Personuppgiftsbiträdesavtal

1. Parter och bakgrund

Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") gäller mellan kunden (företaget som tecknat Ferva, "den Ansvarige") och Ferva Labs AB (org.nr 559607-7536) ("Biträdet") och utgör en del av de allmänna villkoren. Biträdesavtalet reglerar Biträdets behandling av personuppgifter för den Ansvariges räkning enligt artikel 28 i dataskyddsförordningen (GDPR).

2. Behandlingens föremål, art och ändamål

Biträdet behandlar personuppgifter för att tillhandahålla tjänsten Ferva: lagring, visning, beräkning, dokumentgenerering, utskick och inlämning av offerter, fakturor, kvitton, bankhändelser, löner, bokföring och deklarationsunderlag samt support på den Ansvariges begäran.

3. Kategorier av registrerade och uppgifter

Registrerade: den Ansvariges kunder, anställda, ägare, leverantörer och kontaktpersoner.

• Identitets- och kontaktuppgifter (namn, adress, e-post, telefon).
• Personnummer när det krävs för ROT/RUT-avdrag, lön eller kontrolluppgifter.
• Ekonomiska uppgifter (fakturor, betalningar, lön, kontonummer, transaktioner).
• Fastighetsuppgifter och innehåll i uppdrag och kommunikation.

4. Biträdets skyldigheter

Biträdet ska:

• Behandla personuppgifter endast enligt den Ansvariges dokumenterade instruktioner, där tjänstens funktioner och dessa villkor utgör instruktionerna, om inte lag kräver annat.
• Säkerställa att personer med åtkomst omfattas av sekretess och att åtkomst till kunddata av Biträdets personal bara sker via spårade supportsessioner med den Ansvariges medgivande eller vid incidenthantering, och alltid loggas.
• Vidta de tekniska och organisatoriska åtgärderna i säkerhetsbilagan.
• Bistå den Ansvarige med att svara på registrerades begäranden, konsekvensbedömningar och kontakter med tillsynsmyndighet.
• Underrätta den Ansvarige utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör den Ansvariges uppgifter, med den information som krävs för anmälan enligt artikel 33.
• På den Ansvariges begäran tillhandahålla den information som krävs för att visa att skyldigheterna följs och medge granskning på skäliga villkor, i första hand genom dokumentation och tredjepartsintyg från underbiträden.

5. Underbiträden

Den Ansvarige lämnar ett allmänt förhandsgodkännande till att Biträdet anlitar underbiträden. Aktuell lista med ändamål, region och avtalslänk publiceras på /underbitraden och härleds från Biträdets leverantörsregister. Biträdet meddelar planerade byten eller tillägg minst 30 dagar i förväg via tjänsten eller e-post; den Ansvarige kan invända på sakliga grunder och har då rätt att säga upp tjänsten innan ändringen träder i kraft. Biträdet ålägger varje underbiträde motsvarande skyldigheter genom skriftligt avtal och ansvarar fullt ut för underbiträdets behandling.

Underbiträden vid Biträdesavtalets ikraftträdande:

• Microsoft Ireland Operations Ltd. (Microsoft Azure) - Drift av Ferva: webbapplikation och API (App Service), databas (PostgreSQL), fillagring (Blob Storage), inloggning (Keycloak) och driftövervakning (Application Insights). (Sverige (Azure-regionen Sweden Central).)
• Resend, Inc. - Utskick av transaktionsmejl (offerter, fakturor, inbjudningar, kontomejl) och mottagning av inkommande mejl till inkorgen. (EU-region om vald i Resend; annars USA.)
• OpenRouter, Inc. - AI-assistent och tolkning av kvitton/dokument (språkmodell via API). (USA (OpenRouter), underliggande modelleverantör enligt vald modell.)

6. Överföring till tredjeland

Behandling sker inom EU/EES där leverantören erbjuder det. Överföring till tredjeland sker endast med stöd av kapitel V GDPR, med EU-kommissionens standardavtalsklausuler, kompletterande skyddsåtgärder (kryptering, pseudonymisering) och där tillämpligt EU-US Data Privacy Framework, enligt uppgifterna på /underbitraden.

7. Radering och återlämnande

När tjänsten upphör återlämnar Biträdet personuppgifterna genom export (SIE, dokument, JSON) och raderar eller anonymiserar därefter de uppgifter som inte måste bevaras enligt lag. Räkenskapsinformation som Biträdet på den Ansvariges uppdrag bevarar i arkivet enligt villkoren punkt 8 hålls skrivskyddad och raderas när bevarandetiden löpt ut, eller tidigare om den Ansvarige begär det.

8. Ansvar och avtalstid

Ansvarsbegränsningen i de allmänna villkoren gäller även Biträdesavtalet, i den utsträckning tvingande lag medger. Biträdesavtalet gäller så länge Biträdet behandlar personuppgifter för den Ansvariges räkning.

Säkerhetsbilaga: tekniska och organisatoriska åtgärder

Biträdet upprätthåller minst följande åtgärder:

• Åtkomstkontroll: individuella konton, verifierad e-post, tvingande TOTP-flerfaktorsautentisering för all plattformsadministration, roller och behörigheter per företag, radnivåsäkerhet (RLS) i databasen så att ett företag aldrig kan läsa ett annat företags data.
• Kryptering: TLS för all trafik, kryptering i vila hos databas- och lagringsleverantör, hemligheter enbart i servermiljö, aldrig i klientkod eller mobilpaket.
• Integritet och spårbarhet: oföränderliga verifikationer, bokföringsposter, fakturaögonblicksbilder och auditloggar (databastriggrar), auditerad supportåtkomst, versionshistorik för dokument.
• Loggning och övervakning: felövervakning med skrubbning av personnummer, tokens, mejl- och dokumentinnehåll; hälsokontroller; larm vid webhook-, cron- och integrationsfel.
• Tillgänglighet och återställning: dagliga säkerhetskopior och punkt-i-tid-återställning hos databasleverantören, dokumenterad återställningsrutin som övas och registreras, mål för RPO/RTO redovisas i adminvyn.
• Leverantörsstyrning: centralt leverantörsregister, DPA med varje underbiträde, val av EU-region där det erbjuds.
• Incidenthantering: dokumenterad runbook för incidenter, nyckelrotation, e-post-, bank-, betalnings- och inlämningsstopp; underrättelse till den Ansvarige inom 48 timmar.
• Dataminimering: personnummer och känsliga fält visas maskerade i admin, avslöjande loggas; AI-leverantör får bara den text som behövs för tolkningen.
• Utveckling: kodgranskning, automatiska tester av behörighet, oföränderlighet och skrubbning i varje byggkedja; separata test- och produktionsmiljöer.