Personuppgifts­biträdesavtal

1. Bakgrund och godkännande

1.1 Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”) ingår i avtalet mellan [Bolagsnamn AB], organisationsnummer [Organisationsnummer] (”Biträdet”), och kunden (”Kunden”) enligt ekonomimcps Allmänna villkor (”Huvudavtalet”).

1.2 Biträdesavtalet godkänns när Kunden godkänner Huvudavtalet, det vill säga när Kunden skapar ett konto, ansluter ett företag eller börjar använda tjänsten. Det gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Kunder som behöver ett undertecknat exemplar kan begära det via support@ekonomimcp.se.

1.3 Begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident har samma betydelse som i Europaparlamentets och rådets förordning (EU) 2016/679 (”GDPR”).

2. Roller

2.1 Kunden är personuppgiftsansvarig och Biträdet är personuppgiftsbiträde för de personuppgifter som beskrivs i punkt 3.

2.2 Är Kunden själv personuppgiftsbiträde, till exempel en redovisningsbyrå som arbetar för sina klienter, är Biträdet underbiträde till Kunden. Kunden ansvarar då för att ha klientens tillstånd att anlita Biträdet och för att vidarebefordra den information klienten behöver, och Biträdesavtalet gäller i tillämpliga delar i förhållande till Kunden.

2.3 Biträdet är självständigt personuppgiftsansvarigt för uppgifter om Kundens användare, konto och fakturering, enligt Integritetspolicyn. Biträdesavtalet gäller inte den behandlingen.

3. Behandlingen

4. Instruktioner

4.1 Biträdet behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Kundens instruktioner utgörs av Huvudavtalet, detta Biträdesavtal, de val Kunden och dess användare gör i tjänsten (anslutna företag, behörighetsnivå och godkännandeläge) och de anrop som Kundens AI-klienter gör inom dessa ramar.

4.2 Biträdet ska utan dröjsmål informera Kunden om Biträdet anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning, och har då rätt att avvakta med att utföra instruktionen.

4.3 Biträdet får behandla personuppgifterna utan instruktion endast när det krävs enligt unionsrätten eller svensk rätt, och informerar då Kunden om det inte är förbjudet.

5. Biträdets skyldigheter

Biträdet ska:

• säkerställa att personer som behandlar personuppgifterna har förbundit sig att iaktta konfidentialitet,
• vidta de tekniska och organisatoriska säkerhetsåtgärder som anges i bilaga 1, i enlighet med artikel 32 i GDPR,
• med hänsyn till behandlingens art hjälpa Kunden att besvara begäranden från registrerade, så långt det är möjligt genom lämpliga tekniska och organisatoriska åtgärder,
• hjälpa Kunden att fullgöra skyldigheterna enligt artiklarna 32–36 i GDPR, med hänsyn till behandlingens art och den information Biträdet har,
• föra register över behandlingen enligt artikel 30.2 i GDPR,
• inte behandla personuppgifterna för egna ändamål, inte använda dem för att träna AI-modeller och inte sälja dem.

Biträdet har rätt till skälig ersättning för hjälp enligt denna punkt som går utöver vad som ingår i tjänsten, om parterna inte har kommit överens om annat.

6. Underbiträden

6.1 Kunden ger Biträdet ett allmänt skriftligt tillstånd att anlita underbiträden. De underbiträden som anlitas vid avtalets ingående anges i bilaga 2 och på sidan Underbiträden.

6.2 Biträdet ska informera Kunden om planerade tillägg eller byten av underbiträden minst 30 dagar i förväg, genom e-post till kontots adress och på sidan Underbiträden. Kunden har rätt att invända mot ändringen på sakliga grunder inom den tiden. Kan parterna inte enas har Kunden rätt att säga upp Huvudavtalet med verkan från att ändringen genomförs, utan kostnad.

6.3 Biträdet ska genom skriftligt avtal ålägga varje underbiträde samma skyldigheter i fråga om dataskydd som följer av detta Biträdesavtal, och ansvarar gentemot Kunden för underbiträdets behandling.

6.4 Fortnox AB är Kundens leverantör av ekonomisystemet och inte Biträdets underbiträde. Leverantören av den AI-klient Kunden använder, till exempel Anthropic, OpenAI, Microsoft eller Google, väljs och avtalas av Kunden och är inte heller Biträdets underbiträde. Uppgifter som överförs till dem sker på Kundens instruktion.

7. Överföring till tredje land

7.1 Biträdet lagrar personuppgifterna inom EU/EES. Överföring till eller åtkomst från ett land utanför EU/EES får bara ske om det finns ett beslut om adekvat skyddsnivå, inklusive EU–US Data Privacy Framework för certifierade mottagare, eller lämpliga skyddsåtgärder enligt artikel 46 i GDPR, till exempel EU-kommissionens standardavtalsklausuler, tillsammans med de kompletterande åtgärder som behövs.

8. Personuppgiftsincidenter

8.1 Biträdet ska underrätta Kunden om en personuppgiftsincident utan onödigt dröjsmål och senast 48 timmar efter att Biträdet har fått kännedom om den.

8.2 Underrättelsen ska, så långt informationen finns tillgänglig, beskriva incidentens art, kategorier av och ungefärligt antal registrerade och poster, sannolika konsekvenser och vidtagna eller föreslagna åtgärder, samt kontaktuppgifter. Information som inte finns tillgänglig vid första underrättelsen ska lämnas så snart den finns.

