Integritetspolicy

DokumentAdress tillhandahålls av PaLante Consulting, enskild firma, org.nr 810313-7454, postadress Fillinge Lyckhem 1, 585 93 Linköping. Kontakt i dataskyddsfrågor: dataskydd@dokumentadress.se.

Dataskyddsombud har inte utsetts. Bedömningen är att villkoren i GDPR artikel 37 för att utse ett ombud inte är uppfyllda: behandlingen sker inte i stor skala och är inte en huvudsaklig aktivitet som omfattar särskilda kategorier av uppgifter. Bedömningen omprövas om verksamheten eller behandlingen förändras. Ärenden som rör personuppgifter hanteras av PaLante Consulting direkt via dataskydd@dokumentadress.se.

När din organisation skickar in dokument – via e-post, API eller foto – är organisationen personuppgiftsansvarig för innehållet. DokumentAdress är personuppgiftsbiträde och behandlar uppgifterna enbart enligt organisationens dokumenterade instruktioner i biträdesavtalet (GDPR art. 28). Din organisation ansvarar för att informera de personer vars uppgifter förekommer i dokumenten, till exempel kontaktpersoner hos leverantörer (art. 13–14).

För kontouppgifter, behörigheter, fakturering och säkerhetsloggar är DokumentAdress själv personuppgiftsansvarig.

• Kontouppgifter: namn, e-postadress, organisationstillhörighet och roll.
• Faktureringsuppgifter: organisationens namn, referens, fakturaadress och betalningshistorik.
• Dokumentinnehåll: uppgifter som förekommer i inskickade fakturor, följesedlar och återkallelser, till exempel namn och kontaktuppgifter till kontaktpersoner hos leverantörer, samt organisationsnummer som för enskilda näringsidkare utgörs av personnummer.
• E-postmetadata: avsändaradress, ämnesrad och message-id för inkommande försändelser.
• Personaluppgifter (när kunden använder personalfunktionerna): namn, anställnings-id, e-postadress, inloggningssätt, hashad koppling till BankID (personnummer lagras inte i klartext) samt tidrapporter och frånvarokoder som vidarebefordras till kundens lönesystem. Kunden är personuppgiftsansvarig för dessa uppgifter.
• Tekniska säkerhetsloggar: tidpunkt, händelsetyp, användar- eller nyckelidentitet samt hashad IP-adress. IP-adress lagras aldrig i klartext.

Uppgifterna kommer från dig själv, från din organisation, från avsändare av dokument och e-post till organisationens inkorgar samt från organisationens anslutna system (art. 14.2 f).

Tjänsten är inte avsedd för känsliga personuppgifter (art. 9) eller uppgifter om lagöverträdelser (art. 10). Personnummer ska bara förekomma där det är klart motiverat, såsom i organisationsnummer för enskilda näringsidkare (dataskyddslagen 3 kap. 10 §). Uppgifter som liknar personnummer maskeras i den text som skickas till extern tolkningsmodell. Bilder och skannade sidor skickas däremot omaskerade när tolkningen kräver det.

• Leverera tjänsten (mottagning, tolkning, granskning, utleverans) — för dokumentinnehåll: din organisations instruktioner enligt biträdesavtalet; för kontodata: avtalet med kunden (art. 6.1 b).
• Spårbarhet och revision genom oföränderlig händelselogg — avtalet med kunden (art. 6.1 b) och berättigat intresse av att kunna visa vad som hänt med ett dokument (art. 6.1 f).
• Säkerhet, missbruksskydd och begränsning av anropsfrekvens — berättigat intresse av att skydda tjänsten och kunddata (art. 6.1 f).
• Systemmeddelanden via e-post — avtalet med kunden (art. 6.1 b).
• Fakturering och bokföring — avtalet (art. 6.1 b) och rättslig förpliktelse enligt bokföringslagen (art. 6.1 c).

Kontouppgifter är nödvändiga för att kunna använda tjänsten. Inget automatiserat beslutsfattande med rättsliga eller liknande följder för enskilda sker (art. 22); maskinell tolkning är ett förslag som alltid granskas av en människa hos kunden.

Uppgifter behandlas av de underbiträden vi anlitar för drift, lagring, e-post och maskinell tolkning. Förteckningen finns på sidan Underbiträden. Uppgifter lämnas i övrigt ut endast om lag kräver det eller om din organisation instruerar det, exempelvis genom konfigurerade integrationer och webhooks till organisationens egna system.

Behandling sker i första hand inom EU/EES. Om ett underbiträde behandlar uppgifter utanför EU/EES sker det med stöd av beslut om adekvat skyddsnivå (art. 45) eller EU-kommissionens standardavtalsklausuler (art. 46.2 c) tillsammans med kompletterande skyddsåtgärder. Kopia på skyddsåtgärderna kan begäras via dataskydd@dokumentadress.se.

Dokument som utgör räkenskapsinformation hos din organisation bevaras enligt organisationens instruktion. Begär en registrerad radering av ett sådant dokument avgör din organisation, som bokföringsskyldig, om dokumentet ska spärras i stället för att raderas, och informerar den registrerade om grunden.

Du har rätt till tillgång (art. 15), rättelse (art. 16), radering (art. 17), begränsning (art. 18) och dataportabilitet (art. 20).

Rätt att invända. Du har rätt att när som helst invända mot behandling som grundas på berättigat intresse, av skäl som hänför sig till din specifika situation (art. 21). Vi fortsätter då bara behandlingen om vi kan visa tvingande berättigade skäl som väger tyngre än dina intressen.

Rör din begäran innehåll i dokument vänder du dig till din organisations administratör, som är personuppgiftsansvarig. Vi bistår alltid med tekniska underlag. Rör begäran dina kontouppgifter eller säkerhetsloggar vänder du dig till oss på dataskydd@dokumentadress.se. Vi svarar utan onödigt dröjsmål och senast inom en månad (art. 12.3).

Rättelser skrivs som nya versioner och nya händelser — den ursprungliga tolkningen skrivs aldrig tyst över. Export sker i öppet, strukturerat och maskinläsbart format (JSON).

Du har rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), www.imy.se.

Data är isolerad per organisation på databasnivå med radnivåsäkerhet. Filer ligger i privat lagring och nås endast via kortlivade signerade länkar. Trafik krypteras under överföring och data krypteras i vila. API-nycklar lagras hashade och webhooks signeras.

Ingen plattform kan utlovas ogenomtränglig — målet är försvar i djupled där intrång är spårbara och begränsade till en organisation. Personuppgiftsincidenter anmäls till IMY och berörda enligt art. 33–34.

Vi använder endast kakor och lokal lagring som är nödvändiga för inloggning och säkerhet. Läs mer på sidan Cookies.

Policyn uppdateras vid behov. Väsentliga ändringar meddelas kundens administratör via e-post innan de träder i kraft. Datum för senaste ändring anges överst på sidan.