Personuppgiftsbiträdesavtal

1. Parter

• Personuppgiftsansvarig ("kunden"): Att fylla i: Att fylla i: kundens företagsnamn, organisationsnummer Att fylla i: Att fylla i: kundens organisationsnummer, Att fylla i: Att fylla i: kundens adress, kontaktperson Att fylla i: Att fylla i: namn och e-post.
• Personuppgiftsbiträde ("biträdet"): Att fylla i: Att fylla i: företagsnamn, organisationsnummer Att fylla i: Att fylla i: organisationsnummer, Att fylla i: Att fylla i: adress, Att fylla i: Att fylla i: kontakt-e-post.

2. Bakgrund och definitioner

Kunden använder Stamply för att hantera bokföringsunderlag. Biträdet behandlar då personuppgifter för kundens räkning. Begrepp i avtalet har samma betydelse som i dataskyddsförordningen (EU) 2016/679 (GDPR).

3. Behandlingen

4. Instruktioner

Biträdet behandlar bara personuppgifter enligt kundens dokumenterade instruktioner, som framgår av avtalet och bilaga 1. Om en instruktion strider mot dataskyddsreglerna säger biträdet till kunden direkt.

5. Sekretess

Den som arbetar för biträdet och har tillgång till personuppgifterna har tystnadsplikt.

6. Säkerhetsåtgärder

Biträdet vidtar tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bland annat:

• kryptering i överföring (HTTPS) och lagring hos underbiträdet för databasen
• kryptering av bankkontonummer med AES-256-GCM
• behörighetskontroll per företag i databasen (Row Level Security) och roller per användare
• privat fillagring med länkar som gäller i 60 sekunder
• logg över vem som gjorde vad och när
• daglig säkerhetskopiering
• Att fylla i: Att fylla i: rutiner för behörighetsgranskning, incidenthantering och säkerhetstester

7. Underbiträden

Kunden ger ett allmänt förhandstillstånd till de underbiträden som står i bilaga 2. Biträdet meddelar kunden minst Att fylla i: Att fylla i: antal dagar innan ett underbiträde läggs till eller byts ut. Kunden får invända inom den tiden. Biträdet ansvarar för att underbiträden har samma skyldigheter som i detta avtal.

8. Överföring till tredje land

Överföring utanför EU/EES sker bara med stöd av kapitel V i GDPR. Att fylla i: Att fylla i: mekanism per underbiträde, se bilaga 2

9. Hjälp till kunden

Biträdet hjälper kunden att svara på begäran från registrerade, till exempel om tillgång eller rättelse, och med konsekvensbedömningar och förhandssamråd när det behövs.

10. Personuppgiftsincidenter

Biträdet meddelar kunden utan onödigt dröjsmål, och senast inom Att fylla i: Att fylla i: antal timmar, efter att ha upptäckt en personuppgiftsincident. Meddelandet beskriver vad som har hänt, vilka uppgifter som berörs och vad som görs.

11. Radering och återlämnande vid avslut

• När avtalet upphör kan kunden exportera bokföringen (SIE) och ladda ner underlagen i Att fylla i: Att fylla i: antal dagar.
• Därefter raderar biträdet personuppgifterna inom Att fylla i: Att fylla i: antal dagar, också i säkerhetskopior inom Att fylla i: Att fylla i: antal dagar.
• Det som lag kräver att biträdet sparar raderas när den skyldigheten upphör. Att fylla i: Att fylla i: om biträdet ska arkivera räkenskapsinformation åt kunden

12. Insyn och revision

Biträdet ger kunden den information som behövs för att visa att avtalet följs. Kunden får genomföra revision Att fylla i: Att fylla i: hur ofta, med vilket varsel och vem som betalar.

13. Ansvar

Att fylla i: Att fylla i: ansvarsfördelning och eventuell begränsning, samordnad med användarvillkoren

14. Giltighet och tillämplig lag

Avtalet gäller så länge biträdet behandlar personuppgifter åt kunden. Svensk lag gäller. Tvister avgörs som i användarvillkoren.

Bilaga 1: Instruktioner

• Ta emot, lagra och visa underlag som kunden laddar upp.
• Läsa av underlag med AI och föreslå kontering.
• Läsa in kontoutdrag och föreslå matchningar.
• Ta fram verifikat när kunden godkänner och bokför.
• Exportera bokföringen som SIE när kunden ber om det.
• Radera eller lämna ut uppgifter enligt punkt 11.

Bilaga 2: Underbiträden