Person­uppgifts­biträdes­avtal

Det här avtalet gäller när ett företag eller en organisation använder ContoAI för bokföring, fakturering, lön, moms och bokslut. Kunden bestämmer ändamålen med och medlen för behandlingen. ContoAI behandlar uppgifterna för kundens räkning och enligt kundens instruktioner.

Version 1.0 · Gäller från 28 oktober 2026

1. Parter och bakgrund

• Personuppgiftsansvarig är den kund som använder ContoAI: det företag eller den organisation vars bokföring ContoAI behandlar (kunden).
• Om kunden är en redovisningsbyrå som för en klients bokföring i ContoAI är klienten personuppgiftsansvarig, byrån personuppgiftsbiträde och ContoAI byråns underbiträde. Byrån ansvarar då för att ha ett personuppgiftsbiträdesavtal med klienten som tillåter att ContoAI anlitas. När kunden är en redovisningsbyrå är byrån kunden enligt det här avtalet, och underrättelser enligt punkterna 8 och 11 skickas till byrån och till klientbolagets Ägare i ContoAI.
• Personuppgiftsbiträde är ContoAI AB, org.nr 559164-8208, [postadress].
• Kontakt i personuppgiftsfrågor: support@contoai.se.
• ContoAI AB håller på att byta namn från RE Equity Partners AB. Till dess att namnbytet är registrerat kan Bolagsverkets register visa det tidigare namnet, med samma organisationsnummer.
• Avtalet gäller för varje bolag som använder ContoAI och är det skriftliga avtal som GDPR artikel 28.3 kräver. Det kan ingås elektroniskt (artikel 28.9).

2. Definitioner

Med GDPR menas Europaparlamentets och rådets förordning (EU) 2016/679 (dataskyddsförordningen). Personuppgift, registrerad, behandling, personuppgiftsansvarig, personuppgiftsbiträde, personuppgiftsincident och tillsynsmyndighet har samma betydelse som i GDPR. Med underbiträde menas ett annat personuppgiftsbiträde som ContoAI anlitar enligt artikel 28.4 i GDPR. Tillsynsmyndighet i Sverige är Integritetsskyddsmyndigheten (IMY). Med dataskyddsbestämmelser menas GDPR, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och annan tillämplig lag om dataskydd.

Med räkenskapsinformation menas detsamma som i 1 kap. 2 § bokföringslagen (1999:1078). Med tjänsten menas ContoAI med appen, AI-chatten och AI-anslutningarna.

3. Föremål, varaktighet, art och ändamål

• Föremål: kundens bokföring, fakturering, lön, moms- och skatteredovisning, bokslut och årsredovisning, läsning av underlag, AI-chatten och lagring av räkenskapsinformation.
• Ändamål: att utföra de tjänster kunden använder.
• Art: lagring, strukturering, automatisk läsning av underlag, matchning, beräkning, framställning av rapporter och filer, en AI-chatt som svarar på kundens egna uppgifter och mottagning av e-post till bolagets egen adress.
• Varaktighet: under avtalstiden. Räkenskapsinformation bevaras därefter för kundens räkning under den tid som anges i punkt 14.

4. Kategorier av registrerade och personuppgifter

5. Instruktioner och kundens ansvar

ContoAI ska behandla personuppgifterna endast enligt kundens dokumenterade instruktioner, även när det gäller överföring till ett land utanför EU/EES. Kundens instruktioner är det här avtalet, de inställningar kunden gör i tjänsten och de åtgärder som kundens användare utför i tjänsten. ContoAI ska se till att den som arbetar under ContoAIs ledning bara behandlar uppgifterna enligt dessa instruktioner.

ContoAI ska inte behandla personuppgifterna för egna ändamål. Varken ContoAI eller något underbiträde får använda dem för att träna AI-modeller. Det enda undantaget från det första är en felrapport som en användare själv väljer att skicka till ContoAI. Kunden godkänner att uppgifter i en sådan felrapport lämnas till ContoAI som personuppgiftsansvarig för att rätta fel i tjänsten (punkt 9), och ansvarar för att det har stöd i kundens egen rättsliga grund.

