Integritetspolicy

Granskningsversion. Texten är ett förslag till Cavats integritetspolicy. Bolagsidentiteten är fastställd, men fullständig postadress, kontaktuppgifter, leverantörsförteckning, behandlingsländer och gallringsfrister behöver bekräftas innan den kan användas som en fullständig integritetsinformation. Avsnitt 15 visar vad som återstår. Texten ersätter inte ett personuppgiftsbiträdesavtal.

1. Vilka uppgifter policyn gäller

Den här policyn beskriver personuppgifter som förekommer när du besöker Cavats webbplats, kontaktar oss, företräder ett kundföretag eller använder tjänsten. Den förklarar också ansvarsfördelningen när ett företag eller en redovisningsbyrå lägger in personuppgifter i affärssystemet.

Personuppgifter är information som kan knytas till en levande person. Det kan vara ett namn, en e-postadress, ett personnummer eller en logguppgift som går att koppla till en användare. Uppgifter om en enskild firma kan också vara personuppgifter. En faktura kan därför innehålla både affärsinformation och personuppgifter.

Med kunddata menas information som kunden eller dess användare för in i tjänsten, exempelvis bokföring, fakturor, kvitton, kundregister och personaluppgifter. Med kontaktuppgifter menas här information i relationen mellan Cavat och den som kontaktar eller köper tjänsten.

2. Vem ansvarar för behandlingen?

För webbplatsen och Cavats egen kundrelation är Cavatos AB, organisationsnummer 559605-6811, med verksamhetsort i Göteborg, Sverige, personuppgiftsansvarigt för de ändamål bolaget själv bestämmer. Det omfattar exempelvis att besvara förfrågningar, administrera kundavtal och hantera sin egen fakturering.

För kunddata i affärssystemet är kundföretaget normalt personuppgiftsansvarigt. Cavat behandlar då uppgifter som personuppgiftsbiträde enligt kundens dokumenterade instruktioner och ett separat personuppgiftsbiträdesavtal (PUB). Kunden ansvarar bland annat för att ha rättsligt stöd, informera berörda personer och bestämma vilka uppgifter som ska behandlas.

När en redovisningsbyrå använder tjänsten för klienter behöver rollerna bedömas utifrån det faktiska uppdraget. Byrån kan vara biträde för vissa uppgifter och självständigt ansvarig för andra. Åtkomst i en byråportal avgör inte i sig den juridiska rollen. Klientens mandat, byråns uppdrag och eventuella underbiträden behöver hänga ihop i avtalen.

Ett biträdesavtal ska reglera behandlingen när en leverantör hanterar personuppgifter för någon annans räkning. Läs IMY:s information om personuppgiftsbiträdesavtal.

3. Vilka personuppgifter förekommer?

Vilka uppgifter som faktiskt behandlas beror på kontakten med oss, aktiverade funktioner och vad kunden väljer att lägga in.

• Förfrågningar och kontakt: namn, e-postadress, företag och meddelande. Kontaktformuläret kan också innehålla telefonnummer och organisationsnummer om du fyller i dem. Tidpunkten för förfrågan registreras för ärendehanteringen.
• Kund- och avtalsadministration: kontaktpersoner, beställningsuppgifter, kommunikation och uppgifter som behövs för Cavats egen fakturering.
• Användning och behörighet: användaridentitet, företagstillhörighet, tilldelade roller och dokumenterade aktiviteter i tjänsten. Den exakta omfattningen av tekniska loggar ska beskrivas i det fastställda driftunderlaget.
• Kundens ekonomi och affärer: exempelvis namn och kontaktuppgifter på fakturor, betalningsreferenser, leverantörsuppgifter och uppgifter i underlag och bilagor.
• Lön och personal: när sådana funktioner används kan kunden behöva behandla identitets-, anställnings-, löne- och frånvarouppgifter. En del uppgifter kan omfattas av särskilt skydd, exempelvis uppgifter om hälsa.
• Integrationer och AI: de uppgifter som en aktiverad koppling får behörighet att hämta eller som användaren skickar i en fråga, ett underlag eller en instruktion.

Lämna bara uppgifter som behövs för ditt ärende. Skicka inte lösenord, API-nycklar, fullständiga löneunderlag eller andra känsliga handlingar i webbplatsens vanliga kontaktformulär. För support som kräver sådant material behöver en lämplig kanal och avgränsning först bestämmas.

