Användarvillkor och biträdesavtal

Version: rot-rut-terms-2026-10-v1 · 5 oktober 2026

Raskr AB, org.nr 559578-0957 (”Raskr”), tillhandahåller ett gratis verktyg för företag som behöver samla in ROT/RUT-underlag från sina kunder. Kontakt: info@raskr.ai. Avtalet ingås med det företag du anger och företräder (”Företaget”). Namnet ska identifiera den verkliga verksamheten; för en enskild firma är näringsidkaren avtalspart. Du intygar att du får företräda Företaget.

Verktyget ger Företaget en länk att själv skicka till kunden och möjlighet att läsa, kopiera och ladda ned ett mottaget underlag. Ett konto här är ett separat gratiskonto. Registrering innebär inte beställning av den betalda Sixten-tjänsten eller prenumeration på marknadsföringsmejl. Vi skickar inloggningskoder och aviseringar om mottagna svar. Kunden får inget konto och inga inbjudningsmejl från verktyget.

Företaget ansvarar för att begäran gäller ett verkligt kundärende, att mottagaren förväntar sig den och att bara nödvändiga uppgifter efterfrågas. Använd inte verktyget för att utge dig för någon annan eller samla uppgifter för andra ändamål. Ange inte personnummer i ärenderubriken. Företagsnamnet och ärenderubriken visas för den som har länken. Raskr verifierar e-postadressen men inte Företagets identitet. Skydda din inkorg och dela länken bara med avsedd mottagare.

Underlaget är kundens uppgifter och intyg. Verktyget kontrollerar format men verifierar inte identitet, ägande, avdragsutrymme eller Skatteverkets beslut. Företaget ansvarar för fakturering, ansökan om utbetalning och sitt eget arkiv. Detta verktyg är inget bokföringsarkiv. Ett inskickat svar kan inte skrivas över; vid fel skapar Företaget en ny begäran och hanterar det gamla underlaget.

Länken kan besvaras i 30 dagar från skapandet. Formuläret och svaret blir otillgängliga 90 dagar från skapandet och raderas genom schemalagd gallring. Företaget kan ladda ned underlaget eller radera tidigare. Att skapa en sjätte begäran raderar inte de tidigare. Kontot och kvarvarande underlag blir otillgängliga efter 12 månader utan lyckad inloggning eller autentiserad kontoaktivitet och raderas genom gallring. Kundens besök förlänger inte tiden.

Företaget kan avsluta genom att radera kontot. Raskr får spärra ett konto eller formulär vid misstänkt missbruk eller säkerhetsrisk. Spärr är inte radering och förlänger inte lagringstiden. Rapportera misstänkt missbruk till info@raskr.ai, med formulärets ID, utan personnummer eller hela formulärlänken. Driftavbrott och försenade eller dubbla aviseringar kan förekomma; kontrollera underlaget i kontot. Väsentliga avtalsändringar ska meddelas i förväg och ändrade behandlingsinstruktioner godkännas innan de gäller. Villkoren begränsar inte rättigheter eller ansvar som följer av tvingande lag. Svensk rätt gäller.

Personuppgiftsbiträdesavtal

Roller och instruktion. Företaget är personuppgiftsansvarigt för kundernas ROT/RUT-underlag. Raskr är dess personuppgiftsbiträde. Företaget instruerar Raskr att tillhandahålla formulär, ta emot, validera och lagra svar, ge Företaget åtkomst och export, avisera om svar samt radera enligt detta avtal. Behandlingen omfattar insamling, överföring, lagring, tillgängliggörande och radering under formulärets livstid och den begränsade återställningsperioden nedan. Raskrs eget ansvar för kontouppgifter beskrivs separat i integritetsinformationen.

Registrerade är Företagets kunder och upp till fyra personer som anges som avdragsmottagare. Uppgifterna är personnummer, andelar, ROT/RUT-val, fastighetsbeteckning eller bostadsrättsföreningens organisationsnummer och lägenhetsnummer när ROT kräver det, kundintyg eller avböjande, ärenderubrik, formulär-ID, tidsstämplar och teknisk aviseringsstatus. Inga fritextuppgifter om hälsa eller andra känsliga förhållanden ska lämnas.

Företagets skyldigheter. Företaget ska fastställa och dokumentera rättslig grund enligt GDPR artikel 6 för varje ändamål och ge berörda personer information enligt artiklarna 13–14, även när en kund lämnar en annan persons uppgifter. Nödvändighet för ett avtal med den registrerade kan vara relevant; det gäller inte automatiskt alla personer eller uppgifter. En rättslig förpliktelse får bara åberopas med stöd i en konkret tillämplig regel. Företaget ska dessutom bedöma det särskilda svenska skyddet för personnummer: utan samtycke måste behandlingen vara klart motiverad av ändamålet, säker identifiering eller annat beaktansvärt skäl. ROT/RUT-ändamålet befriar inte från denna bedömning. Raskrs registreringsruta och kundens sakintyg ersätter inte dessa bedömningar. IMY om personnummer

Raskrs skyldigheter. Raskr behandlar kundunderlaget endast enligt Företagets dokumenterade instruktioner, även för överföring utanför EU/EES, om inte unionsrätt eller svensk lag kräver annat. Då underrättas Företaget före behandlingen, om lagen tillåter det. Raskr underrättar Företaget om en instruktion bedöms strida mot dataskyddsreglerna. Behörig personal omfattas av tystnadsplikt och får åtkomst bara när uppdraget kräver det.

