Så hanterar Dekla dina uppgifter

När du skriver till oss

Vi har inget kontaktformulär och ingen inloggning. Kakor används bara när du hämtar en inlämnad deklaration från Skatteverket, och de beskrivs längre ner. Vi mäter däremot besök på sidorna, och exakt vad den mätningen ser står längre ner. Kontakten går via mejl, och det enda vi samlar in är det du själv skickar.

Skriver du till support@dekla.se behandlar vi din adress, ditt namn om du anger det, och det du skriver - för att kunna svara. Rättslig grund är vårt berättigade intresse av att besvara en förfrågan (artikel 6.1 f) och, om kontakten leder vidare, åtgärder inför ett avtal (artikel 6.1 b). Du hamnar inte i något utskick.

Adressen ligger hos Cloudflare, som vidarebefordrar mejlet till vår brevlåda. Mejlet finns kvar så länge kontakten är aktuell; be oss radera det, så gör vi det.

Skärmarna i Dekla laddar inga externa typsnitt. Utöver sidorna själva hämtar din webbläsare bara besöksmätningen nedan. Den ligger på Deklas egen webbadress, så inget anrop går till en annan domän - men uppgifterna den samlar in går vidare till Vercel.

Besöksstatistik

Vi mäter hur sidorna används med Vercel Web Analytics. Det sätter inga kakor, lagrar ingen IP-adress och känner inte igen dig på andra webbplatser. Per sidvisning sparas adressen du besökte, ungefärlig plats på stadsnivå och teknisk information om webbläsare och enhet; kommer du från en annan webbplats sparas även den. Besökare räknas via ett tillfälligt kännetecken som slutar gälla efter ett dygn.

Mätningen omfattar även skärmarna inne i tjänsten, men Deklas webbadresser innehåller varken organisationsnummer eller belopp, så inget ur ditt underlag når statistiken. Rättslig grund är vårt berättigade intresse av att förstå hur sidorna används och kunna förbättra dem (artikel 6.1 f). Mätningen sätter ingen kaka och lagrar ingenting på din enhet.

Statistiken ligger kvar hos Vercel minst så länge deras rapportfönster för vår plan varar. Vercel garanterar det fönstret men lovar inte att radera när det tar slut, så vi anger ett kriterium i stället för en exakt tid vi inte kan hålla.

Här är det vi som bestämmer att mätningen sker, så Divcite AB är personuppgiftsansvarig för den och Vercel är personuppgiftsbiträde. Det skiljer sig från underlaget du kör genom tjänsten, där rollerna är de omvända - se nästa avsnitt. Mätningen bär ingen identitet: vi kan inte se vem som besökt vad, och vi bygger inga profiler. Det betyder också att en invändning (artikel 21) eller en begäran om registerutdrag inte går att verkställa på just dina sidvisningar - vi kan inte hitta dem. Vill du inte mätas alls stoppar de vanligaste annonsblockerarna skriptet; webbläsarens inbyggda spårningsskydd gör det däremot inte, eftersom skriptet ligger på Deklas egen webbadress.

När du använder Dekla: vem ansvarar för vad

Uppgifterna i ett kontoutdrag eller en SIE-fil är bolagets, och det är bolaget som bestämmer varför de behandlas: för att fullgöra sin bokförings- och deklarationsskyldighet. Bolaget är därför personuppgiftsansvarigt. Divcite AB behandlar dem för bolagets räkning och är personuppgiftsbiträde. Språkmodellen som läser texten är underbiträde.

Är du redovisningsbyrå och kör en klients underlag är du i din tur biträde åt klienten, och Divcite blir underbiträde. Då tecknar vi ett personuppgiftsbiträdesavtal innan första filen - hör av dig, det ska vara på plats i förväg.

Vilka uppgifter hanteras?

Organisationsnumret och bolagets grunduppgifter (namn, räkenskapsår, momsperiod, metod, EU-handel, registreringar för F-skatt, moms och arbetsgivare). Kontoutdragets rader med datum, beskrivning, belopp, saldo och eventuell utländsk valuta. SIE-filen om du använder SIE-vägen för momsen eller inkomstdeklarationsdelen, och bokslutets SIE-fil för årsredovisningsutkastet - plus förra årets, om du lägger in den. De namn du ger dina bankkonton. Dina svar på frågorna, verifikatuppgifter inklusive säljarens momsnummer, och postnummer och postort när en inkomstdeklaration ska lämnas.