8.3 Biträdet ska vidta rimliga åtgärder för att begränsa incidentens följder och hjälpa Kunden att anmäla incidenten och informera registrerade.

9. Granskning

9.1 Biträdet ska ge Kunden den information som behövs för att visa att skyldigheterna i artikel 28 i GDPR och detta Biträdesavtal fullgörs.

9.2 Kunden, eller en oberoende granskare som Kunden utser och som omfattas av tystnadsplikt, har rätt att granska Biträdets behandling. Granskning ska aviseras minst 30 dagar i förväg, får ske högst en gång per år om inte en incident eller en tillsynsmyndighet motiverar det, ska genomföras utan att störa driften eller ge tillgång till andra kunders uppgifter, och bekostas av Kunden.

10. Radering och återlämnande

10.1 När Huvudavtalet upphör ska Biträdet återkalla tjänstens behörigheter i Fortnox och radera de personuppgifter som behandlats för Kundens räkning inom 30 dagar, om inte lagring krävs enligt unionsrätten eller svensk rätt.

10.2 Kunden kan före upphörandet begära en kopia av händelseloggen i ett maskinläsbart format. Själva bokföringen finns kvar i Kundens Fortnox och behöver inte återlämnas.

10.3 Uppgifter i säkerhetskopior skrivs över inom den lagringstid som gäller för databasleverantörens återställningspunkter, högst 30 dagar, och används under tiden bara för återställning efter fel.

11. Ansvar

Parternas ansvar enligt Biträdesavtalet följer Huvudavtalets ansvarsbegränsning, i den utsträckning det är förenligt med artikel 82 i GDPR. Sanktionsavgifter som en tillsynsmyndighet påför en part bärs av den parten.

12. Giltighet och ändringar

12.1 Biträdesavtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Ändringar sker på samma sätt som ändringar av Huvudavtalet. Ändringar som krävs enligt lag eller beslut från en tillsynsmyndighet får gälla med kortare varsel.

12.2 Vid motstridighet mellan Biträdesavtalet och Huvudavtalet gäller Biträdesavtalet i frågor om behandling av personuppgifter.

12.3 Svensk lag gäller. Tvister avgörs enligt Huvudavtalet.

Företag

[Bolagsnamn AB]

Organisationsnummer

[Organisationsnummer]

Momsregistreringsnummer

[Momsregistreringsnummer]

Adress

[Postadress]

E-post

support@ekonomimcp.se

Bilaga 1: Tekniska och organisatoriska säkerhetsåtgärder

Kryptering

• All trafik till och från tjänsten krypteras med TLS. Webbplatsen skickar HSTS så att webbläsare bara ansluter krypterat.
• Behörigheter till Fortnox krypteras med AES-256-GCM innan de sparas. Nycklarna förvaras skilt från databasen och kan bytas utan avbrott.
• Databasen är krypterad i vila hos databasleverantören.
• Åtkomstnycklar till AI-klienter, inloggningssessioner och engångskoder sparas bara som SHA-256-hashvärden. Lösenord, där sådana används, sparas med scrypt.

Minsta behörighet och åtkomstkontroll

• Tjänsten ber Fortnox bara om de behörigheter verktygen behöver, och aldrig om lön, radering av verifikationer eller utvecklar-API.
• Varje anrop kontrolleras mot de företag, den behörighetsnivå och det abonnemang som gäller för anslutningen.
• Oåterkalleliga åtgärder kräver, i det förvalda läget, godkännande av den användare som äger anslutningen. Godkännandet är knutet till ett kontrollvärde av exakt den åtgärd som visades, gäller en gång och i högst 30 minuter.
• Formulär som ändrar något kontrollerar att anropet kommer från tjänstens egen webbplats.
• Personalens åtkomst till drift- och databasmiljöer är begränsad till namngivna personer med tvåfaktorsinloggning.

Dataminimering

• Ingen kopia av bokföringen lagras. Underlag för rapporter hålls i arbetsminnet i högst två minuter.
• Leverantörers bankuppgifter sparas inte; bara ett kontrollvärde för att upptäcka ändringar.
• Händelseloggen sparar argument i rensad och förkortad form utan hemligheter.

Spårbarhet och integritet

• Varje verktygsanrop och varje beslut om godkännande loggas med tid, användare, företag, AI-klient och resultat.
• Verifikationer kontrolleras före skrivning: balans, konton, räkenskapsår, låsta perioder, moms och misstänkta dubbletter.
• Identiska skrivande anrop som upprepas inom kort tid stoppas.

Drift och kontinuitet

• Servrar och databas drivs i EU (Frankfurt) hos leverantörer med egna säkerhetsprogram.
• Databasen har automatiska säkerhetskopior med återställningspunkter.
• Begränsning av antal anrop skyddar mot missbruk och överbelastning, både mot tjänsten och mot Fortnox.
• Säkerhetshuvuden skyddar mot inbäddning av inloggnings- och godkännandesidor (clickjacking).

Organisation

• Beroenden hålls uppdaterade och säkerhetsuppdateringar prioriteras.
• Det finns en rutin för incidenthantering, och säkerhetsbrister kan rapporteras till security@ekonomimcp.se.
• Personal med åtkomst till personuppgifter har tystnadsplikt.

Bilaga 2: Underbiträden