1. Hvem er vi?
Revisionsfirmaet Gutfelt A/S("vi", "os") er et dansk revisionsfirma. Vi anvender et digitalt bogføringstjeklisteværktøj ("Systemet") til at understøtte vores revision og bogføringsassistance for klienter.
Dataansvarlig: Revisionsfirmaet Gutfelt A/S, CVR 13254192
Kontaktperson: info@gutfelt.com
2. Hvilke personoplysninger behandler vi?
Klientvirksomhedsdata
Virksomhedsnavn, CVR-nummer, kontaktperson (navn, email, telefon): til identifikation og kommunikation.
Regnskabsdata
Saldobalancer (kontonumre, kontobetegnelser, saldi), tjeklisteanalyser og uploadede bilag (bankudtog, forsikringspolicer, lønbilag m.m.): til bogføringstjekliste og revision.
Tekniske data
IP-adresser, loginaktivitet og portal-adgangsdata: til sikkerhed og audit.
3. Behandlingsgrundlag
Vi behandler personoplysninger på følgende grundlag (GDPR art. 6):
- Kontraktopfyldelse (art. 6(1)(b)): nødvendigt for at levere revisions-/bogføringsydelser
- Retlig forpligtelse (art. 6(1)(c)): revisorloven og bogføringsloven
- Legitim interesse (art. 6(1)(f)): AI-analyse, audit-logning, sikkerhed
4. Hvem deler vi data med?
Systemet leveres af Attera (Attera ApS (Danmark)), som er vores databehandler. Attera anvender følgende underdatabehandlere:
- Vercel: Drift af platformen og opbevaring af uploadede filer. Leverandør: Vercel Inc. (USA). Data i EU: funktioner og fillager i Vercel-regionen dub1 (Dublin, Irland). Overførsel til tredjeland: USA (Vercel Inc., kontraktpart). Grundlag: EU-U.S. Data Privacy Framework (tilstrækkelighedsafgørelse).
- Turso: Database for hvert firma og for platformens kontrolplan. Leverandør: Turso Inc. (USA). Data i EU: databaser i Tursos AWS-region eu-west-1 (Irland). Overførsel til tredjeland: USA (Turso Inc., kontraktpart). Grundlag: EU-Kommissionens standardkontraktbestemmelser (modul 3), som del af leverandørens databehandleraftale.
- Amazon Web Services (Amazon Bedrock): AI-analyse af dokumenter, bilag og afstemninger. Leverandør: Amazon Web Services EMEA SARL (Luxembourg). Data i EU: Amazon Bedrock med EU-inferensprofil (kilderegion eu-west-1, Irland). Overførsel til tredjeland: USA (Amazon Web Services, Inc., part i databehandleraftalen). Grundlag: EU-U.S. Data Privacy Framework (tilstrækkelighedsafgørelse).
- Anthropic: AI-analyse af dokumenter, bilag og afstemninger. Leverandør: Anthropic Ireland, Limited. Data i USA: data lagres i USA; behandlingen kan ske i USA, Europa, Asien og Australien. Overførsel til tredjeland: USA (Anthropic Ireland, Limited, lagring af data). Grundlag: EU-Kommissionens standardkontraktbestemmelser (modul 3), som del af leverandørens databehandleraftale.
- Mistral AI: Tekstudtræk fra uploadede dokumenter. Leverandør: Mistral AI (Frankrig). Data i EU: Mistrals EU-endepunkt (datacentre i EU/EFTA).
- Resend: Afsendelse af mails fra platformen. Leverandør: Plus Five Five, Inc. (USA). Data i USA (leverandørens primære behandling sker i USA). Overførsel til tredjeland: USA (Plus Five Five, Inc., kontraktpart). Grundlag: EU-U.S. Data Privacy Framework (tilstrækkelighedsafgørelse).
- Cloudflare (R2): Krypteret backup af databaser og lager for offentlige registre. Leverandør: Cloudflare, Inc. (USA). Data i EU: R2-lager med EU-jurisdiktion. Overførsel til tredjeland: USA (Cloudflare, Inc., kontraktpart). Grundlag: EU-U.S. Data Privacy Framework (tilstrækkelighedsafgørelse).
- Sentry: Registrering af tekniske fejl i Attera. Leverandør: Functional Software, Inc. (USA). Data i EU: Sentrys EU-region (Frankfurt, Tyskland). Overførsel til tredjeland: USA (Functional Software, Inc., kontraktpart). Grundlag: EU-Kommissionens standardkontraktbestemmelser (modul 3), som del af leverandørens databehandleraftale.
- Idura: MitID-legitimation og digital underskrift. Leverandør: Idura ApS (Danmark). Data i EU: aftalen forbyder overførsel af personoplysninger uden for EU, også hos underdatabehandlere.
- OpenSanctions: Screening mod sanktions- og PEP-lister. Leverandør: OpenSanctions Datenbanken GmbH (Tyskland). Data i Tyskland (Google Cloud, Frankfurt); aftalen kræver, at behandlingen kun sker i en EU- eller EØS-medlemsstat.
Offentlige virksomhedsoplysninger slår Attera op hos datakilder, som ikke er underdatabehandlere:
- Lasso X (Lasso X A/S): CVR-numre og søgeord i virksomhedssøgningen; ingen klientdokumenter eller regnskabsdata.
- Enable Banking (Enable Banking Oy): Bankvalg (banknavn og land), samtykkets varighed og returadresse ved samtykkeanmodningen; kontodata hentes fra bankerne og leveres til Attera.
5. Opbevaringsperioder
- Arbejdspapirer og genparter af afgivne erklæringer, revisionsprotokoller og regnskaber: 5 år fra underskrivelsen af den erklæring, materialet vedrører (revisorloven § 23)
- Uploadede bilag: 5 år fra udgangen af det regnskabsår, materialet vedrører (bogføringsloven § 12)
- Portal-tokens: op til 30 dage for engangs-ærinder (automatisk udløb); stående rum-links (forside, adgange, aflever) indtil de tilbagekaldes
- Audit-logs: 5 år
6. Dine rettigheder
Som registreret har du følgende rettigheder under GDPR:
- Indsigtsret (art. 15): se de data vi behandler om dig
- Berigtigelsesret (art. 16): få rettet forkerte oplysninger
- Sletningsret (art. 17): få slettet dine data (medmindre lovpligtig opbevaring gælder)
- Begrænsningsret (art. 18): begrænse behandlingen
- Dataportabilitet (art. 20): få data udleveret i struktureret format
- Indsigelsesret (art. 21): gøre indsigelse mod behandling baseret på legitim interesse
Henvendelse: Kontakt info@gutfelt.com med dit krav. Vi svarer uden unødig forsinkelse og senest én måned efter, at vi har modtaget din anmodning. Fristen kan forlænges med to måneder, hvis det er nødvendigt, fordi anmodningen er kompleks, eller fordi der er mange anmodninger. Så får du besked inden for den første måned med begrundelsen for forsinkelsen (databeskyttelsesforordningen art. 12, stk. 3).
7. AI-behandling
Systemet anvender AI via Amazon Web Services (Amazon Bedrock) til at analysere saldobalancer, specificere dokumentkrav og matche uploadede dokumenter. Disse AI-analyser er vejledende; alle endelige beslutninger træffes af en revisor.
8. Cookies
Systemet anvender kun teknisk nødvendige cookies (autentificering og CSRF-beskyttelse). Vi anvender ingen marketing-, analyse- eller tredjeparts-cookies.