Integritetspolicy

Ansvar och omfattning

Mindful Services Sweden AB (MSSAB), organisationsnummer 556904-3176, är personuppgiftsansvarigt för företagets behandling av personuppgifter i Meconomy och MVAC. Adress: c/o Dahle, Stafettgatan 1A, 416 59 Göteborg. Kontakt för dataskyddsfrågor: info@mindservice.se.

Meconomy och MVAC används internt för företagets ekonomi och bokföring. Policyn omfattar personuppgifter i ekonomiska underlag, affärskontakter, användning av systemen och AI-bearbetning samt den planerade bankintegrationen och publika informationswebbplatsen. Beskrivningarna av bankanslutning och den nya webbplatsen avser deras planerade användning.

Personer och uppgifter som omfattas

Uppgifter kan avse anställda och anlitad personal, kunders och leverantörers kontaktpersoner, enskilda näringsidkare, betalare och betalningsmottagare samt deltagare vid representation.

Ekonomiska underlag kan innehålla namn, kontaktuppgifter, adresser, person- eller organisationsnummer, bankkontonummer, transaktionsdatum, belopp, betalningsreferenser och meddelanden. Ett organisationsnummer för en enskild näringsidkare är en personuppgift. Uppgifter kan också finnas i bilagor och fritext.

Systemen lagrar originalunderlag, bokföringsposter, extraherad dokumenttext, metadata, analysresultat och ändringshistorik. Användaridentitet, behörigheter, IP-adress, tidpunkt, anropsinformation och feluppgifter kan behandlas för drift och säkerhet. Vi eftersträvar att begränsa uppgifterna till vad respektive ändamål kräver.

Varifrån uppgifterna kommer

Uppgifter kommer från berörda personer, affärskontakter, fakturor, kvitton, representationsunderlag, bankutdrag, löneunderlag och andra dokument som tillförs av behörig personal. Tekniska uppgifter uppstår när tjänsterna används.

Vid den planerade bankanslutningen hämtas valda kontouppgifter, saldon och transaktioner från banken genom Enable Banking efter behörig företrädares godkännande. Integrationens läsning omfattar inte betalningsinitiering.

Ändamål och rättslig grund

Bokföring och redovisning. Vi behandlar personuppgifter i den omfattning som behövs för att uppfylla rättsliga förpliktelser enligt bokföringslagen (1999:1078) och tillämpliga skatteregler. Detta omfattar nödvändiga uppgifter i bland annat verifikationer och representationsunderlag.

Affärsrelationer och ekonomisk spårbarhet. Vi behandlar nödvändiga kontakt- och ekonomiska uppgifter för att bedriva verksamheten, administrera affärsrelationer, stämma av ekonomin och följa upp tidigare ekonomiska händelser. För behandling som inte krävs enligt lag är avsedd rättslig grund berättigat intresse, med stöd av en dokumenterad intresseavvägning.

Drift och säkerhet. Tekniska uppgifter används för åtkomstkontroll, felsökning, upptäckt av obehörig användning och skydd av systemen. För sådan behandling är avsedd rättslig grund berättigat intresse efter dokumenterad intresseavvägning.

Intresseavvägningen prövar nödvändighet, mindre ingripande alternativ, berörda personers rimliga förväntningar och risker samt skyddsåtgärder.

Mottagare och leverantörer

Behörig personal och system får tillgång till de uppgifter som behövs för ekonomiadministration och drift. Uppgifter kan lämnas till myndigheter när det krävs enligt lag.

MSSAB driver tjänsten på serverinfrastruktur hos Inleed, bifirma till Yelles AB, i Sverige. MSSAB ansvarar för säkerhetskopiering och återställning. Säkerhetskopiorna finns i Sverige. Infrastrukturleverantören kan ha teknisk åtkomst inom ramen för sitt uppdrag.

