Dina kunders uppgifter.För din räkning.

1. Parter och bakgrund

Det här avtalet gäller mellan det företag som använder Kvota (nedan Firman, personuppgiftsansvarig) och Invox AB, organisationsnummer 559547-8867, Box 2014, 281 02 Hässleholm (nedan Kvota, personuppgiftsbiträde).

Firman använder Kvota för att skriva offerter, ha kontakt med sina kunder, planera och dokumentera sina jobb, förbereda fakturaunderlag och, när Firman aktiverar det, ta emot förfrågningar från sin hemsida och föra över fakturaunderlag till sitt bokföringssystem. I det arbetet behandlar Kvota personuppgifter om Firmans kunder, kontakter och medarbetare för Firmans räkning. Firman bestämmer varför och hur uppgifterna behandlas. Kvota behandlar dem bara enligt det här avtalet och Firmans instruktioner.

Avtalet är en del av Kvotas villkor och gäller för varje firma som använder Kvota, också på Gratis. Firmans ägare godkänner det i tjänsten innan provet startas eller ett betalpaket börjar. Det gäller så länge Firman har ett konto med kundmaterial i Kvota, och därefter tills uppgifterna raderats eller lämnats tillbaka enligt punkt 10.

Avtalet gäller inte Firmans egna uppgifter som kund hos Kvota (namn, mejladress, fakturauppgifter, användning). Dem ansvarar Invox AB själv för, se integritetssidan på kvota.se.

2. Vad som behandlas

Registrerade: Firmans kunder och deras kontaktpersoner, personer som lämnar en förfrågan till Firman, de personer som anges för skattereduktion (ROT, RUT, grön teknik), också när Firmans kund lämnar uppgifterna för någon annan i hushållet, och Firmans medarbetare i det de registrerar på Firmans jobb.

Kategorier av uppgifter: namn, adress, mejladress, telefonnummer, organisationsnummer, jobbeskrivningar, adresser till arbetsplatser, priser och belopp, uppladdade dokument, foton med den platsinformation kameran sparat och ljudinspelningar som Firman lägger in, meddelanden mellan Firman och kunden, kundens svar och godkännanden med tidsstämplar och tekniska uppgifter om händelsen, tid, material och anteckningar som registreras på jobben, samt för skattereduktion personnummer, andel och tak för avdraget per person, bostadstyp och fastighetsbeteckning, eller för en bostadsrätt lägenhetsnummer och föreningens organisationsnummer.

Känsliga uppgifter: Kvota är inte avsett för känsliga personuppgifter. Firman ska inte lägga in hälsouppgifter eller andra uppgifter som avses i artikel 9 i dataskyddsförordningen. Personnummer behandlas bara för skattereduktion.

Ändamål: att tillhandahålla tjänsten så som den beskrivs i villkoren: skapa, skicka och följa upp offerter, ta emot kundens beslut, ta emot och besvara förfrågningar, planera och dokumentera jobben, ta emot uppgifter för skattereduktion från Firmans kund enligt stycket nedan, föra över fakturaunderlag till Firmans bokföringssystem när Firman väljer det, och ge AI-stöd i de funktioner Firman använder.

Uppgifter för skattereduktion från Firmans kund: när funktionen finns i Firmans paket, Firman har en koppling till sitt bokföringssystem och Firman har godkänt den här versionen av avtalet kan Firmans kund, efter att ha godkänt en offert med ROT eller grön teknik, själv lämna personnummer för de personer som står i offertens fördelning och uppgifter om bostaden, på en sida under sin personliga offertlänk. Kvota tar emot uppgifterna för Firmans räkning. Firman använder dem i sitt fakturaunderlag och kan föra över dem till sitt bokföringssystem. Den som har länken kan ändra eller ta bort uppgifterna men kan inte läsa tillbaka ett personnummer. Uppgifterna skickas aldrig till en AI-leverantör.

Behandlingens art: lagring, visning för Firman och för kunden via personliga länkar, insamling från Firmans kund via kundens personliga länk, sändning och mottagning av mejl och SMS, strukturering och förslag med hjälp av AI-leverantörer, säkerhetskopiering, export och radering.

3. Kvotas åtaganden

Kvota ska

1. behandla personuppgifterna bara på dokumenterade instruktioner från Firman. Villkoren, det här avtalet och de val Firman gör i tjänsten är instruktionerna. Kräver lag att Kvota behandlar uppgifterna på annat sätt ska Kvota informera Firman innan behandlingen, om inte lagen förbjuder det;
2. se till att de personer som får tillgång till uppgifterna har tystnadsplikt. Hos Invox AB är det i dag en person;
3. vidta de säkerhetsåtgärder som beskrivs i punkt 5;
4. följa villkoren för underbiträden i punkt 6;
5. hjälpa Firman att svara de registrerade när de utövar sina rättigheter, med de verktyg som finns i tjänsten (export av kundens uppgifter, radering av kund, stängning av firma) och annars på begäran;
6. hjälpa Firman att uppfylla sina skyldigheter om säkerhet, personuppgiftsincidenter, konsekvensbedömningar och samråd med tillsynsmyndigheten, i den mån Kvota har den information som behövs;
7. radera eller lämna tillbaka uppgifterna enligt punkt 10;
8. ge Firman den information som behövs för att visa att skyldigheterna i det här avtalet följs, och tillåta och medverka vid granskning enligt punkt 9;
9. utan dröjsmål säga till om Kvota anser att en instruktion strider mot dataskyddsförordningen eller annan dataskyddsbestämmelse.

