Vi behandlar dina personuppgifter när vi levererar och administrerar våra tjänster och kommunicerar med kunder, intressenter, leverantörer eller andra som kontaktar oss. Vi vill att du ska känna dig trygg med hur vi hanterar dina uppgifter. I den här integritetspolicyn (“Policy”) förklarar vi vilka personuppgifter vi behandlar, hur vi gör det och varför.
Med ”personuppgift” avses information som direkt eller indirekt kan kopplas till dig, till exempel namn, adress, telefonnummer och e‑postadress. Med ”behandling” avses allt vi gör med personuppgifterna, från att samla in, strukturera och lagra dem, till att uppdatera, läsa och lämna ut dem. Vi skyddar dina uppgifter med lämpliga tekniska och organisatoriska åtgärder och följer alltid gällande regelverk, riktlinjer och rutiner.
Cedra är en koncern bestående av flera bolag som ägs av Cedra AB (org.nr: 559443-0562). Olika bolag i koncernen kan vara personuppgiftsansvariga vid behandlingen av dina personuppgifter.
Med ”vi” och ”oss” avses i denna Policy det bolag inom vår koncern som är personuppgiftsansvarig för den aktuella personuppgiftsbehandlingen.
När vi utför tjänster åt dig eller organisationen du arbetar för (t.ex. revision, redovisning eller rådgivning) är det bolag som ingått uppdragsavtalet för tjänsten personuppgiftsansvarig för behandlingen av dina personuppgifter.
När vi köper in produkter eller tjänster är det bolag som ingått inköpsavtalet personuppgiftsansvarig för behandlingen av dina personuppgifter.
När du söker jobb hos oss är det bolag som du söker till personuppgiftsansvarig för behandlingen av dina personuppgifter.
I alla andra situationer, t.ex. när du har kontakt med oss via epost eller på Linkedin, när du lämnar en anmälan i enlighet med vår visselblåsarpolicy, eller när vi kontaktar dig med nyhetsbrev och erbjudanden, är Cedra AB (org. nr: 559443-0562) personuppgiftsansvarig för behandlingen av dina personuppgifter.
Om du har frågor om vår behandling av dina personuppgifter kan du kontakta oss via dataskydd@cedra.se.
Nedan beskriver vi hur vi behandlar dina personuppgifter; för vilka ändamål, vilka personuppgifter vi behandlar, på vilken laglig grund och hur länge.
| Ändamål med behandlingen | Kategorier av personuppgifter | Laglig grund |
| Inför antagande av nya kunder | ||
| För att genomföra oberoende- och penningtvättskontroller, inklusive regelbunden uppföljning i enlighet med tillämplig lag. |
|
Behandlingen är nödvändig för att fullgöra våra rättsliga förpliktelser (GDPR art. 6.1 c) i enlighet med revisorslagen (2001:883) och lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism. |
| Uppgifter från oberoendekontroll i enlighet med revisorslagen behandlas i minst tio (10) år från utgången av det kalenderår då uppgiften skapades, i enlighet med revisorslagen och Revisorsinspektionens föreskrifter (RIFS 2018:2). Uppgifter från penningtvättskontroller behandlas i minst fem år och max tio år från det att uppgiften skapades, i enlighet med lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism. | ||
| För att ingå avtal med kunder och administrera avtalsförhållandet (avser kundens företrädare eller kontaktperson). |
|
Behandlingen är nödvändig för att fullgöra ett avtal (GDPR art. 6.1 b). |
| Uppgifterna behandlas till dess att avtalet upphört och upp till tre månader därefter. | ||
| För att ingå avtal med leverantörer och samarbetspartners och administrera avtalsförhållandet (avser leverantörens eller annan tredje parts företrädare eller kontaktperson). |
|
Behandlingen är nödvändig för att fullgöra ett avtal (GDPR art. 6.1 b). |
| Uppgifterna behandlas till dess att avtalet upphört och upp till tre månader därefter. | ||
| Utförande av revisionsuppdrag och deklarationsuppdrag | ||
| För att utföra lagstadgade revisionsuppdrag eller deklarationsuppdrag för fysiska eller juridiska personer (avser, för juridiska personer, anställda och andra personer som förekommer i dokumentation och skriftliga underlag). |
|
