Personuppgiftsbiträdesavtal (PUB) — ÖppenBok (Beta)

Revision: 1.0 (Gällande slutversion för stängd beta)
Datum: 2026-06-17
Parter: Naustet AB (Personuppgiftsbiträde) och Kunden (Personuppgiftsansvarig)

---

Läsbar sammanfattning (icke-bindande)

Denna sammanfattning i klarspråk är en hjälp för att snabbt förstå avtalets innebörd. Vid eventuell konflikt är det den juridiska avtalstexten nedan som gäller.

• Vad detta är: Ett juridiskt bindande avtal som reglerar hur Naustet AB (ÖppenBok) får behandla de personuppgifter som du lägger in i bokföringstjänsten. Du bestämmer ramarna (personuppgiftsansvarig) och vi utför arbetet på dina instruktioner (personuppgiftsbiträde) [2, 6].
• Var din data bor: Alltid inom EU/EES. Vi använder inga amerikanska molntjänster för drift, lagring eller bearbetning [3, 12].
• Underleverantörer (Underbiträden): Vi använder endast ett fåtal noga utvalda europeiska underleverantörer (t.ex. Hetzner för drift och Mistral AI i Frankrike för kvittotolkning) [3]. Vi använder inga amerikanska eller utom-europeiska underleverantörer. BankID/eID via Idura ApS (tidigare Criipto; Danmark, EU) är förhandsgodkänt men aktiveras först senare under betan [12, 33].
• Din data är din: Du kan alltid, utan extra avgift, exportera din fullständiga bokföring i det öppna SIE-formatet och läsa dina uppgifter – även om ditt abonnemang skulle pausas eller avslutas [3, 17].
• Spara och radera: Räkenskapsinformation måste enligt lag sparas i 7 år [3, 22]. När du raderar ditt konto anonymiserar vi dina kontouppgifter men bevarar bokföringen i låst skick under den lagstadgade lagringstiden [3, 22].
• Om en incident inträffar: Om vi upptäcker en personuppgiftsincident i våra system underrättar vi dig inom 24 timmar så att du hinner agera och vid behov anmäla till Integritetsskyddsmyndigheten (IMY) i tid [3, 18].
• Ansvarstak: Då betan är kostnadsfri är det ekonomiska ansvaret för direkt skada begränsat till ett fast tak på 2 500 SEK [25]. Indirekta skador ersätts ej. Vårt åtagande att bevara din bokföring enligt lag (bevarandegarantin) gäller dock ovillkorligen utan friskrivning [17, 22].

---

Fullständig juridisk avtalstext

1. Bakgrund, parter och roller

1.1 Detta personuppgiftsbiträdesavtal ("PUB-avtalet" eller "Avtalet") utgör en integrerad bilaga till huvudavtalet mellan parterna avseende den stängda betan av tjänsten ÖppenBok ("Tjänsten"), dvs. ÖppenBoks betavillkor ("Huvudavtalet") [4]. Vid eventuell motstridighet mellan detta PUB-avtal och Huvudavtalet avseende behandling av personuppgifter ska detta PUB-avtal äga företräde [4].

1.2 Personuppgiftsbiträde ("Biträdet"):

• Firma: Naustet AB [5]
• Org.nr: 556957-9336 [5]
• Säte: Kungälv [5]
• Postadress: Södra Arödsvägen 53, 442 97 Kode [5]
• Dataskyddskontakt: kontakt@naustet.eu [5]
• Behörig undertecknare: Johan Hogsved [5]
• Ställningstagande: Naustet AB har fastställt att formellt dataskyddsombud (DPO) ej krävs enligt artikel 37.1 i dataskyddsförordningen (GDPR), då kärnverksamheten inte innefattar regelbunden och systematisk övervakning av registrerade i stor omfattning, eller storskalig behandling av känsliga uppgifter [5]. Kontaktpunkt för dataskyddsfrågor är angiven e-postadress ovan [5].

