Biträdesavtal

Personuppgifts-
biträdesavtal.

När du bokför i Astrid behandlar vi personuppgifter på ditt uppdrag: namn på motparter, uppgifter på kvitton och, om du använder Lön, uppgifter om dina anställda. Det här avtalet reglerar den behandlingen enligt artikel 28 i dataskyddsförordningen (GDPR).

Du är ansvarig, vi är biträde

För personuppgifter i din bokföring (motparter, anställda, kvitton) är du personuppgiftsansvarig. Vi behandlar dem bara på ditt uppdrag, för att leverera tjänsten.

Lagring i Sverige

Bokföringsdata och underlag lagras i Sverige (GCP europe-north2, Stockholm). De underbiträden som kan behandla data utanför EU gör det under SCC och likvärdiga skyddsåtgärder.

Kryptering och spårbarhet

Känsliga fält som personnummer krypteras i databasen (AES-256-GCM). Varje bokföringsåtgärd loggas i en spårbar historik enligt Bokföringslagen.

En del av villkoren

Det här avtalet gäller automatiskt som en del av användarvillkoren. Inget separat påskrivet dokument behövs för att du ska kunna använda tjänsten lagligt.

PUB-avtal

Personuppgiftsbiträdesavtal för Astrid

Detta avtal gäller mellan den organisation som använder tjänsten ("Kunden", personuppgiftsansvarig) och Jupiter Technologies AB, org. 559574-6503 ("Biträdet"), och utgör en del av användarvillkoren. Det gäller automatiskt från att Kunden börjar behandla personuppgifter i tjänsten, utan separat undertecknande.

1. Behandlingens föremål och varaktighet

Biträdet behandlar personuppgifter för Kundens räkning i syfte att leverera bokföringstjänsten Astrid: bokföring, kvittohantering, fakturering, lön, rapporter och rådgivningsunderlag.
Behandlingen pågår så länge Kunden har ett konto, och därefter så länge lagring krävs enligt punkt 9.

2. Kategorier av registrerade och uppgifter

Registrerade: anställda (om Lön används), aktieägare (i aktieboken), delägare i ett handelsbolag, kunder, leverantörer och andra motparter som förekommer i bokföringsmaterial. Dina egna kontouppgifter (namn, e-post, inloggning) behandlas inte under detta avtal, utan av Jupiter Technologies AB som personuppgiftsansvarig enligt integritetspolicyn.
Uppgiftstyper: namn och kontaktuppgifter, transaktions- och fakturauppgifter, uppgifter på kvitton och underlag, samt för anställda i Lön: personnummer, löne- och skatteuppgifter och, när Kunden registrerar sjukfrånvaro, antalet sjukdagar och om det är ett återinsjuknande. I aktieboken, som aktiebolagslagen 5 kap. 5 § kräver: aktieägarnas namn, personnummer eller organisationsnummer och postadress; Kunden är personuppgiftsansvarig för aktieboken (5 kap. 4 §). För ett handelsbolags delägare: namn, personnummer eller organisationsnummer och andel av resultatet, som behövs för årsbokslutet och för delägarnas underlag till deklarationen (bilaga N3A eller N3B).
Att en anställd har varit sjuk är en hälsouppgift, en känslig personuppgift enligt artikel 9 GDPR. Som arbetsgivare får Kunden behandla den för att fullgöra sina skyldigheter inom arbetsrätten (artikel 9.2 b GDPR och 3 kap. 2 § dataskyddslagen). Lön använder den bara för att räkna sjuklön, karensavdrag och sjukavdrag.
Antalet sjukdagar sparas med lönekörningen och står på lönebeskedet, och sjuklönen bokförs som ett belopp. Lön frågar aldrig efter orsak eller diagnos; skriv inte in dem i en löneinstruktion. En löneinstruktion i fritext skickas till Anthropic för att tolkas (punkt 6), och Astrid sparar inte texten. Ord om sjukfrånvaro visas aldrig i våra sessionsinspelningar.
Personnummer är extra skyddsvärda enligt svensk rätt och krypteras i databasen. Utöver sjukfrånvaron i Lön är tjänsten inte avsedd för känsliga personuppgifter. Ett kvitto kan i enstaka fall bära sådana uppgifter; ladda inte upp dem i onödan.

3. Instruktioner

Biträdet behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Instruktionerna utgörs av detta avtal, användarvillkoren och de val Kunden gör i tjänsten (till exempel att importera en bankfil eller köra en lönekörning).
Om Biträdet anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning informeras Kunden utan onödigt dröjsmål.
Om unionsrätt eller svensk rätt kräver en viss behandling får Biträdet utföra den, och informerar då Kunden om det rättsliga kravet innan behandlingen, om inte lagen förbjuder sådan information.

4. Konfidentialitet

Endast personer som behöver åtkomst för att leverera eller underhålla tjänsten har åtkomst till Kundens data.
Alla personer med åtkomst omfattas av avtalad eller lagstadgad tystnadsplikt.
Administrativ åtkomst till kunddata loggas.

5. Säkerhetsåtgärder (artikel 32)

All trafik krypteras (TLS). Data lagras krypterat i vila i Google Cloud Platform, region europe-north2 (Stockholm, Sverige).
Särskilt skyddsvärda fält, som personnummer för anställda och åtkomsttoken för integrationer, krypteras dessutom på fältnivå med AES-256-GCM.
Åtkomst är rollstyrd per organisation. Varje bokföringsåtgärd skrivs till en spårbar, beständig auditlogg.
Säkerhetskopior tas dagligen med möjlighet till återställning till en tidpunkt (PITR).

