i enlighet med artikel 28.3 i förordning 2016/679 (dataskyddsförordningen, GDPR)
Baserat på tillsynsmyndighetens standardavtalsklausuler
Parterna
Den personuppgiftsansvarige: Det företag som har registrerat sig som kund i Billit (nedan “den personuppgiftsansvarige”).
Personuppgiftsbiträdet: Decoos Holding AB Org.nr: 559211-6502 Hyllie Kyrkoväg 53C 216 16 Limhamn, Sverige (nedan “personuppgiftsbiträdet”)
Detta personuppgiftsbiträdesavtal (“Avtalet”) accepteras av den personuppgiftsansvarige vid registrering som kund i bokföringssystemet Billit (billit.se / billit.dk) och utgör en del av avtalsförhållandet mellan parterna.
1. Bakgrund och syfte
1.1. Personuppgiftsbiträdet tillhandahåller det molnbaserade bokföringssystemet Billit till den personuppgiftsansvarige. Vid användning av systemet behandlar personuppgiftsbiträdet personuppgifter för den personuppgiftsansvariges räkning.
1.2. Avtalet fastställer de rättigheter och skyldigheter som gäller för personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning, i enlighet med artikel 28.3 i dataskyddsförordningen.
1.3. Avtalet har företräde framför eventuella motsvarande bestämmelser i andra avtal mellan parterna vad gäller behandling av personuppgifter.
2. Behandlingens art och syfte
2.1. Behandlingen sker i syfte att tillhandahålla digital bokföring till den personuppgiftsansvarige, inklusive registrering av transaktioner, lagring av verifikationer, fakturering, e-fakturering, bankavstämning, momsrapportering, bokslutsrapporter samt säkerhetskopiering.
2.2. Kategorier av registrerade: Den personuppgiftsansvariges kunder, leverantörer, anställda, ägare och övriga affärskontakter samt den personuppgiftsansvariges användare av systemet.
2.3. Typer av personuppgifter: Vanliga personuppgifter, inklusive namn, adress, e-postadress, telefonnummer, organisationsnummer, bankuppgifter, betalningsuppgifter samt uppgifter som framgår av uppladdade verifikationer (fakturor, kvitton m.m.). Känsliga uppgifter eller uppgifter om lagöverträdelser behandlas inte avsiktligt; den personuppgiftsansvarige ansvarar för att inte ladda upp sådana uppgifter om det inte är nödvändigt för bokföringen.
2.4. Varaktighet: Behandlingen pågår så länge den personuppgiftsansvarige använder systemet samt under den efterföljande lagringsperioden, se punkt 11.
3. Den personuppgiftsansvariges skyldigheter
3.1. Den personuppgiftsansvarige ansvarar för att det finns laglig grund för behandlingen och att instruktionerna i detta Avtal är lagliga.
3.2. Den personuppgiftsansvarige ansvarar för riktigheten i de uppgifter som matas in och laddas upp i systemet.
4. Personuppgiftsbiträdet handlar enligt instruktion
4.1. Personuppgiftsbiträdet får endast behandla personuppgifter enligt dokumenterade instruktioner från den personuppgiftsansvarige, såvida inte behandling krävs enligt EU-rätt eller nationell rätt som personuppgiftsbiträdet omfattas av (t.ex. bokföringslagens arkiveringskrav). Detta Avtal samt den personuppgiftsansvariges användning av systemets funktioner utgör instruktionen.
4.2. Personuppgiftsbiträdet informerar omedelbart den personuppgiftsansvarige om en instruktion enligt personuppgiftsbiträdets mening strider mot dataskyddsförordningen eller annan dataskyddslagstiftning.
5. Sekretess
5.1. Personuppgiftsbiträdet säkerställer att endast personer med ett arbetsrelaterat behov har åtkomst till personuppgifterna och att dessa personer har åtagit sig sekretess eller omfattas av lagstadgad tystnadsplikt.
6. Säkerhet vid behandlingen
6.1. Personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska åtgärder i enlighet med artikel 32 i dataskyddsförordningen, bland annat:
- Åtkomst till systemet kräver personlig inloggning; lösenord lagras hashade.
- Rollbaserad åtkomststyrning, så att användare endast har åtkomst till sina egna företags data.
- Kryptering av all kommunikation mellan användare och system (HTTPS/TLS).
- Validering och kontroll av uppladdade filer före lagring.
- Automatisk, löpande säkerhetskopiering av registreringar och verifikationer; kopior lagras åtskilda från driftmiljön.
