GDPR-information

Senast uppdaterad: 2026-10-03

Vad är GDPR?

GDPR (General Data Protection Regulation) är EU:s dataskyddsförordning som trädde i kraft den 25 maj 2018. Förordningen ger dig som privatperson starka rättigheter kring hur dina personuppgifter samlas in, lagras och används.

Hur arbetar ITRAB KYC med GDPR?

ITRAB KYC är en tjänst som hjälper redovisningsbyråer att uppfylla sin kundkännedomsplikt enligt penningtvättslagen (2017:630). Vi har byggt tjänsten med dataskydd som grundprincip ("privacy by design").

Roller och ansvar

Redovisningsbyrån (vår kund) är personuppgiftsansvarig för sina kunders uppgifter i Tjänsten.
ITRAB agerar som personuppgiftsbiträde och behandlar uppgifterna enligt redovisningsbyråns instruktioner.
Ett personuppgiftsbiträdesavtal (PUB) ingår som del av villkoren och finns att läsa på /pub. En underskriven version finns på begäran.

Tekniska och organisatoriska skyddsåtgärder

Kryptering

All datatrafik skyddas med TLS/SSL-kryptering. Säkerhetskopior lagras krypterade i vila (AES-256) hos Cloudflare R2. Uppladdade handlingar lagras utanför webbplatsens publika filer och nås bara av behöriga användare hos rätt redovisningsbyrå.

Åtkomstkontroll

Rollbaserad behörighetsstyrning säkerställer att enbart behöriga personer har åtkomst. Varje byrås uppgifter hålls åtskilda från övriga byråers.

BankID

Kunder identifierar sig med BankID i kundkännedomsprocessen.

Revisionslogg

Ändringar, inloggningar, exporter och åtkomst till dokument loggas och kan följas upp.

Dataminimering

Vi samlar bara in uppgifter som behövs för ändamålet. Inga onödiga data.

Datalagring

Applikationsserver och databas finns i ett datacenter i Stockholm (Vultr). Säkerhetskopior lagras krypterade hos Cloudflare (R2) med placeringen inställd på Östeuropa. Se underbiträden nedan för övriga tjänster.

Underbiträden

Vi använder följande underbiträden för att tillhandahålla Tjänsten:

Underbiträde	Ändamål	Plats	Skyddsåtgärd för överföring
Vultr (The Constant Company, LLC)	Serverinfrastruktur och datalagring	Datacenter i Stockholm	—
Cloudflare, Inc. (R2)	Krypterade säkerhetskopior av databas och uppladdade handlingar	Placering inställd på Östeuropa	SCC / Data Privacy Framework
Twilio Inc.	SMS-utskick av KYC-förfrågan och påminnelse	USA	BCR / SCC
MailerSend, Inc.	E-postutskick	Datacenter i Belgien (Google Cloud)	SCC

Planerade ändringar i listan över underbiträden meddelas redovisningsbyrån minst 30 dagar i förväg, så att byrån kan invända.

SCC = EU-kommissionens standardavtalsklausuler (Standard Contractual Clauses). BCR = Binding Corporate Rules.

Mottagare som är egna personuppgiftsansvariga

Vid identifiering med BankID och vid betalning delas uppgifter med följande mottagare, som själva ansvarar för sin behandling:

Mottagare	Ändamål	Plats
Idura ApS (BankID-förmedling)	Identifiering av kunden med BankID. Idura sparar autentiseringsbevis i 5 år.	Danmark; hosting hos Microsoft Azure och AWS i EU
BankID (Finansiell ID-Teknik)	BankID-identifiering	Sverige
Stripe	Betalningshantering. Stripe behandlar även vissa uppgifter som egen personuppgiftsansvarig, t.ex. för bedrägeriförebyggande.	EU/USA (Data Privacy Framework, SCC)

Dina rättigheter som registrerad

Om du är slutkund hos en redovisningsbyrå som använder ITRAB KYC har du följande rättigheter:

Rätt till information — Du ska informeras om hur dina uppgifter behandlas.
Rätt till tillgång — Du kan begära ett registerutdrag med alla dina uppgifter.
Rätt till rättelse — Felaktiga uppgifter ska korrigeras utan onödigt dröjsmål.
Rätt till radering — Du kan begära att uppgifter raderas, med undantag för data som ska sparas enligt lag (t.ex. penningtvättslagen, 5 år).
Rätt till begränsning — Du kan begära att behandlingen begränsas under vissa omständigheter.
Rätt till dataportabilitet — Du kan få ut dina uppgifter i ett strukturerat, maskinläsbart format.
Rätt att invända — Du kan invända mot behandling som sker med stöd av berättigat intresse.

Kontakta din redovisningsbyrå i första hand, eller ITRAB på info.mail.itrab.se för att utöva dina rättigheter.

Personuppgiftsincidenter

Vid en personuppgiftsincident har ITRAB rutiner för att:

Upptäcka och utreda incidenten utan onödigt dröjsmål
Underrätta den personuppgiftsansvarige (redovisningsbyrån) utan onödigt dröjsmål efter att vi fått kännedom om incidenten
Bistå med anmälan till Integritetsskyddsmyndigheten (IMY) inom 72 timmar
Dokumentera incidenten och vidtagna åtgärder

Kontakt

Har du frågor om hur vi hanterar personuppgifter?

IT Reidarsson AB
Tegellidsgatan 6
596 34 Skänninge
E-post: info.mail.itrab.se
Telefon: 0722-40 71 24

Du kan också läsa vår Integritetspolicy för mer detaljerad information om vår personuppgiftsbehandling.

IT Reidarsson AB (itrab) · Tegellidsgatan 6 · 596 34 Skänninge · 0722-40 71 24