Hoppa till innehållet
Boka möte
Accounto

Personuppgifts­biträdesavtal

Här står hur Accounto behandlar de personuppgifter som finns i ditt bolags underlag. Avtalet är en del av avtalet mellan ditt bolag och Accounto Sweden AB.

Version 1.1. Gäller från och med den 1 oktober 2026.

1. Parter och bakgrund

Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”) gäller mellan Kunden, som personuppgiftsansvarig, och Accounto Sweden AB, org.nr 559044-3353 (”Byrån”), som personuppgiftsbiträde.

Biträdesavtalet utgör en del av Avtalet enligt punkt 13 i de Allmänna villkoren och ingås samtidigt med dem. Det reglerar Byråns behandling av personuppgifter för Kundens räkning och uppfyller kraven i artikel 28 i Dataskyddsförordningen.

I fråga om behandling av personuppgifter för Kundens räkning gäller Biträdesavtalet före övriga handlingar i Avtalet.

2. Definitioner

Begrepp som personuppgifter, behandling, registrerad, personuppgiftsansvarig, personuppgiftsbiträde och personuppgiftsincident har samma betydelse som i Dataskyddsförordningen. Begrepp som skrivs med stor bokstav och inte definieras här har den betydelse som anges i de Allmänna villkoren. Därutöver avses med:

  • Dataskyddsförordningen: Europaparlamentets och rådets förordning (EU) 2016/679.
  • Tillämplig dataskyddslagstiftning: Dataskyddsförordningen, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och annan lagstiftning om skydd av personuppgifter som gäller för behandlingen.
  • Instruktionen: Biträdesavtalet med bilaga 1 och de skriftliga instruktioner som Kunden därutöver lämnar enligt punkt 4.
  • Underbiträde: ett annat personuppgiftsbiträde som Byrån anlitar för behandling av personuppgifter för Kundens räkning.

3. Behandlingens omfattning

Byrån är personuppgiftsbiträde för de personuppgifter som finns i Underlaget och i den räkenskapsinformation som Byrån upprättar, och som Byrån behandlar för att utföra Uppdraget. Behandlingens ändamål och art, kategorierna av registrerade och personuppgifter samt behandlingens varaktighet anges i bilaga 1.

Biträdesavtalet gäller inte behandling som Byrån utför för egna ändamål och som Byrån själv är personuppgiftsansvarig för. Det gäller bland annat identifiering vid inloggning i Tjänsten, kundkännedom enligt lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism, administration av Avtalet, fakturering och kommunikation med Kundens företrädare. Den behandlingen beskrivs i integritetspolicyn.

4. Kundens ansvar och instruktioner

  • Kunden ansvarar för att behandlingen har rättslig grund, för att de registrerade har fått den information som Dataskyddsförordningen kräver och för att Instruktionen är förenlig med Tillämplig dataskyddslagstiftning.
  • Kunden ska inte lämna fler personuppgifter i Underlaget än vad Uppdraget kräver, och ska särskilt undvika känsliga personuppgifter som inte behövs för bokföringen.
  • Kunden får lämna ytterligare skriftliga instruktioner genom Tjänsten eller per e-post. En instruktion som går utöver Uppdraget hanteras som ett utökat uppdrag enligt punkt 7 i de Allmänna villkoren.

5. Byråns åtaganden

Byrån ska:

  1. endast behandla personuppgifterna enligt Instruktionen, även i fråga om överföring till tredjeland, om inte behandlingen krävs enligt unionsrätten eller svensk rätt. Byrån ska i så fall informera Kunden om det rättsliga kravet innan behandlingen påbörjas, om inte sådan information är förbjuden enligt lag,
  2. omedelbart informera Kunden om Byrån anser att en instruktion strider mot Tillämplig dataskyddslagstiftning,
  3. säkerställa att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt,
  4. vidta de åtgärder som krävs enligt artikel 32 i Dataskyddsförordningen, enligt punkt 6,
  5. anlita Underbiträden endast enligt punkt 7,
  6. med hänsyn till behandlingens art bistå Kunden med att fullgöra Kundens skyldighet att svara på begäran om utövande av de registrerades rättigheter. En begäran som når Byrån vidarebefordras till Kunden utan onödigt dröjsmål, och Byrån besvarar den inte själv om inte Kunden har instruerat det,
  7. bistå Kunden med att fullgöra skyldigheterna enligt artiklarna 32 till och med 36 i Dataskyddsförordningen, med beaktande av typen av behandling och den information som Byrån har tillgång till,
  8. radera eller återlämna personuppgifterna enligt punkt 10,
  9. ge Kunden tillgång till den information som krävs för att visa att skyldigheterna i artikel 28 i Dataskyddsförordningen har fullgjorts, och möjliggöra och bidra till granskningar enligt punkt 11,
  10. föra en förteckning över den behandling som utförs för Kundens räkning enligt artikel 30.2 i Dataskyddsförordningen, och
  11. på begäran samarbeta med Integritetsskyddsmyndigheten.

