Databehandlaravtal (DPA)
1. Parter och roller
Kunden är personuppgiftsansvarig. Connectivo AB (org.nr 556932-7777), som tillhandahåller Zynkados integrationsplattform för AI, är personuppgiftsbiträde och behandlar personuppgifter endast enligt kundens dokumenterade instruktioner och detta avtal.
2. Föremål och varaktighet
Behandlingen avser att på kundens uppdrag hämta bokföringsdata från kundens redovisningssystem (t.ex. Fortnox), maskera personuppgifter och tillgängliggöra den för den AI-tjänst kunden själv väljer att koppla. Avtalet gäller så länge tjänsten används.
3. Typ av uppgifter och registrerade
- Kategorier av registrerade: kundens kunder, leverantörer, anställda och kontaktpersoner som förekommer i bokföringen.
- Kategorier av uppgifter: namn, organisations- och personnummer, kontaktuppgifter samt ekonomiska transaktionsuppgifter.
4. Säkerhetsåtgärder
Pseudonymisering före överföring. Identifierade personuppgifter maskeras före överföring till AI-leverantören. Vissa värden kan innehålla korta förhandsvisningar. Pseudonymisering är inte full anonymisering. Token-värden kan inte återställas via MCP-kanalen.
- Kryptering av token-valv med konfigurerad nyckel och nyckelhantering i driftmiljön.
- Krypterad lagring av token-valv och anslutningsuppgifter samt åtkomstloggar och kortvarig rapportcache.
- Loggad åtkomst per bolag och assistent samt åtkomststyrning kopplad till prenumeration.
- Endast läsande åtkomst i nuvarande version.
5. Underbiträden
Kunden ger ett generellt förhandsgodkännande för de underbiträden som anges i vår underbiträdeslista. Vi informerar om planerade förändringar och säkerställer att varje underbiträde är bundet av motsvarande skyldigheter. Överföring till tredje land sker endast med tillämpliga skyddsmekanismer.
6. Bistånd till den personuppgiftsansvarige
Vi bistår kunden med att uppfylla begäranden från registrerade (tillgång, rättelse, radering, begränsning) samt med säkerhet, anmälan av personuppgiftsincidenter och konsekvensbedömningar, i den mån det är tillämpligt.
7. Personuppgiftsincidenter
Vi underrättar kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident, med relevant information för kundens eventuella anmälan till tillsynsmyndighet.
8. Radering och återlämnande
Vid avtalets upphörande, eller när kunden raderar sitt konto, kopplas Fortnox-anslutningar från och token-valvet rensas. Kunden kan när som helst utföra detta självständigt under Konto.
9. Granskning
Vi tillgängliggör den information som behövs för att visa att skyldigheterna i artikel 28 GDPR fullgörs och möjliggör granskning i rimlig omfattning.
Connectivo AB · org.nr 556932-7777 · Göteborg · [email protected] · 010-641 12 12