Personuppgiftsbiträdesavtal

• Personuppgiftsansvarig ("Kunden"): det företag som använder Accounted ("Tjänsten") och har godkänt användarvillkoren.
• Personuppgiftsbiträde ("Biträdet"): Arcim Technology AB, org.nr 559538-6219, Östermalmsgatan 26 A, 114 26 Stockholm.

Avtalet är en bilaga till användarvillkoren och gäller när Kunden har godkänt dem. Använder Kunden Tjänsten för ett annat företags räkning, till exempel som redovisningsbyrå för sina klienter, ansvarar Kunden för att ha rätt att ge instruktionerna i detta avtal för det företaget.

Biträdet behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner, också när det gäller överföring till tredje land, om inte unionsrätten eller svensk rätt kräver annat. Biträdet informerar då Kunden om kravet innan behandlingen, om inte lagen förbjuder det. Anser Biträdet att en instruktion strider mot dataskyddsreglerna informerar Biträdet Kunden omedelbart.

Kundens instruktioner är detta avtal, de funktioner Kunden använder och de val Kunden gör i Tjänsten. Biträdet behandlar personuppgifter för att:

• lagra och bearbeta bokföringen: verifikationer, fakturor, kund- och leverantörsregister, underlag och rapporter;
• hämta banktransaktioner och initiera betalningar som Kunden godkänner, via licensierade betaltjänstleverantörer;
• ta emot underlag som Kunden laddar upp, mejlar till Tjänstens inkorgsadresser, skickar via WhatsApp eller låter Tjänsten hämta från en kopplad brevlåda;
• beräkna löner, skicka lönebesked och lämna arbetsgivardeklarationer;
• lämna deklarationer och andra uppgifter till Skatteverket och Bolagsverket när Kunden skickar in dem;
• skicka och ta emot fakturor via e-post och Peppol;
• lämna fakturor till påminnelse och inkasso, och skicka fakturor, via ett inkasso- och utskicksföretag som Kunden själv aktiverar (se punkt 6);
• använda AI för att föreslå kontering, läsa av underlag och svara i assistenten (se punkt 5);
• föra in motparter som är företag eller myndigheter i en gemensam motpartskatalog, och ta fram anonymiserad statistik (se punkt 5);
• ge Kundens egna agenter och integrationer åtkomst via API-nycklar som Kunden skapar;
• exportera, säkerhetskopiera och, vid avtalets slut, återlämna eller radera uppgifterna (se punkt 13).

Känsliga personuppgifter. Lönehanteringen innehåller uppgifter om hälsa (sjukfrånvaro) och kan visa medlemskap i fackförening (fackavgift som löneavdrag). Kunden behandlar dem för att fullgöra sina skyldigheter som arbetsgivare (art. 9.2 b och 3 kap. 2 § dataskyddslagen). Tjänsten frågar aldrig efter diagnoser. Lönebesked skickas som personliga länkar, aldrig som bilagor i e-post. Kunden ska inte registrera andra känsliga personuppgifter eller uppgifter om lagöverträdelser i fritextfält.

Biträdet säkerställer att de som har behörighet att behandla personuppgifterna har åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt, och att åtkomst ges bara till den som behöver den för att fullgöra Biträdets åtaganden, till exempel för att lösa ett supportärende som Kunden har öppnat.

AI. AI-funktionerna körs inom EU via Amazon Bedrock. Underlag och bokföringsdata skickas dit endast för den uppgift som ska utföras, lagras inte där efter anropet och används inte för att träna modeller. AI-förslag bokförs inte utan att Kunden, eller en agent som Kunden själv har kopplat, godkänner dem. Kunden kan stänga av AI-funktionerna i Tjänsten; då skickas inget av Kundens innehåll till AI-tjänsten.

Gemensam motpartskatalog. När minst två företag oberoende av varandra har tolkat samma banktext som samma motpart av typen handlare, myndighet, bank eller betalväxel, för Biträdet in motpartens namn och typ i en katalog som förbättrar tolkningen för alla kunder. Katalogen innehåller inte vilka företag tolkningen kom från och aldrig privatpersoner. Kunden kan stänga av sin medverkan i Tjänsten.