1.3 Personuppgiftsansvarig ("Kunden"):

• Firma: [Fylls i digitalt vid godkännande] [5]
• Org.nr: [Fylls i digitalt vid godkännande] [5]
• Adress: [Fylls i digitalt vid godkännande] [5]
• Dataskyddskontakt (e-post): [Fylls i digitalt vid godkännande] [5]

1.4 Roller. Kunden är personuppgiftsansvarig för de personuppgifter som behandlas i Tjänsten för Kundens räkning (inkluderande men inte begränsat till bokföringsdata samt uppgifter om Kundens egna användare, kunder, leverantörer och medlemmar) [6]. Biträdet behandlar dessa personuppgifter uteslutande för Kundens räkning och i enlighet med Kundens dokumenterade instruktioner [6]. Biträdet är inte personuppgiftsansvarig för dessa uppgifter [6].

1.5 Avgränsning mot Biträdets eget personuppgiftsansvar. Naustet AB agerar som självständig personuppgiftsansvarig för personuppgifter kopplade till kontoadministration, användarautentisering (såsom magic links och passkeys), supportärenden och plattformssäkerhet [6]. Denna behandling regleras inte av detta PUB-avtal utan av ÖppenBoks integritetspolicy [6]. Denna rollfördelning är strikt och de båda behandlingsrollerna hålls tekniskt och juridiskt åtskilda [6].

2. Definitioner

Begrepp som används i detta Avtal, såsom "personuppgifter", "behandling", "underbiträde", "registrerad", "personuppgiftsincident" och "tredjeland", ska ha samma innebörd som anges i Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR") samt i tillämplig kompletterande svensk dataskyddsreglering (lag [2018:218] med kompletterande bestämmelser till EU:s dataskyddsförordning) [7]. "BFL" avser den svenska bokföringslagen (1999:1078) [8].

3. Behandling endast enligt dokumenterade instruktioner (Art. 28.3 a GDPR)

3.1 Biträdet får behandla personuppgifter endast på dokumenterade instruktioner från Kunden [8]. Detta gäller även överföring av personuppgifter till ett tredjeland, såvida inte sådan behandling krävs enligt unionsrätten eller svensk lagstiftning som Biträdet omfattas av [8]. I sådana fall ska Biträdet informera Kunden om det rättsliga kravet innan behandlingen påbörjas, såvida inte lagen förbjuder sådan information av hänsyn till ett viktigt allmänt intresse [8].

3.2 Kundens dokumenterade instruktioner utgörs av detta PUB-avtal inklusive dess Bilaga 1 (Behandlingsspecifikation) och Bilaga 2 (Underbiträdesförteckning), Huvudavtalet samt de löpande inställningar och val som Kunden gör via Tjänstens gränssnitt [9]. Eventuella tilläggsinstruktioner ska lämnas skriftligen till Biträdets dataskyddskontakt [9, 25].

3.3 Biträdet garanterar att personuppgifterna inte behandlas för egna ändamål eller på ett sätt som strider mot de ändamål och ramar som definieras i Bilaga 1 [9].

3.4 All behandling av personuppgifter sker inom EU/EES [10]. Överföring till tredjeland är under inga omständigheter tillåten under betaperioden [10, 24].

4. Konfidentialitet och tystnadsplikt (Art. 28.3 b GDPR)

4.1 Biträdet ska säkerställa att alla personer (inklusive anställda, konsulter och underbiträden) som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt [10].

4.2 Biträdet ska aktivt begränsa åtkomsten till personuppgifterna till personal som strikt behöver denna för att kunna drifta, underhålla och utveckla Tjänsten [11].

5. Säkerhet (Art. 32 GDPR)

5.1 Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i enlighet med artikel 32 GDPR [11].

