Personuppgiftsbiträdesavtal
Detta personuppgiftsbiträdesavtal ("DPA") reglerar Prisalos behandling av personuppgifter som personuppgiftsbiträde åt kunden inom ramen för tjänsteavtalet.
Detta personuppgiftsbiträdesavtal ("DPA") är giltigt från och med det sista datumet för signatur mellan Procedural Creation Sweden AB, org.nr 559166-2308, Sylvangatan 9, Solna, Sverige ("Leverantören") och den fysiska eller juridiska person ("Kunden") som ingår avtalet med Leverantören avseende nyttjande av Leverantörens molnbaserade tjänst för AI-driven kostnadsoptimering och analys av leverantörsfakturor via Fortnox-integration, samt tillhörande tilläggstjänster ("Tjänsteavtalet").
1. Inledning
1.1.Kunden och Leverantören (tillsammans "Parterna" och var för sig "Part") har ingått Tjänsteavtalet.
1.2.Leverantören (hädanefter "Biträdet") kommer med anledning av Tjänsteavtalet att behandla personuppgifter som personuppgiftsbiträde för Kundens räkning. Kunden hänvisas hädanefter till som "Ansvarig".
1.3.Med anledning av den behandling Biträdet utför för Ansvarigs räkning ingår Parterna detta DPA.
1.4.Detta DPA utgör en del av Tjänsteavtalet. Om villkor i detta DPA strider mot villkor i Tjänsteavtalet ska villkoren i detta DPA äga företräde.
2. Avtalsstruktur
2.1.Detta DPA ska tolkas mot bakgrund av den terminologi som används i Europaparlamentets och Rådets förordning (EU) 2016/679 ("GDPR").
2.2.Detta DPA består av detta huvuddokument och följande bilagor:
Bilaga 1 – Behandling
Bilaga 2 – Underbiträden
Bilaga 3 – Hantering av personuppgifter utanför EU/EES
3. Ansvarigs instruktioner
3.1.Biträdet får endast behandla personuppgifter på dokumenterade instruktioner från Ansvarig, såvida inte behandling krävs enligt lag som Biträdet omfattas av. Biträdet ska i så fall informera Ansvarig om det rättsliga kravet innan uppgifterna behandlas, såvida sådan information inte är förbjuden enligt lag.
3.2.Ansvarig instruerar härmed Biträdet att behandla personuppgifter i enlighet med Bilaga 1 (Behandling) och i den utsträckning det är nödvändigt för att leverera enligt Tjänsteavtalet.
3.3.Om tillägg eller ändringar görs till eller i Tjänsteavtalet ska Parterna utan onödigt dröjsmål sörja för att detta DPA ändras i enlighet därmed, i den utsträckning det är nödvändigt.
3.4.Om Biträdet överträder GDPR genom att fastställa ändamålen med och medlen för behandling, ska Biträdet anses vara personuppgiftsansvarig för sådan behandling.
4. Ansvarigs åtaganden
4.1.Ansvarig ska ge Biträdet tydliga och nödvändiga dokumenterade instruktioner för behandlingen av personuppgifter. Om Biträdet begär förtydligande eller ytterligare instruktioner för att kunna utföra Ansvarigs instruktion, ska Ansvarig omedelbart ge förtydliganden eller ytterligare instruktioner.
4.2.Ansvarig ska vid var tid följa tillämplig dataskyddslagstiftning inklusive GDPR (tillsammans "Tillämplig Lag"). Ansvarig ska inte ge Biträdet instruktioner som bryter mot GDPR eller annan tillämplig lag.
4.3.Ansvarig ansvarar för att informera Registrerade om behandlingen och för att tillvarata Registrerades rättigheter enligt Dataskyddslagstiftningen.
5. Säkerhet
5.1.Biträdet ska, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i enlighet med Artikel 32 GDPR.
5.2.Biträdet ska särskilt implementera följande säkerhetsåtgärder: kryptering vid transport (TLS 1.2+) och vid lagring (AES-256 för autentiseringsnycklar på applikationsnivå; övrig data skyddas via krypterad databaslagring hos underbiträde i EU), behörighetskontrollsystem med principen om minsta möjliga åtkomst, pseudonymisering av personuppgifter innan överföring till AI-tjänst för analys, lösenordsfri autentisering via engångslänkar till e-post (magic link), samt loggning av inloggningsförsök och säkerhetskritiska händelser.
