs för funktionen. Aktuell funktionsspecifik information lämnas i tjänsten eller på begäran.

10. Tredjelandsöverföring

Saldy och underbiträden får endast överföra personuppgifter utanför EU och EES enligt Kundens instruktion och kapitel V i dataskyddsförordningen. Överföringen ska stödjas av ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder, normalt EU-kommissionens standardavtalsklausuler, samt kompletterande åtgärder när riskbedömningen kräver det. Saldy ska på begäran informera Kunden om relevant mekanism och behandlingsland, med de begränsningar som krävs för säkerhet och företagshemligheter.

11. Registrerades rättigheter

Med hänsyn till behandlingens art ska Saldy genom lämpliga tekniska och organisatoriska åtgärder hjälpa Kunden att besvara begäranden enligt artiklarna 12–23. Om en registrerad vänder sig direkt till Saldy om Kundens material ska Saldy utan onödigt dröjsmål vidarebefordra begäran till Kunden och inte svara i sak utan Kundens instruktion, om inte lag kräver det.

12. Bistånd enligt artiklarna 32–36

Saldy ska med hänsyn till tillgänglig information bistå Kunden med säkerhet, riskbedömning, konsekvensbedömning, förhandssamråd och dokumentation av personuppgiftsincidenter. Saldy får ta skälig ersättning för ovanligt omfattande bistånd som beror på Kundens behandling eller instruktion, efter att parterna i förväg har kommit överens om omfattning och kostnad. Bistånd som krävs på grund av Saldys avtalsbrott debiteras inte.

13. Personuppgiftsincident

Saldy ska utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som rör Kundens uppgifter underrätta Kunden. Informationen ska i den utsträckning den är känd beskriva incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser, vidtagna eller föreslagna åtgärder samt kontaktväg för uppföljning. Information får lämnas stegvis. Saldy ska bevara relevant incidentbevis och samarbeta med Kunden; Kunden ansvarar för anmälan till tillsynsmyndighet och information till registrerade.

14. Återlämnande och radering

Under avtalstiden kan Kunden exportera uppgifter genom tjänstens tillgängliga exportfunktioner. När behandlingen upphör ska Saldy, enligt Kundens val och med beaktande av den stående arkivinstruktionen, återlämna eller radera personuppgifterna och radera befintliga kopior. Saldy får fortsätta lagra endast det som EU-rätt eller svensk rätt kräver eller som Kunden lagligen instruerat ska ligga i arkiv; åtkomsten ska då begränsas till detta ändamål. Säkerhetskopior som inte rimligen kan raderas omedelbart ska hållas isolerade och skrivas över enligt ordinarie säkerhetskopieringscykel.

15. Information, granskning och inspektion

Saldy ska ge Kunden den information som skäligen krävs för att visa att artikel 28 och detta avtal följs. Kunden får högst en gång per år, eller oftare efter en incident eller konkret misstanke om väsentlig brist, genomföra en proportionerlig granskning själv eller genom en oberoende revisor som omfattas av sekretess. Dokumentation och fjärrgranskning ska användas först. Inspektion på plats kräver skäligt varsel och får inte äventyra andra kunders uppgifter, säkerhet eller drift. Saldy bär sin egen kostnad vid konstaterad väsentlig brist; annars får Saldy ta skälig ersättning för extraordinärt arbete som avtalats i förväg.

16. Ändring, ansvar och upphörande

En ändring av detta avtal får en ny version och kräver nytt godkännande. Saldy får dock uppdatera säkerhetsåtgärder och underbiträden enligt avsnitt 7–9 utan att minska det avtalade skyddet. Ansvar enligt dataskyddsförordningen påverkas inte av en avtalsbegränsning i den mån sådan begränsning inte är tillåten. Avsnitt om konfidentialitet, arkiv, radering, granskning och ansvar gäller så länge Saldy behandlar Kundens personuppgifter.