- Logisk separering av data per företag i databasen.
- Löpande uppdatering av systemet med säkerhetsrättelser samt övervakning av driften.
7. Anlitande av underbiträden
7.1. Personuppgiftsbiträdet har den personuppgiftsansvariges allmänna godkännande att anlita underbiträden. Personuppgiftsbiträdet informerar den personuppgiftsansvarige om planerade ändringar med minst 30 dagars varsel, så att den personuppgiftsansvarige kan invända.
7.2. Vid Avtalets ingående anlitar personuppgiftsbiträdet följande underbiträden:
| Underbiträde | Tjänst | Plats |
|---|---|---|
| hosting.com | Hosting av system och databas | Nederländerna (EU) |
| hosting.com | Lagring av säkerhetskopior (molnserver, åtskild från driftmiljön) | Nederländerna (EU) |
| Dropbox International Unlimited Company | Lagring av säkerhetskopior | Irland/USA (EU-U.S. Data Privacy Framework) |
| hosting.com | E-postserver för utskick av e-post från systemet | Nederländerna (EU) |
7.3. Personuppgiftsbiträdet ålägger underbiträden samma dataskyddsskyldigheter som i detta Avtal genom skriftligt avtal och förblir ansvarigt gentemot den personuppgiftsansvarige för underbiträdets fullgörande av dessa.
8. Överföring till tredjeland
8.1. Personuppgifter behandlas som utgångspunkt inom EU/EES. Om överföring till tredjeland sker (t.ex. via ett underbiträde) säkerställer personuppgiftsbiträdet att överföringen sker med giltig överföringsgrund enligt kapitel V i dataskyddsförordningen (t.ex. EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå).
9. Bistånd till den personuppgiftsansvarige
9.1. Personuppgiftsbiträdet bistår, med beaktande av behandlingens art och med lämpliga tekniska och organisatoriska åtgärder, den personuppgiftsansvarige med att fullgöra dennes skyldigheter att besvara begäranden om de registrerades rättigheter (tillgång, rättelse, radering, begränsning, dataportabilitet och invändning).
9.2. Personuppgiftsbiträdet bistår även den personuppgiftsansvarige med att säkerställa efterlevnad av skyldigheterna i artiklarna 32–36 i dataskyddsförordningen (säkerhet vid behandlingen, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd).
10. Anmälan av personuppgiftsincidenter
10.1. Personuppgiftsbiträdet underrättar utan onödigt dröjsmål — och senast 48 timmar efter att ha fått kännedom därom — den personuppgiftsansvarige om personuppgiftsincidenter, så att den personuppgiftsansvarige kan fullgöra sin anmälningsskyldighet gentemot tillsynsmyndigheten inom 72 timmar.
10.2. Underrättelsen ska så långt möjligt innehålla de uppgifter som framgår av artikel 33.3 i dataskyddsförordningen.
11. Radering och återlämnande av uppgifter
11.1. Vid upphörande av den personuppgiftsansvariges användning av systemet lämnar personuppgiftsbiträdet på begäran ut den personuppgiftsansvariges data, bland annat i SAF-T-format, i enlighet med bokföringslagens regler.
11.2. Personuppgiftsbiträdet lagrar registreringar och verifikationer under den period som följer av bokföringslagen, såvida inte den personuppgiftsansvarige visar att materialet lagras på annat lagligt sätt. Därefter raderas uppgifterna.
12. Granskning och tillsyn
12.1. Personuppgiftsbiträdet ger den personuppgiftsansvarige tillgång till all information som krävs för att visa att skyldigheterna enligt artikel 28 i dataskyddsförordningen fullgörs, samt möjliggör och bidrar till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller av en revisor som bemyndigats av denne, med skäligt varsel.
13. Ikraftträdande och upphörande
13.1. Avtalet träder i kraft vid den personuppgiftsansvariges registrering som kund i systemet och gäller så länge personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning.
13.2. Avtalet kan inte sägas upp separat så länge huvudtjänsten tillhandahålls.
14. Lagval och tillsynsmyndighet
14.1. För kunder som registrerat sig via billit.se lyder Avtalet under svensk rätt, hänvisningar till bokföringslagen avser den svenska bokföringslagen (1999:1078), och behörig tillsynsmyndighet är Integritetsskyddsmyndigheten (IMY) i Sverige. För kunder som registrerat sig via billit.dk lyder Avtalet under dansk rätt, hänvisningar till bokföringslagstiftning avser den danska bogføringsloven, och behörig tillsynsmyndighet är Datatilsynet i Danmark.