Personuppgiftsbiträdesavtal

1. Parter och bakgrund

Detta avtal ingås mellan Kunden (”den personuppgiftsansvarige”) och Boqmo Tech (enskild firma), Postia 1013, 214 13 Malmö, info@boqmo.com (”biträdet”), och utgör en bilaga till användarvillkoren för Boqmo (”huvudavtalet”). Begrepp i detta avtal har samma betydelse som i dataskyddsförordningen. Vid motstridighet mellan detta avtal och huvudavtalet gäller detta avtal i frågor om personuppgifter.

2. Ändamål, art och varaktighet

Biträdet behandlar personuppgifter för den personuppgiftsansvariges räkning i syfte att tillhandahålla tjänsten Boqmo: bokföring, kund- och leverantörsreskontra, fakturering inklusive utskick av fakturor med e-post, rapporter, arkivering av underlag, säkerhetskopiering och support. Behandlingen omfattar insamling, registrering, lagring, sammanställning, utlämnande genom överföring (e-postutskick på den personuppgiftsansvariges begäran), säkerhetskopiering och radering. Behandlingen pågår så länge huvudavtalet gäller och under den exportperiod som följer av avsnitt 13.

3. Kategorier av registrerade och personuppgifter

Registrerade:

• den personuppgiftsansvariges användare av tjänsten (t.ex. anställda, ägare, redovisningskonsulter, revisorer),
• den personuppgiftsansvariges kunder och leverantörer samt deras kontaktpersoner,
• andra personer som förekommer i bokföringen eller underlagen, t.ex. anställda vid lönebokning.

Personuppgifter:

• namn, e-postadress, telefonnummer, postadress och referenser,
• organisationsnummer och, för enskilda näringsidkare bland kunder och leverantörer, personnummer,
• bankuppgifter som bankgiro, plusgiro, IBAN och kontonummer,
• innehållet i fakturor, verifikationer och underlag, inklusive belopp och vad som köpts eller sålts,
• användares inloggnings- och behandlingshistorik (vem som registrerat eller ändrat vad och när).

Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9. Den personuppgiftsansvarige ansvarar för att sådana uppgifter inte förs in i större utsträckning än vad bokföringen kräver.

4. Den personuppgiftsansvariges instruktioner

Biträdet får endast behandla personuppgifterna enligt den personuppgiftsansvariges dokumenterade instruktioner. Huvudavtalet, detta avtal och den personuppgiftsansvariges användning av tjänstens funktioner utgör de fullständiga instruktionerna. Biträdet ska omedelbart informera den personuppgiftsansvarige om en instruktion enligt biträdets mening strider mot dataskyddsförordningen eller annan dataskyddslagstiftning. Biträdet får inte behandla personuppgifterna för egna ändamål.

5. Sekretess

Biträdet ska säkerställa att personer som är behöriga att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt, och att endast personer som behöver tillgång för att utföra sina arbetsuppgifter får sådan tillgång.

6. Säkerhetsåtgärder (artikel 32)

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat:

• Kryptering av personuppgifter vid överföring (TLS) och i vila (databas, lagring av underlag och säkerhetskopior).
• Åtkomstkontroll: inloggning med passkey med obligatorisk användarverifiering, självregistrering endast med verifierad e-postadress, behörighet per organisation och per bolag samt läsbehörighet som eget alternativ.
• Isolering mellan kunder i databasen (row-level security), utöver kontrollerna i applikationen.
• Oföränderlighet och spårbarhet: bokförda verifikationer, underlag och behandlingshistorik kan inte ändras eller raderas, och registreringar och ändringar loggas med användare och tidpunkt.
• Säkerhetskopior dagligen med flera veckors lagring, samt versionshantering av lagrade underlag.
• Driftmiljö hos Amazon Web Services i Stockholm (eu-north-1), med databasen i ett nätverk utan direkt åtkomst från internet.
• Begränsad personalåtkomst: biträdets personal har ingen löpande åtkomst till den personuppgiftsansvariges bokföring, utöver supportåtkomst enligt avsnitt 11.

7. Underbiträden

Den personuppgiftsansvarige ger biträdet ett allmänt förhandstillstånd att anlita följande underbiträden:

Biträdet ska informera den personuppgiftsansvarige minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Den personuppgiftsansvarige har rätt att invända mot ändringen; om parterna inte kommer överens har den personuppgiftsansvarige rätt att säga upp huvudavtalet till dagen för ändringen. Biträdet ska ingå skriftligt avtal med varje underbiträde som ålägger underbiträdet motsvarande skyldigheter som enligt detta avtal, och ansvarar gentemot den personuppgiftsansvarige för underbiträdets fullgörande.