5.3.Biträdet har rätt att ensidigt uppdatera säkerhetsåtgärderna för att spegla förändringar i tjänsten. Sådana förändringar får inte innebära en icke oväsentlig försämring av säkerheten.
5.4.Biträdet ska säkerställa att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.
5.5.Säkerhetskopiering: Biträdet tar regelbundna säkerhetskopior av databasen för att kunna återställa data vid incident eller infrastrukturfel. Säkerhetskopiorna utgörs av volymsnapshots med rullande retention om upp till trettio (30) dagar och lagras inom EU/EES hos hosting-underbiträdet. Biträdet genomför återställningstest minst en gång före driftsättning och därefter på årlig basis för att verifiera att säkerhetskopiorna är användbara.
6. Anlitande av underbiträden
6.1.Ansvarig ger härmed Biträdet rätt att anlita andra personuppgiftsbiträden ("Underbiträden") inom och utanför EU/EES för behandling av personuppgifter för Ansvarigs räkning under förutsättning att följande procedur följs.
Biträdet ska informera Ansvarig om avsikten att ersätta eller anlita nytt Underbiträde så att Ansvarig har möjlighet att invända mot förändringen. Ansvarig har rätt att invända mot ersättandet eller anlitandet av nytt Underbiträde om Ansvarig kan visa sakliga skäl för invändningen grundade i GDPR ("Sakliga Skäl"). Ansvarig ska tillställa Biträdet sin eventuella invändning skriftligen inom fjorton (14) dagar från Biträdets meddelande. Ansvarigs uteblivna invändning inom denna period är att anse som Ansvarigs godkännande av Underbiträdet.
6.2.Om Biträdet anlitar Underbiträde för utförande av behandling för Ansvarigs räkning ska Underbiträdet, genom avtal, åläggas motsvarande skyldigheter i fråga om persondataskydd som de som fastställs i detta DPA.
6.3.Om Underbiträde inte fullgör sina skyldigheter i fråga om dataskydd ska Biträdet vara fullt ansvarigt gentemot Ansvarig för utförandet av Underbiträdets skyldigheter.
7. Behandling utanför EU/EES
7.1.Biträdet ansvarar för att Underbiträden som är etablerade i land utanför EU/EES (som inte säkerställer en adekvat skyddsnivå enligt Artikel 45.1 GDPR) omfattas av lämpliga skyddsåtgärder enligt Artikel 46 GDPR. Detaljer anges i Bilaga 3.
7.2.En Transfer Impact Assessment (TIA) avseende överföringen till Anthropic PBC (USA) finns dokumenterad och tillhandahålls Ansvarig på begäran via [email protected]. 8. Biträdets bistånd till ansvarig
8.1.Biträdet ska, med tanke på behandlingens art, hjälpa Ansvarig genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att Ansvarig kan fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter under kapitel III GDPR.
8.2.Om Biträdet emottar en fråga, begäran eller av annan anledning kontaktas av en registrerad eller tillsynsmyndighet rörande behandling för vilken Ansvarig är personuppgiftsansvarig, ska Biträdet meddela Ansvarig detta, hänvisa den registrerade eller tillsynsmyndigheten till Ansvarig och underlåta att ge information eller vidta andra åtgärder, om inte annat krävs enligt lag.
8.3.Biträdet ska, med beaktande av typen av behandling och den information som Biträdet har att tillgå, bistå Ansvarig med konsekvensbedömning avseende dataskydd (DPIA) och förhandssamråd i enlighet med Artikel 35 och Artikel 36 GDPR.
9. Radering
9.1.Biträdet ska, beroende på vad Ansvarig väljer, radera eller återlämna alla personuppgifter till Ansvarig utan onödigt dröjsmål efter det att tillhandahållandet av behandlingstjänsterna har avslutats, samt radera befintliga kopior såvida inte lagring av personuppgifterna krävs enligt tillämplig lag.
9.2.Om inte Ansvarig ger en instruktion innan behandlingstjänsterna har avslutats, ska Biträdet radera personuppgifterna senast trettio (30) dagar efter Tjänsteavtalets upphörande.
9.3.Radering i säkerhetskopior: Personuppgifter raderas omedelbart ur det aktiva databasschemat vid Ansvarigs instruktion eller vid Tjänsteavtalets upphörande. Eftersom säkerhetskopiorna roterar ut inom trettio (30) dagar enligt klausul 5.5 försvinner uppgifterna även ur säkerhetskopiorna inom samma period — utan ytterligare åtgärd. Under denna mellanperiod är uppgifterna i säkerhetskopiorna avskärmade och används inte för någon behandling annat än återställning vid incident.
