Underbiträden
Här listar vi de leverantörer som ContoAI anlitar för att behandla ditt företags personuppgifter när du använder ContoAI. En sådan leverantör kallas underbiträde. ContoAI ska ålägga varje underbiträde skyldigheter i fråga om dataskydd som ger minst samma skydd som i personuppgiftsbiträdesavtalet, och den här förteckningen är en del av avtalet. Med du menas kunden och med vi ContoAI AB, som i avtalet.
Ditt företags bokföring och underlag lagras och läses inom EU. Uppgifterna lämnar EU bara om du kopplar en egen AI-assistent till en leverantör utanför EU, eller om någon i ditt företag skickar en felrapport (se Mottagare för ContoAIs egen behandling).
Vi meddelar minst 30 dagar innan ett nytt underbiträde börjar behandla ditt företags uppgifter eller ett underbiträde byts ut. Meddelandet skickas med e-post till bolagets Ägare i ContoAI och publiceras på den här sidan. Du kan invända skriftligen till support@contoai.se innan varseltiden har gått ut. Om vi inte kommer överens får du säga upp avtalet för den berörda tjänsten, enligt punkt 8 i personuppgiftsbiträdesavtalet.
Underbiträden för kundens bokföring
| Underbiträde | Vad det gör | Personuppgifter | Var | Överföringsgrund |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg | Drift av plattformen: Kubernetes (EKS), databas (RDS), fillagring med låst säkerhetskopia (S3), nycklar (KMS och Secrets Manager), utgående och inkommande e-post (SES), sms (End User Messaging), köer (SNS och SQS) och övervakning (CloudWatch) | All kundbokföring och alla underlag, kontouppgifter, verifieringsuppgifter och loggar | eu-north-1, Stockholm | Inom EU/EES. AWS personuppgiftsbiträdesavtal ingår i AWS tjänstevillkor, och standardavtalsklausuler gäller automatiskt om uppgifter överförs utanför EES. |
| AWS EMEA SARL: Amazon Bedrock, dokumentläsning (modellen Qwen3 VL, som AWS kör) | Automatisk läsning av underlag | Upp till tre sidbilder per dokument, och det som står på kvittot: namn, adresser, organisations- och momsnummer, bankuppgifter och belopp | eu-north-1, Stockholm, regionslåst | Samma som AWS. Bedrock är inställt så att inga uppgifter sparas efter läsningen, och leverantörerna av modellerna har ingen åtkomst. |
| AWS EMEA SARL: Amazon Bedrock, AI-chatten (Anthropic Claude-modeller, som AWS kör) | Bokföringschatten för inloggade användare | Chattext och verktygssvar från bokföringen. Innehållet i underlag maskeras, men löneuppgifter kan förekomma. | Anropas i Stockholm och behandlas i en av AWS:s EU-regioner: Stockholm, Frankfurt, Irland, Paris, Milano eller Spanien | Inom EU/EES. Används inte för träning, och leverantörerna av modellerna har ingen åtkomst. |
Mottagare för ContoAIs egen behandling
De här mottagarna behandlar uppgifter som ContoAI själv är personuppgiftsansvarig för: felrapporter som en användare väljer att skicka. GitHub lagrar rapporten som ett ärende i ContoAIs kodförråd och är självständigt personuppgiftsansvarigt för den. Anthropic är ContoAIs personuppgiftsbiträde för triage av felrapporter. Ingen av dem är underbiträde enligt personuppgiftsbiträdesavtalet. Vi listar dem här eftersom en felrapport kan innehålla företagsnamn, belopp och faktura- eller verifikationsnummer från din bokföring. Mer om behandlingen står i integritetspolicyn.
| Mottagare | Vad den gör | Personuppgifter | Var | Överföringsgrund |
|---|---|---|---|---|
| GitHub, Inc. | Felrapporter som ärenden i ett privat kodförråd. Källkoden och containeravbildningarna ligger också där, utan kunduppgifter. | Rensad felrapporttext och pseudonym. Kan innehålla företagsnamn, belopp och faktura- eller verifikationsnummer. | USA | EU–US Data Privacy Framework, där GitHub, Inc. är certifierat. |
| Anthropic | Claude Code-rutiner som sorterar och åtgärdar felrapporter | Rensad felrapporttext och teknisk kontext. Kan innehålla företagsnamn, belopp och faktura- eller verifikationsnummer. | USA | Standardavtalsklausuler (artikel 46.2 c i GDPR) i Anthropics personuppgiftsbiträdesavtal, som ingår i Commercial Terms. |
Mottagare som inte är underbiträden
De här mottagarna får uppgifter från ContoAI eller från dig, men de är inte underbiträden till oss.
