Personuppgiftsbiträdesavtal (DPA)

1. Behandlingens föremål och varaktighet

Biträdet (Softstuff AB, org.nr 559271-4744) ska behandla personuppgifter för den Personuppgiftsansvariges (Kundens) räkning uteslutande för att tillhandahålla Tjänsten under den tid Kundens abonnemang eller avtal är aktivt samt i enlighet med konfigurerat revisionsfönster för rapportering.

2. Kategorier av registrerade och personuppgifter

Kategorier av registrerade: Kundens anställda, konsulter, leverantörskontakter och firmatecknare.
Typer av personuppgifter: Namn, e-post, kontaktuppgifter, roller samt uppgifter som framgår av fakturor och bokföringsunderlag (t.ex. leverantörsnamn och attestanter).

3. Tekniska och organisatoriska säkerhetsåtgärder (TOMs)

Biträdet åtar sig att upprätthålla robusta säkerhetsåtgärder enligt Artikel 32 i GDPR:

Kryptering:

All data krypteras in-transit via TLS 1.3 och at-rest via AES-256 i Google Cloud Datacenter.

Åtkomstkontroll:

Principen om minsta behörighet (Least Privilege), IAM-roller och obligatorisk MFA för all driftpersonal.

Geografisk isolering:

Alla produktionsdatabaser och servrar är låsta till EU-regionen (europe-west1).

Spårbarhet & Backup:

Kontinuerliga säkerhetskopior och audit-loggning av alla administrativa åtgärder.

4. Underbiträden

Kunden ger härmed Biträdet ett generellt förhandstillstånd att anlita underbiträden för teknisk hosting och drift (Google Cloud Platform, Fortnox). Biträdet ansvarar för att samma dataskyddskrav ställs på eventuella underbiträden som enligt detta DPA.

5. Incidenthantering & Samverkan

Vid en bekräftad personuppgiftsincident ska Biträdet utan onödigt dröjsmål och senast inom 48 timmar från det att incidenten upptäcktes skriftligen informera Kunden samt assistera Kunden i fullgörandet av dess anmälningsplikt gentemot tillsynsmyndigheten (IMY).

6. Radering och återlämnande av data

(a) Rådata och revisionsfönster: Vid skapande av en rapport konfigurerar Kunden ett revisionsfönster (1 eller 3 månader). När detta fönster löper ut gallrar Biträdet automatiskt underliggande verifikatsfiler, fakturatexter och personuppgifter i enlighet med GDPR-dataminimering. Fastställda rapportaggregat och Verifikat-ID:n (voucherId, bokföringskonton, belopp och beräknade utsläpp) bevaras permanent som revisionsunderlag för att Kunden och dess revisor ska kunna verifiera och härleda siffrorna direkt mot Kundens originalbokföring. Efter att rådata gallrats kan inte nya versioner genereras från rådatat.

(b) Avtalets upphörande: Vid avtalets upphörande ska Biträdet, efter Kundens val, radera eller återlämna samtliga återstående personuppgifter inom nittio (90) dagar, såvida inte tillämplig unionsrätt eller svensk bokföringslag kräver fortsatt lagring.