Detta personuppgiftsbiträdesavtal ("biträdesavtalet") är en del av POY:s användarvillkor och gäller mellan kunden, det vill säga det företag som använder tjänsten ("den personuppgiftsansvarige"), och Händevik Invest AB, org.nr 556743-2595, som tillhandahåller tjänsten ("biträdet"). Biträdesavtalet ingås när kunden godkänner användarvillkoren och gäller så länge biträdet behandlar personuppgifter för kundens räkning.

Begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident har samma betydelse som i dataskyddsförordningen (EU) 2016/679 ("GDPR").

1. Bakgrund och roller

Kunden använder tjänsten för bokföring, fakturering, löner och närliggande administration. Den information kunden lägger in, laddar upp eller tar emot i tjänsten innehåller personuppgifter om bland annat kundens kunder, leverantörer och anställda. För den behandlingen är kunden personuppgiftsansvarig och biträdet personuppgiftsbiträde.

Uppgifter om de personer som har ett användarkonto i tjänsten, till exempel namn, e-postadress och inloggningar, behandlar biträdet som personuppgiftsansvarig enligt vår sekretesspolicy. De omfattas inte av detta biträdesavtal.

2. Behandlingens föremål, art och ändamål

Biträdet behandlar personuppgifterna enbart för att tillhandahålla tjänsten till kunden enligt användarvillkoren. Behandlingen omfattar lagring, strukturering, sökning, visning, sammanställning, överföring och radering av uppgifter, och består bland annat av:

• lagring och visning av verifikationer, bilagor, fakturor, kund- och leverantörsregister, löneuppgifter och rapporter,
• tolkning av kvitton och andra underlag (textigenkänning och analys) för att föreslå bokföring,
• mottagning av filer som skickas med e-post till företagets inkorg i tjänsten,
• utskick av fakturor, påminnelser och lönebesked med e-post, inklusive registrering av om ett utskick har öppnats,
• utbyte av uppgifter med integrationer och myndigheter som kunden själv aktiverar, till exempel Skatteverket, Bolagsverket och Shopify,
• svar från tjänstens AI-assistent på frågor som användaren ställer, för kunder som har beställt den (se avsnitt 4),
• felsökning av filer som användaren själv skickar in till POY med funktionen "Skicka in till POY" (se avsnitt 4).

Biträdet får inte behandla personuppgifterna för egna ändamål, till exempel marknadsföring, och får inte sälja dem eller lämna ut dem till någon annan än de underbiträden och mottagare som anges i detta biträdesavtal eller som kunden har instruerat om.

3. Registrerade och personuppgifter

Kategorier av registrerade:

• kundens kunder och deras kontaktpersoner,
• kundens leverantörer och deras kontaktpersoner,
• kundens anställda, styrelseledamöter och ägare,
• andra personer som förekommer i underlag, till exempel på kvitton, fakturor och i e-post.

Typer av personuppgifter:

• namn, adress, e-postadress, telefonnummer och andra kontaktuppgifter,
• person- och organisationsnummer,
• bankkonto, betalningar, fakturor, köp och andra ekonomiska uppgifter,
• löneuppgifter, skatt, frånvaro och andra uppgifter som behövs för löneadministration,
• innehållet i bilagor och e-post som kunden laddar upp eller tar emot.

Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9 i GDPR. Sådana uppgifter kan ändå förekomma, till exempel i löneunderlag om sjukfrånvaro. Kunden ansvarar för att bara lägga in uppgifter som behövs för bokföringen och löneadministrationen.

4. Kundens instruktioner

Biträdesavtalet, användarvillkoren och de val kunden gör i tjänsten utgör kundens dokumenterade instruktioner. Biträdet behandlar personuppgifterna bara enligt dessa instruktioner, om inte annat krävs enligt lag. Biträdet informerar kunden om biträdet anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning.

AI-assistenten är en tilläggstjänst som kunden beställer särskilt och som biträdet aktiverar för de användare kunden anger. Genom att beställa den instruerar kunden biträdet att, varje gång en användare ställer en fråga, skicka frågan tillsammans med de uppgifter ur bokföringen som behövs för ett välgrundat svar, till exempel uppgifter om företaget, kontoplanen och innehållet på den sida användaren har framför sig, till underbiträdet Anthropic (se avsnitt 7 och 8). Kunden bestämmer vad som frågas och ansvarar för att frågorna inte innehåller fler personuppgifter än vad som behövs. Används inte AI-assistenten skickas inga uppgifter till Anthropic.

När en användare väljer att skicka in en fil till POY med funktionen "Skicka in till POY" instruerar kunden biträdet att spara och granska filen, tillsammans med analysens resultat och en eventuell kommentar, för att felsöka och förbättra tolkningen i tjänsten. Filen sparas skilt från företagets övriga data och raderas senast 90 dagar efter granskningen, eller 180 dagar efter att den skickades in om den inte har granskats, samt när företaget tas bort. Används filen som testfall för tjänsten rensas känsliga uppgifter och uppgifter som kan identifiera en person bort först.

5. Sekretess

Biträdet säkerställer att de personer som har behörighet att behandla personuppgifterna har förbundit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt. Åtkomst ges bara till personer som behöver den för att tillhandahålla, underhålla eller ge support för tjänsten.

