Personuppgiftsbiträdesavtal

1. Parter och roller

Du (kunden) är personuppgiftsansvarig för de personuppgifter som finns i ditt bokföringsmaterial. Chronyx AB, org.nr 559594-0064 (”Qvitter”), är personuppgiftsbiträde och behandlar uppgifterna endast för att leverera tjänsten enligt dina instruktioner. De leverantörer som anges i bilagan är underbiträden.

2. Föremål, varaktighet och art

Behandlingen avser automatiserad inläsning och bokföring av kvitton, fakturor och liknande underlag samt lagring av dessa. För företag med anställda omfattar behandlingen även lönehantering — löneberäkning, lönebesked och arbetsgivardeklaration (AGI). Behandlingen pågår så länge avtalet gäller, med den arkivering efteråt som lagen kräver (punkt 9).

3. Kategorier av registrerade och uppgifter

• Registrerade: personer som förekommer i kundens underlag — t.ex. leverantörers och kunders kontaktpersoner, anställda, och kundens företrädare.
• Uppgifter i bokföringsmaterial: namn, kontakt- och betalningsuppgifter, belopp och transaktionsuppgifter samt annat som framgår av underlagen.
• Uppgifter vid lönehantering: anställdas namn, personnummer, adress, bankkontonummer, löne- och anställningsvillkor, arbetad tid och frånvaro. Uppgift om sjukfrånvaro kan utgöra en hälsouppgift (känslig personuppgift enligt art. 9) och behandlas endast i den utsträckning som krävs för att beräkna sjuklön och lämna korrekt arbetsgivardeklaration.

4. Lön-operatörsåtkomst (hjälp med lön)

Om en lönekörning fastnar kan behörig, särskilt utsedd Qvitter-personal — på din begäran och för din räkning — hjälpa till att köra om eller rätta den. Åtkomsten är grindad (bara utvald personal, avstängd som standard) och loggad: varje gång någon öppnar ett företags lönekörning registreras vem, vilket företag och när. Personalen bokför aldrig åt dig — du godkänner själv — och ser inte mer än vad som behövs för att lösa körningen. Fullständiga personnummer, adress och bankkonto ligger kvar bakom din egen lön-behörighet.

5. Qvitters skyldigheter

• Behandlar uppgifter endast enligt dina dokumenterade instruktioner (detta avtal och tjänstens användning).
• Ser till att personer med åtkomst har tystnadsplikt.
• Vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder (art. 32).
• Bistår dig, i rimlig mån, med att svara på registrerades förfrågningar och med säkerhet, konsekvensbedömningar och incidenthantering.
• Anmäler personuppgiftsincidenter till dig utan onödigt dröjsmål efter att vi fått kännedom om dem.

6. Säkerhetsåtgärder

Åtkomstkontroll och behörighetsstyrning, kryptering av särskilt känsliga uppgifter i vila (t.ex. personnummer och bankkonto i personalregistret), krypterad överföring, loggning och spårbarhet, samt säkerhetskopiering. Åtgärderna ses över löpande.

7. Underbiträden

Du godkänner att Qvitter anlitar de underbiträden som anges i bilagan. Varje underbiträde är bundet av minst samma skyldigheter som i detta avtal. Vi informerar dig i förväg om planerade byten eller tillägg, så att du kan invända.

8. Överföring till tredjeland

Behandlingen sker inom EU/EES. Skulle överföring utanför EU/EES bli aktuell sker den endast med giltig rättslig grund och skyddsåtgärder (t.ex. EU-kommissionens standardavtalsklausuler).

9. Radering och återlämnande

När avtalet upphör raderar eller återlämnar vi personuppgifterna enligt ditt val, utom sådant som utgör räkenskapsinformation (inklusive löneunderlag) och som enligt bokföringslagen måste bevaras (normalt sju år). Du kan när som helst exportera ditt material i ett vanligt format.

10. Granskning

Vi ger dig den information som rimligen behövs för att visa att skyldigheterna i art. 28 uppfylls, och möjliggör granskning i rimlig omfattning.

11. Förhållande till övriga villkor

Vid konflikt om behandling av personuppgifter gäller detta avtal före Användarvillkoren. Se även vår Integritetspolicy.

Bilaga — förteckning över underbiträden

Förteckningen kan uppdateras. Kontakt: hej@qvitter.se.