Dina kunders uppgifter.För din räkning.

1. Parter och bakgrund

Det här avtalet gäller mellan det företag som använder Kvota (nedan Firman, personuppgiftsansvarig) och Invox AB, organisationsnummer 559547-8867, Box 2014, 281 02 Hässleholm (nedan Kvota, personuppgiftsbiträde).

Firman använder Kvota för att skriva offerter, ha kontakt med sina kunder och, när Firman aktiverar det, ta emot förfrågningar från sin hemsida. I det arbetet behandlar Kvota personuppgifter om Firmans kunder och kontakter för Firmans räkning. Firman bestämmer varför och hur uppgifterna behandlas. Kvota behandlar dem bara enligt det här avtalet och Firmans instruktioner.

Avtalet är en del av Kvotas villkor och gäller från den dag Firman godkänner det i tjänsten. Det gäller så länge Firman har ett konto med kundmaterial i Kvota, och därefter tills uppgifterna raderats eller lämnats tillbaka enligt punkt 10.

Avtalet gäller inte Firmans egna uppgifter som kund hos Kvota (namn, mejladress, fakturauppgifter, användning). Dem ansvarar Invox AB själv för, se integritetssidan på kvota.se.

2. Vad som behandlas

Registrerade: Firmans kunder och deras kontaktpersoner, personer som lämnar en förfrågan till Firman, och de personer som anges för skattereduktion (ROT, RUT, grön teknik).

Kategorier av uppgifter: namn, adress, mejladress, telefonnummer, organisationsnummer, jobbeskrivningar, adresser till arbetsplatser, priser och belopp, uppladdade dokument, foton och ljudinspelningar som Firman lägger in, meddelanden mellan Firman och kunden, kundens svar och godkännanden med tidsstämplar och tekniska uppgifter om händelsen, samt för skattereduktion personnummer, belopp per person och fastighetsbeteckning.

Känsliga uppgifter: Kvota är inte avsett för känsliga personuppgifter. Firman ska inte lägga in hälsouppgifter eller andra uppgifter som avses i artikel 9 i dataskyddsförordningen. Personnummer behandlas bara för skattereduktion.

Ändamål: att tillhandahålla tjänsten så som den beskrivs i villkoren: skapa, skicka och följa upp offerter, ta emot kundens beslut, ta emot och besvara förfrågningar, föra över fakturaunderlag till Firmans bokföringssystem när Firman väljer det, och ge AI-stöd i de funktioner Firman använder.

Behandlingens art: lagring, visning för Firman och för kunden via personliga länkar, sändning och mottagning av mejl och SMS, strukturering och förslag med hjälp av AI-leverantörer, säkerhetskopiering, export och radering.

3. Kvotas åtaganden

Kvota ska

1. behandla personuppgifterna bara på dokumenterade instruktioner från Firman. Villkoren, det här avtalet och de val Firman gör i tjänsten är instruktionerna. Kräver lag att Kvota behandlar uppgifterna på annat sätt ska Kvota informera Firman innan behandlingen, om inte lagen förbjuder det;
2. se till att de personer som får tillgång till uppgifterna har tystnadsplikt. Hos Invox AB är det i dag en person, Joel Stolt;
3. vidta de säkerhetsåtgärder som beskrivs i punkt 5;
4. följa villkoren för underbiträden i punkt 6;
5. hjälpa Firman att svara de registrerade när de utövar sina rättigheter, med de verktyg som finns i tjänsten (export av kundens uppgifter, radering av kund, stängning av firma) och annars på begäran;
6. hjälpa Firman att uppfylla sina skyldigheter om säkerhet, personuppgiftsincidenter, konsekvensbedömningar och samråd med tillsynsmyndigheten, i den mån Kvota har den information som behövs;
7. radera eller lämna tillbaka uppgifterna enligt punkt 10;
8. ge Firman den information som behövs för att visa att skyldigheterna i det här avtalet följs, och tillåta och medverka vid granskning enligt punkt 9;
9. utan dröjsmål säga till om Kvota anser att en instruktion strider mot dataskyddsförordningen eller annan dataskyddsbestämmelse.

