Personuppgiftsbiträdesavtal
Gäller när du i Stina behandlar personuppgifter om andra – till exempel dina kunder, anställda eller delägare.
1. Parter och bakgrund
Personuppgiftsansvarig är du som använder Stina för ditt företag (”kunden”). Personuppgiftsbiträde är FinaFransar by Lela KB (”Stina”). Avtalet är en del av användarvillkoren och gäller så länge Stina behandlar personuppgifter för kundens räkning. Det uppfyller kraven i artikel 28.3 i dataskyddsförordningen (GDPR).
2. Behandlingen
| Ändamål | Att föra kundens bokföring och ta fram underlag till deklarationer, kvitton till kunder, lönehantering och påminnelser. |
| Art | Lagring, strukturering, avläsning av kvitton och rapporter, beräkningar, export av filer och utskick av mejl som kunden begär. |
| Personuppgifter | Namn, kontaktuppgifter, personnummer (till exempel för anställda och delägare), belopp, bokningar, kvitton och fakturor samt lön och skatteavdrag. |
| Registrerade | Kundens kunder, anställda, delägare, leverantörer och kontaktpersoner. |
| Tid | Så länge kontot finns och därefter så länge bokföringslagen kräver att räkenskapsinformationen sparas (sju år efter räkenskapsårets slut), om kunden inte instruerar något annat som lagen tillåter. |
3. Stinas åtaganden
- Stina behandlar personuppgifterna bara enligt kundens dokumenterade instruktioner. Instruktionerna är detta avtal, villkoren och det kunden gör i appen. Stina informerar kunden om en instruktion enligt Stinas mening strider mot dataskyddsreglerna.
- Alla som arbetar med uppgifterna hos Stina har tystnadsplikt.
- Stina vidtar tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32: krypterad överföring (HTTPS), krypterade lösenord, radnivåskydd i databasen så att ett konto bara når sin egen bokföring, behörighetsstyrd delning, kontrollsummor på underlag och loggning av händelser.
- Stina hjälper kunden att besvara begäranden från registrerade (till exempel om tillgång eller rättelse) och med skyldigheterna i artiklarna 32–36, i den mån det är rimligt utifrån behandlingens art.
- Stina meddelar kunden utan onödigt dröjsmål, och senast inom 48 timmar efter att ha fått kännedom om den, om en personuppgiftsincident som rör kundens uppgifter.
- Stina ger kunden den information som behövs för att visa att skyldigheterna i artikel 28 följs och möjliggör granskning. Granskning ska föregås av skriftlig begäran med minst 30 dagars varsel.
4. Underbiträden
Kunden ger ett allmänt förhandstillstånd till att Stina anlitar underbiträden. Stina ålägger dem samma dataskyddsskyldigheter som i detta avtal. Nuvarande underbiträden:
| Underbiträde | Uppgift | Plats |
|---|---|---|
| Neon | Databas och server | Frankfurt, EU |
| Anthropic (via Neon) | AI som läser av kvitton och rapporter | Enligt avtal, med EU:s standardavtalsklausuler vid överföring |
| Resend | Mejlutskick och mottagning av mejlade kvitton | USA, med EU:s standardavtalsklausuler |
Stina meddelar kunden via mejl minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden kan invända. Godtar Stina inte invändningen kan kunden säga upp abonnemanget utan kostnad före ändringen.
5. Överföring utanför EU/EES
Personuppgifter överförs bara till land utanför EU/EES om det finns stöd i kapitel V i GDPR, till exempel EU-kommissionens standardavtalsklausuler.
6. När avtalet upphör
Kunden kan när som helst ladda ner allt (Inställningar → Ladda ner allt). När kontot stängs sparar Stina räkenskapsinformationen så länge bokföringslagen kräver det och raderar den därefter. Övriga personuppgifter raderas när kunden begär det, om inte lag kräver att de sparas.
7. Ansvar och tvist
Ansvarsbegränsningen i användarvillkoren gäller också detta avtal, utom där dataskyddsförordningen säger annat. Svensk lag gäller.
Kontakt
Frågor om dataskydd: support@fragastina.se.