Bistånd enligt 6, 7 och 9 som går utöver vad som ingår i Uppdraget debiteras enligt gällande timarvode, om inte behovet av biståndet beror på att Byrån har brutit mot Biträdesavtalet.

6. Säkerhet

Byrån ska skydda personuppgifterna med lämpliga tekniska och organisatoriska åtgärder, med hänsyn till den senaste utvecklingen, kostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerades rättigheter och friheter. De åtgärder som minst ska tillämpas anges i bilaga 2. Byrån får ändra åtgärderna om skyddsnivån inte sänks.

7. Underbiträden

  • Kunden lämnar genom Biträdesavtalet ett allmänt skriftligt förhandstillstånd till att Byrån anlitar Underbiträden. De Underbiträden som anlitas när Biträdesavtalet ingås anges i bilaga 3.
  • Byrån ska informera Kunden om planerade tillägg eller ersättningar av Underbiträden minst trettio (30) dagar i förväg, enligt punkt 23 i de Allmänna villkoren. Kunden får under den tiden invända mot ändringen på sakliga grunder. Kan parterna inte enas har Kunden rätt att säga upp Avtalet till den dag ändringen genomförs.
  • Byrån ska ingå skriftligt avtal med varje Underbiträde som ålägger Underbiträdet samma skyldigheter i fråga om dataskydd som gäller för Byrån enligt Biträdesavtalet, i synnerhet att ge tillräckliga garantier om säkerhetsåtgärder.
  • Byrån ansvarar fullt ut gentemot Kunden för att Underbiträdet fullgör sina skyldigheter.

8. Överföring till tredjeland

Personuppgifter får överföras till ett land utanför EU/EES endast om villkoren i kapitel V i Dataskyddsförordningen är uppfyllda, till exempel genom ett beslut av EU-kommissionen om adekvat skyddsnivå eller genom EU-kommissionens standardavtalsklausuler. De överföringar som förekommer när Biträdesavtalet ingås, och skyddsåtgärden för var och en, anges i bilaga 3.

9. Personuppgiftsincidenter

  • Byrån ska underrätta Kunden om en personuppgiftsincident utan onödigt dröjsmål, och senast trettiosex (36) timmar efter att Byrån har fått kännedom om den.
  • Underrättelsen ska, i den mån uppgifterna finns tillgängliga, beskriva incidentens art, kategorierna av och det ungefärliga antalet registrerade och personuppgiftsposter, de sannolika konsekvenserna samt de åtgärder som har vidtagits eller föreslås. Uppgifter som inte finns tillgängliga vid underrättelsen lämnas så snart de blir kända.
  • Byrån ska dokumentera incidenten och ge Kunden den information Kunden behöver för att anmäla incidenten till Integritetsskyddsmyndigheten och informera de registrerade. Byrån anmäler inte incidenten till myndigheten för Kundens räkning, om inte Kunden har begärt det.

10. Radering och återlämnande

  • När Avtalet upphör lämnas Kundens material ut enligt punkt 20 i de Allmänna villkoren.
  • Byrån bevarar därefter räkenskapsinformationen för Kundens räkning under den tid som anges i punkt 20 i de Allmänna villkoren, om inte Kunden begär att den i stället ska återlämnas och raderas. När tiden har löpt ut raderas personuppgifterna, även kopior.
  • Personuppgifter som Byrån enligt lag är skyldig att bevara för egen räkning omfattas inte av denna punkt.
  • Byrån ska på begäran skriftligen bekräfta att raderingen har skett.

11. Information och granskning

  • Byrån ska på begäran ge Kunden den information som behövs för att visa att Biträdesavtalet följs.
  • Kunden, eller en oberoende granskare som Kunden utser och som omfattas av sekretess, får granska att Byrån följer Biträdesavtalet. Granskningen ska meddelas minst trettio (30) dagar i förväg, genomföras under normal arbetstid utan att i onödan störa verksamheten och får ske högst en gång per kalenderår, om inte en personuppgiftsincident eller ett krav från en tillsynsmyndighet motiverar ytterligare granskning.
  • Byrån får fullgöra skyldigheten genom intyg, rapporter eller certifieringar, även från Underbiträden, när de ger tillräcklig information.
  • Kunden bär sina egna kostnader för granskningen och ersätter Byråns arbete enligt gällande timarvode, om inte granskningen visar att Byrån i väsentlig mån har brutit mot Biträdesavtalet.

12. Ansvar

Mellan parterna gäller ansvarsbegränsningen i punkt 15 i de Allmänna villkoren även för skada till följd av behandling av personuppgifter, i den mån Tillämplig dataskyddslagstiftning medger det. Begränsningen påverkar inte en registrerads rätt till ersättning enligt artikel 82 i Dataskyddsförordningen. Administrativa sanktionsavgifter bärs av den part som de har påförts.

13. Avtalstid

Biträdesavtalet gäller så länge Avtalet gäller, och därefter så länge Byrån behandlar personuppgifter för Kundens räkning.