4. Firmans åtaganden

Firman ansvarar för att ha rättslig grund för behandlingen, informera sina kunder om hur deras uppgifter används, bara lägga in uppgifter som behövs för jobbet, inte lägga in känsliga uppgifter, och hålla sina egna kontaktvägar och sitt kundregister korrekta. Firman ansvarar för de instruktioner Firman ger, inklusive att aktivera en koppling till sitt bokföringssystem och att välja att använda en AI-funktion.

5. Säkerhet

Kvota tillämpar följande åtgärder, och Firman kan när som helst be om en aktuell beskrivning.

• Lagring inom EU. Databas och filer för Offerter lagras hos Supabase i regionen eu-central-1 (Frankfurt), krypterat i vila. Kundkontaktens databas hos Cloudflare (D1) är skapad med jurisdiktionen EU, så både lagring och körning är låsta till EU (kontrollerat i Cloudflares API 2026-09-12).
• Åtkomst. Varje firma har sitt eget avgränsade utrymme. Databasens regler tillåter bara Firmans egna medlemmar att läsa Firmans uppgifter, och skrivning sker bara genom kontrollerade funktioner. Kunden når sin offert bara genom en personlig länk, och godkänner med en engångskod via mejl.
• Personnummer. Personnummer för skattereduktion krypteras i databasen (AES-256-GCM) och rensas efter överföringen till bokföringssystemet.
• AI-anrop. I Offerters textfunktioner (förslag, ändring med ord, granskning och inläsning av gamla offerter) byts mejladresser, svenska personnummer, telefonnummer och gatuadresser i Firmans text mot platshållare innan texten skickas, och sätts tillbaka i svaret. Namn maskas inte, och Firmans egna priser skickas som de är. Foton, inskannade sidor och ljud kan inte maskas och skickas som de är, bara för den funktion Firman valt; meddelanden i Kundkontakt maskas inte. Textanropen görs med instruktion till leverantören att inte lagra innehållet (store: false hos OpenAI); röstavskriften har ingen sådan inställning. OpenAI sparar API-indata i upp till 30 dagar för missbruksövervakning om inte nollagring beviljats; Anthropic sparar API-loggar i 7 dagar som standard.
• Transport. All trafik går över TLS. Webhookar från leverantörer verifieras med signatur.
• Säkerhetskopior. En krypterad kopia av databasen och filerna (AES-256-GCM; nyckeln finns hos Invox AB och i GitHubs hemlighetsvalv för det jobb som tar kopian, se bilaga 1) tas varje natt och lagras hos Cloudflare i en lagringsyta låst till EU i 30 dagar; äldre kopior raderas automatiskt. Kopior tas också före varje ändring av databasens struktur och lagras krypterat hos Invox AB. En radering i tjänsten når kopiorna när de gallras, senast efter 30 dagar. Supabases egen plan innehåller inga säkerhetskopior i dag; byts planen anges dess lagringstid här.
• Loggar. Tekniska loggar innehåller tidsstämplar och händelser, inte offertinnehåll.
• Personal och utrustning. Invox AB har en person med tillgång till produktionsmiljön, med separata nycklar per tjänst som aldrig lagras i källkoden.

6. Underbiträden

Firman godkänner att Kvota anlitar de underbiträden som listas i bilaga 1 för de funktioner Firman använder. Kvota ska ingå avtal med varje underbiträde som ger minst samma skydd som det här avtalet, och förblir ansvarig gentemot Firman för underbiträdets behandling.

Vill Kvota anlita ett nytt underbiträde, eller byta ut ett, ska Kvota meddela Firman i tjänsten och per mejl minst 30 dagar innan ändringen. Firman kan invända inom den tiden. Kan parterna inte lösa invändningen får Firman säga upp tjänsten och få tillbaka sina uppgifter enligt punkt 10, utan avgift för tid som inte utnyttjats.