Om unionsrätten eller svensk rätt kräver att ContoAI behandlar uppgifterna på annat sätt, ska ContoAI informera kunden om det rättsliga kravet innan behandlingen sker, om inte lagen förbjuder det av hänsyn till ett viktigt allmänintresse.

Om ContoAI anser att en instruktion strider mot GDPR eller mot andra dataskyddsbestämmelser i unionsrätten eller svensk rätt, ska ContoAI omedelbart informera kunden.

När kunden själv kopplar in en extern AI-assistent är det kundens instruktion. Överföringen till den leverantören sker på kundens begäran och regleras i punkt 12.

Kunden ansvarar för att behandlingen har en rättslig grund och för att informera de registrerade, till exempel de anställda, om behandlingen. Kunden ansvarar också för att instruktionerna till ContoAI följer GDPR och annan tillämplig lag, och för att bara föra in de personuppgifter i tjänsten som behövs för ändamålen i punkt 3.

Kunden har rätt att ge ContoAI instruktioner om behandlingen, att få den information som anges i punkt 15 och att granska behandlingen enligt samma punkt.

6. Konfidentialitet

ContoAI ska se till att varje person som har behörighet att behandla personuppgifterna, hos ContoAI eller hos ett underbiträde, skriftligen har åtagit sig att iaktta konfidentialitet eller omfattas av en lagstadgad tystnadsplikt. Åtagandet ska gälla även efter att personens anställning eller uppdrag har upphört.

Bara den som har lagts till som användare i ett bolag i ContoAI kommer åt bolagets bokföring i appen. Det finns ingen superanvändare i appen. ContoAIs administratörer hanterar användarkonton, inte bolagens bokföring.

ContoAIs driftpersonal har teknisk åtkomst till molnmiljön och inloggningstjänsten. Den åtkomsten får bara användas för drift, felsökning och säkerhet. Läsningar direkt i databasen loggas inte i dag.

7. Säkerhet

ContoAI ska vidta alla tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i GDPR. Åtgärderna beskrivs på sidan Säkerhet och arkivering. ContoAI får ändra åtgärderna, men inte så att skyddsnivån blir lägre. De viktigaste åtgärderna i dag:

• All data krypteras i vila med nycklar i AWS KMS och under överföring med TLS, även mellan tjänsterna och mot databasen. Personnummer krypteras dessutom var för sig i applikationen.
• Åtkomst styrs av medlemskap och roll i varje bolag.
• Ändringar i appen kräver en session som har verifierats med en engångskod via sms. En AI-anslutning kräver samma verifiering när den skapas.
• Behandlingshistoriken går inte att ändra, och bokförda verifikat kan aldrig ändras.
• Varje underlag som laddas upp, och varje underlag som kommer in med e-post och kopplas till ett verifikat, låses i lagringen. Låset förlängs automatiskt. Det finns ingen funktion i tjänsten för att radera räkenskapsinformation.
• Databasen säkerhetskopieras löpande och kan återställas till valfri tidpunkt de senaste 14 dagarna. Underlagen kopieras till en separat, låst lagring.
• Beroenden och containeravbildningar genomsöks automatiskt efter kända sårbarheter.

Bokföringen, underlagen och säkerhetskopian lagras hos AWS i Stockholm.

ContoAI redovisar också gränserna: databasen körs i ett enda tillgänglighetsområde, säkerhetskopian av underlagen finns i samma AWS-konto och region som originalen, en återställning har inte testats i produktion och inget penetrationstest har gjorts. ContoAI är inte certifierat enligt någon säkerhetsstandard.

8. Underbiträden

Kunden ger ContoAI ett allmänt skriftligt förhandstillstånd att anlita underbiträden för den behandling som beskrivs i det här avtalet. Kunden godkänner de underbiträden som står i förteckningen över underbiträden när avtalet ingås. Förteckningen är en del av avtalet och är fullständig för de personuppgifter som hör till kundens bokföring.