Markerar du en period som inlämnad sparas dessutom rutbeloppen, eventuella bokslutsposter med text och belopp, din kvittensreferens om du anger en, och själva filerna du lämnat in. Kom rutbeloppen ur din SIE-fil sparas också att källan var din bokföring och när du intygade att du har kvitton och fakturor för momsen bolaget drar av.

Kontoutdrag och bokföringsfiler innehåller ofta andras personuppgifter, till exempel namn på motparter. Driver du en enskild firma är organisationsnumret detsamma som ditt personnummer, alltså en personuppgift i sig.

Var behandlas de?

Uppgifterna lagras bara i din egen webbläsare. Dekla har ingen databas och inget konto, och sparar inget av underlaget på sin egen sida. Men de passerar ställena nedan medan de bearbetas, och det är hela listan i dag:

• Deklas serverdel, utan att sparas. En uppladdad PDF läses där för att få fram texten, radernas text skickas dit för tolkning och klassificering, och XML-filen byggs där ur dina granskade siffror. Ett foto av ett kvitto förminskas först i din webbläsare, där platsuppgifter och annan information som följer med bilden tas bort, och det förminskade fotot skickas dit för läsning. En CSV läses i webbläsaren, men dess rader passerar samma väg. Inget av ditt underlag skrivs till disk eller databas, och inget av det ligger kvar när svaret gått tillbaka till din webbläsare. Det gäller också en SIE-fil du använder för momsen: hela filen skickas dit, momsrutorna räknas ut ur den med vanlig kod, och varken filen eller dina bokföringsuppgifter sparas. Webbläsaren behåller bara den färdiga XML-filen och en notering om att den kom ur din bokföring: ett fingeravtryck av SIE-filen, avdraget i ruta 48 och när du intygade det. Det enda som hålls kvar i minnet är IP-adressen bakom ett anrop, för att begränsa antalet anrop. Serverdelen driftas hos Vercel, som därmed är underbiträde för underlaget. (Vercel kör även besöksstatistiken, men där är rollen en annan - se avsnittet ovan.)
• Microsoft Azure, för att läsa ett foto av ett kvitto. Gäller bara foton. Det förminskade fotot skickas hela, med allt som syns i bilden, också det som ligger runt kvittot, som ett kort eller ett ansikte, till Microsofts tjänst Azure AI Document Intelligence, som läser ut texten. Tjänsten körs i Sverige (Sweden Central). Dekla ber Microsoft radera fotot och resultatet direkt efter läsningen; annars raderas de inom 24 timmar. En PDF går aldrig dit.
• OpenAI, för texten som behöver tolkas. För en PDF är det utdragets textinnehåll, alltså raderna som de står tryckta med datum, belopp och saldon. För ett foto av ett kvitto är det bara texten som Azure läste ur bilden; själva bilden skickas aldrig till OpenAI. För klassificeringen av en rad skickas mindre: radens beskrivning, valuta, syfte och en teknisk radnyckel - namnet du gett kontot, vilken sorts fil raden lästes ur, och ett fingeravtryck av raden. Själva nyckeln bär inga belopp, datum eller saldon i klartext. SIE-filen skickas aldrig till OpenAI: för momsen räknas den ut i Deklas serverdel (ovan) och bara där, och för inkomstdeklarationen och årsredovisningen läses den i din webbläsare.
• Bolagsverket, för organisationsnumret. Det skickas när Dekla fyller i bolagets namn och grunduppgifter ur det offentliga företagsregistret, och när Dekla läser vilka årsredovisningar bolaget lämnat in för att föreslå räkenskapsårets sista månad. Du bekräftar eller ändrar förslaget själv. Enbart numret; inget av underlaget lämnar din webbläsare dit. Driver du enskild firma är numret ditt personnummer.
• SCB, för organisationsnumret. Det skickas i samma steg, när Dekla slår upp i SCB:s företagsregister om bolaget är registrerat som arbetsgivare och för moms, för att kunna föreslå svaren på de två frågorna. Du bekräftar eller ändrar förslaget själv. Enbart numret; inget av underlaget lämnar din webbläsare dit. Driver du enskild firma är numret ditt personnummer.
• Skatteverket, för organisationsnumret - bara när du själv tar steget. När momsdeklarationens fil är nedladdad kan Dekla länka dig direkt till rätt deklaration i Skatteverkets e-tjänst. Organisationsnumret och periodkoden följer då med i länkens webbadress - enbart de, inget av underlaget. Det sker bara när du själv klickar på länken, och adressen hamnar som vanligt i webbläsarens historik. Driver du enskild firma är numret ditt personnummer; vill du inte skicka det kan du i stället gå till skatteverket.se på egen hand - filen fungerar likadant.