Bokföringssystem som Firman själv ansluter (i dag Fortnox) är inte underbiträden till Kvota utan Firmans egna leverantörer. När Firman för över ett fakturaunderlag dit gäller Firmans avtal med den leverantören.

7. Överföring utanför EU/EES

Uppgifterna lagras inom EU enligt punkt 5. Vissa underbiträden kan behandla och tillfälligt lagra uppgifter utanför EU/EES, se bilaga 1. Sådan behandling sker bara med stöd av ett giltigt överföringsverktyg enligt kapitel V i dataskyddsförordningen, i första hand EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå, och bara för den funktion Firman använder. Överföringsgrunden per leverantör står i bilaga 1: för leverantörer certifierade under EU-US Data Privacy Framework gäller kommissionens adekvansbeslut av den 10 juli 2023, med standardavtalsklausuler som reserv; för övriga gäller standardavtalsklausulerna i leverantörens personuppgiftsbiträdesavtal.

8. Personuppgiftsincidenter

Får Kvota kännedom om en personuppgiftsincident som rör Firmans uppgifter ska Kvota utan onödigt dröjsmål, och senast inom 48 timmar, meddela Firmans ägare per mejl med det Kvota då vet: vad som hänt, vilka uppgifter och registrerade som kan vara berörda, vilka åtgärder som vidtagits och en kontaktperson. Kvota kompletterar när mer är känt. Firman avgör om incidenten ska anmälas till Integritetsskyddsmyndigheten och om de registrerade ska informeras.

9. Granskning

Firman har rätt att en gång per tolv månader, eller efter en incident, begära skriftlig information om hur Kvota följer avtalet, och att själv eller genom en oberoende granskare med tystnadsplikt granska Kvotas behandling. En granskning på plats ska aviseras minst 30 dagar i förväg, ske under kontorstid och inte störa driften mer än nödvändigt. Firman står för sina egna kostnader. Kvota får i stället för granskning på plats hänvisa till aktuella tredjepartsgranskningar av underbiträdena.

10. När avtalet upphör

När Firman stänger sin firma i Kvota, raderar sitt konto eller säger upp tjänsten, kan Firman först hämta sitt material genom exporten i tjänsten. Därefter raderar Kvota Firmans kundmaterial. Uppgifter i säkerhetskopior raderas när kopian löper ut. Kvota får behålla det som lag kräver, till exempel bokföringsunderlag om Firmans betalningar, och de minimala uppgifter som behövs för att hindra missbruk av provperioden (hashade värden, ingen läsbar kunduppgift). Publicerade offerter som Firmans kunder har godkänt sparas som en del av Firmans arkiv tills Firman raderar dem.

11. Ansvar

Ansvar mellan parterna följer villkoren för Kvota. Vardera parten ansvarar för sina egna skyldigheter enligt dataskyddsförordningen.

12. Ändringar

Kvota kan uppdatera avtalet när tjänsten, leverantörerna eller lagen ändras. Ändringar meddelas i tjänsten och per mejl minst 30 dagar innan de gäller, utom ändringar som bara ökar skyddet eller som lag kräver. Den version Firman godkänt sparas med datum i Firmans konto.

Bilaga 1: underbiträden

Leverantörernas egna avtal och underbiträdeslistor: Supabase supabase.com/legal/dpa, Cloudflare cloudflare.com/cloudflare-customer-dpa, Resend resend.com/legal/dpa, OpenAI openai.com/policies/data-processing-addendum, Anthropic privacy.claude.com, Stripe stripe.com/legal/dpa. Fakta kontrollerade 2026-09-12; källorna står i RESUME 189.

Not till bilagan: Stripe behandlar uppgifter om Firman som kund hos Invox AB, inte Firmans kundmaterial. Raden står med för fullständighet, så att Firman ser alla leverantörer som får uppgifter i samband med tjänsten. Umami på Vercel används bara för statistik på kvota.se efter besökarens val och rör inte Firmans kundmaterial.