Integritetspolicy

1. Vem ansvarar för dina uppgifter?

För de kundkännedomsuppgifter som behandlas i Tjänsten är redovisningsbyrån personuppgiftsansvarig och IT Reidarsson AB personuppgiftsbiträde. IT Reidarsson AB är personuppgiftsansvarig för uppgifter om byråns användare (konto, inloggning, fakturering) samt för tjänstens drift och säkerhetsloggar.

IT Reidarsson AB (org.nr 559428-0796)
Tegellidsgatan 6
596 34 Skänninge
E-post: info.mail.itrab.se
Telefon: 0722-40 71 24

2. Vilka personuppgifter samlar vi in?

Vi behandlar följande kategorier av personuppgifter inom ramen för vår KYC-tjänst:

• Kontaktuppgifter: Namn, e-postadress, telefonnummer, adress
• Identifieringsuppgifter: Personnummer, organisationsnummer, BankID-verifieringsdata
• Företagsinformation: Bolagsform, verksamhetsbeskrivning, verkliga huvudmän
• KYC-data: Svar på kundkännedomsfrågor, riskbedömningar, uppladdade dokument
• Tekniska uppgifter: IP-adress, webbläsarinformation, tidsstämplar för inloggning
• Betalningsuppgifter: Fakturerings­information (kortuppgifter hanteras direkt av Stripe och lagras aldrig hos oss)

3. Ändamål och rättslig grund

För kundkännedomsuppgifter bestämmer redovisningsbyrån ändamål och rättslig grund. Tabellen visar de grunder som gäller för behandlingen i Tjänsten.

Ändamål	Rättslig grund
Tillhandahålla KYC-tjänsten	Fullgörande av avtal
Kundkännedom enligt penningtvättslagen	Rättslig förpliktelse
BankID-verifiering av identitet	Rättslig förpliktelse
SMS-utskick (KYC-förfrågan och påminnelse)	Fullgörande av avtal
Betalningshantering via Stripe	Fullgörande av avtal
Säkerhetsloggning och revisionslogg	Berättigat intresse

4. Hur länge sparar vi uppgifterna?

• KYC-data: Under avtalstiden. Efter avtalets slut exporteras uppgifterna av redovisningsbyrån och raderas av oss inom 30 dagar därefter. Redovisningsbyrån bevarar dem enligt penningtvättslagen (2017:630), 5 år efter att affärsförbindelsen upphört
• Kontoinformation: Så länge kontot är aktivt, plus 12 månader efter avslut
• Loggar och revisionsdata: 5 år
• Betalningshistorik: Enligt bokföringslagen (7 år)
• Autentiseringsbevis hos BankID-förmedlaren Idura: 5 år (1 826 dagar)

5. Delning av uppgifter

Underbiträden som behandlar uppgifter för vår räkning (Vultr, Cloudflare R2, Twilio, MailerSend) finns förtecknade på GDPR-sidan.

Mottagare som är egna personuppgiftsansvariga:

• Idura ApS — BankID-förmedling (Danmark)
• BankID (Finansiell ID-Teknik) — identitetsverifiering (Sverige)
• Stripe — betalningshantering (EU/USA, Data Privacy Framework och standardavtalsklausuler)
• Redovisningsbyrån som använder tjänsten — i egenskap av personuppgiftsansvarig för sin kundkännedom

Vi säljer aldrig personuppgifter till tredje part.

6. Dina rättigheter

Du har enligt GDPR rätt att:

• Begära tillgång till dina personuppgifter (registerutdrag)
• Begära rättelse av felaktiga uppgifter
• Begära radering (med undantag för uppgifter vi måste spara enligt lag)
• Begära begränsning av behandling
• Dataportabilitet — få ut dina uppgifter i maskinläsbart format
• Invända mot behandling baserad på berättigat intresse

Kontakta oss på info.mail.itrab.se för att utöva dina rättigheter. Vi besvarar förfrågningar inom 30 dagar.

7. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda dina personuppgifter, inklusive:

• Krypterad kommunikation (TLS/SSL)
• Krypterade säkerhetskopior i vila (AES-256)
• Identifiering av kunder med BankID
• Rollbaserad åtkomstkontroll och åtskilda byråer
• Loggning av inloggningar, ändringar, exporter och dokumentåtkomst

8. Tillsynsmyndighet

Om du anser att vi behandlar dina personuppgifter felaktigt har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY):

Integritetsskyddsmyndigheten
Box 8114, 104 20 Stockholm
imy.se

9. Ändringar

Vi kan komma att uppdatera denna integritetspolicy. Vid väsentliga ändringar informerar vi dig via e-post eller meddelande i tjänsten.