Juridik och dataskydd

Din organisation är personuppgiftsansvarig för innehållet i de dokument som skickas in via e-post, API eller foto. DokumentAdress är personuppgiftsbiträde och behandlar uppgifterna enbart enligt dina dokumenterade instruktioner, reglerade i biträdesavtalet (GDPR art. 28).

För kontouppgifter, behörigheter, fakturering och säkerhetsloggar är DokumentAdress själv personuppgiftsansvarig. Rättslig grund är avtalet med kunden (art. 6.1 b), rättslig förpliktelse för bokföring (art. 6.1 c) och berättigat intresse av säkerhet och spårbarhet (art. 6.1 f).

Kontaktpersoner hos dina leverantörer och motparter får sin information om behandlingen från din organisation, som är ansvarig för den (art. 14). Vi bistår med underlag.

Tolkning av fakturor, följesedlar och återkallelser sker maskinellt. Resultatet märks alltid som maskinellt tolkat – både i granskningsvyn och i API-svaren – tillsammans med använd modell och konfidensgrad.

Enligt vår bedömning är tjänsten inte ett högrisksystem enligt AI-förordningen (EU) 2024/1689, och den omfattas inte av de särskilda transparenskraven i artikel 50. Vi tillämpar ändå principerna om transparens och mänsklig kontroll: systemet lämnar förslag, aldrig beslut. Ingen post blir verifierad utan att en människa granskat den, och låg konfidens flaggas automatiskt för granskning. Vi ser till att de som arbetar med tjänsten har tillräcklig AI-kunnighet (art. 4).

Kunddata används inte för att träna modeller. Plattformen utför varken profilering, social poängsättning eller biometrisk analys, och fattar inga automatiserade beslut med rättsliga eller liknande följder för enskilda (GDPR art. 22).

Begäran om tillgång, rättelse, begränsning, invändning eller radering som rör innehåll i dokument riktas till din organisations administratör, som är personuppgiftsansvarig. Begäran som rör ditt konto eller säkerhetsloggar riktas direkt till oss på dataskydd-adressen nedan. Rättelser skrivs som nya händelser – den ursprungliga tolkningen skrivs aldrig tyst över.

All kunddata kan exporteras i öppet, strukturerat och maskinläsbart format (JSON) via det versionerade /v1-API:et. Villkoren för leverantörsbyte och utträde – uppsägningstid, övergångsperiod, hämtningsperiod och avgifter – följer dataförordningen (EU) 2023/2854 och framgår av användarvillkoren.

Dokument som utgör räkenskapsinformation hos din organisation bevaras enligt din instruktion. Standardinställningen följer bokföringslagens krav: till utgången av det sjunde året efter det kalenderår då räkenskapsåret avslutades. Bokföringsplikten är din organisations, och det är din organisation som avgör om ett dokument ska bevaras eller raderas i förtid. Dokument utan bokföringsvärde gallras efter 24 månader om du inte instruerar annat.

Leveransloggar för webhooks sparas i 90 dagar, e-postmetadata i 12 månader och händelseloggar anonymiseras 24 månader efter att dokumentet raderats. Det fullständiga gallringsschemat finns i integritetspolicyn.

Varje organisations data är isolerad på databasnivå med radnivåsäkerhet. Filer ligger i privat lagring och nås endast via kortlivade signerade länkar. Trafik krypteras under överföring och data krypteras i vila.

API-nycklar lagras hashade och är begränsade till organisation och behörighetsomfång. Webhooks signeras med HMAC-SHA256 och tidsstämpel. Vid en personuppgiftsincident som rör din organisations data får du skriftligt besked utan onödigt dröjsmål, med målsättning inom 24 timmar från det att incidenten upptäcktes.