  Dekla kan också hämta en momsdeklaration som redan är inlämnad, för att se vad bolaget har deklarerat. Det är i dag inte öppet i tjänsten, utan görs för ett bolag i taget efter överenskommelse med oss. Du loggar då in med BankID hos Skatteverket, inte hos Dekla, och Deklas serverdel frågar Skatteverket efter deklarationen för bolaget och perioden. Organisationsnumret och periodkoden skickas, inget av ditt underlag. Svaret är hela den inlämnade deklarationen, med uppgift om undertecknaren, och tas emot hos Vercel i Stockholm. Av den behåller Dekla bara perioden, kvittensnumret, när deklarationen lämnades in, beloppet i ruta 49 och om en undertecknare är "angiven" eller "inte angiven". Uppgiften om undertecknaren, som kan vara ett personnummer, sparas, loggas och visas aldrig. Det Dekla behåller sparas inte hos oss: det ligger i en krypterad kaka i din webbläsare och försvinner av sig självt efter 30 minuter, och en andra kaka håller ihop inloggningen i högst 10 minuter. Kakorna innehåller också organisationsnumret; driver du enskild firma är det ditt personnummer. Bara Deklas serverdel kan läsa kakorna, inte sidans skript, och serverdelen visar sedan resultatet för dig. Deklas egen loggrad om hämtningen säger bara hur den gick och vilken period den gällde, aldrig organisationsnumret.

Divcite AB har tecknat personuppgiftsbiträdesavtal med OpenAI. Din data används inte för att träna modeller, och behandlingen sker i USA med stöd av EU-kommissionens standardavtalsklausuler. En kontoinställning hos oss gör att anropen inte hamnar i OpenAI:s anropslogg; OpenAI kan ändå behålla innehållet upp till 30 dagar för att upptäcka missbruk av tjänsten.

Felrapporter. Går något fel, i serverdelen eller på en skärm i tjänsten, sparas en teknisk felrapport: vilken sorts fel, var i koden, i vilken del av tjänsten, vilken version av tjänsten, när, och en felkod. Felets text och allt ur ditt underlag lämnas alltid utanför, och rapporten bär ingen identitet. Den ligger hos Vercel i upp till ungefär 30 dagar, och Vercel behandlar den i första hand i USA. Felkoden är den du ser på felsidan, så att vi kan hitta rätt rapport om du hör av dig.

Skickas något till Skatteverket?

Inget av ditt underlag - Dekla lämnar aldrig in något. Du laddar ner filen och lämnar själv in den i Skatteverkets e-tjänst, där du signerar med BankID.

Två saker kan gå dit från Dekla, båda bara när du själv tar steget. Den ena är adressen på länken till e-tjänsten: klickar du på knappen efter nedladdningen följer bolagets organisationsnummer och periodkoden med i webbadressen, så att rätt deklaration kan öppnas efter inloggningen. Den andra är en fråga efter en deklaration som redan är inlämnad, med samma två uppgifter. Den beskrivs under "Var behandlas de?" och är i dag inte öppen i tjänsten. Vill du inte skicka numret kan du gå till skatteverket.se på egen hand i stället.

Hur länge finns uppgifterna kvar?