4. Firmans åtaganden

Firman ansvarar för att ha rättslig grund för behandlingen, informera sina kunder, och de personer som anges för skattereduktion, om hur deras uppgifter används, bara lägga in uppgifter som behövs för jobbet, inte lägga in känsliga uppgifter, och hålla sina egna kontaktvägar och sitt kundregister korrekta. Firman ansvarar för de instruktioner Firman ger, inklusive att aktivera en koppling till sitt bokföringssystem, vilket är en förutsättning för insamlingen av uppgifter för skattereduktion enligt punkt 2, och att välja att använda en AI-funktion.

5. Säkerhet

Kvota tillämpar följande åtgärder, och Firman kan när som helst be om en aktuell beskrivning.

• Lagring inom EU. Kvotas huvuddatabas och filer lagras hos Supabase i regionen eu-central-1 (Frankfurt), krypterat i vila. Kundkontaktens databas hos Cloudflare (D1) är skapad med jurisdiktionen EU, så både lagring och körning är låsta till EU (kontrollerat i Cloudflares API 2026-09-12).
• Åtkomst. Varje firma har sitt eget avgränsade utrymme. Databasens regler tillåter bara Firmans egna medlemmar att läsa Firmans uppgifter, och skrivning sker bara genom kontrollerade funktioner. Kunden når sin offert bara genom en personlig länk, och godkänner med en engångskod via mejl.
• Personnummer. Personnummer för skattereduktion krypteras i databasen (AES-256-GCM). På Firmans fakturaunderlag rensas de efter överföringen till bokföringssystemet och när Firman stänger sin firma i Kvota. Annars rensas de 30 dagar efter att de senast sparades, så snart ingen överföring pågår. Uppgifterna om bostaden på fakturaunderlaget hör till Firmans underlag och finns kvar så länge underlaget finns i Kvota. Det som Firmans kund lämnat själv, personnummer och uppgifter om bostaden, rensas efter överföringen, när kunden eller Firman tar bort det och när Firman stänger sin firma i Kvota, och senast 12 månader efter att kunden senast lämnade det.
• AI-anrop. I offertverktygets textfunktioner (förslag, ändring med ord, granskning och inläsning av gamla offerter) byts mejladresser, svenska personnummer, telefonnummer och gatuadresser i Firmans text mot platshållare innan texten skickas, och sätts tillbaka i svaret. Namn maskas inte, och Firmans egna priser skickas som de är. Foton, inskannade sidor och ljud kan inte maskas och skickas som de är, bara för den funktion Firman valt; meddelanden i Kundkontakt maskas inte. Textanropen görs med instruktion till leverantören att inte lagra innehållet (store: false hos OpenAI); röstavskriften har ingen sådan inställning. OpenAI sparar API-indata i upp till 30 dagar för missbruksövervakning om inte nollagring beviljats; Anthropic sparar API-loggar i 7 dagar som standard.
• Transport. All trafik går över TLS. Webhookar från leverantörer verifieras med signatur.
• Säkerhetskopior. En gång per dygn tas en krypterad kopia av databasen och filerna (AES-256-GCM). Nyckeln finns hos Invox AB och i GitHubs hemlighetsvalv för det jobb som tar kopian, se bilaga 1. Kopian lagras hos Cloudflare i en lagringsyta låst till EU i 30 dagar, och äldre kopior raderas automatiskt. Supabase tar dessutom en egen kopia av databasen en gång per dygn, inom EU i regionen eu-central-1, och sparar den i 7 dagar. Före varje ändring av databasens struktur tas också en kopia. Den lagras hos Invox AB på en dator med krypterad disk och används bara för att kunna återställa databasen om ändringen misslyckas. Detsamma gäller en krypterad kopia för fullständig återställning. De kopiorna raderas i dag för hand. Från den 1 december 2026 raderas de senast 90 dagar efter att de tagits. Kundkontaktens databas hos Cloudflare kan dessutom återställas till en tidpunkt högst 30 dagar bakåt, med en funktion hos Cloudflare som alltid är på. En radering i tjänsten når alltså de dagliga kopiorna och Kundkontaktens återställningspunkter senast efter 30 dagar, och från den 1 december 2026 de övriga kopiorna senast efter 90 dagar.
• Loggar. Tekniska loggar innehåller tidsstämplar och händelser, inte offertinnehåll.
• Personal och utrustning. Invox AB har en person med tillgång till produktionsmiljön, med separata nycklar per tjänst som aldrig lagras i källkoden.