4. Varifrån kommer uppgifterna?

Uppgifter kan lämnas av dig, av en behörig administratör på ditt företag eller av en redovisningsbyrå som fått uppdraget. Kunddata kan även komma från importer och integrationer som kunden aktiverar. Då styr den valda kopplingen och kundens instruktion vilka uppgifter som hämtas.

Webbläsaren skickar också tekniska uppgifter när den hämtar en webbsida eller en extern resurs. Externa typsnitt på denna webbplats beskrivs i avsnitt 11. Att uppgifter kan hämtas tekniskt innebär inte att Cavat får använda dem för vilket ändamål som helst.

5. Ändamål och rättslig grund

Följande beskriver den avsedda ansvarsfördelningen för Cavats egen behandling. De rättsliga grunderna och eventuella intresseavvägningar ska stämmas av mot den faktiska behandlingen innan policyn fastställs.

Besvara frågor och hantera en förfrågan

Namn, kontaktuppgifter och ärendeinnehåll används för att förstå behovet och återkomma till dig. För en kontaktperson på ett företag är den avsedda grunden berättigat intresse av att hantera affärskontakten. Om du själv är avtalspart kan åtgärder på din begäran inför ett avtal vara tillämpligt. En intresseavvägning får inte åsidosätta dina rättigheter.

Administrera en kundrelation

Beställning, behöriga kontaktpersoner och avtalskommunikation behövs för att administrera tjänsten. För företagets kontaktpersoner är den avsedda grunden berättigat intresse av att kunna fullgöra kundrelationen. Avtal som rättslig grund används endast när personen själv är part i avtalet och behandlingen är nödvändig för det.

Uppfylla lagkrav och hantera anspråk

Cavats egen räkenskapsinformation behandlas för att uppfylla en rättslig förpliktelse enligt bokföringsreglerna. Relevant avtals- och ärendeinformation kan också behövas för att fastställa, göra gällande eller försvara rättsliga anspråk, efter bedömning av ändamål och rättsligt stöd.

Skydda tjänsten och lösa fel

Avgränsade tekniska uppgifter kan behövas för behörighetskontroll, felsökning och skydd mot missbruk. Om Cavat bestämmer ändamålet självt behöver behandlingen stödjas av en dokumenterad rättslig grund och proportionerlig lagring. Om behandlingen sker för kundens räkning omfattas den i stället av kundens instruktioner och biträdesavtalet.

Eventuella samtyckesbaserade funktioner

Om behandling bygger på samtycke ska ändamålet framgå när du väljer. Du ska kunna återkalla det utan att det påverkar lagligheten av tidigare behandling. En kontaktförfrågan ska inte i sig räknas som samtycke till orelaterad marknadsföring.

Kundens behandling av bokföring, personal och andra verksamhetsuppgifter har kundens egna ändamål och rättsliga grunder. Dessa beskrivs inte uttömmande av Cavats policy.

6. Tillgång till uppgifter och externa mottagare

Cavats utgångspunkt är att finansiella uppgifter inte ska säljas. Att hjälpa kunden att exportera eller ansluta en vald tjänst är en överföring på kundens uppdrag, inte ett medgivande till att använda informationen för andra ändamål.

Åtkomst ska begränsas till personer som behöver den för sitt arbete. Leverantörer för exempelvis drift, kommunikation, support eller AI kan också behöva behandla uppgifter, beroende på den lösning som används. Detta är kategorier att verifiera, inte en publicerad lista över Cavats faktiska underbiträden.

Den slutliga leverantörsförteckningen behöver ange juridiskt namn, uppdrag, berörda uppgifter, behandlingsland och tillämpligt överföringsstöd. Underbiträden ska hanteras enligt biträdesavtalet, inklusive regler för godkännande och förändringar. Myndigheter eller andra mottagare kan få uppgifter när ett tillämpligt lagkrav kräver det.

7. Kostnadsfritt API och kundvalda kopplingar

API-åtkomst ingår utan separat API-avgift i Cavats företagspaket. Kunden väljer vilka system som ska kopplas in och ska begränsa åtkomsten till vad respektive integration behöver. Externa tjänster kan ha egna avgifter och villkor.

När kunden ansluter exempelvis en rapportlösning eller AI-assistent kan uppgifter lämna Cavat. Kunden behöver bedöma mottagarens roll, säkerhet och villkor innan åtkomst ges. En fristående leverantör som kunden väljer blir inte automatiskt Cavats underbiträde.