8. Överföring till tredje land

Personuppgifterna i tjänsten behandlas och lagras inom EU/EES (AWS, Stockholm). E-post till supporten hanteras i Google Workspace, där uppgifter kan behandlas i USA med stöd av EU-kommissionens beslut om adekvat skyddsnivå (EU–US Data Privacy Framework). Om ett underbiträde i övrigt skulle behöva behandla personuppgifter utanför EU/EES, till exempel vid support från moderbolag, sker det endast med stöd av ett giltigt överföringsverktyg enligt kapitel V i dataskyddsförordningen, såsom EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå.

9. Bistånd vid de registrerades rättigheter

Biträdet ska, med hänsyn till behandlingens art, bistå den personuppgiftsansvarige med lämpliga tekniska och organisatoriska åtgärder så att den personuppgiftsansvarige kan fullgöra sina skyldigheter att besvara begäranden om utövande av de registrerades rättigheter. Tjänsten gör det möjligt för den personuppgiftsansvarige att själv söka fram, exportera och rätta uppgifter. Observera att bokförda uppgifter inte kan raderas under den tid de ska bevaras enligt bokföringslagen. Begäranden som riktas direkt till biträdet vidarebefordras till den personuppgiftsansvarige utan onödigt dröjsmål.

10. Personuppgiftsincidenter

Biträdet ska underrätta den personuppgiftsansvarige om en personuppgiftsincident utan onödigt dröjsmål och senast 36 timmar efter att biträdet fått kännedom om den, så att den personuppgiftsansvarige kan fullgöra sin anmälningsskyldighet till Integritetsskyddsmyndigheten. Underrättelsen ska i den mån det är möjligt beskriva incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, troliga konsekvenser samt vidtagna och föreslagna åtgärder. Biträdet ska dokumentera incidenten och bistå med ytterligare information i takt med att den blir tillgänglig.

11. Supportåtkomst

För att kunna hjälpa till i ett supportärende kan biträdets personal öppna en tidsbegränsad läsåtkomst till den personuppgiftsansvariges organisation. Åtkomsten gäller i högst två (2) timmar, ger endast läsbehörighet, kräver att en anledning anges och loggas i behandlingshistoriken för den personuppgiftsansvariges bolag med tidpunkt, person och anledning. Supportåtkomsten används endast för att utföra det aktuella ärendet.

12. Granskning och revision

Biträdet ska ge den personuppgiftsansvarige tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 har fullgjorts, och möjliggöra och bidra till granskningar, inklusive inspektioner, som genomförs av den personuppgiftsansvarige eller av en oberoende granskare som den personuppgiftsansvarige utsett. Granskning ska aviseras minst 30 dagar i förväg, genomföras under normal arbetstid och inte avse andra kunders uppgifter. Den personuppgiftsansvarige står för sina egna kostnader för granskningen.

13. Radering och återlämnande

Den personuppgiftsansvarige kan när som helst under avtalstiden exportera sina uppgifter (SIE4-export samt nedladdning av underlag och fakturor). Efter huvudavtalets upphörande finns uppgifterna kvar för export i 90 dagar. Därefter raderar biträdet personuppgifterna, med undantag för uppgifter i säkerhetskopior, som skrivs över enligt ordinarie rutin inom 35 dagar, och uppgifter som biträdet är skyldigt att bevara enligt lag. Den personuppgiftsansvarige ansvarar själv för att räkenskapsinformation bevaras i sju (7) år enligt bokföringslagen.

14. Ansvar

Vardera parten ansvarar för skada som den orsakar i strid med detta avtal eller dataskyddsförordningen, enligt artikel 82. Ansvarsbegränsningen i huvudavtalet gäller även för detta avtal, med undantag för administrativa sanktionsavgifter och skadestånd till registrerade som orsakats av att biträdet behandlat uppgifter i strid med den personuppgiftsansvariges instruktioner.

15. Giltighetstid

Avtalet gäller så länge biträdet behandlar personuppgifter för den personuppgiftsansvariges räkning enligt huvudavtalet, och därefter tills uppgifterna raderats eller återlämnats enligt avsnitt 13. Ändringar av detta avtal sker enligt reglerna för ändring av huvudavtalet.