ContoAI ska informera kunden innan ContoAI anlitar ett nytt underbiträde eller ersätter ett underbiträde. Informationen ska skickas med e-post till bolagets Ägare i ContoAI, och till byrån när kunden är en redovisningsbyrå. Den publiceras också i förteckningen minst 30 dagar innan underbiträdet börjar behandla kundens personuppgifter.

Kunden får invända mot ändringen skriftligen till support@contoai.se innan varseltiden har gått ut. Om parterna inte kommer överens får kunden säga upp avtalet för den berörda tjänsten.

ContoAI ska genom avtal ålägga varje underbiträde skyldigheter i fråga om dataskydd som ger minst samma skydd som det här avtalet (artikel 28.4 i GDPR), särskilt att vidta lämpliga tekniska och organisatoriska åtgärder. Om ett underbiträde inte fullgör sina skyldigheter ska ContoAI vara fullt ansvarigt gentemot kunden för underbiträdets behandling.

9. Överföring till tredje land

ContoAI ska lagra och behandla kundens personuppgifter inom EU/EES. Bokföringen, underlagen och läsningen av underlag finns hos AWS i Stockholm, och AI-chatten behandlas i AWS-regioner inom EU.

ContoAI ska inte överföra kundens personuppgifter till ett land utanför EU/EES utan stöd i kapitel V i GDPR. AWS är inställt så att kundens uppgifter bara lagras och behandlas i EU-regioner. Om AWS ändå skulle överföra uppgifter utanför EES gäller standardavtalsklausulerna i AWS personuppgiftsbiträdesavtal.

Uppgifter kan lämna EU/EES i två fall:

• När kunden kopplar en egen AI-assistent till ContoAI lämnas uppgifter ut till den leverantör kunden har valt, som ofta finns i USA. Det sker på kundens instruktion och regleras i punkt 12.
• När en användare själv skickar en felrapport får GitHub och Anthropic i USA en rensad kopia. GitHub lagrar den som ett ärende i ContoAIs kodförråd. Personnummer, samordningsnummer, organisationsnummer, e-postadresser, telefonnummer, IBAN, konto- och kortnummer, tokens och nycklar tas bort, och rapportören visas som en pseudonym. Företagsnamn, belopp och faktura- och verifikationsnummer finns kvar, liksom namn som användaren själv skriver i texten. Skärmbilder lämnar aldrig ContoAI. ContoAI behandlar felrapporten som personuppgiftsansvarig, inte enligt det här avtalet. Överföringen sker med stöd av EU–US Data Privacy Framework, där GitHub, Inc. är certifierat, eller EU-kommissionens standardavtalsklausuler i Anthropics Commercial Terms.

10. Bistånd till den personuppgiftsansvarige

ContoAI ska, med hänsyn till behandlingens art och genom lämpliga tekniska och organisatoriska åtgärder, hjälpa kunden att svara på begäranden från registrerade som vill använda sina rättigheter enligt kapitel III i GDPR. En begäran som kommer till ContoAI ska ContoAI skicka vidare till kunden utan onödigt dröjsmål. ContoAI svarar inte själv den registrerade.

I dag kan kunden exportera bokföringen som SIE4 per räkenskapsår, hämta PDF-rapporter och revisionspaketet med rapporter, verifikationslista och, om kunden väljer det, underlagen till årets verifikat, och hämta varje dokument för sig via API:et. Det finns ingen funktion för att hämta alla dokument på en gång och ingen färdig funktion för registerutdrag.

Uppgifter om kunder, leverantörer och anställda kan rättas i appen. Ett bokfört verifikat rättas med ett nytt verifikat enligt bokföringslagen, och det ursprungliga finns kvar. Räkenskapsinformation kan inte raderas under bevarandetiden (artikel 17.3 b i GDPR och 7 kap. bokföringslagen). Om kunden behöver hjälp med en begäran som inte går att hantera i appen skriver kunden till support@contoai.se.