14. Ändringar

Biträdesavtalet ändras på det sätt som anges i punkt 24 i de Allmänna villkoren. Ändringar som krävs för att följa Tillämplig dataskyddslagstiftning eller beslut av en tillsynsmyndighet kan träda i kraft omedelbart.

15. Tillämplig lag och tvistelösning

För Biträdesavtalet gäller punkt 27 i de Allmänna villkoren.

Bilaga 1. Instruktion för behandlingen

Ändamål. Att utföra Uppdraget enligt Avtalet, det vill säga löpande bokföring, avstämning, årsbokslut, årsredovisning, inkomstdeklaration och de tjänster som i övrigt ingår enligt uppdragsbekräftelsen, och att lagra Underlaget i Tjänsten.

Behandlingar. Mottagande av Underlag genom Tjänsten eller på annat avtalat sätt, lagring, sortering, registrering i bokföringen, sammanställning, ingivning till Bolagsverket och Skatteverket, överlämning vid byte av byrå och radering.

Kategorier av registrerade:

  • Kundens styrelseledamöter, verkställande direktör, aktieägare och andra företrädare, i den mån de förekommer i Underlaget
  • Fysiska personer som är Kundens leverantörer, kunder eller andra motparter, och kontaktpersoner hos dessa
  • Andra personer som förekommer i verifikat, avtal och bolagshandlingar

Kategorier av personuppgifter:

  • Namn, adress och kontaktuppgifter
  • Personnummer och samordningsnummer, när de förekommer i Underlaget
  • Bankkontonummer och uppgifter om transaktioner i kontoutdrag
  • Uppgifter om köp, fakturor och betalningar
  • Uppgifter om lån, utdelning, ägartillskott och andra transaktioner med ägare och närstående
  • Uppgifter i avtal, aktiebok och andra bolagshandlingar

Känsliga personuppgifter och uppgifter om lagöverträdelser. Behandlas inte avsiktligt. Sådana uppgifter kan förekomma i enstaka verifikat, till exempel ett kvitto från en vårdgivare, och behandlas då endast i den mån bokföringen kräver det.

Varaktighet. Så länge Uppdraget pågår och därefter enligt punkt 10.

Plats. Underlaget och bokföringen lagras i Sverige. Övrig behandling sker inom EU/EES, med de undantag som anges i bilaga 3.

Bilaga 2. Säkerhetsåtgärder

Byrån tillämpar minst följande åtgärder:

  • Inloggning. Kunder loggar in i Tjänsten med BankID. Personal loggar in med en egen inloggning som är skild från kundernas och som kräver mer än ett lösenord.
  • Behörighet. Endast personal som arbetar i Uppdraget har åtkomst till Kundens personuppgifter. Åtkomsten begränsas till vad arbetet kräver, och det loggas vem som har öppnat vilket bolag.
  • Överföring. All trafik till och från Tjänsten är krypterad, och webbläsare som har besökt Tjänsten tvingas använda krypterad anslutning.
  • Sessioner. Inloggningen hålls med kakor som inte kan läsas av skript på sidan, som är låsta till Tjänstens domän och som gäller i högst åtta timmar.
  • Skydd mot skadlig kod. Tjänstens innehållspolicy hindrar sidorna från att köra kod från andra källor. Filer som laddas upp kontrolleras till typ, storlek och innehåll och sparas under namn som Byrån genererar.
  • Lagring. Personuppgifter lagras krypterade på en server i Sverige, med säkerhetskopior på ett andra ställe i Sverige som skyddas på samma sätt.
  • Enheter. Datorer och telefoner som används i Uppdraget är låsta med lösenord eller biometri och har krypterad lagring.
  • Personal. Den som arbetar i Uppdraget omfattas av sekretess och utbildas i dataskydd.
  • Incidenter. Personuppgiftsincidenter hanteras enligt en skriftlig rutin.
  • Radering. Personuppgifter raderas enligt punkt 10.

Bilaga 3. Underbiträden

  • Cloudflare, Inc., USA. Drift av webbplatsen, nätverk och skydd mot angrepp. Överföring till USA sker med stöd av EU:s ramverk för dataskydd mellan EU och USA, och annars med EU-kommissionens standardavtalsklausuler.
  • Hostup AB, 559290-1325, Sverige. Server för Tjänsten, där Underlaget och bokföringen lagras krypterade, i datacentret i Älvsjö. Behandlingen sker i Sverige.
  • Adminor AB, 556227-6351, Sverige. Förvaring av krypterade säkerhetskopior av Underlaget och bokföringen, i ett datacenter i Stockholm. Behandlingen sker i Sverige.
  • Google (Google Workspace). Kommunikation med Kunden när Underlag eller frågor skickas per e-post. Överföring till USA kan ske, med stöd av EU:s ramverk för dataskydd mellan EU och USA, och annars med EU-kommissionens standardavtalsklausuler.