Personuppgiftsbiträdesavtal

Version 1.3, gäller från 2026-10-09. Bilaga 1 till Allmänna villkor. Ändringar sedan 1.2: Min lön, där de anställda Kunden bjuder in ser sina egna lönespecifikationer och skickar in frånvaro, tid och kontaktuppgifter (punkt 2).

1. Parter och bakgrund

1.1 Avtalet gäller mellan Kunden, som är personuppgiftsansvarig, och bokslut.digital AB, org.nr 556940-5789, som är personuppgiftsbiträde.

1.2 Avtalet gäller när vi behandlar personuppgifter i Kunddata för Kundens räkning, i Tjänsten eller i Bokföringstjänsten. Det uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR).

1.3 När en Byrå är Kund för en Klients Bolagsinstans är Byrån personuppgiftsansvarig i förhållande till oss.

2. Behandlingen

Ändamål: att tillhandahålla Tjänsten och Bokföringstjänsten. Det innebär att läsa in, föra, lagra och visa bokföring, ta emot underlag som mejlas in, läsa bolagets banktransaktioner och skicka betalningar som Kunden godkänner i sin bank, ta fram bokslut, årsredovisning, deklarationer, momsdeklarationer och K10, skicka rapporter till de mottagare Kunden väljer, samt föra löner (lönekörningar, frånvaro, semester, lönespecifikationer som mejlas till de anställda och arbetsgivardeklaration som fil, och Min lön, där anställda som Kunden bjuder in ser sina egna lönespecifikationer och sin semester och skickar in frånvaro, tid och kontaktuppgifter som Kunden godkänner), fakturera Kundens kunder (fakturor och påminnelser som mejlas eller skrivs ut, och underlag för ROT och RUT), samt hantera granskning, kommentarer, godkännanden och underlag. Ändamålet omfattar också support, säkerhet, felsökning och säkerhetskopiering.

Kategorier av registrerade:

Kundens företrädare
styrelseledamöter och VD
aktieägare
anställda, och personer som anställs
kunder och leverantörer som förekommer i bokföringen
kunder som Kunden fakturerar, även privatpersoner, och köpare vid ROT och RUT
revisorer
Användare som Kunden bjudit in
mottagare av rapporter som Kunden skickar, till exempel styrelse och bank
avsändare av underlag som mejlas in

Kategorier av personuppgifter:

namn
kontaktuppgifter
roller i bolaget
aktieinnehav
uppgifter i bokföring och underlag, till exempel verifikationstexter, fakturor och kvitton
lönesummor och ersättningar som underlag för K10
för anställda: personnummer, adress, e-post, bankkonto, anställning, lön, skattetabell och jämkning, arbetstid, frånvaro, semester, utlägg, lönespecifikationer och arbetsgivardeklarationer
för kunder som faktureras: namn, adress, e-post, och för ROT och RUT personnummer, andel och fastighetsbeteckning eller bostadsrättsförening och lägenhetsnummer
när en faktura eller rapport har levererats och öppnats
kommentarer
banktransaktioner och betalningsuppgifter, till exempel motpart, belopp och meddelande
e-postadresser och innehåll i mejl som skickas till bolagets adress för underlag
inloggnings- och loggdata kopplade till Kunddata

Känsliga uppgifter och personnummer: Lönerna behandlar uppgift om sjukfrånvaro, som är en uppgift om hälsa (artikel 9). Vi sparar bara att frånvaron är sjukfrånvaro och vilka dagar den gäller, aldrig orsaken, och bara de som sköter bolagets löner ser den. I övrigt är Tjänsten inte gjord för känsliga personuppgifter. Underlag som Kunden laddar upp kan ändå innehålla sådana, och Kunden ansvarar för att bara ladda upp det som behövs. Personnummer och bankkonton för anställda, och personnummer för ROT och RUT, sparas krypterade (se punkt 4). Personnummer som anges för K10-filen används bara för att skapa filen och sparas inte.

Varaktighet: så länge avtalet gäller och därefter enligt punkt 9.

3. Instruktioner

3.1 Vi behandlar personuppgifterna bara enligt Kundens dokumenterade instruktioner. Avtalet och Kundens användning av Tjänstens funktioner utgör instruktionerna.

3.2 Vi använder inte personuppgifterna för egna ändamål, och inte för marknadsföring. Det enda undantaget är utveckling och träning av AI-funktioner i Tjänsten enligt de allmänna villkoren 9.2. För den behandlingen är vi personuppgiftsansvariga. Uppgifterna avidentifieras eller pseudonymiseras så långt det är möjligt, och Kunden kan avböja.