ContoAI ska, med hänsyn till behandlingens art och den information ContoAI har tillgång till, bistå kunden med att fullgöra skyldigheterna i artiklarna 32–36 i GDPR: säkerhet, anmälan av personuppgiftsincidenter, information till registrerade, konsekvensbedömning och förhandssamråd med IMY. ContoAI för ett register över den behandling som utförs för kundens räkning (artikel 30.2), en dataklassificering och en systemdokumentation enligt BFNAR 2013:2 kapitel 9, och lämnar dem till kunden på begäran.

11. Personuppgiftsincidenter

ContoAI ska underrätta kunden om en personuppgiftsincident utan onödigt dröjsmål efter att ContoAI har fått vetskap om den, och senast inom 48 timmar. Underrättelsen ska skickas med e-post till bolagets Ägare i ContoAI, och till byrån när kunden är en redovisningsbyrå.

Underrättelsen ska, i den mån ContoAI känner till det, innehålla:

• vad som har hänt, vilka kategorier av registrerade och personuppgifter som berörs och ungefär hur många,
• de sannolika följderna,
• vilka åtgärder ContoAI har vidtagit eller föreslår,
• en kontaktperson hos ContoAI.

Om allt inte är känt direkt ska ContoAI lämna informationen i omgångar, utan onödigt ytterligare dröjsmål.

Kunden ansvarar för att anmäla incidenten till IMY utan onödigt dröjsmål och om möjligt inom 72 timmar efter att kunden har fått vetskap om den, om det inte är osannolikt att incidenten medför en risk för de registrerade. Kunden ansvarar också för att informera de registrerade om incidenten sannolikt leder till en hög risk för dem (artiklarna 33 och 34 i GDPR). ContoAI ska bistå kunden med den information som behövs.

12. AI-funktioner

ContoAI använder AI för två saker: för att läsa underlag och för chatten i appen.

Underlag läses i dag av modellen Qwen3 VL via Amazon Bedrock i Stockholm. Bedrock är inställt så att inga uppgifter sparas där efter läsningen. Högst tre sidbilder skickas per dokument.

Chatten körs på Anthropic Claude via Amazon Bedrock inom EU. Modellen ser det användaren skriver, bokföringsuppgifter som verktygen hämtar och förslag i Beslutskön. Innehållet i underlag maskeras: chatten får bara en bilagas id-nummer, filtyp och storlek.

Löneuppgifter kan nå modellen via löneverktygen.

Enligt AWS:s villkor används innehållet inte för att träna modeller, och leverantörerna av modellerna har ingen åtkomst till det. För läsningen av underlag är det inställt så att inget sparas hos Bedrock. För chatten är det inte bekräftat att inget sparas hos AWS: i Milano och Spanien uppger AWS att prompter kan sparas för att upptäcka missbruk. Båda regionerna ligger inom EU.

Chatthistoriken och det som tolkningen har läst ut ur underlagen är en del av bokföringens behandlingshistorik. ContoAI bevarar den för kundens räkning under bevarandetiden enligt punkt 14. Under avtalstiden går den inte att ändra eller radera i tjänsten.

När kunden kopplar en egen AI-assistent till ContoAI (en AI-anslutning), till exempel Claude eller ChatGPT, är det kundens instruktion att lämna ut uppgifter till den leverantör kunden har valt. En AI-anslutning kan bara göras om bolagets Ägare har tillåtit AI-assistenter, och assistenten får aldrig mer behörighet än personens roll. Assistenten kan läsa allt som personen kan se i de anslutna bolagen, även löner, personnummer och underlag. Leverantören finns ofta i USA. Kunden är personuppgiftsansvarig för utlämnandet och ansvarar för att ha ett eget avtal med leverantören och, vid överföring utanför EU/EES, en giltig överföringsgrund. Leverantören är inte underbiträde till ContoAI.

13. E-postinsamling av underlag

Varje bolag får en egen adress för underlag. ContoAI läser aldrig i kundens brevlåda, bara det som skickas eller vidarebefordras till den adressen.

