Personuppgiftsbiträdesavtal.

1. Parter

Detta avtal gäller mellan Amit Raab Andersson, enskild firma, som tillhandahåller tjänsten Fiskal (”Personuppgiftsbiträdet”), och varje kund som har ett konto i Fiskal (”Personuppgiftsansvarig”). Avtalet är ett standardavtal som gäller lika för alla kunder och ingås utan underskrift, se punkt 7.

2. Bakgrund och syfte

Den Personuppgiftsansvarige använder Fiskal, en webbtjänst för bokföring, fakturering, moms och deklarationsunderlag. När Personuppgiftsbiträdet tillhandahåller tjänsten behandlar det personuppgifter för den Personuppgiftsansvariges räkning, till exempel uppgifter om dennes kunder och leverantörer i kvitton, fakturor och kontoutdrag.

Avtalet reglerar den behandlingen enligt artikel 28 i dataskyddsförordningen (EU) 2016/679 (”GDPR”). Det gäller som tillägg till Fiskals användarvillkor. Vid motstridighet gäller detta avtal i frågor om personuppgifter.

Avtalet omfattar inte uppgifter som Fiskal behandlar som egen personuppgiftsansvarig, såsom den Personuppgiftsansvariges egna kontouppgifter, inloggning och besöksstatistik. Den behandlingen beskrivs i Fiskals integritetspolicy.

3. Definitioner och behandlingens omfattning

Begrepp som personuppgift, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident har samma betydelse som i GDPR. ”Underbiträde” är ett annat företag som Personuppgiftsbiträdet anlitar och som behandlar personuppgifter för den Personuppgiftsansvariges räkning.

• Föremål och ändamål: att tillhandahålla Fiskal, det vill säga läsa in, tolka, kategorisera och lagra underlag, matcha betalningar, ta fram fakturor, rapporter och underlag för moms, bokslut och deklaration.
• Behandlingens art: insamling via uppladdning eller, om kunden väljer det, koppling till kundens e-post, samt lagring, AI-stödd tolkning, strukturering, sökning, export och radering.
• Kategorier av registrerade och personuppgifter: se Bilaga 1.
• Varaktighet: så länge den Personuppgiftsansvarige har ett konto i Fiskal, och därefter fram till radering enligt punkt 6.

4. Personuppgiftsbiträdets skyldigheter

1. Instruktioner. Personuppgiftsbiträdet behandlar personuppgifter endast enligt den Personuppgiftsansvariges dokumenterade instruktioner. Instruktionerna består av detta avtal, Bilaga 1 och hur den Personuppgiftsansvarige själv använder tjänsten. Anser Personuppgiftsbiträdet att en instruktion strider mot GDPR meddelar det den Personuppgiftsansvarige utan dröjsmål.
2. Sekretess. Den som har tillgång till personuppgifterna är bunden av tystnadsplikt. I dag har endast Personuppgiftsbiträdets innehavare tillgång till produktionsmiljön.
3. Säkerhet. Personuppgiftsbiträdet vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR. De beskrivs i Bilaga 2.
4. De registrerades rättigheter. Personuppgiftsbiträdet hjälper den Personuppgiftsansvarige att besvara begäran om tillgång, rättelse, radering, begränsning och dataportabilitet. Tjänsten har export och radering av underlag. En begäran som kommer direkt till Personuppgiftsbiträdet vidarebefordras till den Personuppgiftsansvarige.
5. Övrigt bistånd. Personuppgiftsbiträdet bistår med säkerhet, konsekvensbedömning och förhandssamråd enligt artiklarna 32–36 GDPR, med hänsyn till behandlingens art och den information Personuppgiftsbiträdet har.
6. Personuppgiftsincidenter. Personuppgiftsbiträdet underrättar den Personuppgiftsansvarige utan onödigt dröjsmål, och senast inom 48 timmar efter att ha fått kännedom om en incident. Underrättelsen innehåller så långt det går uppgifterna i artikel 33.3 GDPR.
7. Granskning. Personuppgiftsbiträdet lämnar den information som behövs för att visa att avtalet följs. Den Personuppgiftsansvarige får, med 30 dagars varsel och på egen bekostnad, låta granska efterlevnaden högst en gång per år, eller oftare efter en incident.
8. Myndigheter. Begär en myndighet ut personuppgifter informeras den Personuppgiftsansvarige, om det inte är förbjudet enligt lag.
9. Förteckning. Personuppgiftsbiträdet för en förteckning över behandlingen enligt artikel 30.2 GDPR.

