Personuppgiftsbiträdesavtal (DPA)

1. Parter och omfattning

Detta avtal ingås mellan Kunden (personuppgiftsansvarig) och Styrra AB, org.nr [organisationsnummer] (personuppgiftsbiträde) och ingår i användarvillkoren. Det gäller all behandling av personuppgifter som Styrra utför för Kundens räkning i tjänsten ("Kunddata"). Om Kunden är en Partner som själv är biträde åt sin klient är Styrra underbiträde och avtalet gäller med motsvarande tillämpning.

Begrepp har den betydelse de har i dataskyddsförordningen (EU) 2016/679 ("GDPR") och svensk kompletterande lagstiftning.

2. Instruktioner

Styrra behandlar Kunddata endast enligt Kundens dokumenterade instruktioner, vilka är användarvillkoren, detta avtal och Kundens användning och konfiguration av tjänsten, om inte unionsrätten eller medlemsstatens rätt kräver annat. Styrra informerar Kunden om ett sådant krav om lagen tillåter.

Om Styrra bedömer att en instruktion strider mot dataskyddsregler ska Styrra underrätta Kunden. Styrra får då avvakta tills Kunden bekräftat eller ändrat instruktionen. Kunden ansvarar för att behandlingen har rättslig grund och att de registrerade har fått information.

Behandlingens föremål, varaktighet, art, ändamål, typer av personuppgifter och kategorier av registrerade framgår av bilaga 1.

3. Sekretess och personal

Styrra säkerställer att personer med åtkomst till Kunddata är bundna av sekretess och endast har åtkomst i den utsträckning som behövs för uppdraget.

4. Säkerhetsåtgärder

Styrra vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, minst de som anges i bilaga 2. Åtgärderna kan uppdateras men får inte försämras väsentligt.

5. Underbiträden

Kunden ger Styrra ett allmänt godkännande att anlita underbiträden enligt bilaga 3. Styrra ingår skriftligt avtal med varje underbiträde med samma dataskyddsåtaganden som detta avtal och ansvarar gentemot Kunden för underbiträdets fullgörande, med de begränsningar som följer av avsnitt 12.

Styrra meddelar Kunden (via e-post eller i tjänsten) om planerade tillägg eller byten av underbiträden minst 30 dagar i förväg. Kunden kan inom den tiden invända med saklig grund. Om parterna inte kan enas kan Kunden säga upp berörd tjänst utan kostnad för resten av perioden.

6. Tredjelandsöverföringar

Styrra och underbiträden får överföra Kunddata till tredje land endast om kraven i kapitel V GDPR är uppfyllda, till exempel beslut om adekvat skyddsnivå eller standardavtalsklausuler med kompletterande skyddsåtgärder. Kunden ger Styrra fullmakt att ingå standardavtalsklausuler för Kundens räkning med underbiträden när det behövs.

7. Registrerades rättigheter och bistånd

Styrra hjälper Kunden, med hänsyn till behandlingens art, med lämpliga tekniska och organisatoriska åtgärder så att Kunden kan besvara begäranden från registrerade. Begäranden som riktas direkt till Styrra vidarebefordras till Kunden utan onödigt dröjsmål.

Styrra hjälper Kunden att fullgöra skyldigheterna i artiklarna 32–36 GDPR (säkerhet, incidentanmälan, konsekvensbedömning och förhandssamråd) med hänsyn till den information Styrra har. Rimliga kostnader för bistånd som går utöver tjänstens normala funktioner får debiteras.

8. Personuppgiftsincidenter

Styrra underrättar Kunden utan onödigt dröjsmål, och om möjligt inom 48 timmar, efter att Styrra fått vetskap om en personuppgiftsincident som rör Kunddata, med den information som artikel 33.3 GDPR kräver så långt den finns tillgänglig. Styrra vidtar rimliga åtgärder för att begränsa incidenten. Kunden ansvarar för anmälan till tillsynsmyndigheten och de registrerade. En underrättelse är inte ett erkännande av fel eller ansvar.

9. Radering och återlämnande

Vid avtalets upphörande ger Styrra Kunden möjlighet att exportera Kunddata i 30 dagar. Därefter raderar Styrra Kunddata inom ytterligare 60 dagar, inklusive i säkerhetskopior vid deras normala rotation, om inte lagring krävs enligt unionsrätten eller svensk rätt. Granskningsloggen (användar-ID, tidpunkt, åtgärd) sparas enligt sekretesspolicyn som Styrras eget berättigade intresse och för att Kunden ska kunna styrka sina godkännanden.