6. Underbiträden

Kunden lämnar ett allmänt förhandstillstånd till underbiträden som behandlar bokföringsdata för Kundens räkning: Google Cloud (drift och lagring i Sverige, europe-north2), Anthropic (AI som läser underlag och skriver förslag och texter: konteringsförslag, inläsning av kvitton, fakturor och balansräkningar, löneinstruktioner i Lön, utkast till årsredovisningens texter och till styrelsens och stämmans protokoll, kommentarerna i Genomgång och Rådgivning samt svar i Fråga Astrid; behandling kan ske i USA under SCC) och Resend (inkommande kvitto-mejl och fakturor som Kunden skickar från Astrid, vars bilagor är underlag i bokföringen; behandling kan ske i USA under SCC eller likvärdig mekanism).
Stripe, Google-inloggning, webbanalys och Resends utskick av lösenordsåterställning är Jupiter Technologies AB:s egna biträden för konto, betalning och marknadsföring, inte underbiträden under detta avtal. De listas i integritetspolicyn.
Enable Banking Oy, som hämtar kontouppgifterna när Kunden kopplar banken, är inte heller underbiträde. Enable Banking är registrerat hos Finansinspektionen i Finland för kontoinformationstjänster och behandlar uppgifterna som självständig personuppgiftsansvarig, enligt egna villkor som Kunden accepterar när banken kopplas. Det som når Astrid behandlas därefter enligt detta avtal.
Idura ApS i Danmark, som identifierar den som skriver under med BankID i Astrid, är inte heller underbiträde: Idura är självständig personuppgiftsansvarig för identifieringen, enligt egna villkor. Bevisfilen som når Astrid, med namn, personnummer och BankID:s underskrift, sparas med det undertecknade dokumentet i Kundens bokföring och behandlas därefter enligt detta avtal.
Underbiträden som kan behandla uppgifter utanför EU/EES gör det med stöd av EU:s standardavtalsklausuler (SCC) eller andra giltiga överföringsmekanismer.
Vid byte eller tillägg av underbiträde under detta avtal uppdateras listan i integritetspolicyn och väsentliga ändringar meddelas i tjänsten eller via e-post, så att Kunden kan invända. Vid invändning har Kunden alltid rätt att säga upp tjänsten och exportera sin data.
Biträdet ansvarar för underbiträdenas behandling som för egen behandling.

7. Bistånd till Kunden

Biträdet bistår Kunden med att svara på registrerades begäranden (registerutdrag, rättelse, radering) i den mån uppgifterna finns i tjänsten. Mycket kan Kunden göra själv via export- och raderingsfunktionerna.
Biträdet bistår Kunden med den information som rimligen behövs för konsekvensbedömningar (DPIA) och förhandssamråd.

8. Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör Kundens uppgifter.
Underrättelsen innehåller den information Kunden behöver för sin eventuella anmälan till Integritetsskyddsmyndigheten (IMY): vad som hänt, vilka uppgifter som berörs, trolig konsekvens och vidtagna åtgärder.
Anmälan till IMY och information till registrerade är Kundens ansvar som personuppgiftsansvarig; Biträdet bistår med underlaget.

9. Radering och återlämning

När kontot avslutas kan Kunden exportera sin bokföring som SIE4 och sina underlag. Exporten behöver göras före radering: efter avslut är kontot inte längre tillgängligt i tjänsten.
Finns räkenskapsinformation i kontot arkiveras den, som en del av bokföringstjänsten, till och med det sjunde året efter det år kontot raderas. Det är aldrig kortare än Bokföringslagens krav: till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades (7 kap. 2 §). Arkiveringsskyldigheten enligt Bokföringslagen ligger på Kunden. Behöver Kunden underlaget efter avslut går det att begära via kontakt.
Personuppgifter som inte är räkenskapsinformation, till exempel kontouppgifter utan bokföring, raderas enligt integritetspolicyn när kontot avslutas.
Kopior i säkerhetskopior rensas enligt ordinarie backup-rotation efter radering respektive efter arkivtidens slut.

10. Granskning och insyn

Biträdet ger Kunden tillgång till den information som rimligen krävs för att visa att skyldigheterna i artikel 28 GDPR uppfylls.
Kunden har rätt att genomföra granskning (själv eller via oberoende tredje part under sekretess), på egen bekostnad, efter rimlig föranmälan och utan att andra kunders data exponeras.

11. Övrigt

Svensk lag gäller för detta avtal, och tvist hanteras enligt användarvillkorens tvistlösningsbestämmelse.
Vid konflikt mellan detta avtal och användarvillkoren har detta avtal företräde i frågor som rör behandling av personuppgifter.
Väsentliga ändringar av avtalet meddelas på samma sätt som ändringar av användarvillkoren.

Underbiträdeslistan och lagringstiderna finns i integritetspolicyn. Avtalet i sin helhet är en del av användarvillkoren.

Frågor om avtalet

Behöver din organisation ett undertecknat exemplar, eller har du frågor? Hör av dig.

Senast uppdaterad: 19 oktober 2026 (version 2026-10-19-5).