Personuppgiftsbiträdesavtal
Bilaga till villkoren för Kassasplit. Mellan användaren ("Personuppgiftsansvarig") och Kablu AB, org.nr 559598-9780, Göteborg ("Biträdet"). Avtalet gäller från att användaren godkänner villkoren och så länge Biträdet behandlar personuppgifter åt användaren.
1. Ändamål och omfattning
Biträdet behandlar personuppgifter bara för att tillhandahålla Kassasplit: att läsa köp och produkter från Zettle och bokföring, kontoplan, kostnadsställen och företagsinformation från Fortnox, och ta fram en fördelning av försäljningen på konton och kostnadsställen. I skrivfunktionen skapar tjänsten verifikationer i användarens Fortnox enligt användarens inställningar och godkännande.
2. Kategorier av uppgifter och registrerade
- Registrerade: användarens personal och andra personer som kan förekomma i köp och bokföring, till exempel kassapersonal och kunder.
- Uppgifter: i köp kan namn, maskerat kortnummer, plats och fritext förekomma. Biträdet plockar bara ut produkt, momssats, belopp, typ, betalsätt och datum. Köpdata sparas inte. Bokföringsdata läses ur Fortnox vid behov.
- Det Biträdet sparar för användarens räkning: inställningar, krypterade tokens, en ögonblicksbild av produkt till varugrupp samt kopplingarnas status och företagsnamn.
3. Instruktioner
Biträdet behandlar uppgifterna bara enligt användarens dokumenterade instruktioner. Villkoren, den här bilagan och användarens inställningar och godkännanden i tjänsten är instruktionerna. Anser Biträdet att en instruktion strider mot dataskyddsreglerna ska användaren underrättas.
4. Säkerhet
Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat:
- tokens lagras krypterade;
- varje kunds data är avgränsad så att andra kunder inte kommer åt den;
- svar från Zettle och Fortnox loggas inte, och köpdata sparas inte;
- åtkomst till system begränsas till dem som behöver den, och de är bundna av sekretess;
- i pilotversionen läser tjänsten bara och skriver inget i användarens bokföring.
5. Underbiträden
Användaren godkänner följande underbiträden:
| Underbiträde | Roll | Plats |
|---|---|---|
| Supabase | Databas, inloggning, serverfunktioner | EU, Stockholm |
| Resend | E-postutskick (när den kopplas in) | USA (utskick från Irland) |
| Stripe | Betalning (senare) | Irland och USA; roll beroende på behandling, se Stripes villkor |
Zettle och Fortnox är inte underbiträden, utan system som användaren själv ger åtkomst till. Biträdet ger användaren förhandsbesked om nya underbiträden eller byten, och användaren kan invända inom 30 dagar. Invänder användaren och Biträdet ändå gör bytet, kan användaren säga upp tjänsten och få tillbaka det som betalats i förskott för den tid som återstår. Biträdet ser till att underbiträden binds av motsvarande skyldigheter.
6. Hjälp till användaren
Biträdet hjälper, så långt det är rimligt, användaren att svara på de registrerades begäranden (tillgång, rättelse, radering, portabilitet) och att uppfylla kraven på säkerhet, konsekvensbedömning och samråd. Begäranden skickas till hej@kablu.se. Hjälpen är för närvarande kostnadsfri.
7. Incidenter
Biträdet underrättar användaren om en personuppgiftsincident som rör användarens uppgifter utan onödigt dröjsmål och senast 48 timmar efter att Biträdet fått kännedom om den. Underrättelsen beskriver, så långt möjligt, vad som hänt, vilka uppgifter som berörs, troliga följder och vilka åtgärder som vidtagits.
8. Radering vid avslut
När användaren avslutar tjänsten, eller på begäran, raderar Biträdet användarens uppgifter, inklusive tokens och ögonblicksbilden, inom 30 dagar, om inte lag kräver att de sparas. Användaren kan före dess begära ut sina inställningar som en fil. Uppgifterna lämnas inte tillbaka på annat sätt; bokföringen finns redan i användarens Fortnox.
9. Revision
Biträdet ger användaren den information som behövs för att visa att avtalet följs. Användaren kan med minst 30 dagars varsel och högst en gång per år göra en granskning, i första hand genom dokumentation och, om det inte räcker, på distans. Underbiträdens egna revisionsrapporter får användas. Användaren står för sina egna kostnader. Kräver granskningen mer än dokumentation, ersätter användaren Biträdet för nedlagd tid.
10. Överföring utanför EU/EES
Biträdet för inte över personuppgifter utanför EU/EES utan användarens godkännande och en giltig överföringsgrund. Användaren godkänner överföringen till Resend och Stripe i USA enligt punkt 5, med EU:s standardavtalsklausuler eller EU-US Data Privacy Framework som grund.
11. Ansvar och lag
Ansvaret mellan parterna regleras av ansvarsbegränsningen i villkoren. Begränsningen påverkar inte de registrerades rätt till ersättning enligt artikel 82 i dataskyddsförordningen. Svensk lag gäller.
12. Kontakt
Kablu AB, hej@kablu.se.