10. Information och revision

Styrra tillhandahåller den information som behövs för att visa efterlevnad av artikel 28 och medger och bidrar till revision. Kunden ska i första hand godta Styrras aktuella dokumentation, certifieringar eller oberoende revisionsrapporter. Revision på plats får göras högst en gång per år (utom efter en incident), med minst 30 dagars varsel, under kontorstid, med sekretessåtagande, utan att störa verksamheten och på Kundens bekostnad.

11. Kundens ansvar

Kunden ansvarar för att (a) Kunddata har samlats in och får delas med Styrra enligt lag, (b) Kunden har rättslig grund och har informerat de registrerade, (c) Kunden inte skickar mer personuppgifter än nödvändigt, i synnerhet inte särskilda kategorier av personuppgifter eller personnummer utan behov, och (d) Kundens användare tilldelas rätt behörigheter.

12. Ansvar

Ansvarsbegränsningen i användarvillkoren (avsnitt 11) gäller även detta avtal, så att Styrras totala ansvar enligt avtalen sammantaget inte överstiger taket där. Det påverkar inte registrerades rättigheter enligt artikel 82 GDPR eller ansvar som enligt tvingande lag inte får begränsas. Varje part svarar för sin del av en sanktionsavgift enligt artikel 83 endast i den mån lagen tillåter att den fördelas.

13. Giltighet och tvister

Avtalet gäller så länge Styrra behandlar Kunddata för Kundens räkning. Avsnitt 8–9, 12 och 13 gäller även därefter. Svensk lag och tvistelösningen i användarvillkoren gäller. Vid motstridighet i fråga om personuppgiftsbehandling går detta avtal före användarvillkoren.

Bilaga 1. Beskrivning av behandlingen

• Ändamål och art: lagring, läsning, analys, sammanfattning, klassificering och förslag till bokföring av ekonomiuppgifter; svara på frågor; överföring av godkända poster till Kundens ekonomisystem eller SIE4-fil; granskningslogg.
• Kategorier av registrerade: Kundens anställda och användare, leverantörer och kunder (enskilda firmor och kontaktpersoner), andra personer som nämns i underlag.
• Typer av personuppgifter: namn, kontaktuppgifter, organisations- och personnummer (när de ingår i underlag), adress, bankkonto, belopp och transaktionshistorik, löneuppgifter på verifikationsnivå om Kunden för in sådana, fritext i dokument.
• Särskilda kategorier: ska inte behandlas om det inte är nödvändigt för bokföringen. Kunden ansvarar för att begränsa detta.
• Varaktighet: avtalstiden plus perioden i avsnitt 9.

Bilaga 2. Tekniska och organisatoriska säkerhetsåtgärder

• Kryptering av data vid överföring (TLS) och i vila.
• Åtkomstkontroll per organisation med radnivåsäkerhet i databasen; minsta möjliga behörighet; rollbaserad behörighet i tjänsten; tvåstegsgodkännande över beloppsgränser.
• Hemligheter (nycklar, token) lagras i miljövariabler och hemlighetshanterare, aldrig i kod; åtkomsttoken till ekonomisystem lagras krypterade.
• Oföränderlig, hashkedjad granskningslogg.
• Behandling av innehåll i dokument och e-post som opålitligt: sådant innehåll kan inte ändra behörigheter, regler eller betalningsmottagare.
• Loggning och övervakning, rutiner för sårbarhets- och uppdateringshantering, säkerhetskopiering och återställningstest.
• Personal bunden av sekretess, behörigheter delas ut efter behov, och produktionsdata används inte i utvecklingsmiljöer.
• Krav på underbiträden: avtal, säkerhetsgranskning, avtal om att inte träna modeller på Kunddata.

Bilaga 3. Underbiträden

• Supabase Inc.: Database, authentication, file storage (EU (verify project region))
• Vercel Inc.: Hosting, edge network, AI Gateway (EU/US)
• Anthropic PBC (via Vercel AI Gateway): Language model inference for answers and proposals (US/EU)
• Stripe Payments Europe Ltd.: Payments and invoicing (EU/US)
• Fortnox AB, Bokio AB and other ERP providers chosen by the Customer: Customer-initiated connection to the Customer's own accounting system (EU)