För fysiska personer: behandlingen är nödvändig för att fullgöra ett avtal (GDPR art. 6.1 b). Vid lagstadgad revision: behandlingen utförs för att fullgöra våra rättsliga förpliktelser (GDPR art. 6.1 c) i enlighet med revisorslagen (2001:883) och god revisorssed. Övriga personuppgifter som tillhandahålls oss behandlas för vårt berättigade intresse av att tillhandahålla våra tjänster i enlighet med uppdragsavtalet vi ingått (GDPR art. 6.1 f). |
| Uppgifter som omfattas av 24 § revisorslagen (2001:883) samt 7 § Revisorsinspektionens föreskrifter (RIFS 2018:2) behandlas i minst tio (10) år från utgången av det kalenderår då uppgiften skapades, i enlighet med revisorslagen och Revisorsinspektionens föreskrifter (RIFS 2018:2). Övriga uppgifter behandlas till dess att uppdraget slutförts och upp till tre månader därefter. | ||
| För att utföra vissa rådgivningsuppdrag, inkl. skatterådgivning (avser anställda och andra personer som förekommer i dokumentation och skriftliga underlag). |
|
För fysiska personer: behandlingen är nödvändig för att fullgöra ett avtal (GDPR art. 6.1 b). Avseende personer som förekommer i underlag som vi tillhandahålls: Behandlingen är nödvändig för vårt berättigade intresse av att tillhandahålla våra tjänster i enlighet med uppdragsavtalet vi ingått (GDPR art. 6.1 f). |
| Uppgifterna behandlas till dess att uppdraget slutförts och upp till tre månader därefter. | ||
| Besvarande av kontaktförfrågningar | ||
| För att besvara kontaktförfrågningar via epost (till info@cedra.se) eller LinkedIn. |
|
Behandlingen är nödvändig för vårt berättigade intresse av att besvara kontaktförfrågningar och möjliggöra kommunikation med utomstående (GDPR art. 6.1 f). |
| Uppgifterna behandlas till dess att det ärende du kontaktar oss om slutförts eller som längst sex månader efter att kontakten upphört. | ||
| Rättsliga anspråk | ||
| För att framställa och försvara oss mot rättsliga anspråk (omfattar såväl våra som tredje parts ersättningsanspråk, inklusive t.ex. skadeärenden och arvodestvister). |
|
Behandlingen är nödvändig för vårt berättigade intresse av att framställa eller försvara oss emot rättsliga anspråk (GDPR art. 6.1 f). |
| Uppgifter hänförliga till ersättningsanspråk behandlas till dess att anspråket preskriberats i enlighet med preskriptionslagen (1981:130), som längst i tio år. I händelse av en väntad eller pågående tvist kommer uppgifterna att behandlas till dess att tvisten slutligen avgjorts eller parterna förlikts. Uppgifter hänförliga till anspråk under diskrimineringslagen (t.ex. vid beslut om anställning) behandlas i upp till två år efter att beslut fattats, i enlighet med diskrimineringslagen (2008:567). | ||
| Övrig behandling | ||
| För att fullgöra våra rättsliga förpliktelser avseende bokföring (omfattar bl.a. kunder och leverantörer). |
|
Behandlingen är nödvändig för att fullgöra våra rättsliga förpliktelser (GDPR art. 6.1 c) i enlighet med bokföringslagen (1999:1078). |
| Uppgifterna behandlas i upp till sju år efter utgången av det kalenderår då räkenskapsåret avslutades, i enlighet med bokföringslagen (1999:1078). | ||
| För att tillhandahålla en visselblåsarfunktion där bl.a. kunder och leverantörer kan rapportera allvarliga missförhållanden. |
|
Behandlingen är nödvändig för att fullgöra våra rättsliga förpliktelser (GDPR art. 6.1 c) i enlighet med lag (2021:890) om skydd för personer som rapporterar om missförhållanden. |
| Uppgifterna behandlas i upp till två år efter att det ärende som uppgifterna berör har avslutats, i enlighet med lag (2021:890) om skydd för personer som rapporterar om missförhållanden. Mer information finns i vår visselblåsarpolicy. | ||
| För att föra kundregister (avser revisionskunder). |
|
Behandlingen är nödvändig för att fullgöra våra rättsliga förpliktelser (GDPR art. 6.1 c) i enlighet med revisorslagen (2001:883). |
| Uppgifterna behandlas så länge revisionsuppdraget består, i enlighet med Revisorsinspektionens föreskrifter (RIFS 2018:2). | ||
| För att genomföra undersökningar bland våra kunder samt samla in statistik från våra uppdrag. |
