Personuppgiftsbiträdesavtal

Utkast. Texten är skriven för att vara begriplig och fullständig, och ska läsas av jurist innan tjänsten öppnar för betalande kunder. Den gäller inte som avtal förrän dess.

Det här avtalet gäller mellan dig (personuppgiftsansvarig) och Next Level Partners AB, org.nr 559538-2556 (personuppgiftsbiträde), och uppfyller kraven i artikel 28 i dataskyddsförordningen. Det gäller automatiskt när du använder Qontera.

Varför det behövs

Du lägger in dina anställdas personnummer, dina kunders adresser och dina leverantörers uppgifter. De uppgifterna är dina, inte våra - vi behandlar dem bara för att kunna leverera tjänsten. Det är vad ett biträdesavtal reglerar.

Vad vi behandlar och varför

Föremålet är bokföring, lön, moms, bokslut och deklarationsunderlag. Behandlingen pågår så länge du är kund, plus den tid bokföringslagen kräver att räkenskapsinformationen bevaras.

Kategorier av registrerade: dina anställda, dina kunder, dina leverantörer och de användare du bjuder in. Kategorier av uppgifter: namn, kontaktuppgifter, personnummer och organisationsnummer, anställnings- och löneuppgifter, betalningsuppgifter samt innehållet i de underlag du laddar upp.

Uppgifter om hälsa förekommer i form av sjukfrånvaro, som är en särskild kategori av personuppgifter enligt art. 9. Vi behandlar dem bara i den omfattning sjuklönelagen kräver för att räkna ut sjuklön och karensavdrag.

Den fullständiga förteckningen över behandlingar genereras ur databasens schema och finns i registerförteckningen. Den skrivs aldrig för hand - ett register som skrivs för hand slutar stämma samma dag nästa tabell läggs till.

Vad vi får göra

Bara det som behövs för att leverera tjänsten, och bara enligt dina instruktioner. Att använda tjänsten är en instruktion; ytterligare instruktioner lämnas skriftligen. Vi använder aldrig dina uppgifter för egna ändamål, säljer dem aldrig och tränar ingen modell på dem.

Hur de skyddas

• Isolering per kund. Varje kunds data är avgränsad på databasnivå med radsäkerhet, och isoleringen prövas automatiskt vid varje kodändring.
• Kryptering. Trafik över TLS, säkerhetskopior med AES-256.
• Åtkomst. Bara den som behöver, med tvåfaktor för roller som kan skriva. Varje inloggning loggas.
• Spårbarhet. Vem som gjorde vad och när ligger i en händelselogg som inte går att ändra i efterhand.
• Säkerhetskopiering. Varje natt, krypterat, och en kopia läses tillbaka varje vecka och prövas mot hashkedjan och avstämningen - så att kopian är kontrollerad och inte antagen.
• Loggar utan uppgifter. Personnummer, e-postadresser och kontonummer maskeras innan något skrivs till en driftlogg.

Underbiträden

Vi anlitar leverantörer för drift. De vi använder i dag:

Byter vi underbiträde får du besked minst trettio dagar i förväg och kan invända. Varje underbiträde är bundet av minst samma skyldigheter som vi.

Överföring utanför EU/EES

Databas och drift ligger inom EU. AI-tolkningen kan innebära överföring till USA under Europeiska kommissionens standardavtalsklausuler. Underlaget som skickas dit bär bara det som behövs för att tolka dokumentet, och används inte för träning.

Om något händer

Upptäcker vi en personuppgiftsincident meddelar vi dig utan onödigt dröjsmål och senast inom 24 timmar, med det vi vet: vad som hänt, vilka uppgifter som berörs, vad vi gjort och vad du behöver göra. Anmälan till Integritetsskyddsmyndigheten är din, eftersom du är ansvarig - vi ger dig underlaget.

Dina rättigheter som ansvarig

Du får granska hur vi uppfyller avtalet och begära den dokumentation du behöver. Begär någon av dina registrerade utdrag, rättelse eller radering hjälper vi dig att svara - i tjänsten finns funktioner för både export och radering.

När avtalet tar slut

Du väljer: vi lämnar tillbaka allt (SIE-filer, register som CSV, underlagen) eller raderar det. Raderar du får du hämta exporten först, och sedan gäller trettio dagars karens. Efter det finns ingenting kvar - inte heller i säkerhetskopiorna, som roterar ut inom trettiofem dagar.

Se även Villkor och Integritet.