6. Säkerhet

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR för att skydda personuppgifterna, bland annat:

• kryptering av uppgifter vid överföring och lagring,
• skydd av lösenord och andra inloggningsuppgifter,
• separering av varje kunds data från andra kunders,
• behörighetskontroll, så att en användare bara kommer åt de företag och funktioner hen har fått tillgång till,
• administrativ åtkomst till kunddata som är begränsad till de personer som behöver den,
• säkerhetskopiering,
• skyddsåtgärder för filer och e-post som tas emot från utomstående.

Kunden ansvarar för att hantera sina egna användare och behörigheter i tjänsten och för att skydda sina inloggningsuppgifter.

7. Underbiträden

Kunden ger biträdet ett allmänt förhandstillstånd att anlita underbiträden. Biträdet ingår skriftliga avtal med underbiträdena som ger minst samma skydd för personuppgifterna som detta biträdesavtal, och ansvarar gentemot kunden för underbiträdenas behandling. Följande underbiträden används:

Biträdet informerar kunden om planerade tillägg eller byten av underbiträden genom att uppdatera denna sida och meddela kunden minst 30 dagar innan förändringen genomförs. Kunden kan invända mot förändringen och har då rätt att säga upp avtalet innan förändringen träder i kraft.

Myndigheter och tjänster som kunden själv väljer att koppla till eller skicka uppgifter till, till exempel Skatteverket, Bolagsverket och Shopify, är inte underbiträden till biträdet. Detsamma gäller Google Drive för företag som valt att lagra sina filer i sitt eget Google-konto: där lagras uppgifterna enligt kundens eget avtal med Google.

8. Överföring till tredje land

Biträdet lagrar och behandlar personuppgifterna inom EU/EES. Undantaget är AI-assistenten: när en kund som har beställt den använder den överförs uppgifter till Anthropic i USA. Överföringen sker med stöd av EU-kommissionens standardavtalsklausuler, som ingår i Anthropics personuppgiftsbiträdesavtal. Anthropic får inte använda uppgifterna för att träna sina AI-modeller. Anthropic sparar inte frågor och svar efter att svaret har lämnats, utom när innehåll flaggas av Anthropics säkerhetssystem eller måste sparas enligt lag.

Andra överföringar till ett land utanför EU/EES görs bara om det finns en giltig överföringsgrund enligt kapitel V i GDPR, och kunden informeras då enligt avsnitt 7.

9. Registrerades rättigheter

Biträdet hjälper kunden, i den utsträckning det är möjligt, att besvara begäranden från registrerade som vill utöva sina rättigheter enligt GDPR, till exempel om tillgång, rättelse eller radering. Om en registrerad vänder sig direkt till biträdet hänvisas hen till kunden. Mycket av detta kan kunden göra själv i tjänsten, till exempel ändra eller ta bort kunder, leverantörer och anställda.

10. Personuppgiftsincidenter

Biträdet underrättar kunden utan onödigt dröjsmål, och om möjligt inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör kundens uppgifter. Underrättelsen ska innehålla den information som kunden behöver för att kunna anmäla incidenten till Integritetsskyddsmyndigheten och informera de registrerade, i den mån informationen finns tillgänglig.

11. Övrigt bistånd och insyn

Biträdet bistår kunden med de uppgifter som rimligen behövs för att kunden ska kunna fullgöra sina skyldigheter enligt artiklarna 32–36 i GDPR, till exempel vid en konsekvensbedömning. Biträdet ger kunden den information som behövs för att visa att skyldigheterna i detta biträdesavtal fullgörs och möjliggör granskningar som utförs av kunden eller en oberoende granskare som kunden anlitar. Granskning ska meddelas i skälig tid i förväg och får inte röja andra kunders uppgifter. Biträdet får ta ut ersättning för bistånd och granskningar som går utöver vad som normalt ingår i tjänsten.

12. Radering och återlämning

Kunden kan när som helst exportera sina uppgifter ur tjänsten, till exempel som SIE-fil. När kunden tar bort ett företag i tjänsten raderar biträdet företagets uppgifter senast 90 dagar efter borttagningen, om inte biträdet enligt lag är skyldigt att spara dem. Uppgifter som lagras i kundens eget Google-konto raderas inte av biträdet. Kunden ansvarar för att själv spara det underlag som bokföringslagen kräver.

13. Ansvar

För biträdets ansvar gäller ansvarsbegränsningen i användarvillkoren, i den utsträckning den är förenlig med GDPR. Varje part ansvarar för sanktionsavgifter som beslutas mot den parten.

14. Giltighet och ändringar

Biträdesavtalet gäller så länge biträdet behandlar personuppgifter för kundens räkning. Biträdet får ändra biträdesavtalet på samma sätt som användarvillkoren. Ändringar som krävs enligt lag eller beslut av en tillsynsmyndighet får göras med omedelbar verkan. Om biträdesavtalet och användarvillkoren strider mot varandra har biträdesavtalet företräde i frågor om behandling av personuppgifter.

15. Tillämplig lag

Svensk lag gäller för biträdesavtalet. Tvister avgörs på samma sätt som enligt användarvillkoren.

Detta biträdesavtal uppdaterades senast: 2026-09-28