Personuppgiftsbiträdesavtal (DPA)
Senast uppdaterad: 2026-04-08 · Gäller enligt GDPR artikel 28
1. Parter
Detta personuppgiftsbiträdesavtal ("DPA") ingås mellan Kunden (personuppgiftsansvarig) och Skattio AB, org.nr 559442-3146 (personuppgiftsbiträde). DPA:t utgör en del av användarvillkoren.
2. Föremål och varaktighet
Skattio behandlar personuppgifter för Kundens räkning i syfte att leverera tjänsten för skatteoptimering. DPA:t gäller så länge Kunden har ett aktivt konto.
3. Typ av personuppgifter
- Anställdas namn, löner och ersättningar (från Fortnox)
- Verifikationsdata som kan innehålla fysiska personers namn (t.ex. leverantörer)
- Företagsägarens kontaktuppgifter
4. Skattios skyldigheter
- Behandla personuppgifter endast enligt dokumenterade instruktioner från Kunden
- Säkerställa att personer med åtkomst har tystnadsplikt
- Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder (GDPR art. 32)
- Bistå Kunden vid begäran från registrerade (åtkomst, rättelse, radering)
- Informera Kunden inom 48 timmar vid personuppgiftsincident
- Radera eller återlämna alla personuppgifter vid avtalets slut
5. Underbiträden
Skattio använder följande godkända underbiträden:
- Supabase (databas, EU/Stockholm): infrastruktur
- Vercel (hosting, EU): applikationshosting
- Anthropic (AI): AI-analys av insikter (inga PII skickas till modellen)
- Resend (e-post, EU): transaktionell e-post
Skattio meddelar Kunden minst 30 dagar före byte eller tillägg av underbiträden.
6. Överföring utanför EU/EES
All primär lagring sker inom EU/EES. Eventuell överföring till tredjeland sker endast med adekvat skyddsnivå (Standard Contractual Clauses).
7. Revisioner
Kunden har rätt att genomföra revisioner av Skattios behandling högst en gång per år, med 30 dagars varsel. Skattio tillhandahåller dokumentation av säkerhetsåtgärder på begäran.
8. Ansvar
Ansvarsbegränsningar enligt användarvillkoren gäller även för DPA:t. Vardera part ansvarar för sin andel av eventuella administrativa sanktionsavgifter enligt GDPR.