|
Behandlingen är nödvändig för vårt berättigade intresse av att analysera vår verksamhet och bedöma kvaliteten på de tjänster vi tillhandahåller (GDPR art. 6.1 f). |
| Uppgifterna behandlas till dess att aktuell undersökning avslutats och upp till tre månader därefter. | ||
| För att utveckla vårt tjänsteutbud genom automatiserad analys av anonymiserad kunddata. |
|
Behandlingen är nödvändig för vårt berättigade intresse av att utveckla vår verksamhet och våra tjänster (GDPR art. 6.1 f). |
| Uppgifterna behandlas till dess att de anonymiserats, vilket sker i omedelbar anslutning till insamling. | ||
|
För att förbättra och utveckla vårt tjänsteutbud genom att ljudupptagning från möten överförs i skrift (AI-transkribering). |
|
Behandlingen är nödvändig för vårt berättigade intresse av att förbättra och utveckla vår verksamhet och våra tjänster (GDPR art. 6.1 f). |
| AI-transkriberingar tillgängliggörs via Microsoft Teams i 24h efter skapande. AI-transkriberingar raderas sju dagar efter att de skapats. | ||
| För att analysera, utvärdera och utveckla vår hemsida och våra tjänster genom s.k. cookies. |
Mer information om behandlingen framgår av vår cookiepolicy. |
Behandling genom s.k. nödvändiga cookies är nödvändig för vårt berättigade intresse av att analysera och utveckla vår hemsida. Behandling genom s.k. valfria cookies sker med stöd av samtycke (GDPR art. 6.1 a). |
| Uppgifterna behandlas till dess att samtycket återkallas eller i enlighet med de lagringstider som framgår av vår cookiepolicy. | ||
| Marknadsföringsåtgärder | ||
| För att kommunicera med våra kunder och andra utomstående (inkl. bl.a. nyhetsbrev och erbjudanden). |
|
Behandlingen är nödvändig för vårt berättigade intresse av att kommunicera med kunder och andra och marknadsföra våra tjänster (GDPR art. 6.1 f). |
| Uppgifterna behandlas tills du motsätter dig vidare kommunikation och upp till tre månader därefter. | ||
| För att organisera marknadsaktiviteter (inkl. bl.a. utbildningar, seminarier och föreläsningar). |
|
Behandlingen är nödvändig för vårt berättigade intresse av att kommunicera med kunder och andra och marknadsföra våra tjänster (GDPR art. 6.1 f). |
| Uppgifterna behandlas i upp till ett år efter den aktuella aktiviteten eller tills du motsätter dig vidare behandling. | ||
| För att producera, använda och arkivera foto, video och/eller ljudupptagningar för marknadsföringsändamål. |
|
Produktion av foto, video eller ljud sker genom avtal med den registrerade och behandlingen är nödvändig för att fullgöra avtalet (GDPR art. 6.1 b). |
| Uppgifterna behandlas under den period som framgår av avtalet. | ||
| När du söker jobb hos oss | ||
| För att ta emot och administrera jobbansökningar. |
|
Behandlingen är nödvändig för vårt berättigade intresse av att ta emot och behandla jobbansökningar (GDPR art. 6.1 f). |
| Uppgifterna behandlas till dess att beslut fattats om tillsättning av tjänst och upp till tre månader därefter. | ||
| För att utvärdera jobbsökandes lämplighet för viss position genom administration av rekryteringstester. |
|
Behandlingen är nödvändig för vårt berättigade intresse av att utvärdera jobbsökandes lämplighet för vissa positioner (GDPR art. 6.1 f). |
| Uppgifterna behandlas till dess att beslut fattats om tillsättning av tjänst och upp till tre månader därefter. | ||
| För att spara ansökningar till framtida rekrytering. |
|
Behandlingen utförs med stöd av samtycke (GDPR art. 6.1 a). |
| Uppgifterna behandlas i upp till ett år efter att beslut om tillsättning av tjänst fattats, eller till dess att samtycket återkallas. | ||
I vissa rådgivningsuppdrag, t.ex. vid redovisningsuppdrag och lönetjänster, agerar vi som kundens personuppgiftsbiträde. Kunden är då personuppgiftsansvarig för de personuppgifter som kunden tillhandahåller. I dessa fall omfattas behandlingen av vårt personuppgiftsbiträdesavtal som ingås tillsammans med uppdragsavtalet. Vi är dock ansvariga för behandling i samband med ingående och administration av uppdragsavtalet, enligt ovan.