Det råa mejlet sparas i 60 dagar. Mottagningsposten – avsändarens adress och domän, ämnesraden och kontrollresultaten – sparas i 90 dagar efter ankomsten. Metadata för mejl som inte blev underlag sparas i 13 månader.

Filen till ett insamlat underlag som aldrig blir en del av bokföringen raderas efter 120 dagar, eller 7 dagar efter att det har avfärdats. Den text som tolkningen har läst ut ur filen är en del av behandlingshistoriken och bevaras enligt punkt 14. När underlaget kopplas till ett verifikat omfattas även filen av bevarandet i punkt 14.

Adressen innehåller en slumpad kod som skyddar mot skräppost. Koden är inte ett lösenord: den som känner till adressen kan skicka underlag till den.

14. Radering och återlämnande

När avtalet upphör bevarar ContoAI räkenskapsinformationen och den behandlingshistorik som hör till bokföringen, inklusive chatthistoriken och det som tolkningen har läst ut ur underlagen, för kundens räkning under bevarandetiden. Det följer av att kunden är skyldig att bevara räkenskapsinformationen enligt 7 kap. 2 § bokföringslagen. ContoAI bevarar den till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades, och alltid minst sju år efter bokslutet. Filerna är låsta mot radering i tjänsten, och ContoAI raderar dem inte i förtid. Övriga personuppgifter återlämnas eller raderas på kundens begäran. Det här avtalet fortsätter att gälla för den behandlingen.

Återlämnandet sker i dag genom de exporter som finns: SIE4 per räkenskapsår, revisionspaketet och varje dokument för sig. Det finns ingen funktion för att hämta alla dokument på en gång, och exporterna omfattar inte alla personuppgifter i tjänsten, till exempel inte chatthistoriken. ContoAI har ingen funktion för att radera eller lämna över ett helt bolag, och inga bolag raderas i tjänsten.

Under bevarandetiden kan kunden begära ut arkivet via support@contoai.se. Har kunden gått i konkurs eller likvidation kan konkursförvaltaren eller likvidatorn göra det, och har en enskild näringsidkare avlidit kan dödsboet göra det. Övriga personuppgifter återlämnas eller raderas på kundens begäran enligt första stycket.

15. Granskning och information

ContoAI ska ge kunden tillgång till all information som behövs för att visa att ContoAI fullgör sina skyldigheter enligt det här avtalet och artikel 28 i GDPR, bland annat registret över behandlingen.

ContoAI ska möjliggöra och bidra till granskningar, även inspektioner, som kunden eller en revisor som kunden har utsett genomför. Kunden kan i första hand granska skriftlig dokumentation som ContoAI lämnar. Om den inte räcker för att visa att avtalet följs har kunden rätt att göra en inspektion. Den som granskar ska ha tystnadsplikt. Granskning av AWS sker genom AWS egna revisionsrapporter från oberoende granskare.

ContoAI ska på begäran samarbeta med IMY (artikel 31 i GDPR).

16. Ansvar

Parternas ansvar gentemot den som har lidit skada följer artikel 82 i GDPR. Om en part har betalat full ersättning för en skada som båda parter är ansvariga för, har den parten rätt att kräva tillbaka den del som motsvarar den andra partens ansvar (artikel 82.5).

Om ContoAI bryter mot GDPR genom att själv bestämma ändamålen med och medlen för en behandling, är ContoAI personuppgiftsansvarig för den behandlingen (artikel 28.10 i GDPR).

17. Giltighet och ändringar

Avtalet gäller så länge ContoAI behandlar personuppgifter för kunden.

Det gäller för varje bolag som använder ContoAI och kan ingås elektroniskt (artikel 28.9 i GDPR).

ContoAI meddelar ändringar i avtalet med e-post till bolagets Ägare i ContoAI innan de börjar gälla. En ändring som krävs enligt lag eller beslut av en myndighet får gälla tidigare. Ändringar i förteckningen över underbiträden följer punkt 8.

Version 1.0 · Gäller från 28 oktober 2026