3.3 Om vi anser att en instruktion strider mot dataskyddsreglerna informerar vi Kunden utan dröjsmål.

3.4 Om lag kräver att vi lämnar ut uppgifter till en myndighet informerar vi Kunden först, om det är tillåtet.

4. Säkerhet

Vi vidtar tekniska och organisatoriska åtgärder enligt artikel 32. Exempel:

Lagring: data lagras i Sverige hos Google Cloud (region europe-north2, Stockholm).
Kryptering: data krypteras under överföring (TLS) och i lagring. Personnummer och bankkonton krypteras dessutom i Tjänsten (AES-256) innan de sparas, med en nyckel som förvaras i Google Secret Manager, och visas maskerade för den som inte sköter lönerna.
Åtkomst: behörighetsstyrning per bolag och roll. Våra system kommer åt databasen med tjänstekonton, och personal har åtkomst bara när det behövs.
Inloggning: engångskoder och säkra sessionscookies.
Uppladdade filer visas isolerat så att de inte kan köra kod.
Loggning: viktiga händelser loggas, till exempel inloggning, ändringar, export och låsning.
Säkerhetskopior: databasen säkerhetskopieras och kan återställas till en tidpunkt.

5. Sekretess

Personal som behandlar personuppgifterna har tystnadsplikt och får bara den åtkomst som behövs för uppgiften.

6. Underbiträden

6.1 Kunden ger ett allmänt godkännande till att vi anlitar underbiträden. I dag anlitar vi:

Underbiträde	Vad	Var data behandlas
Google Cloud EMEA Ltd (Irland)	Drift, databas, fillagring, säkerhetskopior	Sverige (europe-north2)
Mailgun Technologies Inc. (Sinch)	Utskick av e-post (inloggningskoder, notifikationer, rapporter, lönespecifikationer till anställda, fakturor och påminnelser till Kundens kunder, med uppgift om leverans och öppning) och mottagning av underlag som mejlas in	EU-region. Bolaget är amerikanskt, se 6.3
Enable Banking Oy (Finland)	Bankkoppling: läsa saldon och transaktioner med Kundens medgivande, och skicka betalningar som Kunden godkänner i sin bank	EU

6.2 Vi informerar Kunden minst 30 dagar innan vi byter eller lägger till ett underbiträde. Kunden kan invända av sakliga skäl. Om vi inte kan lösa invändningen får Kunden säga upp avtalet utan kostnad.

6.3 Utanför EU/EES: vi överför personuppgifter dit bara om det finns stöd i kapitel V i GDPR, till exempel EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå.

6.4 Vi ansvarar för att underbiträden har avtal med samma skyldigheter som detta avtal.

7. Personuppgiftsincidenter

Vi underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar efter att vi fått kännedom om en personuppgiftsincident som rör Kunddata. Underrättelsen innehåller de uppgifter som anges i artikel 33.3, så långt de är kända. Vi hjälper Kunden att anmäla till Integritetsskyddsmyndigheten och informera de registrerade.

8. Bistånd och revision

8.1 Vi hjälper Kunden att besvara begäranden från registrerade, till exempel om tillgång, rättelse eller radering, och att fullgöra skyldigheterna i artiklarna 32–36.

8.2 Kunden har rätt att kontrollera att avtalet följs. Det sker i första hand genom att vi lämnar skriftlig information. Granskning på plats sker högst en gång per år med 30 dagars varsel, på Kundens bekostnad, om inte granskningen visar brister hos oss.

9. När avtalet upphör

Kunden kan exportera sin data före avslut och i 90 dagar efter (se allmänna villkor 15.4). Därefter raderar vi personuppgifterna inom 30 dagar, om inte lag kräver att vi sparar dem. I säkerhetskopior raderas de när kopiorna roteras, senast inom 35 dagar. På begäran bekräftar vi raderingen skriftligen.

10. Ansvar

Varje part ansvarar för skada enligt artikel 82 i dataskyddsförordningen. I övrigt gäller ansvarsbegränsningen i de allmänna villkoren. Sanktionsavgifter som en tillsynsmyndighet beslutar om bärs av den part de riktas mot.

11. Giltighet

Avtalet gäller så länge vi behandlar personuppgifter för Kundens räkning. Ändringar görs enligt de allmänna villkoren, punkt 16.

Personuppgiftsbiträdesavtal.