Anonymiserad statistik. Kunden ger Biträdet i uppdrag att ta fram anonymiserad statistik om hur konteringsförslag stämmer: föreslaget och bokfört BAS-konto och modellens säkerhet, utan företags-ID, belopp eller fritext. Resultatet är inte personuppgifter. Biträdet använder inte Kundens bokföring i utvärderingskörningar eller för att träna modeller, om inte Kunden har slagit på Bidra med innehåll i Tjänsten eller har ett separat skriftligt avtal med Biträdet om det. För sådan användning är Biträdet personuppgiftsansvarigt; Biträdet tar bort personnummer innan uppgifterna används, behandlar dem inom EU och slutar använda dem när Kunden stänger av funktionen.

Kunden ger Biträdet ett allmänt förhandsgodkännande att anlita underbiträden. Den aktuella förteckningen över underbiträden med namn, ändamål, plats och skyddsmekanism är en del av detta avtal.

Biträdet meddelar Kunden via e-post minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden kan invända inom den tiden. Kan parterna inte enas har Kunden rätt att säga upp avtalet utan kostnad innan ändringen börjar gälla, och att exportera sina uppgifter enligt punkt 13.

Biträdet ålägger varje underbiträde samma dataskyddsskyldigheter som i detta avtal genom skriftligt avtal, och förblir fullt ansvarigt gentemot Kunden för underbiträdets fullgörande.

Mottagare som Kunden själv väljer är inte underbiträden: Skatteverket, Bolagsverket och Kundens bank, liksom tjänster Kunden kopplar med egna konton (till exempel Google Drive, Dropbox, Gmail, Stripe, Shopify, WooCommerce, Zettle eller ett tidigare bokföringsprogram) och Kundens egna AI-agenter. Biträdet lämnar eller hämtar uppgifter till och från dem endast enligt Kundens instruktion.

Inkasso- och utskicksföretag som Kunden aktiverar. Kunden kan i Tjänsten aktivera ett inkasso- och utskicksföretag för utskick av fakturor och för påminnelser och inkasso. Företaget anlitas inte av Biträdet och är inte Biträdets underbiträde: Kunden ingår själv avtal med företaget när kopplingen aktiveras, och de villkor och, i förekommande fall, det personuppgiftsbiträdesavtal som Kunden då godkänner anger om företaget behandlar uppgifterna som självständigt personuppgiftsansvarig eller som Kundens personuppgiftsbiträde. Det företag som Kunden i dag kan aktivera är Kravia AB (org.nr 556564-1106), för påminnelser och inkasso; enligt bolagets integritetspolicy är Kravia AB personuppgiftsansvarig för den behandling bolaget utför i sin inkassoverksamhet. Kundens aktivering och val enligt nedan utgör dokumenterade instruktioner enligt punkt 2, och Biträdet lämnar uppgifter till företaget endast enligt dem:

• När Kunden skickar in ansökan, godkänner villkoren och låter avtalet signeras: Kundens företagsuppgifter, kontaktuppgifter och utbetalningskonto, svar på frågor om kundkännedom, namnet på den som godkänner villkoren, firmatecknarens e-post om signeringslänken ska skickas dit och, för en enskild firma, ägarens personnummer.
• När Kunden skickar en faktura via företaget, lämnar över den till påminnelse eller inkasso, ställer in ett återkommande fakturaschema att skicka via företaget eller godkänner en sammanställd omgång: fakturan med de betalningar och krediteringar som redan finns på den, och uppgifter om kunden (namn, postadress, e-post och telefonnummer när de finns, samt organisationsnummer eller, för privatpersoner, personnummer).
• När Kunden väljer en utskickskanal för en kund: kundens organisationsnummer eller personnummer, för att kontrollera att kunden kan nås i den kanalen.
• Så länge företaget har ett öppet ärende för en faktura: betalningar och kreditfakturor som avser fakturan, och Kundens åtgärder i ärendet, till exempel paus, återkallelse eller bestridande, med eventuellt meddelande från Kunden. Om en rapporterad betalning senare tas bort eller ändras meddelas det också, även efter att ärendet har avslutats. Ärendets status, händelser och avräkningar hämtas tillbaka till Tjänsten.

Inga uppgifter lämnas till företaget innan Kunden har godkänt företagets villkor och skickat in ansökan om aktivering.

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, med hänsyn till att bokföring och löner innehåller ekonomiska uppgifter, personnummer och känsliga personuppgifter. Åtgärderna beskrivs i bilaga B.

Biträdet bistår Kunden, genom lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, så att Kunden kan besvara begäranden om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. Tjänsten har export (SIE4, JSON, CSV) och rättelse och radering av register som stöd. Riktar en registrerad sin begäran direkt till Biträdet vidarebefordrar Biträdet den till Kunden utan onödigt dröjsmål och besvarar den inte själv.