5.2 Biträdet tillämpar följande konkreta och bindande säkerhetsåtgärder i Tjänsten:

• Kryptering under överföring: All datatrafik skyddas med TLS 1.3 [12].
• Kryptering i vila: Driftservrar och databaser skyddas med disk- och volymkryptering på operativsystemsnivå (LUKS) [12].
• Förstärkt identitetskryptering: Personnummer (då de förekommer efter beta) lagras krypterade med AES-256-GCM och personnummer lagras dessutom som saltade kryptografiska hashar (SHA-256) för att omöjliggöra klartextavläsning vid databasåtkomst [12].
• Rollbaserad behörighetsstyrning (RBAC): Behörigheter i applikationslagret styrs strikt enligt hierarkin OWNER > ADMIN > ACCOUNTANT > VIEWER > AUDITOR [12].
• Tenant-isolering: All data är logiskt och strikt separerad per kund/organisation. Databasförfrågningar valideras obligatoriskt mot den aktiva organisationens ID (IDOR-skydd via obligatorisk tenant-kontext i server Actions) [12].
• Oföränderlig revisionslogg: Tjänsten för en automatisk, oföränderlig logg (AuditLog) över väsentliga händelser i systemet [12].
• Säkerhetskopiering: Daglig krypterad databassäkerhetskopia lagras på objektlagring inom EU/EES, med ett mål för maximal dataförlust (RPO) om högst 24 timmar [12].
• Betagrind: Under den stängda betan skyddas åtkomsten av en per-kund Basic Authentication (fail-closed) samt fullständig blockering av sökmotorers indexering [12].

5.3 Biträdet har rätt att löpande justera och modernisera säkerhetsåtgärderna i takt med den tekniska utvecklingen, under förutsättning att den övergripande säkerhetsnivån inte sänks [13].

5.4 Spårbarhet i beta: Kunden noterar och accepterar att IP-adresser eller webbläsarinformation (user-agent) i betatjänsten i praktiken inte loggas vid inloggningshändelser, i syfte att minimera datalagring [13]. Spårbarhet och säkerhet vilar i stället på den unika per-kund-autentiseringen [13].

6. Anlitande av underbiträden (Art. 28.2 och 28.4 GDPR)

6.1 Kunden ger Biträdet ett generellt förhandsgodkännande att anlita de underbiträden som anges i Bilaga 2 [13].

6.2 När Biträdet anlitar ett underbiträde ska underbiträdet åläggas samma dataskyddsskyldigheter som åvilar Biträdet enligt detta Avtal, i synnerhet tillräckliga garantier om lämpliga tekniska och organisatoriska åtgärder [14]. Om underbiträdet inte fullgör sina skyldigheter är Biträdet fullt ansvarigt gentemot Kunden för underbiträdets fullgörande av sina skyldigheter [14].

6.3 Biträdet ska skriftligen (via e-post till Kundens dataskyddskontakt eller via en dedikerad, inloggad informationssida i Tjänsten) informera Kunden om planer på att anlita nya underbiträden eller ersätta befintliga underbiträden, med ett varsel om minst 30 dagar [14].

6.4 Kunden har rätt att inom varselfristen invända mot förändringen på sakliga, dataskyddsrelaterade grunder [15]. Om parterna inte kan enas om en lösning har Kunden rätt att med omedelbar verkan säga upp Tjänsten utan kostnad, varvid Kunden behåller sin rätt att exportera sina data i enlighet med punkt 11 [15].

7. Bistånd med registrerades rättigheter (Art. 28.3 e GDPR)

7.1 Biträdet ska, genom lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, bistå Kunden med att uppfylla sin skyldighet att svara på begäranden från registrerade som vill utöva sina rättigheter enligt kapitel III GDPR [16].