Behörigheter och nycklar behöver följas upp och återkallas när de inte längre behövs. Att återkalla åtkomst hindrar fortsatt användning av den behörigheten, men raderar inte automatiskt information som redan skickats till en annan tjänst. Radering hos mottagaren behöver hanteras separat.

8. AI och behandling av verksamhetsdata

AI-funktioner kan behandla frågor, instruktioner och de verksamhetsuppgifter som behövs för den aktuella funktionen. Ett eget anslutet AI-verktyg och en AI-funktion som Cavat tillhandahåller behöver bedömas var för sig.

Innan en leverantör används för kunddata behöver ändamål, lagring, behandlingsland, eventuella underleverantörer och villkor för modellträning vara klarlagda. Den här granskningsversionen intygar därför inte att samtliga AI-leverantörer använder samma lagringstid eller att alla överföringar stannar inom EU/EES.

Kunddata som behandlas som biträde får inte användas för leverantörens egna fristående ändamål utanför de dokumenterade instruktionerna. Maskering kan begränsa exponeringen av vissa fält, men ska inte beskrivas som en garanti för att hela innehållet är anonymt. Även fritext, bilagor och kombinationer av uppgifter kan identifiera en person.

Bokföringsförslag behöver granskas i det aktuella arbetsflödet. Om kunden vill använda en funktion för beslut om personer med rättsliga eller liknande betydande följder krävs en separat bedömning av dataskydd, tillåtlighet och mänsklig kontroll; vanlig AI-assistans är inte ett sådant godkännande.

9. Behandlingsländer och överföringar

Driftland och platsen för behandling hos respektive leverantör behöver bekräftas i den slutliga policyn och leverantörsförteckningen. Även åtkomst från ett land utanför EU/EES kan behöva bedömas som en tredjelandsöverföring.

Om personuppgifter överförs utanför EU/EES krävs tillämpligt stöd enligt GDPR, exempelvis ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder. Bedömning och eventuella kompletterande skydd beror på mottagaren och överföringen. Det räcker inte att huvudservern finns inom EU.

Den fastställda informationen ska förklara vilka skydd som används och hur du kan få del av dem. Läs IMY:s vägledning om överföring till tredje land.

10. Hur länge sparas uppgifterna?

Lagring ska knytas till ett bestämt ändamål. Någon gemensam lagringstid för alla uppgifter i Cavat kan inte anges. Följande kategorier behöver finnas i den fastställda gallringsplanen:

• Kontaktförfrågningar: under ärendets hantering och en motiverad uppföljningstid. Exakt frist ska fastställas.
• Avtal och kundadministration: under kundrelationen och därefter endast för dokumenterade behov, lagkrav eller anspråk. Frister ska skiljas från kunddatans lagring.
• Tekniska loggar och supportmaterial: avgränsade frister utifrån säkerhet och felsökning; kopior av kunddata ska inte sparas i supportärenden utan ett bedömt behov.
• Kunddata: enligt kundens instruktioner, avtalad export- och raderingsprocess samt biträdesavtalet.
• Säkerhetskopior: separat dokumenterad livscykel och hantering vid återläsning. Radering i ordinarie drift innebär inte alltid omedelbar radering ur en säkerhetskopia.

Räkenskapsinformation ska normalt bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Detta innebär inte att Cavat automatiskt arkiverar kundens material i sju år efter uppsägning. Kundföretaget behåller ansvaret för sin arkivering. Se Bokföringsnämndens information om arkivering.

11. Webbplats, kakor och externa typsnitt

Webbplatsens kontaktformulär skickar de uppgifter du lämnar till Cavats ärendehantering. Ett inskickat formulär är en förfrågan, inte ett automatiskt godkännande av ett abonnemang.

Webbplatsens nuvarande kod hämtar typsnitt från Google Fonts via Google-domäner. När webbläsaren gör sådana anrop får mottagaren tekniska anslutningsuppgifter, bland annat IP-adress. Det behöver bedömas separat från frågan om kakor. Den slutliga integritetsinformationen ska ange ansvarig Google-enhet, rättsligt stöd och eventuell tredjelandsöverföring för den faktiska leveransen.