5. Underbiträden och överföring till tredje land

1. Godkännande. Den Personuppgiftsansvarige lämnar ett allmänt godkännande till att Personuppgiftsbiträdet anlitar underbiträden. De som anlitas när avtalet ingås anges i Bilaga 3.
2. Ändringar. Personuppgiftsbiträdet meddelar den Personuppgiftsansvarige minst 30 dagar innan ett underbiträde läggs till eller byts ut. Den Personuppgiftsansvarige får inom den tiden invända av sakliga skäl. Kan parterna inte enas får den Personuppgiftsansvarige säga upp tjänsten utan kostnad.
3. Samma skyldigheter. Personuppgiftsbiträdet ser till att varje underbiträde är bundet av skriftliga villkor om dataskydd som motsvarar detta avtal, och ansvarar mot den Personuppgiftsansvarige för underbiträdets behandling.
4. Tredje land. Vissa underbiträden behandlar personuppgifter utanför EU/EES, främst i USA (se Bilaga 3). Sådan överföring sker endast med stöd av kapitel V GDPR: EU-kommissionens beslut om adekvat skyddsnivå för mottagare certifierade enligt EU–US Data Privacy Framework, eller EU-kommissionens standardavtalsklausuler med kompletterande skyddsåtgärder.

6. Avtalstid, radering, ansvar och tillämplig lag

1. Avtalstid. Avtalet gäller från att kunden skapar ett konto i Fiskal och så länge Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning.
2. Radering och återlämnande. När kontot avslutas raderar Personuppgiftsbiträdet personuppgifterna inom 30 dagar, om inte lag kräver att de sparas. Före avslut kan den Personuppgiftsansvarige exportera sitt material. Den Personuppgiftsansvarige ansvarar själv för att spara räkenskapsinformation så länge bokföringslagen kräver.
3. Ansvar. Parternas ansvar gentemot registrerade följer av artikel 82 GDPR. I övrigt gäller ansvarsbegränsningen i Fiskals användarvillkor.
4. Ändringar. Personuppgiftsbiträdet får uppdatera avtalet. Väsentliga ändringar meddelas den Personuppgiftsansvarige per e-post eller i tjänsten minst 30 dagar innan de börjar gälla. Den som inte godtar en ändring kan avsluta kontot utan kostnad. Ändringar i Bilaga 3 görs enligt punkt 5.2.
5. Tillämplig lag och tvister. Svensk lag gäller. Tvister avgörs av allmän domstol.

7. Hur avtalet ingås

Avtalet ingås elektroniskt när kunden skapar ett konto och godkänner Fiskals användarvillkor, som hänvisar till detta avtal. Någon underskrift behövs inte. Avtalet uppfyller därmed kravet i artikel 28.9 GDPR på att avtalet ska vara skriftligt, vilket även omfattar elektronisk form. Den gällande versionen finns alltid på den här sidan.

Vill kunden ha ett eget exemplar med sitt företagsnamn skickas ett på begäran via kontaktformuläret. Avtalet gäller oavsett om det görs.

Bilaga 1 – Instruktion för behandlingen

Personuppgiftsbiträdet behandlar följande uppgifter för att den Personuppgiftsansvarige ska kunna sköta sin bokföring, fakturering, moms och deklaration i Fiskal.

Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9 GDPR, och den Personuppgiftsansvarige ska inte ladda upp sådana i onödan. Underlagen tolkas med hjälp av AI hos underbiträdet Anthropic och används inte för att träna AI-modeller. Var uppgifterna behandlas framgår av Bilaga 3.

Bilaga 2 – Tekniska och organisatoriska säkerhetsåtgärder

• Kryptering vid lagring. Databasen är krypterad, och varje uppladdad fil krypteras med AES-256-GCM. Krypteringsnyckeln förvaras skild från datan.
• Kryptering under överföring. All trafik till och från tjänsten går via HTTPS (TLS).
• Åtskillnad mellan kunder. Varje kontos uppgifter hålls åtskilda, och en användare kommer bara åt sitt eget konto.
• Behörighet. Endast Personuppgiftsbiträdets innehavare har åtkomst till produktionsmiljön. Administrationsverktygen visar namn, e-post och användning, inte innehållet i bokföringen.
• Inloggning. Med Google eller e-post och lösenord. Lösenord sparas endast som saltade scrypt-hashar. Sessioner hålls i en cookie som inte kan läsas av webbsidans skript.
• Minsta behörighet. E-post kopplas bara om kunden själv väljer det, och då med enbart läsbehörighet. Fiskal kopplar inte upp sig mot kundens bank, hanterar aldrig bankinloggningar och kan inte flytta pengar. Kontoutdrag kommer bara in om kunden själv laddar upp dem.
• AI-tolkning. Sker via Anthropics API enligt deras kommersiella villkor, där inskickade uppgifter inte används för att träna modeller.
• Radering. Kunden kan radera enskilda underlag i tjänsten. Ett avslutat konto raderas inom 30 dagar.
• Incidenter. Hanteras och meddelas enligt punkt 4.6.

Bilaga 3 – Godkända underbiträden

Underbiträden när avtalet ingås. Ändringar meddelas enligt punkt 5.2.