Integritetspolicy för Inzenda

Inzenda AB, org.nr 559480-1580, är personuppgiftsansvarig för den behandling som beskrivs i den här policyn.

• Postadress: Sysslomansgatan 20, 112 42 Stockholm
• E-post för integritetsfrågor: privacy@inzenda.se
• Support: support@inzenda.se

Vi har inte utsett något dataskyddsombud.

Inzenda har två roller, och det är viktigt att skilja dem åt:

• Vi är personuppgiftsansvariga för uppgifter om dig som kontohavare och besökare: ditt konto, din inloggning, betalningen, supportärenden, e-post från oss, statistik över hur tjänsten används och skyddet mot missbruk. Det är den behandlingen den här policyn handlar om.
• Vi är personuppgiftsbiträde för de uppgifter ditt bolag lägger in i tjänsten om andra personer: styrelseledamöter, anställda och lönemottagare i lön och arbetsgivardeklaration (AGI), motparter i transaktioner, den som undertecknar årsredovisningen och liknande. För de uppgifterna är ditt bolag personuppgiftsansvarigt och vi behandlar dem enligt vårt personuppgiftsbiträdesavtal (PUB-avtal). Den som har frågor om sådana uppgifter, till exempel en anställd, vänder sig i första hand till bolaget.

För demobolag är vi personuppgiftsansvariga för alla uppgifter i dem, även e-postadressen till den du bjuder in. Vi skickar inbjudan för din räkning och raderar uppgifterna när demobolaget raderas.

Kontouppgifter. Namn och e-postadress. Har du ett lösenord sparas det bara i hashad form. Loggar du in med Google får vi ditt namn, din e-postadress, din profilbild (som länk) och ett id för ditt Google-konto från Google. Vi sparar också vilken version av användarvillkoren du godkände och när.

Inloggning och säkerhet. När du är inloggad sparar vi en session med IP-adress och uppgift om webbläsare och enhet (user agent) och hur du loggade in (lösenord, Google eller nyckel). En session gäller i 7 dagar från senaste användning, eller tills du loggar ut. Slår du på tvåstegsverifiering sparar vi en krypterad inställningskod för din autentiseringsapp och krypterade reservkoder. Vi loggar när den slås på eller av, när nya reservkoder skapas, när en reservkod används, när du bekräftar en åtgärd med koden, när kontot spärras efter för många fel och när support återställer den. Lägger du till en nyckel (passkey) kan du logga in med den och bekräfta känsliga åtgärder med den. Vi sparar då dess publika nyckel, ett id för den, vilken sorts nyckel det är, ett namn och när den lades till och senast användes. Den privata nyckeln och ditt skärmlås lämnar aldrig din enhet. Vi loggar när en nyckel läggs till eller tas bort.

Bolagsuppgifter som rör dig. Ditt bolags organisationsnummer, namn, adress och räkenskapsår, och vilket bolag ditt konto är kopplat till. Är du själv kontaktperson för arbetsgivardeklarationen behandlar vi ditt telefonnummer för bolagets räkning enligt PUB-avtalet.

Bolagssökning. När du skriver in ett organisationsnummer hämtar vi bolagets registeruppgifter från Bolagsverket, bland annat styrelseledamöternas och revisorernas namn och personnummer. För sökningen, innan bolaget har lagts in i ett konto, är vi personuppgiftsansvariga med berättigat intresse som grund (att visa rätt bolag och rätt personer), och personnummer används bara för att identifiera rätt person. Själva sökningen sparar inga personuppgifter hos oss. Fortsätter du i guiden sparas uppgifterna i utkastet i din webbläsare, och hos oss först när bolaget läggs in i ett konto. Ett personnummer från registret visas aldrig i din webbläsare i sin helhet, bara födelseåret. Vid bolagssökningen samlar vi också in tekniska webbläsarsignaler för att skydda sökningen mot automatiserade anrop (Vercel BotID) och begränsar antalet sökningar per IP-adress.

Betalning. Kortuppgifter matas in direkt hos Stripe och når aldrig Inzenda. Hos oss sparas Stripes kund-id, prenumerations-id, prenumerationsstatus (plan, betalperiod, förnyelsedatum) och de betalningar som gjorts (belopp och datum). I Stripes kassa kan du ange faktureringsadress och organisationsnummer; de sparas hos Stripe.

Kommunikation. E-post du skickar till support, vilka påminnelser vi har skickat och om du har avregistrerat dig från påminnelser (och när).

