Personuppgiftsbiträdesavtal

Diffa tillhandahålls av Sliti & Klay Group AB, org.nr 559524-2891, Remigatan 41, 261 45 Landskrona. I det här avtalet är Sliti & Klay Group AB “Diffa”, “vi” eller “biträdet”. “Du” är det företag som använder Diffa och är personuppgiftsansvarig för sin bokföringsdata.

Avtalet gäller som en bilaga till Diffas allmänna villkor från den dag du börjar använda Diffa. Det behöver inte skrivas under. Det uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR).

1. Parter och roller

Du är personuppgiftsansvarig för den bokföringsdata Diffa behandlar åt dig. Diffa är personuppgiftsbiträde. För uppgifterna om ditt konto, för faktureringen och för supporten är Diffa i stället självt ansvarigt. Det beskrivs i integritetspolicyn och omfattas inte av det här avtalet.

Är du redovisningsbyrå som använder Diffa åt klientföretag är klientföretaget ansvarigt, du biträde och Diffa underbiträde. Du ansvarar för att ditt avtal med klientföretaget tillåter att Diffa anlitas på de villkor som står här.

2. Instruktion

Diffa behandlar personuppgifter bara enligt dina dokumenterade instruktioner. Instruktionen är de allmänna villkoren, det här avtalet och de inställningar du gör i tjänsten: vilka källor du kopplar, vilka konton du godkänner, när du slår på bokföringen.

Anser Diffa att en instruktion strider mot dataskyddsförordningen eller annan lag säger vi till innan vi följer den. Kräver lagen att Diffa behandlar uppgifter på annat sätt informerar vi dig i förväg, om lagen tillåter det.

3. Vad som behandlas

Behandlingen omfattar den data som behövs för att bokföra dina plattformsutbetalningar.

• Registrerade: dina kunder och motparter på plattformarna, i den mån ett id, ett land eller ett belopp kan knytas till en person, samt de användare du ger tillgång till Diffa.
• Uppgifter: plattformarnas id:n för utbetalningar, ordrar eller avgifter, belopp, valuta, land, momsuppgifter och bokföringssystemets verifikat. Namn, adress, e-post, telefon och kortuppgifter om dina kunder tas bort innan något sparas.
• Ändamål: att hämta underlag, kontera, bokföra i ditt bokföringssystem, stämma av och bevara underlagen.
• Plats: Sverige (Google Cloud, Stockholm), med undantagen i punkt 7.
• Varaktighet: under avtalstiden och därefter enligt punkt 12.

4. Diffas skyldigheter

Diffa behandlar uppgifterna med sekretess och bara för ditt ändamål. De personer som arbetar med uppgifterna är bundna av sekretess. Diffa hjälper dig att uppfylla dina skyldigheter enligt punkterna 9 och 10. Diffa ger dig också den information som behövs för att visa att avtalet följs.

5. Begränsning

Diffa säljer, hyr ut eller delar aldrig din data eller personuppgifter med tredje part för dennes egna ändamål. Uppgifterna används inte för reklam eller profilering. De lämnas bara till underbiträden enligt punkt 6, till den plattform eller det bokföringssystem du själv kopplat och när lag eller myndighetsbeslut kräver det.

6. Underbiträden

Diffa får anlita underbiträden för behandlingen. Vilka de är, vad de gör, var de finns och på vilken grund uppgifter överförs står på sidan Underbiträden. I dag är det Google Cloud för driften, Google (Firebase) för inloggningen, Resend för e-post, Stripe för faktureringen, OpenAI för Fråga Diffa och Cloudflare för diffa.se.

Vill vi byta eller lägga till ett underbiträde meddelar vi dig per e-post 30 dagar i förväg. Du får invända inom 30 dagar. Invänder du på saklig grund avstår vi från bytet eller låter dig säga upp den del av tjänsten som berörs, utan kostnad för den tid som återstår.

Diffa ingår skriftliga avtal med varje underbiträde som ger minst samma skydd som det här avtalet. Diffa svarar mot dig för underbiträdets arbete.

7. Överföringar utanför EU

Bokföringsdata lagras i Sverige. Överföring utanför EU/EES sker bara när ett underbiträde kräver det, med EU-kommissionens standardavtalsklausuler eller en annan grund som dataskyddsförordningen tillåter. Du ger Diffa mandat att ingå standardavtalsklausuler för din räkning med sådana underbiträden.

I dag gäller det Google (Firebase) för inloggningen, OpenAI för Fråga Diffa och Cloudflare för diffa.se. Vad som skickas till OpenAI står i integritetspolicyn: aldrig namn, organisationsnummer, belopp eller nycklar.

8. Säkerhet

Diffa skyddar uppgifterna med tekniska och organisatoriska åtgärder som motsvarar risken. Dit hör kryptering i vila liksom under överföring, nyckelhantering i Cloud KMS där nycklarna aldrig lämnar tjänsten, åtkomstkontroll med minsta möjliga behörighet, loggning av åtkomst till kunddata, dataminimering vid källan, skilda miljöer för test respektive produktion. Åtgärderna beskrivs på sidan Säkerhet och uppdateras när tjänsten utvecklas, utan att skyddet sänks.

9. Personuppgiftsincidenter

Upptäcker Diffa en personuppgiftsincident som rör dina uppgifter meddelar vi dig utan onödigt dröjsmål, med mål inom 48 timmar efter upptäckten. Meddelandet beskriver vad som hänt, vilka uppgifter samt registrerade som berörs så långt det är känt, vilka följder det kan få och vad vi gör åt det. Det du behöver för att anmäla till Integritetsskyddsmyndigheten inom 72 timmar får du av oss.

10. Bistånd

Diffa hjälper dig att svara de registrerade när någon begär tillgång, rättelse, radering, begränsning, flytt eller invänder, i den mån svaret kräver uppgifter som Diffa har. Diffa hjälper också till vid konsekvensbedömningar och vid förhandssamråd med tillsynsmyndigheten. Kräver bistånd omfattande arbete får Diffa ta betalt till självkostnad.

11. Revision

Du har rätt att kontrollera att avtalet följs, en gång per år, med 30 dagars varsel. Först får du dokumentation samt de rapporter och intyg Diffa har. Räcker det inte får du eller en revisor som Diffa godkänner, bunden av sekretess, granska på plats, på vardagar och utan att störa driften. Du står kostnaden för revisionen. Kräver tillsynsmyndigheten en granskning sker den enligt myndighetens beslut.

12. När avtalet upphör

När avtalet med dig upphör raderar Diffa personuppgifterna inom 90 dagar, utom det som lag kräver att vi behåller och de underlag bakom verifikat som bevaras till 31 december det åttonde året efter verifikatets år enligt de allmänna villkoren. Säkerhetskopior skrivs över enligt sin rotation. Innan raderingen får du ut din data enligt punkt 12 i de allmänna villkoren. På begäran intygar vi raderingen skriftligen.

13. Byte av biträde

Tas verksamheten Diffa över av ett annat bolag får det bolaget träda in som biträde i Diffas ställe, på villkoren här. Vi meddelar dig i förväg, enligt punkt 19 i de allmänna villkoren.

14. Ansvar och lag

Ansvarsbegränsningen i de allmänna villkoren gäller också för det här avtalet, utom där dataskyddsförordningen inte tillåter att ansvaret begränsas. Svensk lag gäller. Tvister avgörs enligt de allmänna villkoren.

Frågor om avtalet skickas till support@diffa.se.