7.2 Tjänsten tillhandahåller inbyggda självbetjäningsverktyg som gör det möjligt för Kunden att direkt tillgodose de registrerades rättigheter:

• Dataportabilitet/Utlämnande: Kunden kan när som helst och helt avgiftsfritt ladda ner hela sin bokföring i det öppna standardformatet SIE [17]. Denna exportmöjlighet är en ovillkorlig garanti som fungerar oavsett Tjänstens eller prenumerationens status [17].
• Radering/Anonymisering: Vid begäran om radering av personuppgifter som omfattas av lagstadgad lagringsskyldighet (t.ex. i bokföringen) tillhandahåller Tjänsten funktioner för anonymisering [17]. Detta innebär att identifierbara fält ersätts med pseudonymer medan de finansiella transaktionerna och revisionsloggen lämnas intakta för att uppfylla bokföringslagen [17].

7.3 Om en registrerad vänder sig direkt till Biträdet med en begäran ska Biträdet utan onödigt dröjsmål vidarebefordra denna till Kunden och inte själv besvara begäran i sak [18].

8. Bistånd avseende säkerhet, incidenter och konsekvensbedömningar (Art. 28.3 f GDPR)

8.1 Biträdet ska på begäran bistå Kunden med att säkerställa efterlevnad av skyldigheterna i artiklarna 32–36 GDPR, med beaktande av behandlingens art och den information som Biträdet har tillgång till [18].

8.2 Personuppgiftsincidenter (Art. 33 och 34 GDPR): Vid kännedom om en personuppgiftsincident i Tjänstens infrastruktur eller hos något underbiträde ska Biträdet underrätta Kunden utan onödigt dröjsmål och som en bindande intern SLA senast inom 24 timmar från det att incidenten upptäcktes [18, 92]. Biträdet tillhandahåller Kunden skriftlig information och underlag i enlighet med specifikationen i incidentrutinen och artikel 33.3 GDPR [18, 94]. Kunden bär det fulla rättsliga ansvaret för att bedöma incidenten och i förekommande fall anmäla denna till Integritetsskyddsmyndigheten (IMY) inom 72 timmar samt informera berörda registrerade [18, 87].

9. Underrättelse om lagstridig instruktion

Biträdet ska omedelbart underrätta Kunden om Biträdet anser att en instruktion från Kunden strider mot GDPR eller mot andra tillämpliga dataskyddsbestämmelser [19]. Biträdet har rätt att avbryta genomförandet av den berörda instruktionen i avvaktan på Kundens skriftliga bekräftelse eller justering av instruktionen [19].

10. Granskning och inspektion (Art. 28.3 h GDPR)

10.1 Biträdet ska ge Kunden tillgång till all information som krävs för att visa att de skyldigheter som fastställs i artikel 28 GDPR har fullgjorts [20].

10.2 Biträdet ska möjliggöra och bidra till granskningar, inklusive inspektioner, som genomförs av Kunden eller av en oberoende revisor som bemyndigats av Kunden [20].

10.3 Praktiska former för inspektion. Parterna enas om att granskning i första hand sker genom att Biträdet tillhandahåller relevant säkerhets- och efterlevnadsdokumentation [20]. Om en fysisk inspektion på plats krävs, ska detta ske på följande villkor:

• Kunden ska skriftligen avisera inspektionen med minst 30 dagars varsel [20].
• Fysisk inspektion får ske högst en gång per kalenderår, såvida inte tillsynsmyndighet kräver det eller det finns en skälig och dokumenterad misstanke om pågående incident [20].
• Inspektionen ska ske under ordinarie kontorstid och under iakttagande av Biträdets sekretessregler [20].
• Inspektionen måste genomföras på ett sådant sätt att den inte stör Tjänstens drift eller riskerar att exponera andra kunders eller tenants data [20].
• Granskningen och inspektionen sker i alla delar på Kundens egen bekostnad [20].

11. Åtgärder vid Avtalets upphörande (Art. 28.3 g GDPR)

11.1 Uthämtningsfönster. Vid Avtalets upphörande (t.ex. om Kunden säger upp sitt deltagande i betan) garanterar Biträdet att Kunden ges tillgång till ett kostnadsfritt uthämtningsfönster om 12 månader [21]. Under detta fönster kan Kunden fortsätta logga in i ett låst läsläge (read-only) för att visa sina data samt utföra obegränsade exportförsök i det öppna SIE-formatet [21].