Enable Banking Oy tillhandahåller den planerade reglerade kontoinformationstjänsten och är personuppgiftsansvarigt för behandlingen inom sin tjänst. Igdrasil AB är kommersiell avtalspart för anslutning, fakturering och support. Enligt Igdrasils beskrivning hämtar MVAC i den direkta integrationen bankdata från Enable Banking utan att Igdrasil tar emot eller lagrar konton och transaktioner.

Enable Bankings information: https://tilisy.enablebanking.com/privacy
Enable Bankings villkor: https://tilisy.enablebanking.com/terms

AI som stöd i ekonomiarbetet

Dokumentbearbetning och analys kan ske genom Anthropic API. Överföringen kan omfatta dokumentinnehåll, filnamn, extraherad text, metadata och relevant bokföringskontext. Analys kan ske vid dokumentbearbetning eller på begäran av behörig användare.

Via MVAC:s MCP-anslutning kan behöriga AI-klienter i Anthropic Claude och OpenAI ChatGPT läsa ekonomiska uppgifter och underlag för företagets administration, analys och avstämning. AI kan därmed få tillgång till personuppgifter som förekommer i materialet.

OpenAI API och ytterligare leverantörer kan komma att användas framöver. Innan ny behandling införs ska dess ändamål, databehov och villkor bedömas. Policyn ska uppdateras vid relevanta förändringar. AI-resultat ska granskas av behörig personal innan de ligger till grund för bokföringsåtgärder eller ekonomiska beslut.

Behandling utanför EU och EES

MSSAB:s primära server och säkerhetskopior finns i Sverige. När uppgifter lämnas till AI-tjänster kan personuppgifter däremot behandlas i USA och andra länder utanför EU/EES.

Anthropic och OpenAI anger i sina offentliga villkor att internationella överföringar skyddas genom bland annat EU-kommissionens beslut om adekvat skyddsnivå eller EU:s standardavtalsklausuler, beroende på mottagare och överföring. För Anthropic API ingår ett personuppgiftsbiträdesavtal med standardavtalsklausuler i de kommersiella villkoren. Vilka villkor som gäller för chattjänsterna beror på tjänsteformen.

Leverantörernas egna lagringstider och behandling styrs av respektive tjänsts villkor och tillämpliga avtal. MSSAB:s gallringsregler för egna system innebär inte en garanti om motsvarande raderingstid hos AI-leverantörerna. Kontakta info@mindservice.se för information om tillämpligt överföringsskydd och hur det kan erhållas.

Anthropics integritetspolicy: https://www.anthropic.com/legal/privacy
Anthropics biträdesavtal: https://www.anthropic.com/legal/data-processing-addendum
OpenAI:s integritetspolicy: https://openai.com/policies/eu-services-privacy-policy/
OpenAI:s biträdesavtal för företagstjänster och API: https://openai.com/policies/data-processing-addendum/

Lagring och gallring

Följande är MSSAB:s beslutade lagringsregler. Automatisk teknisk gallring sker regelbundet och som mest sparas tekniska loggar upp till 24 månader. Uppgifterna sparas så länge som ändamålet och tillämpliga lagkrav motiverar, vilket är byggt på en flerårig ekonomisk cykel med bokförings- och skattehändelser.

Räkenskapsinformation och relevant ekonomisk spårbarhet bevaras i tio år efter utgången av det räkenskapsår som uppgifterna avser, om fortsatt bevarande inte krävs enligt lag. Tio år är företagets valda totalperiod, inte ett påstående om bokföringslagens generella minimikrav. Fortsatt personuppgiftsbehandling utöver lagkravet ska omfattas av intresseavvägningen.

Fristående kontaktuppgifter gallras löpande när de inte längre behövs och senast tio år efter att affärsrelationen upphört. Kontaktuppgifter som ingår i räkenskapsinformation följer reglerna för den informationen.