Av ditt underlag ligger ingenting hos oss, så inget av det gallras hos oss. (Tre saker om hur tjänsten används ligger däremot kvar hos Vercel: besöksstatistiken, som beskrivs i sitt eget avsnitt ovan, Deklas loggrad om en hämtning från Skatteverket, med utfall och period men aldrig organisationsnummer, och felrapporterna, som finns kvar upp till ungefär 30 dagar och beskrivs under "Var behandlas de?". Loggraden ligger i samma logg som felrapporterna och finns kvar lika länge.) Kakan med det Dekla behåller från en hämtning hos Skatteverket försvinner av sig själv efter 30 minuter. I din webbläsare finns tre arbetsytor - momsflödets, inkomstdeklarationens och årsredovisningsutkastets - plus det Dekla minns mellan gångerna. Vad som försvinner beror på vilken knapp du tryckt på:

• "Börja om", eller byte av period, rensar momsflödets arbetsmaterial: inlästa rader, texten ur de uppladdade kontoutdragen, försäljningsbeslutet, justeringarna, bokslutssvaren och den framtagna XML-filen. Inkomstdeklarationens arbetsyta rörs inte.
• Byte av bolag rensar de arbetsytor som hör till ett annat bolag än det du byter till - momsflödets och inkomstdeklarationens, alltså även den SIE-fil du laddat upp i inkomstdeklarationen, svaren där och postadressen. Något som redan är påbörjat för bolaget du byter till ligger kvar. Att göra om profilen rensar båda arbetsytorna när du har svarat på frågorna. Att börja en inkomstdeklaration för ett annat år rensar SIE-filen och svaren där.
• Årsredovisningsutkastets SIE-fil ligger kvar. Den sparas per bolag och räkenskapsår, och tas inte bort av någon av rensningarna ovan - inte av "Börja om", inte av ett bolagsbyte och inte av att du gör om profilen. Det är avsiktligt: utkastet ska finnas kvar när du kommer tillbaka, och eftersom filen hör ihop med ett bestämt bolag kan ett bolagsbyte varken visa eller radera ett annat bolags bokslut. Filen är hela bokslutet - varje konto och saldo för året - så vill du ta bort den finns "byt" på raden Bokslutet på Årsredovisning: den raderar just det årets fil för det bolaget direkt, även om du inte laddar upp någon ny. Har du lagt in förra årets SIE-fil sparas den på samma post och försvinner med den; "byt" på raden Förra året tar bort bara den.
• Ingen av de rensningarna raderar bolagsprofilen, inlämningshistoriken med de filer du markerat som inlämnade, svarsminnet, namnen på dina bankkonton, ditt organisationsnummer eller ditt språkval. Det är avsiktligt, så att du slipper svara på samma fråga igen, och de har ingen utgångstid. Vill du ta bort en inlämning finns "Ångra markeringen" på obligationen: den tar bort just den posten och de filer som sparats med den. Svarsminnet är det enda som gallrar av sig självt: det glömmer de äldsta svaren när listan blir lång, och det bolag som varit orört längst när du lagt in många bolag.

I dag finns ingen knapp som raderar allt på en gång. Du gör det via webbläsarens inställningar för webbplatsdata, och på en delad dator bör du göra det när du är klar. Webbläsarens lagring är inte ett arkiv - din bevarandeplikt står i villkoren.

Fattas några beslut automatiskt?

Nej. En språkmodell läser och sorterar text, men varje osäker rad blir en fråga till dig, varje siffra räknas ut av vanlig kod, och ingenting lämnas in utan att du gör det själv. Det sker alltså inget automatiserat beslutsfattande med rättslig verkan (artikel 22).

Dina rättigheter

Gäller uppgifterna ett bolag som använder Dekla är det bolaget som är personuppgiftsansvarigt, och dit en begäran om registerutdrag, rättelse eller radering ska. Vi bistår med det vi har åtkomst till, vilket i praktiken är ingenting: vi sparar inget av underlaget, och det ligger i bolagets egen webbläsare. Felrapporterna innehåller inget ur underlaget och bär ingen identitet.

Gäller det något du skickat till oss räcker ett mejl. Gäller det besöksstatistiken räcker också ett mejl, men läs begränsningen i avsnittet om den först: uppgifterna bär ingen identitet, så det finns inget vi kan plocka ut. Är du missnöjd med hur dina personuppgifter behandlas kan du klaga till Integritetsskyddsmyndigheten, imy.se.

Ansvarig och kontakt

Divcite AB är personuppgiftsansvarig för det som beskrivs under "När du skriver till oss" och "Besöksstatistik", och personuppgiftsbiträde för bolagens underlag. Kontakt: support@dekla.se. Vi har inget dataskyddsombud; verksamheten kräver inte ett.