Personuppgiftsbiträdesavtal

1. Parter och roller

Avtalet gäller mellan den juridiska person som använder Underlagskollen (”Kunden”), som är personuppgiftsansvarig, och Affiliated Group AB (”Biträdet”), som är personuppgiftsbiträde.

Har Kunden gett en redovisningsbyrå åtkomst får byrån använda tjänsten för Kundens räkning inom den åtkomst Kunden har gett. För uppgifter om en byrås egna användare och byråns eget konto är byrån personuppgiftsansvarig och detta avtal gäller på motsvarande sätt.

2. Ändamål och behandlingens art

Biträdet behandlar personuppgifter enbart för att leverera tjänsten: identifiera verifikationer som saknar underlag i Kundens affärssystem, samla in, tolka och matcha underlag, bifoga godkända underlag i affärssystemet, skicka påminnelser, hantera användare och behörigheter samt ge support.

3. Registrerade och kategorier av uppgifter

• Registrerade: Kundens användare (anställda, konsulter och byråpersonal som arbetar för Kunden), kontaktpersoner hos leverantörer och andra motparter samt personer som förekommer i underlag, till exempel på kvitton och fakturor.
• Uppgifter: namn, e-postadress, telefonnummer, roll och behörighet, inloggnings- och logguppgifter, uppgifter i verifikationer och underlag (leverantör, belopp, datum, kontaktuppgifter) samt övrigt innehåll i kvitton, fakturor och mejl som Kunden skickar till tjänsten.
• Tjänsten är inte avsedd för känsliga personuppgifter. Kunden ska undvika att föra in sådana uppgifter.

4. Behandling enligt instruktion

• Biträdet behandlar personuppgifterna enbart enligt Kundens dokumenterade instruktioner. Instruktionerna utgörs av Användarvillkoren, detta avtal och de inställningar som Kunden gör i tjänsten.
• Biträdet informerar Kunden utan dröjsmål om en instruktion enligt Biträdets bedömning strider mot dataskyddsreglerna.
• Kräver lag att Biträdet behandlar uppgifterna på annat sätt informerar Biträdet Kunden om det innan behandlingen sker, om lagen inte förbjuder det.
• Personuppgifterna används inte för att träna AI-modeller och säljs eller lämnas aldrig ut för andra ändamål.

5. Sekretess

Endast personer som behöver uppgifterna för att leverera tjänsten har åtkomst till dem, och de omfattas av tystnadsplikt. När Biträdets support öppnar ett företag loggas det i en logg som inte kan ändras i efterhand.

6. Säkerhet

Biträdet vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i dataskyddsförordningen, bland annat kryptering, isolering av data per företag, tvåstegsverifiering och spårloggar. Åtgärderna beskrivs i säkerhetspolicyn på underlagskollen.se/sakerhet.

7. Underbiträden

• Kunden ger Biträdet ett allmänt förhandstillstånd att anlita underbiträden. Aktuella underbiträden anges i säkerhetspolicyn på underlagskollen.se/sakerhet.
• Biträdet informerar Kunden i förväg om planerade byten eller tillägg av underbiträden. Kunden får invända på sakliga grunder inom trettio dagar. Kan parterna inte enas får Kunden säga upp avtalet i den del som berörs.
• Biträdet ingår avtal med varje underbiträde med motsvarande skyldigheter som i detta avtal och ansvarar mot Kunden för underbiträdets behandling.

8. Överföring till tredje land

Kundens uppgifter lagras inom EU/EES. Behandling hos ett underbiträde utanför EU/EES sker endast med stöd av ett beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler, kompletterade med ytterligare skyddsåtgärder när det behövs.

9. Bistånd till Kunden

Biträdet hjälper Kunden, i skälig omfattning och med hänsyn till behandlingens art, att besvara begäranden från registrerade som vill utöva sina rättigheter samt med konsekvensbedömningar och förhandssamråd. Får Biträdet en begäran direkt från en registrerad hänvisas den till Kunden.

10. Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar efter att en personuppgiftsincident har upptäckts. Underrättelsen innehåller de uppgifter som Kunden behöver för att kunna anmäla incidenten till Integritetsskyddsmyndigheten, i den mån de är kända.

11. Radering och återlämnande

• När avtalet upphör kan Kunden exportera sina data. Därefter raderas eller anonymiseras uppgifterna inom nittio dagar, med undantag för det som lag kräver att Biträdet behåller.
• Underlag som har bifogats i Kundens affärssystem finns kvar där. Arkiveringen enligt bokföringslagen är Kundens ansvar och sker i Kundens eget affärssystem, inte hos Biträdet.

12. Revision

Biträdet ger Kunden den information som behövs för att visa att avtalet följs. Kunden får, efter skriftlig begäran med minst trettio dagars varsel, låta granska efterlevnaden genom en oberoende revisor med tystnadsplikt, högst en gång per år om inte en incident eller en myndighet motiverar annat. Kunden står för sina egna kostnader för granskningen.

13. Ansvar

Ansvar för skada till följd av behandlingen regleras i artikel 82 i dataskyddsförordningen. I övrigt gäller ansvarsbegränsningen i Användarvillkoren, i den mån lag tillåter.

14. Giltighet

Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Vid motstridighet med Användarvillkoren går detta avtal före i frågor om personuppgifter. Svensk lag tillämpas och tvist avgörs enligt Användarvillkoren.