10. Revision
10.1.Ansvarig har rätt till max en revision per avtalsår. Ansvarig ska begära revision skriftligen minst tre (3) månader i förväg.
10.2.Om Biträdet tillhandahåller Ansvarig en revisionsrapport eller tredjepartscertifiering (t.ex. SOC 2), ska Ansvarig i första hand använda denna som underlag för sin revision av Biträdet.
10.3.Ansvarig ska stå samtliga kostnader för revisionen.
11. Personuppgiftsincidenter
11.1.I händelse av en personuppgiftsincident ska Biträdet utan onödigt dröjsmål, och senast inom 48 timmar från det att incidenten upptäckts, informera Ansvarig om personuppgiftsincidenten och ange kontaktuppgifter till en kontaktperson från vilken Ansvarig kan erhålla mer information.
11.2.Biträdet ska, med beaktande av typen av behandling och den information som Biträdet har att tillgå, på Ansvarigs anmodan bistå Ansvarig med att uppfylla sin skyldighet att informera registrerade om personuppgiftsincidenten. Om det inte är möjligt att tillhandahålla all information samtidigt får den tillhandahållas i omgångar.
12. Ansvar
12.1.Part ska ersätta den andra Parten för direkt skada som Part åsamkar den andra Parten genom brott mot detta DPA, Tillämplig Lag eller, vad gäller Biträdet, Ansvarigs instruktion, inom ramen för den ansvarsbegränsning som anges i Tjänsteavtalet.
12.2.Om Underbiträde inte fullgör sina skyldigheter i fråga om dataskydd ska Biträdet vara fullt ansvarigt gentemot Ansvarig för utförandet av Underbiträdets skyldigheter.
13. Avtalstid
13.1.Detta DPA ska gälla från och med ingåendet till det senare av: (a) upphörandet av Tjänsteavtalet, och (b) när Biträdet inte längre behandlar personuppgifter för Ansvarigs räkning (inklusive i backuper).
14. Lagval och tvistlösning
14.1.Tvister som uppstår i anledning av detta DPA ska slutligt avgöras i enlighet med den tvistlösningsmekanism som anges i Tjänsteavtalet. I avsaknad av sådan reglering ska svensk materiell rätt tillämpas och tvist avgöras av allmän domstol med Solna tingsrätt som första instans.
1. Beskrivning av behandlingen
1.1.Föremålet för behandling: Biträdet ska tillhandahålla en molnbaserad tjänst för AI-driven kostnadsoptimering som kopplar till kundens Fortnox-konto via OAuth2, hämtar och analyserar leverantörsfakturor, och presenterar besparingsförslag via en webbaserad dashboard samt månatliga e-postrapporter.
1.2.Ändamål med behandling: Ansvarigs ändamål med behandlingen är att identifiera kostnadsbesparingar genom automatisk analys av leverantörsfakturor, inklusive detektering av dubblettfakturor, oanvända prenumerationer och oönskade prisökningar.
1.3.Behandlingens art: Biträdet kommer att utföra insamling (via Fortnox API), lagring (i krypterad databas), strukturering, analys (inklusive AI-baserad analys via externt underbiträde), presentation och radering av personuppgifter.
1.4.Behandlingens varaktighet: Behandlingen kommer ske löpande under Tjänsteavtalets giltighet och upp till trettio (30) dagar därefter.
2. Kategorier av registrerade och typer av personuppgifter
Leverantörskontakter (referenspersoner som förekommer på fakturor)
- Typ av personuppgifter
- Namn (från fakturafältet "Er referens")
Enskilda näringsidkare (leverantörer som är fysiska personer)
- Typ av personuppgifter
- Namn, personnummer (= org.nr för enskild firma), ort, fakturadata (belopp, datum, beskrivning)
Anställda hos kunden som registrerats som användare
- Typ av personuppgifter
- Namn, e-postadress
Användare av tjänsten (den som aktiverar integrationen)
- Typ av personuppgifter
- Namn, e-postadress, engångstokens för magic link-inloggning (kortlivade, används en gång och raderas automatiskt)
Vissa av ovanstående personuppgifter avslöjar:
☐ ras eller etniskt ursprung ☐ politisk åsikt ☐ hälsa
☐ sexualliv/sexuell läggning ☐ genetisk uppgift ☐ medlemskap i fackförening
☐ religiös/filosofisk övertygelse ☐ biometrisk uppgift
Ingen av ovanstående känsliga kategorier behandlas avsiktligt inom ramen för tjänsten.
