Personuppgiftsbiträdesavtal

Version 2026-10-01. Detta avtal ingås mellan det företag som använder booker ("Kunden", personuppgiftsansvarig) och Draca Global, org.nr 800910-0176 ("Biträdet", personuppgiftsbiträde) och utgör en del av villkoren för tjänsten booker. Avtalet uppfyller kraven i artikel 28.3 i dataskyddsförordningen (EU) 2016/679.

1. Behandlingens föremål, art och ändamål

Biträdet tillhandahåller ett bokföringsprogram i vilket Kunden för sin bokföring, fakturering, leverantörsreskontra, lönehantering och därtill hörande rapportering. Behandlingen består i lagring, visning, beräkning, generering av dokument och filer till myndigheter samt säkerhetskopiering av de uppgifter Kunden lägger in. Ändamålet är Kundens bokföring och fullgörande av Kundens skyldigheter enligt bokföringslagen, mervärdesskattelagen och skatteförfarandelagen.

2. Kategorier av registrerade och personuppgifter

Se bilaga 1.

3. Biträdets skyldigheter

Biträdet ska:

• a) behandla personuppgifterna endast enligt Kundens dokumenterade instruktioner. Kundens instruktion är användningen av tjänsten som den beskrivs i dess dokumentation; en behandling som lagen kräver av Biträdet meddelas Kunden innan den sker, om inte lagen förbjuder det;
• b) säkerställa att personer som har behörighet att behandla uppgifterna har åtagit sig att iaktta konfidentialitet;
• c) vidta de tekniska och organisatoriska säkerhetsåtgärder som krävs enligt artikel 32: kryptering av trafik, kryptering av särskilt känsliga fält (personnummer, bankkonton) i databasen, behörighetsstyrning per företag och roll, revisionslogg över ändringar, dagliga säkerhetskopior som lagras krypterat på en separat plats inom EU;
• d) anlita underbiträden endast enligt punkt 4;
• e) med hänsyn till behandlingens art bistå Kunden med lämpliga åtgärder så att Kunden kan fullgöra sin skyldighet att svara på begäran om utövande av de registrerades rättigheter: tjänsten innehåller funktioner för att exportera, arkivera, anonymisera och radera en kunds eller anställds uppgifter;
• f) bistå Kunden med att fullgöra skyldigheterna enligt artiklarna 32-36, i synnerhet genom att utan onödigt dröjsmål och senast inom 48 timmar underrätta Kunden om en personuppgiftsincident;
• g) vid avtalets upphörande, efter Kundens val, radera eller återlämna alla personuppgifter: Kunden kan när som helst ta ut en fullständig export av sina uppgifter (SIE och en komplett arkivfil), och Biträdet raderar uppgifterna 30 dagar efter att kontot avslutats, om inte lagen kräver fortsatt lagring;
• h) ge Kunden tillgång till den information som krävs för att visa att skyldigheterna i denna artikel fullgörs samt möjliggöra och bidra till granskningar. Biträdet informerar omedelbart Kunden om en instruktion enligt Biträdets mening strider mot dataskyddsförordningen.

4. Underbiträden

Kunden ger ett allmänt förhandstillstånd till de underbiträden som anges i bilaga 2 och på sidan underbiträden. Biträdet meddelar Kunden om planerade tillägg eller byten minst 30 dagar i förväg; Kunden kan invända inom den tiden och har då rätt att säga upp tjänsten. Biträdet ålägger varje underbiträde samma skyldigheter som i detta avtal och ansvarar fullt ut för underbiträdets behandling.

5. Överföring till tredjeland

Personuppgifterna lagras och behandlas inom EU/EES. Den enda överföringen till tredjeland är den AI-baserade kvittoläsningen, som är avstängd som standard och sker endast när Kunden uttryckligen väljer den per kvitto; överföringen sker till Anthropic PBC i USA med stöd av EU-kommissionens standardavtalsklausuler.

6. Ansvar och varaktighet

Vardera parten ansvarar för sin egen behandling enligt artikel 82. Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Vid konflikt mellan detta avtal och övriga villkor har detta avtal företräde i frågor som rör personuppgifter.

Bilaga 1: Kategorier

Registrerade: Kundens kunder som är fysiska personer (privatpersoner och enskilda näringsidkare), kontaktpersoner hos Kundens företagskunder och leverantörer, Kundens anställda, Kundens användare av tjänsten.

Personuppgifter: namn, adress, kontaktuppgifter, personnummer eller organisationsnummer, kundnummer, fakturor och betalningar, för ROT/RUT-ärenden fastighetsbeteckning eller bostadsrättsförening och lägenhetsnummer, för anställda löneuppgifter, skattetabell, bankkonto, semester och de uppgifter som ingår i arbetsgivardeklarationen på individnivå.

Behandlingens varaktighet: så länge Kunden använder tjänsten. Räkenskapsinformation sparas i sju år enligt bokföringslagen och anonymiseras därefter på företagets begäran.

Bilaga 2: Underbiträden