Raskr ska upprätthålla säkerhet som är lämplig för risken: krypterad överföring, krypterade kundsvar i databasen, avgränsad kontoåtkomst, separata testmiljöer, skydd mot missbruk och begränsad loggning. Personnummer, formulärtoken och kundsvar ska inte skickas till annonsering, AI, Slack, Sentry eller webbstatistik. Aviseringsmejl innehåller en länk som kräver inloggning, inte kundunderlaget. Supportärenden till leverantörer ska inte innehålla kundunderlag eller autentiseringsuppgifter.

Raskr hjälper, med hänsyn till behandlingens art och tillgänglig information, Företaget med registrerades rättigheter, säkerhet, konsekvensbedömning och förhandssamråd samt incidentanmälan och information till berörda. Begäran från en registrerad vidarebefordras till Företaget; uppgifter lämnas inte ut utan behörighetskontroll. Raskr underrättar Företaget utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident och lämnar känd information och kompletteringar som behövs för bedömning och åtgärder. Företaget ansvarar för sin anmälningsbedömning; GDPR:s 72 timmar för ansvarigs myndighetsanmälan är inte en väntetid för biträdets underrättelse.

Raskr ska ge Företaget information som visar att avtalet följs och möjliggöra och medverka vid granskningar, inklusive inspektioner av Företaget eller dess utsedda granskare, med skydd för andra kunders uppgifter. GDPR, särskilt artiklarna 28 och 32–36

Underbiträden och överföringar. Företaget ger allmänt skriftligt tillstånd till Cloudflare, Inc. för Pages/Workers, D1, Turnstile och Email Sending i den utsträckning Cloudflare behandlar uppgifter som biträde eller underbiträde, samt de relevanta underbiträdena i leverantörsbilagan nedan. Raskr ska föra vidare relevanta dataskyddsskyldigheter och ansvarar gentemot Företaget för underbiträdets skyldigheter. Raskr meddelar planerade tillägg och ersättningar i förväg så att Företaget kan invända av dataskyddsskäl innan behandlingen börjar. Om invändningen inte kan lösas kan Företaget exportera och avsluta den berörda tjänsten. Cloudflares aktuella DPA och leverantörsförteckning beskriver Cloudflares avtalsmässiga skydd och vidare underbiträden.

D1-databasen använder EU-jurisdiktion. Databasen lagras och körs inom EU. Annan körning, trafikmetadata, support och e-post kan behandlas utanför EES. För överföringar som kräver särskilt skydd gäller Cloudflares DPA med EU:s standardavtalsklausuler: modul 2 för Raskrs kontouppgifter och modul 3 för kundunderlag. En kopia av tillämpliga skydd kan begäras från info@raskr.ai. D1 dataplacering

Leverantörsbilaga · 5 oktober 2026

Cloudflare, Inc. tillhandahåller webbdrift (Pages/Workers), databas (D1), säkerhetskontroll (Turnstile) och transaktionsmejl (Email Sending). Kundsvar lagras krypterade i D1 inom EU. Övrig behandling kan ske globalt, bland annat i USA. Cloudflare är biträde för kontouppgifter och underbiträde för kundunderlag. Turnstiles separata ansvar för förbättrad botdetektion beskrivs i integritetsinformationen.

Cloudflares förteckning anger Google LLC och Oracle America, Inc. för Developer Platform. Angivna länder är EES, USA, Australien och Indien för Google; USA, EES, Storbritannien, Japan, Australien, Kanada och Singapore för Oracle. Koncernbolag kan ge teknisk support. Slack Technologies, Inc., Zendesk, Inc. och Salesforce, Inc. anges för support och kontohantering. Detta beskriver möjliga led enligt leverantörens förteckning, inte att varje led behandlar varje kunds underlag. AWS-raden för Email Security avser inte Email Sending. Den aktuella förteckningen visar även koncernbolag och supportländer.

Registerkontroller. När kontroll är aktiverad används Raskrs Sixten-backend för en avgränsad fråga: fastighetsbeteckningen till Lantmäteriet i Sverige eller föreningens organisationsnummer till Sixtens kopia av Bolagsverkets register på AWS. Inga personnummer, e-postadresser, kundlänkstoken eller fullständiga svar skickas i registerfrågan. Kontrollerna är rådgivande och är ingen kontroll av ägande eller avdragsrätt. Denna instruktion omfattar dessa begränsade uppslag.

Lagring hos leverantören. D1:s återställningshistorik omfattar upp till 30 dagar efter fysisk radering. Cloudflares e-postanalys sparas i 31 dagar. Email preview är avstängt för sändardomänen. Dessa frister avser respektive funktion. Övriga drift- och säkerhetsloggar, köer och mottagarspärrar följer leverantörens ändamålsbundna hantering; ingen gemensam maxfrist för alla kopior utlovas. Vi lämnar inte kundunderlag i leverantörssupport.

Återlämning och radering. Företaget kan exportera och begära radering före fristerna i användarvillkoren ovan. Vid uppdragets slut ska Raskr, enligt Företagets val, återlämna eller radera kunduppgifterna och radera kopior, om inte lag kräver bevarande. Export måste ske innan automatisk gallring eller kontoradering. Raderade uppgifter får inte återgå till vanlig användning från en säkerhetskopia. Databashistorik kan finnas kvar i Cloudflare Time Travel efter fysisk radering: återställningsfönstret är 30 dagar på Workers Paid. Den används bara för återställning. Före återöppning ska senare raderingar, spärrar och gallringsfrister tillämpas på den återställda databasen. Om nödvändigt raderingsunderlag saknas får återställda data inte öppnas för användare. Separata exporter eller säkerhetskopior kräver egna beslutade frister. Cloudflare Time Travel