Användning av tjänsten. Vilka steg du tar i tjänsten, till exempel genomförda steg i guiden, påbörjad betalning, genomförd betalning och inlämning. Det är kopplat till ditt konto när du är inloggad. Vi sparar också vilken kampanjlänk (utm-parametrar), vilken webbplats (bara domännamnet) och vilken landningssida ett besök kom från. I den här statistiken sparar vi ingen IP-adress och använder inga cookies.

Teknisk data. Vår hostingleverantör loggar IP-adresser i serverloggar. Vercel Web Analytics och Vercel Speed Insights ger oss besöksstatistik och laddningstider utan cookies. Om något går fel skickas en felrapport till Sentry; personnummer maskeras innan rapporten lämnar oss och vi skickar inte IP-adress eller inloggningsuppgifter med felrapporten.

Uppgifter om inlämningar. Kvittonummer och status från Bolagsverket och Skatteverket för det du lämnar in.

Kontoutdrag som PDF. Laddar du upp ett kontoutdrag som PDF läses det i minnet och sparas aldrig, varken filen eller dess text. De rader du bekräftar blir transaktioner i bolagets bokföring; om filen sparas bara dess kontrollsumma (sha256), perioden och kontot, som spår för bokföringen.

Provperioder. Ger vi ett bolag en provperiod sparar vi e-postadressen inbjudan skickas till, dagen du bad om den, slutdatumet och syftet (test, prospekt eller partner), och sedan vilket konto och bolag den gäller. Uppgifterna sparas innan du har ett konto.

När vi stödjer oss på berättigat intresse har vi vägt vårt intresse mot ditt och du har alltid rätt att invända (se avsnitt 8).

Vi skickar inga nyhetsbrev och ingen marknadsföring via e-post. Om vi börjar med det uppdaterar vi den här policyn innan första utskicket, och du kan alltid tacka nej.

Vi fattar inga beslut om dig som enbart bygger på automatiserad behandling och som har rättsliga följder för dig.

Du behöver lämna namn och e-postadress för att skapa ett konto, och de uppgifter en inlämning kräver för att vi ska kunna ta fram den och skicka den till myndigheten för bolagets underskrift. Utan dem kan vi inte leverera tjänsten. Andra uppgifter är du inte skyldig att lämna.

Vi säljer aldrig personuppgifter.

Leverantörer som behandlar uppgifter för vår räkning (personuppgiftsbiträden):

Mottagare som är egna personuppgiftsansvariga:

• Bolagsverket tar emot årsredovisningar, och när bolaget har revisor även din och revisorns e-postadress för kvitto och meddelande om revisionsberättelsen, och lämnar registeruppgifter till oss. Bolagsverket är en myndighet och behandlar uppgifterna enligt sina egna regler.
• Skatteverket tar emot inkomstdeklarationer, arbetsgivardeklarationer och momsdeklarationer. Skatteverket lämnar uppgifter till oss om de anställdas skattetabell (Fråga om skatteavdrag) och, när ditt bolag har gett oss behörighet som läsombud, om bolagets skattekonto och deklarationer. Skatteverket är en myndighet och behandlar uppgifterna enligt sina egna regler.
• Stripe (Stripe Payments Europe Ltd) hanterar betalningarna åt oss och är för en del av behandlingen, till exempel bedrägeriskydd och krav från finansiell reglering, eget personuppgiftsansvarig.
• Google är eget personuppgiftsansvarig för din Google-inloggning, om du väljer att logga in med Google.

• Leverantören av en AI-assistent som du kopplar, till exempel Anthropic eller OpenAI, tar emot ditt namn och bolagens uppgifter enligt ditt eller bolagets avtal med leverantören (se Kopplade AI-assistenter).

När du skriver under hos Bolagsverket och Skatteverket sker det i deras egna tjänster.

Vi kan också behöva lämna ut uppgifter till myndigheter när lagen kräver det.

Databasen och fillagringen finns inom EU (Frankfurt och Stockholm). Loggar över e-postutskick lagras hos Resend i USA, och supportmejl hos Google kan lagras i USA. Flera av våra leverantörer (Vercel, Neon, Resend, Sentry, Google och Stripe) är dessutom amerikanska bolag eller ingår i amerikanska koncerner, och uppgifter kan därför i vissa fall nås från eller överföras till USA, till exempel vid support eller drift.

Leverantören av en AI-assistent som du kopplar kan behandla uppgifterna utanför EU/EES enligt sina egna villkor (se Kopplade AI-assistenter).

När det sker skyddas överföringen av något av följande:

• EU-US Data Privacy Framework, när leverantören är certifierad under ramverket. Det gäller Vercel, Neon (Databricks), Resend, Sentry och Stripe.
• EU-kommissionens standardavtalsklausuler i leverantörens personuppgiftsbiträdesavtal, i de fall leverantören inte är certifierad. Alla våra leverantörer i USA har dessutom standardavtalsklausuler i sina avtal, och för Google gäller de.