Vi anlitar olika tjänste- och systemleverantörer som kan komma att utföra viss behandling på vårt uppdrag. Så är t.ex. fallet med våra IT-leverantörer. Leverantörerna agerar som våra personuppgiftsbiträden och får endast behandla personuppgifter på våra instruktioner samt i enlighet med personuppgiftsbiträdesavtal och tillämplig lag.
Vi kan komma att lämna ut dina personuppgifter till andra bolag inom vår koncern, t.ex. för att genomföra oberoendekontroller, för att möjliggöra kontakt via våra digitala kanaler och för att tillhandahålla vår visselblåsningskanal. Vi kan komma att lämna ut dina personuppgifter till andra aktörer i syfte att följa tillämpliga lagar och regler, en begäran eller ett föreläggande från en behörig domstol eller myndighet, samt för att tillgodose vårt berättigade intresse av att fastställa, göra gällande och försvara oss mot rättsliga anspråk.
Vi kan även komma att lämna ut personuppgifter till våra rådgivare, t.ex. advokat- eller revisionsbyråer. Notera att denna Policy inte är tillämplig när vi lämnar ut dina personuppgifter till aktörer som själva är personuppgiftsansvariga. Dessa aktörer tillämpar egna villkor för behandlingen av dina personuppgifter.
Vissa av våra tjänsteleverantörer kan ha förlagt hela eller en del av sin verksamhet till länder utanför EU/EES (s.k. tredje land). Överföring av personuppgifter sker som utgångspunkt endast till sådant tredje land som av EU-kommissionen bedöms ha en adekvat skyddsnivå, i enlighet med GDPR artikel 45. Du kan se en lista över sådana länder på EU-kommissionens hemsida: www.commission.europa.eu.
I vissa fall kan vi använda leverantörer som överför personuppgifter till tredje land som inte omfattas av ett s.k. adekvansbeslut. I dessa situationer tillser vi att överföring omfattas av ett lämpligt överföringsverktyg, såsom EU-kommissionens standardavtalsklausuler för överföring till tredje land (2021).
Nedan listas de rättigheter som du har i förhållande till dina personuppgifter. Om du önskar utöva någon av dina rättigheter är du välkommen att kontakta oss via dataskydd@cedra.se.
Rätt till tillgång
Du har rätt att begära information om huruvida vi behandlar dina personuppgifter, om vilka personuppgifter vi behandlar och hur personuppgifterna behandlas. Du har även rätt att begära ut en kopia av de personuppgifter vi behandlar om dig (s.k. registerutdrag).
Rätt till rättelse
Du har rätt att begära att få felaktiga personuppgifter korrigerade, t.ex. om dina personuppgifter ändrats eller om dina personuppgifter är ofullständiga.
Rätt till invändning
Du har rätt att invända mot personuppgiftsbehandling som bygger på den lagliga grunden intresseavvägning (GDPR artikel 6.1 f). Om vi kan visa att vårt legitima intresse väger tyngre än dina fri- och rättigheter kan vi, trots din invändning, fortsätta behandlingen.
Rätt till radering
Du har rätt att begära att vi raderar dina personuppgifter för det fall att:
Rätt till begränsning
Du har rätt att begära att vi begränsar behandlingen av dina personuppgifter (vilket innebär att vi upphör med delar av personuppgiftsbehandlingen) för det fall att:
Rätt till dataportabilitet
Du har rätt att få dina personuppgifter överförda till en annan personuppgiftsansvarig och att få uppgifterna utlämnade i ett strukturerat och maskinläsbart format.
Rätt att återkalla samtycke
Om behandlingen är grundad på samtycke har du rätt att vid vilken tidpunkt som helst återkalla ditt samtycke. Notera dock att återkallande av samtycke inte påverkar lagligheten av den behandling som utförts innan samtycket återkallades.
Rätt att framföra ett klagomål
Om du önskar framföra ett klagomål på vår behandling av dina personuppgifter kan du vända dig till Integritetsskyddsmyndigheten (IMY). Du kan läsa mer om dina rättigheter och om hur du lämnar ett klagomål på IMY:s hemsida: www.imy.se.
Önskar du utöva någon av dina rättigheter enligt ovan är du välkommen att kontakta oss via dataskydd@cedra.se.
Vi kan från tid till annan komma att göra ändringar i denna Policy. Den senaste versionen av Policyn finns alltid tillgänglig på vår hemsida www.cedra.se/integritetspolicy.
Om du har några frågor om vår personuppgiftsbehandling är du välkommen att kontakta oss via dataskydd@cedra.se.