I den granskade webbplatskoden har inget separat analys- eller annonseringsverktyg identifierats. Detta är inte en garanti för att alla driftmiljöer saknar kakor eller annan lagring. En inventering av den publicerade webbplatsen behöver dokumentera namn, leverantör, ändamål och livslängd för de tekniker som faktiskt används.

Icke nödvändig lagring eller åtkomst i besökarens utrustning ska som huvudregel föregås av ett giltigt samtycke. Nödvändiga kakor kan omfattas av undantag. Du ska kunna ändra ett lämnat val. Läs PTS information om kakor.

12. Säkerhet och personuppgiftsincidenter

Cavat har funktioner för bolagsavgränsning, behörighetsstyrning och spårbarhet. Skyddet behöver omfatta både tekniken och hur åtkomst tilldelas, följs upp och avslutas. Läs mer om de beskrivna funktionerna på sidan om säkerhet.

Funktionerna utgör inte i sig ett löfte om en viss certifiering, tillgänglighetsnivå eller fullständig kryptering av alla uppgifter. Sådana åtaganden måste vara verifierade och uttryckligen dokumenterade.

När Cavat agerar biträde ska en personuppgiftsincident meddelas den personuppgiftsansvarige utan onödigt dröjsmål. Kunden bedömer sedan sina egna skyldigheter att anmäla och informera. Incidentkontakt, eskalering och praktisk samverkan ska framgå av biträdesavtalet. Skicka inte känsliga incidentuppgifter i ett öppet formulär; be först om rätt kontaktväg.

13. Dina rättigheter

Beroende på behandlingen och dess rättsliga grund kan du begära tillgång till dina personuppgifter, rättelse, radering, begränsning eller dataportabilitet. Du kan invända mot behandling som grundas på berättigat intresse och alltid invända mot direktmarknadsföring. Samtycke kan återkallas.

Rättigheterna har förutsättningar och undantag. Exempelvis kan lagstadgad arkivering begränsa möjligheten att radera viss information. Dataportabilitet gäller inte automatiskt varje uppgift i ett företags hela databas och är skild från företagets avtalsenliga exportmöjligheter.

En begäran ska normalt besvaras inom en månad. Vid komplicerade eller flera samtidiga begäranden kan tiden förlängas med ytterligare två månader; då ska du informeras inom den första månaden. Identiteten kan behöva kontrolleras på ett proportionerligt sätt.

Om uppgifterna finns i din arbetsgivares, leverantörs eller ett annat kundföretags Cavat-miljö ska du i första hand kontakta det företag som ansvarar för behandlingen. Cavat ska bistå kunden enligt biträdesavtalet och inte lämna ut andra kunders uppgifter.

Du har rätt att klaga hos Integritetsskyddsmyndigheten, IMY. Läs mer om dina rättigheter enligt GDPR.

14. Kontakt och ändringar

Använd Cavats kontaktsida eller mejla hej@cavat.se för att kontakta Cavatos AB i en integritetsfråga. Beskriv ärendet kort utan känsliga bilagor. Fullständig postadress och en särskild kontaktväg för dataskyddsfrågor ska införas när de har fastställts.

När behandlingen ändras behöver policyn uppdateras. En ny text innebär inte i sig att ett nytt ändamål blir tillåtet eller att ett tidigare samtycke utvidgas. Väsentliga ändringar ska kommuniceras på ett sätt som passar den berörda behandlingen.

15. Uppgifter som ska fastställas

Följande återstår innan denna granskningsversion kan bli Cavats gällande policy:

1. Fullständig postadress och verifierad dataskyddskontakt; uppgift om dataskyddsombud om ett sådant finns eller krävs. Juridiskt namn och organisationsnummer är fastställda ovan.
2. Faktiska ändamål, rättsliga grunder och dokumenterade intresseavvägningar för egen behandling.
3. Aktuella leverantörer och underbiträden, uppdrag, behandlingsländer och överföringsskydd, inklusive AI och externa typsnitt.
4. Gallringsfrister för förfrågningar, kundadministration, loggar, supportmaterial, kunddata och säkerhetskopior.
5. Inventering av den publicerade webbplatsens kakor och andra klienttekniker samt eventuell samtyckeshantering.
6. Personuppgiftsbiträdesavtal med behandlingsbilaga, säkerhetsåtgärder och incidentkontakt.

Allmänna villkor beskriver förslaget till kommersiella villkor. Den här policyn och biträdesavtalet har olika syften och behöver vara förenliga med varandra.