Ansvarig godkänner att Biträdet använder sig av följande Underbiträden:
Railway Corporation
- Etableringsland
- USA (servrar i Nederländerna, EU)
- Behandlingstjänst
- Molninfrastruktur, hosting av applikation och PostgreSQL-databas
- Plats för data
- Amsterdam, Nederländerna (EU West)
Anthropic PBC
- Etableringsland
- USA
- Behandlingstjänst
- AI-analystjänst (Claude API) för automatisk analys av fakturainnehåll
- Plats för data
- Behandling: EU/USA. Lagring: USA
Resend Inc.
- Etableringsland
- USA
- Behandlingstjänst
- E-postutskick (magic links och transaktionsmail)
- Plats för data
- USA
För detaljer kring hantering av personuppgifter utanför EU/EES hänvisas till Bilaga 3.
Bilaga 3
Hantering av personuppgifter utanför EU/EES
Denna bilaga beskriver de överföringar av personuppgifter som sker till Tredje land (utanför EU/EES) och de skyddsåtgärder som vidtagits.
1. Anthropic PBC (USA)
Anthropic PBC (USA)
- Mottagare
- Anthropic PBC, San Francisco, USA
- Behandlingstjänst
- AI-analys av fakturainnehåll via Claude API för att identifiera besparingsmöjligheter
- Överföringsmekanism
- EU:s standardavtalsklausuler (SCCs), Module Two (controller-to-processor) och Module Three (processor-to-processor), inkorporerade i Anthropics Data Processing Addendum (DPA)
- EU-US Data Privacy Framework
- Anthropic är inte certifierat under EU-US Data Privacy Framework. Överföring sker via SCCs enligt raden ovan.
- Tekniska skyddsåtgärder
- TLS 1.2+ vid transport, AES-256 vid lagring. API-data används ej för modellträning. API-loggar sparas i 7 dagar och raderas automatiskt.
- Pseudonymisering
- Biträdet pseudonymiserar personuppgifter (ersätter namn och kontaktuppgifter med interna ID:n) innan data skickas till Anthropics API för analys. Pseudonymiseringen täcker leverantörsnamn som ser ut som personer (inkl. enskild firma med personnamn) och hanterar både svenska och internationella namnformer, inklusive adelspartiklar (af, von, de) och bindestrecksnamn.
2. Railway Corporation (USA, servrar i EU)
Railway Corporation
- Mottagare
- Railway Corporation, San Francisco, USA
- Behandlingstjänst
- Molninfrastruktur: hosting av applikation och PostgreSQL-databas
- Plats för datalagring
- Amsterdam, Nederländerna (EU West, europe-west4) – all data lagras inom EU
- Överföringsmekanism
- Railways Data Processing Agreement med SCCs, signerat via railway.com/legal/dpa
- Notering
- Railway är ett amerikanskt företag. Även om all data lagras i EU kan Railway-personal potentiellt ha fjärråtkomst. Detta täcks av SCCs i deras DPA.
3. Resend Inc. (USA)
Resend Inc.
- Mottagare
- Resend Inc., Delaware, USA
- Behandlingstjänst
- E-postutskick (magic links, transaktionsmail och månadsrapporter) via Resends API
- Plats för datalagring
- USA (Resend använder AWS us-east som default; Leverantören använder Resend Free och har inte valt EU-region)
- Överföringsmekanism
- Resends Data Processing Agreement med SCCs, tillgängligt via resend.com/legal/dpa
- Tekniska skyddsåtgärder
- TLS 1.2+ vid transport. E-postinnehåll begränsat till mottagaradress och meddelandetext — inga fakturauppgifter eller pseudonymiserade analysdata överförs till Resend.
- Notering
- Resend Free används. Vid eventuellt byte till Resend Pro eller Resends EU-region uppdateras denna bilaga.
Godkännande
Digitalt godkännande
Leverantör: Procedural Creation Sweden AB, org.nr 559166-2308, Solna som driver tjänsten Prisalo ("Leverantören").
Genom att aktivera Prisalo via Fortnox Marketplace och acceptera dessa villkor ingår Kunden ett bindande personuppgiftsbiträdesavtal med Leverantören i enlighet med villkoren ovan. Godkännandet registreras elektroniskt med tidsstämpel.
Observera: Detta DPA kan accepteras digitalt genom att Kunden aktiverar tjänsten Prisalo och godkänner användarvillkoren, varav detta DPA utgör en integrerad del.