11.2 Radering och anonymisering. Efter uthämtningsfönstrets utgång ska Biträdet radera eller anonymisera alla personuppgifter i Kundens tenant-databas samt radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt tillämplig unionsrätt eller svensk lag [22].

11.3 Uttryckligt undantag för lagstadgad bevarandepfllikt enligt Bokföringslagen (BFL). Parterna är uttryckligen införstådda med att bokföringsdata och transaktionsunderlag utgör räkenskapsinformation som enligt bokföringslagen (1999:1078) 7 kap. 2 § måste bevaras i sju år [22]. Sådan information omfattas av undantaget i artikel 17.3 b GDPR och raderas eller anonymiseras inte fysiskt förrän den lagstadgade bevarandetiden har löpt ut [22]. Under denna tid bevaras data i ett skyddat och arkiverat skick i databasen (soft-delete) [22, 244].

11.4 Filer i objektlagring (MinIO). Biträdet ska i samband med radering eller anonymisering enligt denna punkt säkerställa att underliggande digitala dokumentfiler (kvitton och fakturor) i objektlagringen (MinIO) rensas eller bevaras i strikt överensstämmelse med lagringskraven i BFL [23, 97].

12. Plats för behandling — EU/EES-suveränitet

12.1 Biträdet gör ett juridiskt bindande åtagande att all lagring, drift och bearbetning av personuppgifter sker uteslutande inom EU/EES [24].

12.2 Tjänsten använder inga amerikanska eller utom-europeiska molntjänster för lagring, hosting, backup eller exekvering [24]. AI-tolkning (OCR) av kvitton och fakturor sker uteslutande hos den europeiska leverantören Mistral AI (Frankrike, EU) [24, 35]. Ingen personuppgiftsbehandling eller tredjelandsöverföring enligt kapitel V GDPR förekommer därmed i Tjänsten under betaperioden [24].

13. Ändringar, avtalstid och ansvarsbegränsning

13.1 Godkännande av detta PUB-avtal sker digitalt via e-accept (klickwrap) i samband med registrering och onboarding i Tjänsten, vilket uppfyller skriftlighetskravet enligt artikel 28.9 GDPR [25].

13.2 PUB-avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning samt under den efterföljande lagstadgade arkiveringstiden (7 år enligt BFL) [22, 25].

13.3 Ansvarsbegränsning. Eftersom betatjänsten tillhandahålls helt kostnadsfritt och utan abonnemangsavgifter under hela betaperioden, är parterna överens om att Biträdets totala ekonomiska ansvar för direkt skada till följd av vårdslöshet eller brott mot detta PUB-avtal ska begränsas till ett fast tak på maximalt 2 500 SEK (två tusen fem hundra kronor) per kalenderår. Biträdet friskriver sig helt från ansvar för indirekt skada, följdskada, utebliven vinst eller förlust av data, med det uttryckliga förbehållet att bevarandegarantin (Biträdets skyldighet att bevara räkenskapsinformation enligt BFL och hålla den tillgänglig för SIE-export) enligt punkt 11.1 och 11.3 alltid gäller ovillkorligen och utan ansvarsbegränsning.

13.4 Tillämplig lag och tvist. Detta Avtal ska lyda under svensk lag. Tvist i anledning av detta Avtal ska avgöras av svensk allmän domstol, med Göteborgs tingsrätt som behörig domstol i första instans.

---

Bilaga 1 — Behandlingsspecifikation

1.1 Föremål och behandlingens art
Behandling av personuppgifter sker i syfte att tillhandahålla den molnbaserade bokföringstjänsten ÖppenBok (Beta), inklusive insamling, strukturering, registrering, visualisering, kryptering, säkerhetskopiering, SIE-export och anonymisering/radering av bokföringsdata, samt valfri automatiserad kvittotolkning (AI-OCR) [27, 32].