Tekniska drift-, access-, fel- och säkerhetsloggar ska sparas i högst två år från händelsen och kortare när behovet upphör. Bokföringens nödvändiga revisionsspår klassificeras separat som räkenskapsinformation. Anslutningshemligheter ska endast behållas så länge de behövs för anslutningen.

Säkerhetskopior kan innehålla både ekonomiska uppgifter och teknisk information. Kopior omfattas av respektive uppgiftskategoris lagringsregel. Exakta rotations- och raderingsrutiner för alla kopior behöver verifieras inom införandet av gallringskravet.

Åtkomst och säkerhet

MVAC:s ordinarie webbåtkomst använder HTTPS, åtkomstbegränsning i proxy och egen inloggning. Proxyåtkomst kan medges genom tillåten IP-adress eller extra autentisering. MCP använder OAuth. Behörig driftadministration hanterar tjänstens konfiguration och säkerhetskopior.

Skydd mot att känsliga callback-parametrar hamnar i loggar är ett fastställt säkerhetskrav för bankintegration.

Cookies och lokal lagring

MVAC använder en sessionscookie för inloggning och lokal webbläsarlagring för bland annat vald flik och räkenskapsår. Mobiluppladdningen kan spara en uppladdningstoken lokalt tills den tas bort. Vissa kalenderresurser hämtas från jsDelivr, som då får nätverksuppgifter om anropet.

De separata publika informationssidorna på meconomy.mindservice.se ska vara byggda utan cookies, lokal lagring, analysverktyg eller externa sidresurser. Detta är ett implementationskrav som ska verifieras vid driftsättning. Bankens och leverantörernas egna sidor omfattas av deras information.

Frånkoppling och uppgifter som redan hämtats

Avslut av en bankanslutning beslutas av MSSAB:s ekonomiansvarige med delegation från VD, av VD eller av annan överordnad behörig funktion. Frågor och begäran hanteras via info@mindservice.se.

Avslutsrutinen ska stoppa fortsatt hämtning, återkalla medgivande eller session hos leverantören där det är tillämpligt och ta bort lokala anslutningshemligheter. Avslut innebär inte automatisk radering av tidigare importerad räkenskapsinformation. Uppgifter som redan lämnats till AI-tjänster hanteras enligt tjänsternas raderingsfunktioner och villkor; frånkoppling av MCP raderar inte i sig tidigare konversationer eller filer.

Information till personal och affärskontakter

Nuvarande anställd personal är informerad om behandlingen. Vid nyanställning ska information lämnas genom anställningsavtal eller tillhörande integritetsinformation, inklusive att företaget använder leverantörer inom och utanför EU/EES.

Denna policy ger också information till affärskontakter och andra personer vars uppgifter förekommer i företagets ekonomiska underlag. Övriga uppgifter begränsas till vad verksamheten behöver.

Dina rättigheter

Du kan kontakta oss för att begära information och tillgång till dina personuppgifter, rättelse av felaktiga uppgifter eller, när förutsättningarna är uppfyllda, radering eller begränsning av behandlingen. Rätt till dataportabilitet gäller i de fall dataskyddsförordningen föreskriver det.

Du har rätt att invända mot behandling som grundas på berättigat intresse. Vi prövar då om behandlingen ska upphöra eller om det finns skäl att fortsätta enligt dataskyddsförordningen. Lagstadgade bevarandekrav kan begränsa rätten till radering.

Begäran skickas till info@mindservice.se. Vi kan behöva kontrollera din identitet innan uppgifter lämnas ut. Du kan lämna klagomål till Integritetsskyddsmyndigheten, IMY: https://www.imy.se.

Ändringar och kontakt

Policyn uppdateras när behandlingen eller tjänsternas förutsättningar förändras. Aktuell version ska finnas på https://meconomy.mindservice.se/privacy med datum för senaste uppdatering.

Mindful Services Sweden AB • Organisationsnummer 556904-3176
c/o Dahle, Stafettgatan 1A, 416 59 Göteborg
E-post: info@mindservice.se