Personuppgiftsbiträdesavtal

Data Processing Agreement (DPA) enligt GDPR Art. 28 | Version 1.0 | 2026-03-05

1. Parter

Personuppgiftsansvarig ("den Ansvarige"): Kunden som registrerar och använder IntelInvoiceAI-tjänsten.

Personuppgiftsbiträde ("Biträdet"): AI:nstein Apps, e-post [email protected].

Detta avtal utgör en integrerad del av Användarvillkoren för IntelInvoiceAI och träder i kraft när den Ansvarige skapar ett konto i Tjänsten.

2. Föremål och varaktighet

Biträdet behandlar personuppgifter på den Ansvariges vägnar i syfte att tillhandahålla faktureringssystemet IntelInvoiceAI. Behandlingen pågår under hela avtalstiden och upphör vid avtalets slut, med undantag för data som ska bevaras enligt lag (se punkt 10).

3. Behandlingens art och ändamål

Biträdet behandlar personuppgifter enbart för att:

• Lagra och visa kundregister (fakturamottagare)
• Generera och lagra fakturor med mottagaruppgifter
• Generera PDF-fakturor för nedladdning och utskick
• Upprätthålla behandlingshistorik (audit trail) enligt BFNAR 2013:2
• Arkivera räkenskapsinformation i enlighet med bokföringslagen
• Tillhandahålla teknisk support

4. Kategorier av registrerade och personuppgifter

Inga känsliga personuppgifter (särskilda kategorier enligt Art. 9) behandlas i Tjänsten.

5. Biträdets skyldigheter

Biträdet förbinder sig att: Art. 28.3

1. Enbart behandla personuppgifter enligt den Ansvariges dokumenterade instruktioner, inklusive avseende överföring till tredje land. Om Biträdet anser att en instruktion strider mot GDPR ska Biträdet omedelbart informera den Ansvarige.
2. Säkerställa sekretess — alla personer som behandlar personuppgifter hos Biträdet har åtagit sig tystnadsplikt eller omfattas av lagenlig sekretessplikt.
3. Vidta tekniska och organisatoriska säkerhetsåtgärder enligt Art. 32, inklusive:
   • Kryptering av data vid överföring (TLS) och vila
   • Tenant-isolering (dataåtskillnad mellan kunder)
   • Åtkomstkontroll med rollbaserad behörighet (RBAC)
   • Krypterade lösenord (bcrypt-hashning)
   • SHA256-integritetshashning av skickade fakturor
   • Fullständig audit trail
   • Regelbundna säkerhetskopior
4. Inte anlita underbiträden utan den Ansvariges förhandsgodkännande (se punkt 7).
5. Bistå den Ansvarige med att uppfylla skyldigheterna enligt Art. 15-22 (registrerades rättigheter) genom lämpliga tekniska och organisatoriska åtgärder.
6. Bistå den Ansvarige med att fullgöra skyldigheterna enligt Art. 32-36 (säkerhet, incidenthantering, konsekvensbedömning).
7. Radera eller återlämna personuppgifter vid avtalets upphörande, enligt den Ansvariges val (se punkt 10).
8. Ge den Ansvarige tillgång till information som krävs för att visa att skyldigheterna i Art. 28 uppfylls, och möjliggöra revisioner och inspektioner.

6. Den Ansvariges skyldigheter

Den Ansvarige ansvarar för att:

• Ha rättslig grund för behandlingen av sina kunders personuppgifter
• Informera sina registrerade om behandlingen (Art. 13-14)
• Inte instruera Biträdet att behandla uppgifter i strid med GDPR
• Bedöma om behandlingen kräver en konsekvensbedömning (DPIA)

7. Underbiträden

Den Ansvarige ger härmed ett allmänt förhandsgodkännande till att Biträdet anlitar underbiträden för att fullgöra sina åtaganden. Biträdet ska:

• Informera den Ansvarige om planerade ändringar avseende underbiträden minst 14 dagar i förväg
• Ge den Ansvarige möjlighet att invända mot nya underbiträden
• Säkerställa att underbiträden omfattas av samma dataskyddsskyldigheter som i detta avtal

7.1 Aktuella underbiträden

8. Överföring till tredje land

Biträdet lagrar all data i Sverige och överför inte personuppgifter till länder utanför EU/EES. Om överföring skulle bli nödvändig i framtiden krävs den Ansvariges förhandsgodkännande och lämpliga skyddsåtgärder enligt GDPR kap. V (t.ex. standardavtalsklausuler eller adequacy decision).

9. Personuppgiftsincidenter

Vid personuppgiftsincident ska Biträdet:

1. Informera den Ansvarige utan onödigt dröjsmål och senast inom 24 timmar efter att incidenten upptäckts
2. Tillhandahålla information om:
   • Incidentens art och omfattning
   • Kategorier och ungefärligt antal registrerade som berörs
   • Sannolika konsekvenser
   • Åtgärder som vidtagits eller föreslås
3. Samarbeta med den Ansvarige för att uppfylla dess anmälningsskyldighet till IMY (Art. 33) och informationsskyldighet till registrerade (Art. 34)

10. Upphörande och datahantering

Vid avtalets upphörande ska Biträdet, enligt den Ansvariges val:

• Radera alla personuppgifter och befintliga kopior, eller
• Återlämna alla personuppgifter i ett maskinläsbart format (JSON/CSV-export)

Den Ansvarige har 30 dagar efter avtalets upphörande att exportera sin data.

Undantag — Bokföringslagen: Fakturadata som utgör räkenskapsinformation ska bevaras i minst 7 år enligt 7 kap. 2 § BFL (1999:1078), oavsett avtalets upphörande. Under denna period lagras data i låst tillstånd och används inte för andra ändamål. Personuppgifter anonymiseras i den mån det är möjligt utan att bryta mot bokföringslagens krav.

11. Revisioner och inspektioner

Biträdet ska ge den Ansvarige, eller en av denne utsedd oberoende revisor, möjlighet att genomföra revisioner för att verifiera att detta avtal efterlevs. Revisioner ska aviseras minst 14 dagar i förväg och genomföras på ett sätt som minimerar störningar i Biträdets verksamhet.

Biträdet tillhandahåller på begäran dokumentation som visar att skyldigheterna enligt detta avtal och GDPR Art. 28 uppfylls.

12. Avtalets förhållande till andra avtal

Detta DPA utgör en integrerad del av Användarvillkoren för IntelInvoiceAI. Vid motstridighet mellan detta DPA och Användarvillkoren äger detta DPA företräde i frågor som rör personuppgiftsbehandling.

13. Tillämplig lag och tvistlösning

Svensk lag tillämpas på detta avtal. Tvister avgöras av svensk allmän domstol med Stockholms tingsrätt som första instans.

14. Kontakt

Frågor om detta DPA ställs till:

• E-post: [email protected]
• Företag: AI:nstein Apps