- Skatteverket är en myndighet och självständigt personuppgiftsansvarig. I dag tar Skatteverket bara emot de filer som du själv laddar upp i Skatteverkets e-tjänster.
- Bolagsverket är en myndighet och självständigt personuppgiftsansvarig. Det tar i dag emot företagsuppslag.
- Din bank är din egen bankrelation. I dag får banken inga uppgifter från ContoAI: kontoutdrag och betalfiler flyttar du själv mellan banken och ContoAI. Om bankkopplingen, se nedan.
- Din egen AI-leverantör, till exempel Anthropic (Claude), OpenAI (ChatGPT), Cursor eller GitHub (GitHub Copilot), väljer och instruerar du själv. Du är personuppgiftsansvarig för det som assistenten hämtar, och ContoAI har inget personuppgiftsbiträdesavtal med leverantören. Att Anthropic också finns bland ContoAIs egna leverantörer gäller bara felrapporter.
- Din egen e-postleverantör, när du vidarebefordrar underlag, har du valt själv.
- Europeiska kommissionen (VIES) kontrollerar momsregistreringsnummer. Den får numret, som för en enskild firma innehåller personnumret.
- Sveriges Riksbank lämnar valutakurser. ContoAI skickar inga personuppgifter dit.
- Let's Encrypt utfärdar certifikat för ContoAIs webbadresser och får bara den e-postadress som ContoAI har angett för certifikaten.
Tillkommer när en funktion slås på
När en funktion slås på tillkommer de mottagare som står nedan. Vi uppdaterar förteckningen innan funktionen används. Om mottagaren är ett underbiträde meddelar vi det i förväg och du kan invända, enligt punkt 8 i personuppgiftsbiträdesavtalet.
- Bankkoppling (PSD2): en kontoinformationstjänst i Finland. Rollen är ännu inte avgjord: underbiträde eller självständigt personuppgiftsansvarig. Uppgifter: transaktioner, konton och IBAN, saldon, samtycke, samt din IP-adress och tekniska uppgifter om webbläsaren som sparas i 15 minuter.
- BankID: Finansiell ID-Teknik BID AB i Sverige, via avtalet med ContoAIs bank, är självständigt personuppgiftsansvarig. BankID kommer att få personnummer, namn, IP-adress och signatur. ContoAI kommer att spara bevis för signerade ändringar i sju år, och övriga BankID-order kan ContoAI radera tidigast efter 13 månader. BankID kommer att användas för att verifiera dig och för att signera, aldrig för att logga in.
- Skatteverkets API-tjänster för moms, AGI, INK2, INK1, skattekonto och engagemang: Skatteverket är mottagare och självständigt personuppgiftsansvarig. AGI innehåller anställdas personnummer, och Skatteverket loggar varje anrop i upp till fem år. Väljer du FOS-uppslag skickas de anställdas personnummer till Skatteverket, och svaren sparas hos ContoAI i högst 60 dagar.
- Fler tjänster från Bolagsverket, som företagsinformation, notifiering och digital årsredovisning: Bolagsverket är självständigt personuppgiftsansvarig. Avsändarens och certifierarens personnummer sparas krypterade bara medan årsredovisningen laddas upp och rensas sedan.
- Mobilapp: i mobilens webbläsare tillkommer inga mottagare. Kräver en inbyggd app appbutik eller push-tjänster, tas de leverantörerna upp här innan appen används.
- White label för byråer: byrån blir personuppgiftsbiträde för sin kund, och ContoAI blir byråns underbiträde. Kedjan regleras i punkt 1 i personuppgiftsbiträdesavtalet.
Myndigheterna och BankID är självständigt personuppgiftsansvariga, inte våra underbiträden.
Senast uppdaterad: 28 oktober 2026
Ändringar: 28 oktober 2026 – första versionen av förteckningen.