Biträdet underrättar Kunden utan onödigt dröjsmål och senast 24 timmar efter att Biträdet upptäckt en personuppgiftsincident som rör Kundens uppgifter. Underrättelsen innehåller, så långt det är känt: vad som hänt, vilka kategorier och ungefär hur många registrerade och poster som berörs, sannolika konsekvenser, vidtagna och föreslagna åtgärder, samt kontaktperson hos Biträdet. Information som inte finns direkt lämnas så snart den finns. Biträdet bistår Kunden med anmälan till Integritetsskyddsmyndigheten (art. 33) och med information till de registrerade (art. 34).

Biträdet bistår Kunden vid konsekvensbedömningar (art. 35) och förhandssamråd med Integritetsskyddsmyndigheten (art. 36) med den information Biträdet har om sin behandling, bland annat en beskrivning av Tjänsten, dess säkerhetsåtgärder och underbiträden.

Biträdet ger Kunden den information som behövs för att visa att skyldigheterna i artikel 28 uppfylls, och möjliggör och bidrar till granskningar, inklusive inspektioner, som Kunden eller en oberoende granskare som Kunden utsett genomför. Granskning aviseras minst 30 dagar i förväg, sker under kontorstid utan att i onödan störa verksamheten och bekostas av Kunden. Biträdet får i första hand erbjuda skriftlig dokumentation eller en tredjepartsgranskning.

Databas, inloggning och uppladdade filer lagras i Sverige (Stockholm), och Tjänstens serverfunktioner körs i samma region. Räkenskapsinformation som förvaras i Tjänsten förvaras därmed i Sverige (7 kap. 2 § bokföringslagen). AI-anropen behandlas inom EU och innebär ingen lagring utanför Sverige. Där ett underbiträde överför uppgifter till tredje land framgår skyddsmekanismen av förteckningen över underbiträden, och Biträdet tillhandahåller dokumentation om varje överföring på begäran.

Kunden kan när som helst exportera bokföringen (SIE4 och fullständigt arkiv med underlag) och register (CSV). Biträdet hindrar aldrig export, inte heller vid obetalda avgifter.

När avtalet upphör väljer Kunden mellan att Biträdet:

• bevarar räkenskapsinformationen skrivskyddad och exporterbar under bokföringslagens lagringstid och därefter raderar den, vilket gäller om Kunden inte väljer annat; eller
• raderar övriga uppgifter senast 30 dagar efter Kundens skriftliga begäran till support@accounted.se, efter att Kunden har exporterat det Kunden behöver.

Skyldigheten att bevara räkenskapsinformation i sju år enligt bokföringslagen ligger på Kunden. Tjänstens skydd för bokförda verifikationer och deras underlag medger inte att de raderas före lagringstidens slut; vill Kunden ändå att Biträdet raderar dem tidigare, efter att Kunden själv har ordnat bevarandet, sker det efter särskild överenskommelse. Säkerhetskopior skrivs över enligt sin egen cykel och används endast för katastrofåterställning.

Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Biträdets ansvar regleras av ansvarsbegränsningen i användarvillkoren; sanktionsavgifter som en tillsynsmyndighet beslutar bärs av den part som avgiften gäller. Kontakt i dataskyddsfrågor: support@accounted.se.

• Inloggning: e-post och lösenord (lagras endast som saltad hash) med tvåfaktorsautentisering via TOTP, eller BankID. Automatisk utloggning efter inaktivitet kan slås på per användare.
• Åtkomstkontroll: Row Level Security i databasen avgränsar varje företags data till dess medlemmar och deras roller. API-nycklar lagras endast som SHA-256-hash och har avgränsade behörigheter.
• Kryptering: TLS för all trafik och AES-256 i vila. Personnummer i person- och kundregistren och åtkomstnycklar till banker och andra tjänster krypteras dessutom i applikationen med AES-256-GCM.
• Bokföringens integritet: databasutlösare hindrar ändring och radering av bokförda verifikationer, verifikationsnummer tilldelas i obruten följd, rättelser loggas med vem och när, och dokument får SHA-256-kontrollsummor.
• Säkerhetskopiering: automatiska dagliga säkerhetskopior av databasen.
• Missbruksskydd: begränsning av antalet anrop per IP-adress, användare och API-nyckel.
• Loggning och incidenter: loggning av inloggning och behörighetsfel, revisionslogg för bokföringshändelser och en dokumenterad incidentrutin.
• Personal: åtkomst till produktionsmiljön endast för behörig personal med sekretessåtagande.