Du kan få en kopia av skyddsåtgärderna genom att kontakta oss.

Bokföringen raderas inte på begäran. Verifikationer, deras historik, transaktioner, kvitton, årsredovisningar, deklarationer, lönekörningar och den systemdokumentation som gällde för varje år är räkenskapsinformation som bolaget ska bevara enligt bokföringslagen. Rätten till radering gäller inte när behandlingen krävs för att uppfylla en rättslig förpliktelse (GDPR artikel 17.3 b). En borttagen transaktion finns därför kvar i bokföringen som en makulering.

När du avslutar ett bolag i Inzenda förlorar ditt konto åtkomsten direkt och du erbjuds att ladda ner bokföringen först. Uppgifter om dig som inte hör till bokföringen, som telefonnumret och loggen över påminnelser, raderas då. Bokföringen sparas till och med den 31 december det sjunde året efter det sista räkenskapsårets slut och raderas sedan automatiskt, kvitton i fillagringen inräknade.

Säkerhetskopior av databasen raderas i takt med att de roterar ut, inom 6 timmar.

Du har rätt att:

• få veta vilka uppgifter vi har om dig och få en kopia (registerutdrag);
• rätta felaktiga uppgifter;
• få uppgifter raderade, med undantag för det vi måste spara enligt lag (se avsnitt 7);
• begränsa behandlingen, till exempel medan vi utreder en invändning;
• invända mot behandling som bygger på berättigat intresse. Du kan när som helst sluta få påminnelser via länken i varje påminnelse;
• få ut dina uppgifter i ett maskinläsbart format (dataportabilitet) för det du själv har lämnat till oss med stöd av avtal.

Är du den enda med full åtkomst till ett bolag (demobolag undantagna) kan du inte radera ditt konto förrän du har gett någon annan full åtkomst eller avslutat bolaget. Bolagets bokföring finns kvar när ditt konto raderas, eftersom bolaget måste spara den.

Skriv till privacy@inzenda.se. Vi svarar inom en månad. Vi kan behöva be dig bekräfta vem du är innan vi lämnar ut uppgifter.

Gäller frågan uppgifter som ett bolag har lagt in i Inzenda om dig, till exempel som anställd eller styrelseledamot, är det bolaget som ansvarar. Kontakta bolaget; vi hjälper bolaget att svara.

Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), www.imy.se, Box 8114, 104 20 Stockholm. Vi uppskattar om du hör av dig till oss först.

• All trafik till och från tjänsten är krypterad (HTTPS).
• Personnummer och bankkontonummer för lön krypteras i databasen med AES-256-GCM, med en nyckel som databasen själv inte har. De visas maskerade i webbläsaren.
• Lösenord sparas bara hashade.
• Den som lägger till ett bolag får full åtkomst till det. Andra får åtkomst bara genom en inbjudan från någon med full åtkomst, med full åtkomst, redigeringsbehörighet eller läsbehörighet. Med läsbehörighet kan du be om redigeringsbehörighet; alla med full åtkomst får då e-post med ditt namn och ditt meddelande, och meddelandet raderas 30 dagar efter att förfrågan har avgjorts eller gått ut. Har någon med full åtkomst kopplat en AI-assistent kan assistenten läsa förfrågan. Uppgifter som hämtas från Skatteverket med bolagets behörighet visas bara för dem med full åtkomst till bolaget. Den som har åtkomst till ett bolag som är kopplat i en koncern ser koncernens siffror.
• Bokföringen kan inte skrivas över i efterhand; ändringar sparas som rättelser med historik.
• Felrapporter maskerar personnummer innan de lämnar oss.

Vi använder bara cookies som behövs för att tjänsten ska fungera, främst för inloggningen. Vi använder inga cookies för annonser eller spårning och har inga annonspixlar på webbplatsen. I webbläsarens lokala lagring sparar vi bland annat ditt val av ljust eller mörkt läge och utkast i guiden. Läs mer i vår cookiepolicy.

Stripe sätter egna cookies på sina betalsidor. De omfattas av Stripes cookiepolicy.

Vi uppdaterar policyn när tjänsten eller lagen ändras. Datumet högst upp visar när den senast ändrades. Vid större ändringar meddelar vi dig via e-post eller i tjänsten innan de börjar gälla.

Inzenda AB
Org.nr 559480-1580
Sysslomansgatan 20, 112 42 Stockholm
privacy@inzenda.se