6. Underbiträden

Firman godkänner att Kvota anlitar de underbiträden som listas i bilaga 1 för de funktioner Firman använder. Kvota ska ingå avtal med varje underbiträde som ger minst samma skydd som det här avtalet, och förblir ansvarig gentemot Firman för underbiträdets behandling.

Vill Kvota anlita ett nytt underbiträde, eller byta ut ett, ska Kvota meddela Firman i tjänsten och per mejl minst 30 dagar innan ändringen. Firman kan invända inom den tiden. Kan parterna inte lösa invändningen får Firman säga upp tjänsten och få tillbaka sina uppgifter enligt punkt 10, utan avgift för tid som inte utnyttjats.

Bokföringssystem som Firman själv ansluter (i dag Fortnox) är inte underbiträden till Kvota utan Firmans egna leverantörer. När Firman för över ett fakturaunderlag dit gäller Firmans avtal med den leverantören.

7. Överföring utanför EU/EES

Databasen och filerna lagras inom EU enligt punkt 5. Vissa underbiträden kan behandla och tillfälligt lagra uppgifter utanför EU/EES, se bilaga 1. Sådan behandling sker bara med stöd av ett giltigt överföringsverktyg enligt kapitel V i dataskyddsförordningen, i första hand EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå, och bara för den funktion Firman använder. Överföringsgrunden per leverantör står i bilaga 1: för leverantörer certifierade under EU-US Data Privacy Framework gäller kommissionens adekvansbeslut av den 10 juli 2023, med standardavtalsklausuler som reserv; för övriga gäller standardavtalsklausulerna i leverantörens personuppgiftsbiträdesavtal.

8. Personuppgiftsincidenter

Får Kvota kännedom om en personuppgiftsincident som rör Firmans uppgifter ska Kvota utan onödigt dröjsmål, och senast inom 48 timmar, meddela Firmans ägare per mejl med det Kvota då vet: vad som hänt, vilka uppgifter och registrerade som kan vara berörda, vilka åtgärder som vidtagits och en kontaktperson. Kvota kompletterar när mer är känt. Firman avgör om incidenten ska anmälas till Integritetsskyddsmyndigheten och om de registrerade ska informeras.

9. Granskning

Firman har rätt att en gång per tolv månader, eller efter en incident, begära skriftlig information om hur Kvota följer avtalet, och att själv eller genom en oberoende granskare med tystnadsplikt granska Kvotas behandling. En granskning på plats ska aviseras minst 30 dagar i förväg, ske under kontorstid och inte störa driften mer än nödvändigt. Firman står för sina egna kostnader. Kvota får i stället för granskning på plats hänvisa till aktuella tredjepartsgranskningar av underbiträdena.

10. När avtalet upphör

När Firmans ägare stänger firman i Kvota kan Firman först hämta sitt material genom exporten i tjänsten. Godkända offerter och bevisen om godkännandet sparas efter stängningen så länge Firman behöver dem som avtalsunderlag, och raderas på Firmans begäran. Övrigt kundmaterial raderar Kvota senast 30 dagar efter stängningen, för hand tills det finns ett verktyg i tjänsten. Uppgifter i säkerhetskopior raderas när kopian gallras enligt punkt 5. Kvota får behålla det som lag kräver, till exempel bokföringsunderlag om Firmans betalningar, och de minimala uppgifter som behövs för att hindra missbruk av provperioden (hashade värden, ingen läsbar kunduppgift).

11. Ansvar

Vardera parten ansvarar för sina egna skyldigheter enligt dataskyddsförordningen. I övrigt gäller ansvarsbegränsningen i Kvotas villkor.

12. Ändringar

Kvota kan uppdatera avtalet när tjänsten, leverantörerna eller lagen ändras. Ändringar meddelas i tjänsten och per mejl minst 30 dagar innan de gäller, utom ändringar som bara ökar skyddet eller som lag kräver. Den version Firman godkänt sparas med datum i Firmans konto. Firmans ägare kan godkänna en ny version i tjänsten innan den gäller, och tidigare versioner finns kvar på kvota.se. Funktioner som bygger på en ny version öppnas för Firman först när Firman godkänt den.

Bilaga 1: underbiträden

Leverantörernas egna avtal och underbiträdeslistor: Supabase supabase.com/legal/dpa, Cloudflare cloudflare.com/cloudflare-customer-dpa, Resend resend.com/legal/dpa, OpenAI openai.com/policies/data-processing-addendum, Anthropic privacy.claude.com, Stripe stripe.com/legal/dpa. Fakta kontrollerade 2026-09-12; källorna står i RESUME 189.

Not till bilagan: Stripe behandlar uppgifter om Firman som kund hos Invox AB, inte Firmans kundmaterial. Raden står med för fullständighet, så att Firman ser alla leverantörer som får uppgifter i samband med tjänsten. Umami på Vercel används bara för statistik på kvota.se efter besökarens val och rör inte Firmans kundmaterial.