Personuppgiftsbiträdesavtal

Senast uppdaterad: 20 oktober 2026

När ni kopplar ert Fortnox till Chatå behandlar vi personuppgifter som finns där, till exempel era kunders och leverantörers kontaktuppgifter, för er räkning. Ni är då personuppgiftsansvariga och Chatå är ert personuppgiftsbiträde. Detta avtal ("Avtalet") uppfyller kraven i artikel 28 i dataskyddsförordningen (GDPR) och är en del av våra användarvillkor. Det gäller så länge vi behandlar personuppgifter för er räkning.

För uppgifterna om er själva som användare, till exempel ert konto och er inloggning, är Chatå personuppgiftsansvarig. Den behandlingen beskrivs i vår integritetspolicy.

1. Parter

• Personuppgiftsansvarig: organisationen som använder Chatå och kopplar sitt Fortnox ("Kunden").
• Personuppgiftsbiträde: Chatå ("vi").

2. Behandlingen

Ändamål: att tillhandahålla Tjänsten — synka och lagra data från Kundens Fortnox, visa och analysera den, ta fram rapporter, besvara frågor i AI-assistenten och i AI-klienter som Kunden kopplar in, och skicka de utskick Kunden ställer in.

Kategorier av registrerade: Kundens kunder och deras kontaktpersoner, Kundens leverantörer och deras kontaktpersoner, samt Kundens anställda och användare (till exempel säljare som anges som referens i Fortnox).

Kategorier av personuppgifter: namn, e-postadresser (även adresserna för utskick av faktura, order och offert), telefonnummer, adresser, organisationsnummer och personnummer (för privatkunder och enskilda firmor), fakturor, ordrar och köphistorik, leverantörers bankuppgifter, samt kommentarer som Kundens användare skriver i Chatå.

Chatå är inte avsett för känsliga personuppgifter (artikel 9 GDPR). Kunden ansvarar för att sådana inte läggs in i fält som synkas.

Varaktighet: så länge Kunden har ett konto och Fortnox är kopplat, och därefter till dess att uppgifterna raderats enligt avsnitt 9.

3. Kundens instruktioner

Vi behandlar personuppgifterna bara enligt Kundens dokumenterade instruktioner. Instruktionerna är detta Avtal, användarvillkoren och de val Kunden gör i Tjänsten, till exempel vilka kunder som undantas, vilka mottagare som får rapporter och vilka AI-klienter som kopplas in. Om vi anser att en instruktion strider mot GDPR meddelar vi Kunden. Vi använder inte uppgifterna för egna ändamål, och vi säljer dem aldrig.

4. Sekretess

Bara personal som behöver det för att driva och ge support på Tjänsten har åtkomst till personuppgifterna, och de omfattas av tystnadsplikt.

5. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat:

• Datan lagras inom EU och krypteras vid överföring och lagring.
• Varje organisations data hålls isär i databasen med säkerhet på radnivå, och varje användare når bara det deras roll tillåter.
• Fortnox-kopplingens nycklar lagras krypterade och åtkomstnycklar för AI-klienter bara som hashvärden.
• Personnummer maskeras innan data skickas till en AI-klient som Kunden kopplat in.
• Utvecklings- och testmiljöer använder kopior där e-postadresser, telefonnummer, personnummer och privatpersoners namn är maskerade.

6. Underbiträden

Kunden ger oss ett allmänt godkännande att anlita underbiträden. Vi anlitar i dag:

Varje underbiträde är bundet av ett avtal med samma dataskyddsskyldigheter som i detta Avtal. Vi meddelar Kunden via e-post eller i Tjänsten minst 30 dagar innan vi anlitar ett nytt eller byter ut ett underbiträde. Kunden kan invända inom den tiden; kan vi inte tillmötesgå invändningen får Kunden säga upp Tjänsten. Vi ansvarar för våra underbiträdens behandling som för vår egen.

AI-klienter som Kunden själv kopplar in (till exempel Claude eller ChatGPT), och mottagare och kanaler som Kunden ställer in för utskick, är inte våra underbiträden: uppgifterna skickas dit på Kundens instruktion och behandlas enligt Kundens avtal med dem. Se chataa.se/kopplingar.

7. Överföring utanför EU/EES

Datan lagras inom EU. Underbiträden som är amerikanska bolag eller behandlar data i USA gör det med skyddsåtgärder enligt kapitel V i GDPR — EU-kommissionens standardavtalsklausuler eller ramverket EU-U.S. Data Privacy Framework.

8. Bistånd till Kunden

• Vi hjälper Kunden att besvara registrerades begäranden om till exempel tillgång, rättelse och radering. En sådan begäran som kommer direkt till oss skickar vi vidare till Kunden. Rättelser görs i första hand i Fortnox och följer med i nästa synk.
• Vi bistår med information inför Kundens konsekvensbedömningar och samråd med Integritetsskyddsmyndigheten när det behövs.
• Vi meddelar Kunden en personuppgiftsincident utan onödigt dröjsmål, och senast inom 48 timmar efter att vi fått kännedom om den, med den information Kunden behöver för att anmäla den.

9. Radering vid avtalets slut

När Kunden avslutar sitt konto raderar vi de synkade personuppgifterna inom 30 dagar, om inte lag kräver att vi sparar dem. Kopior i säkerhetskopior raderas när säkerhetskopiorna roterar ut. Datan finns kvar i Kundens Fortnox, som är källan. Kunden kan före avslutet be om en export.

10. Granskning

Vi ger Kunden den information som behövs för att visa att Avtalet följs. Kunden, eller en oberoende granskare som Kunden utser, får granska efterlevnaden en gång per år, eller efter en incident, med minst 30 dagars förvarning och på Kundens bekostnad.

11. Ansvar, giltighet och ändringar

Ansvarsfördelningen följer användarvillkoren och artikel 82 i GDPR. I frågor om personuppgifter gäller detta Avtal före användarvillkoren. Avtalet gäller så länge vi behandlar personuppgifter för Kundens räkning. Vi meddelar väsentliga ändringar minst 30 dagar i förväg. Svensk lag gäller.

12. Kontakt

Frågor om Avtalet, eller en begäran om ett undertecknat exemplar, skickas till support@chataa.se.