Personuppgifts­biträdesavtal

1. Parter och roller

Du (kunden) är personuppgiftsansvarig för de personuppgifter som finns i ditt bokföringsmaterial. Chronyx AB, org.nr 559594-0064 (”Qvitter”), är personuppgiftsbiträde och behandlar uppgifterna endast för att leverera tjänsten enligt dina instruktioner. De leverantörer som anges i bilagan är underbiträden.

2. Föremål, varaktighet och art

Behandlingen avser automatiserad inläsning och bokföring av kvitton, fakturor och liknande underlag samt lagring av dessa. För företag med anställda omfattar behandlingen även lönehantering, det vill säga löneberäkning, lönebesked och arbetsgivardeklaration (AGI). Behandlingen pågår så länge avtalet gäller, med den arkivering efteråt som lagen kräver (punkt 9).

Qvitter förbättrar också tjänstens avläsning och bokföringsförslag med hjälp av underlag och rättelser, enligt Användarvillkoren punkt 6. Det som bara gäller ditt företag, till exempel att tjänsten lär sig hur dina leverantörer ska bokföras, görs för din räkning enligt detta avtal. När underlagen används för att förbättra tjänsten även för andra kunder är Qvitter i stället själv personuppgiftsansvarig för den användningen, och den beskrivs i vår Integritetspolicy. Personuppgifter tas bort eller begränsas så långt det går innan underlagen används på det sättet, och underlag som hämtats ur ett anslutet Gmail-konto används aldrig så.

3. Kategorier av registrerade och uppgifter

• Registrerade: personer som förekommer i kundens underlag, t.ex. leverantörers och kunders kontaktpersoner, anställda, och kundens företrädare.
• Uppgifter i bokföringsmaterial: namn, kontakt- och betalningsuppgifter, belopp och transaktionsuppgifter samt annat som framgår av underlagen.
• Uppgifter vid lönehantering: anställdas namn, personnummer, adress, bankkontonummer, löne- och anställningsvillkor, arbetad tid och frånvaro. Uppgift om sjukfrånvaro kan utgöra en hälsouppgift (känslig personuppgift enligt art. 9) och behandlas endast i den utsträckning som krävs för att beräkna sjuklön och lämna korrekt arbetsgivardeklaration.

4. Lön-operatörsåtkomst (hjälp med lön)

Om en lönekörning fastnar kan behörig, särskilt utsedd Qvitter-personal, på din begäran och för din räkning, hjälpa till att köra om eller rätta den. Åtkomsten är grindad (bara utvald personal, avstängd som standard) och loggad: varje gång någon öppnar ett företags lönekörning registreras vem, vilket företag och när. Personalen bokför aldrig åt dig (du godkänner själv) och ser inte mer än vad som behövs för att lösa körningen. Fullständiga personnummer, adress och bankkonto ligger kvar bakom din egen lön-behörighet.

5. Qvitters skyldigheter

• Behandlar uppgifter endast enligt dina dokumenterade instruktioner (detta avtal och tjänstens användning), även när det gäller överföring till tredjeland. Kräver lag inom EU eller Sverige att vi behandlar uppgifterna på annat sätt informerar vi dig om det innan, om inte lagen förbjuder det.
• Informerar dig omedelbart om vi anser att en instruktion strider mot dataskyddsreglerna.
• Ser till att personer med åtkomst har tystnadsplikt.
• Vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder (art. 32).
• Bistår dig, i rimlig mån, med att svara på registrerades förfrågningar och med säkerhet, konsekvensbedömningar och incidenthantering.
• Anmäler personuppgiftsincidenter till dig utan onödigt dröjsmål efter att vi fått kännedom om dem.

6. Säkerhetsåtgärder

Åtkomstkontroll och behörighetsstyrning, kryptering av särskilt känsliga uppgifter i vila (t.ex. personnummer och bankkonto i personalregistret), krypterad överföring, loggning och spårbarhet, samt säkerhetskopiering. Åtgärderna ses över löpande.

7. Underbiträden

Du godkänner att Qvitter anlitar de underbiträden som anges i bilagan. Varje underbiträde är bundet av minst samma skyldigheter som i detta avtal. Fullgör ett underbiträde inte sina skyldigheter ansvarar Qvitter fullt ut mot dig för underbiträdets åtaganden. Vi informerar dig i förväg om planerade byten eller tillägg, så att du kan invända.

8. Överföring till tredjeland

Behandlingen sker som huvudregel inom EU/EES. Undantagen står i bilagan. Överföring utanför EU/EES sker endast med giltig rättslig grund och skyddsåtgärder (t.ex. EU-kommissionens standardavtalsklausuler).

9. Radering och återlämnande

När avtalet upphör raderar eller återlämnar vi personuppgifterna enligt ditt val, utom räkenskapsinformation (inklusive löneunderlag) som du enligt bokföringslagen måste bevara (normalt sju år). Den fortsätter vi att förvara för din räkning under den tiden, om du inte väljer att ta över förvaringen själv. Du kan när som helst exportera ditt material i ett vanligt format.

10. Granskning

Vi ger dig den information som rimligen behövs för att visa att skyldigheterna i art. 28 uppfylls, och möjliggör granskning i rimlig omfattning.

11. Förhållande till övriga villkor

Vid konflikt om behandling av personuppgifter gäller detta avtal före Användarvillkoren. Se även vår Integritetspolicy.

12. Din egen AI-tjänst (AI-koppling)

Du kan själv koppla in en AI-tjänst som du väljer, till exempel Claude från Anthropic eller ChatGPT från OpenAI, så att den kan läsa och sköta din bokföring i Qvitter åt dig. När du gör det instruerar du oss att lämna ut uppgifter till den tjänsten och att utföra det den ber om, inom den nivå du har valt (Bara läsa, Vardagssysslor eller Allt).

• AI-tjänsten är inte vårt underbiträde. Den är en mottagare som du själv har valt, och ditt avtal med leverantören av AI-tjänsten styr hur den hanterar uppgifterna, även om den behandlar dem utanför EU/EES. Punkt 7 och 8 gäller alltså inte för den.
• AI-tjänsten får bara det den frågar efter, och kan inte göra mer än den person som kopplade in den. Lönehantering och anställdas uppgifter lämnas aldrig ut till en AI-tjänst, och fält med personnummer döljs.
• Riskåtgärder, som att godkänna bokföring, skicka fakturor eller stänga en momsperiod, utförs först när du har godkänt dem, i Qvitter eller i chatten beroende på vald nivå. Det som tjänsten gör automatiskt enligt dina inställningar gäller på samma sätt som när du själv laddar upp. Ändringar som görs via en AI-koppling märks i historiken.
• Du kan när som helst ändra nivå eller koppla bort AI-tjänsten under Inställningar. Kopplingen upphör också när personen som kopplade in den inte längre är ägare eller redovisare i företaget.

Qvitter lämnar aldrig ut uppgifter till en AI-tjänst på eget initiativ, och funktionen används inte för något annat ändamål.

Bilaga: förteckning över underbiträden

Förteckningen kan uppdateras. Kontakt: hej@qvitter.se.