Personuppgiftsbiträdesavtal
Version 2026-10-29 (utkast) · bilaga till de allmänna villkoren
1. Parter och syfte
Avtalet gäller mellan kunden (personuppgiftsansvarig) och Punktgruppen AB, org.nr 559601-8753 (personuppgiftsbiträde, ”biträdet”), när biträdet behandlar personuppgifter för kundens räkning i Klirrio. Avtalet uppfyller kraven i artikel 28 i dataskyddsförordningen (EU) 2016/679 och gäller så länge biträdet behandlar sådana uppgifter.
2. Behandlingen
| Ändamål | Att tillhandahålla Klirrio: bokföring, fakturering, lön, bokslut, AI-tolkning av underlag, säkerhetskopiering, support och konsulthjälp som kunden begär. |
|---|---|
| Kategorier av registrerade | Kundens kunder, leverantörer och deras kontaktpersoner, anställda, ägare och användare. |
| Kategorier av uppgifter | Namn, kontaktuppgifter, organisations- och personnummer, bankuppgifter, fakturor, kvitton och andra underlag, löner, skatteuppgifter och andra uppgifter som kunden lägger in. |
| Känsliga uppgifter | Klirrio är inte avsett för känsliga personuppgifter enligt artikel 9. Kunden ansvarar för att sådana inte läggs in, till exempel i underlag om sjukfrånvaro. |
| Plats | Sverige. Ingen överföring till länder utanför EU/EES. |
3. Biträdets åtaganden
- Biträdet behandlar personuppgifterna bara enligt kundens dokumenterade instruktioner. Avtalet och kundens användning av Klirrio utgör instruktionerna. Anser biträdet att en instruktion strider mot dataskyddsreglerna informeras kunden.
- Personer som behandlar uppgifterna för biträdets räkning har tystnadsplikt och får bara den åtkomst som behövs. Redovisningskonsulter får tillgång till ett företag först när kunden ger dem behörighet i Klirrio eller ber om hjälp.
- Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32, bland annat:
- krypterad trafik (HTTPS) och tvåstegsverifiering för alla konton;
- åtskillnad av varje kunds uppgifter i databasen med radnivåsäkerhet;
- revisionslogg över ändringar och spärr efter upprepade felaktiga inloggningar;
- nattliga säkerhetskopior som kontrolleras och förvaras på en annan plats i Sverige;
- automatiska säkerhetsuppdateringar och brandvägg på servern.
- Biträdet hjälper kunden att uppfylla de registrerades rättigheter och skyldigheterna i artiklarna 32–36, i den mån det är rimligt med hänsyn till behandlingen.
- Biträdet underrättar kunden utan onödigt dröjsmål, och om möjligt inom 36 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör kundens uppgifter.
- Biträdet ger kunden den information som behövs för att visa att avtalet följs och möjliggör granskning efter skriftlig begäran med rimligt varsel. Granskningen bekostas av kunden.
4. Underbiträden
Kunden godkänner att biträdet anlitar följande underbiträden:
| Underbiträde | Behandling | Plats |
|---|---|---|
| Inleed | Server (drift av Klirrio och databasen) och e-post | Sverige |
AI-tolkning och kopior av säkerhetskopiorna sker på Punktgruppens egen utrustning i Sverige. Biträdet använder inga externa AI-tjänster. Biträdet informerar kunden minst 30 dagar innan ett nytt underbiträde anlitas, och kunden kan då invända och säga upp avtalet. Underbiträden binds av motsvarande skyldigheter som i detta avtal.
5. När avtalet upphör
Kunden kan exportera sina uppgifter (SIE och arkiv) under avtalstiden och i minst 90 dagar efter att det upphört. Därefter raderar biträdet uppgifterna, efter att ha påmint kunden minst 30 dagar i förväg, om inte lag kräver att de sparas. Uppgifter i säkerhetskopior finns kvar tills kopiorna gallras enligt biträdets rutin för säkerhetskopior.
6. Ansvar
Ansvaret mellan parterna följer artikel 82 i dataskyddsförordningen och ansvarsbegränsningen i de allmänna villkoren, i den mån lagen tillåter.