Personuppgiftsbiträdesavtal

Senast uppdaterat 2026-10-15. Avtalet är en del av användarvillkoren och gäller automatiskt när du ansluter ett Fortnox-företag till Fortare. Det uppfyller kraven i GDPR artikel 28.

1. Parter och roller

Personuppgiftsansvarig är det företag som ansluter sitt Fortnox ("kunden"). Personuppgiftsbiträde är Rhythmic Visions AB (org.nr 559353-1162), som driver Fortare.

Är du en byrå som ansluter en klients Fortnox är du normalt biträde åt klienten och Fortare ditt underbiträde. Du får hänvisa till det här avtalet i ditt eget avtal med klienten.

Avtalet gäller personuppgifter i kundens Fortnox. Uppgifter vi behandlar för vår egen räkning (vilket företag som är anslutet, plan, användningsstatistik) beskrivs i integritetspolicyn, där vi är personuppgiftsansvariga.

2. Vad behandlingen gäller

• Ändamål: att på kundens begäran hämta uppgifter från kundens Fortnox och lämna dem till den AI-tjänst kunden har anslutit, och att utföra ändringar i Fortnox som kunden har godkänt.
• Registrerade: kundens kunder, leverantörer, kontaktpersoner, anställda och andra personer som förekommer i kundens bokföring.
• Personuppgifter: namn, kontaktuppgifter, adresser, organisationsnummer (som för enskilda firmor är personnummer), fakturor, betalningar, belopp och de uppgifter om anställda som finns i Fortnox. Personnummer maskeras innan de skickas vidare till AI-tjänsten. Fortare är inte avsett för känsliga personuppgifter (artikel 9).
• Varaktighet: uppgifterna sparas inte. De hålls i minnet under den tid ett anrop pågår, högst cirka en minut, och lagras aldrig i databas, loggar eller analysverktyg.

3. Instruktioner

Vi behandlar personuppgifterna endast enligt kundens dokumenterade instruktioner. Instruktionerna är det här avtalet, användarvillkoren och de verktygsanrop kunden (eller kundens AI-assistent på kundens uppdrag) gör. Ändringar i Fortnox kräver alltid kundens uttryckliga godkännande i två steg. Anser vi att en instruktion strider mot dataskyddsreglerna säger vi till.

4. Säkerhet

• All trafik är krypterad (TLS). Inloggning sker via Fortnox officiella OAuth; vi ser aldrig lösenord.
• Åtkomst- och förnyelsetokens sparas hashade. Åtkomsttokens gäller en timme.
• Ingen bokföringsdata lagras, så det finns inget lager att läcka.
• Loggar innehåller aldrig frågor, svar eller data från Fortnox, bara vilket verktyg som anropades och felkoder.
• Drift i EU (Frankfurt). Endast Rhythmic Visions AB:s behöriga personal har åtkomst till driftmiljön, under tystnadsplikt.

5. Underbiträden

Kunden godkänner följande underbiträden:

• Vercel Inc.: hosting och körning av Fortare, EU-region Frankfurt. Uppgifter från Fortnox passerar här under ett anrop.
• Neon: databas, EU-region Frankfurt. Lagrar inga uppgifter från kundens bokföring, bara kopplingens tekniska uppgifter.

Mixpanel, som vi använder för statistik, tar inte emot några personuppgifter från kundens Fortnox. Vi ställer samma krav på underbiträden som i det här avtalet. Nya underbiträden publiceras på den här sidan minst 30 dagar innan de används. Kunden kan invända genom att mejla oss eller avsluta kopplingen.

6. Överföring utanför EU/EES

Uppgifterna behandlas i EU. Våra underbiträden är amerikanska bolag och kan i undantagsfall komma åt driftmiljön från USA, till exempel vid support. Sådan överföring sker med stöd av EU–USA Data Privacy Framework eller EU-kommissionens standardavtalsklausuler.

7. AI-tjänsten och Fortnox

Den AI-tjänst kunden ansluter (till exempel Claude från Anthropic eller ChatGPT från OpenAI) är inte vårt underbiträde. Kunden väljer själv att lämna uppgifter till den och ansvarar för sitt avtal med leverantören och för inställningar som datalagring och träning. Detsamma gäller Fortnox AB, som är kundens egen leverantör.

8. Hjälp till kunden

• Vi hjälper kunden att besvara förfrågningar från registrerade (till exempel tillgång eller radering). Eftersom uppgifterna finns i kundens Fortnox och inte hos oss görs det i praktiken där.
• Vi hjälper till med konsekvensbedömningar och förhandssamråd om kunden behöver det.
• Vid en personuppgiftsincident meddelar vi kunden utan onödigt dröjsmål och senast 48 timmar efter att vi upptäckt den, så att kunden kan anmäla till IMY inom 72 timmar. Vi meddelar via de kontaktuppgifter vi har och på fortare.ai.
• Kunden får begära den information som behövs för att visa att avtalet följs, och får granska oss efter överenskommelse med rimligt varsel.

9. När avtalet upphör

Avtalet gäller så länge kunden använder Fortare. Eftersom vi inte lagrar personuppgifter från kundens Fortnox finns inget att återlämna. Uppgifterna om kopplingen raderas enligt integritetspolicyn, eller inom 30 dagar på begäran.

10. Övrigt

Ansvar regleras i användarvillkoren och GDPR artikel 82. Vid motstridigheter går det här avtalet före villkoren i frågor om personuppgifter. Svensk lag gäller.

Kontakt

contact@rhythmicvisions.io, Rhythmic Visions AB. Behöver ni ett signerat exemplar, mejla oss.

In English (summary)

This data processing agreement (GDPR Art. 28) is part of the terms. The customer connecting a Fortnox company is the controller; Rhythmic Visions AB is the processor. We process personal data in the customer's Fortnox only on the customer's instructions (the terms and the tool calls they make), only to pass it to the AI service the customer connected, and to execute writes the customer approved. Nothing is stored; data is held in memory for at most about a minute. Sub-processors: Vercel (hosting, Frankfurt) and Neon (database, Frankfurt, no bookkeeping data). Transfers to the US are covered by the EU-US Data Privacy Framework or SCCs. The AI provider and Fortnox are the customer's own vendors, not our sub-processors. We notify personal data breaches within 48 hours. New sub-processors are announced here 30 days in advance.