1.2 Ändamål med behandlingen

• Tillhandahålla Tjänstens bokföringsfunktionalitet (Fullgörande av avtal) [28].
• Uppfylla den lagstadgade skyldigheten att bevara räkenskapsinformation i 7 år enligt bokföringslagen [28].
• Säkerställa åtkomstkontroll och spårbarhet via krypterad inloggning (magic links, passkeys) samt oföränderlig revisionslogg (AuditLog) [28].

1.3 Behandlingens varaktighet
Behandlingen pågår under Tjänstens avtalstid samt under det efterföljande 12-månaders uthämtningsfönstret [29]. Räkenskapsinformation bevaras därefter i låst och arkiverat skick i 7 år i enlighet med kraven i bokföringslagen [29].

1.4 Kategorier av registrerade

1. Kundens egna användare: Ägare, styrelsemedlemmar, anställda eller redovisningskonsulter hos Kunden som har tilldelats åtkomst till Tjänsten [29].
2. Kundens motparter: Kunder, leverantörer och medlemmar (inklusive fastighetsägare i föreningsmodulen) som Kunden registrerar i Tjänstens bokföring eller medlemsregister [29]. Anställda (lönedata) är ej tillämpligt i beta då lönehistorik och lönemodul saknas [29, 30].

1.5 Kategorier av personuppgifter

• Kontoinnehavare / Användare: Namn, e-postadress, och säkerhetsuppgifter för inloggning (t.ex. passkey-autentiseringsuppgifter, magic link-polletter) [30]. Personnummer (då det förekommer efter beta) sparas krypterat med AES-256-GCM samt som saltad hash (SHA-256) [30]. I betan sparas inte IP-adresser eller user-agents vid inloggningshändelser [30].
• Bokföring & Register: Namn, organisationsnummer/personnummer, adresser, telefonnummer, e-postadresser, bankuppgifter, andelstal (fastigheter), samt fritextnoteringar i kund-/leverantörskonton [31].
• Transaktionsdata: Verifikat, konton, momsrapporter, banktransaktioner [31].
• Underlag och dokument: Uppladdade kvitton och fakturor (bild- eller PDF-filer sparade i MinIO objektlagring) samt textdata utvunnen via AI-OCR [31].

---

Bilaga 2 — Förhandsgodkända underbiträden

Följande underbiträden är godkända av Kunden vid Avtalets ingående [33]:

Myndighetsintegrationer: Bolagsverket är aktiverat (live) för automatisk hämtning av offentliga bolagsuppgifter (organisationsnummer, firma, adress m.m.). Statistiska centralbyrån (SCB) är aktiverat (live) för hämtning av uppgifter ur företagsregistret om aktiebolag och andra juridiska personer, när kunden lägger upp ett företag i tjänsten och hämtar dess uppgifter. För enskild firma kan uppgifterna hämtas ur samma register med innehavarens personnummer som sökbegrepp, bara när användaren själv begär det när företaget läggs upp i tjänsten och bekräftar att uppgifterna gäller det egna företaget; det som hämtas är uppgifter om firman i företagsregistret, som namn, adress och SNI-kod. Skatteverket är aktiverat (live) sedan 2026-08-08 för hämtning av skattekonto- och momsuppgifter; inlämning av deklarationer är avstängd och sker inte genom tjänsten. Lantmäteriet är förhandsgodkänt och aktiveras senare under betan; fram till dess körs det i simulerad testmiljö (mock) [34].

Tillkommande underbiträden under betan/inför allmän lansering — exempelvis en europeisk (EU/EES) betalnings- och abonnemangsleverantör, bankintegration via partner samt e-fakturering (Peppol) via partner — anlitas i enlighet med punkt 6.3 och aviseras Kunden med minst 30 dagars varsel samt kräver förnyad e-accept (delta-samtycke) innan aktivering. Naustet AB anlitar inga amerikanska eller utom-europeiska underbiträden.