Compliance

Compliance är beviskassavalvet. Här hittar du spåren Redofy håller efter vad som hänt i bokföringen, vem som gjort vad, och vilka agentbeslut som tagits. Det är din dokumentation gentemot Skatteverket, revisorn och eventuella myndighetskontroller.

Behandlingshistorik (audit trail)

Varje förändring i bokföringsdata loggas:

• Verifikationsändringar — rättelseverifikationer, ändringar av metadata (datum, beskrivning), kopplingar till dokument.
• Användarroller — tillägg, borttagningar, ändringar.
• Inställningsändringar — räkenskapsår, K-regelverk, momskoder.
• Integrationer — aktivering, deaktivering av bankkopplingar och Skatteverket-integrationer.
• AI-beslut — varje agentförslag och hur det hanterades.
• Datatillgång — vem som läst lön, kund-personnummer, eller andra känsliga register.

Loggen är write-once — rader läggs till, inga ändringar eller borttagningar möjliga. Det är själva poängen med en audit trail.

BFL-efterlevnad

Redofy hanterar Bokföringslagen automatiskt:

• 5 kap 1 § — gapfri numrering. Redofy tilldelar verifikationsnummer automatiskt, hindrar luckor.
• 5 kap 5 § — oföränderliga verifikationer. Bokförda verifikationer kan inte ändras; rättelser görs som nya rättelseverifikationer.
• 5 kap 7 § — obligatoriska fält. Datum, belopp, konton, beskrivning — kan inte vara tomma.
• 5 kap 11 § — behandlingshistorik. Allt som sker loggas.
• 7 kap 2 § — 7 års arkivering. Dokument och verifikationer sparas minst 7 år; pappersoriginal 3 år efter skanning.

Statuspanelen visar ett BFL-hälsotal — en sammanvägd indikator på att inga grundregler bryts. Är den 100 % är du i takt. Sjunker den flaggas det exakta problemet (t.ex. “3 verifikationer saknar underlag” eller “4 fakturor saknar OCR-referens”).

GDPR-verktyg

Redofy hanterar personuppgifter och måste därför följa GDPR:

• Registerförteckning — lista över vilka personuppgifter som finns, för vad.
• Utlämningsärende — om en person ber om vilka uppgifter du har om dem, kan du generera en rapport härifrån.
• Radering vid slut — när ett företag avslutas raderas personuppgifter efter 30 dagar (modulen för GDPR-radering körs automatiskt).
• Samtycke och laglig grund — dokumentation av grunden för varje persontyps behandling (kundfakturering, anställning, leverantörsrelation).

Caution

GDPR-skyldigheten är ytterst företagets egen, inte Redofys. Redofy är personuppgiftsbiträde; ni är personuppgiftsansvarig. Den information som loggas här är stöd för er egen GDPR-hantering, inte ersättning för egen policy och rutiner.

Dataexport för revision

Revisorer och myndigheter kan ibland kräva utdrag av specifika data. Compliance-fliken har genvägar för:

• Komplett bokföringsexport — SIE-4 av hela räkenskapsåret plus zip av alla kopplade dokument.
• Audit trail för period — behandlingshistorik för valt datumintervall.
• AI-beslutshistorik — alla agentförslag och deras utfall.
• Användaraktivitet — vem har loggat in, vilka sidor har de besökt, vilka data har de läst.

Exporterna är signerade med Redofys nyckel — motparten kan verifiera att de inte ändrats efter att Redofy signerat.

Datalagring

En översikt över vilka data som lagras och hur länge:

Datatyp	Lagringsplats	Retention	Kryptering
Verifikationer	PostgreSQL	7 år efter räkenskapsårets slut	I vila (AES-256)
Dokument, kvitton	Cloudflare R2	7 år	I vila (AES-256)
Bilder (mobilapp)	Cloudflare R2	7 år	I vila (AES-256)
Personuppgifter	PostgreSQL	Så länge relationen är aktiv + lagkrav	I vila (AES-256)
Audit trail	PostgreSQL	10 år	I vila (AES-256), hashkedja för integritet
AI-anropstranskript	Ej lagrade	0 (kastas efter svar)	–

AI-anropens innehåll (det som skickas till Claude) lagras inte långsiktigt — bara själva beslutet och dess konfidens.

Underbiträden och databehandling

Redofy använder följande underbiträden för databehandling:

• Cloudflare R2 — dokumentlagring. EU-regionen.
• Stripe — betalningar. Hanteras av Stripe och berör bara betalningsdata.
• Anthropic (Claude) — AI-anrop. Inget data lagras hos Anthropic.
• Skatteverket och Bolagsverket — när du deklarerar eller skickar in bolagsdokument går data dit. Myndighetens egen rätt att behandla.
• Tink och Nordigen — bankkopplingar. Endast bankdata, ingen annan företagsinformation.

En komplett lista med databehandlingsavtal (DPA) finns på redofy.se/dpa för nedladdning.

Säkerhetsmeddelanden

Om någon säkerhetsincident händer (känslig data läckt, misstänkt intrång, leverantörsintrång) får alla ägare en direkt notis både i Redofy och via mejl. Loggen finns permanent i denna flik.

Fram till idag har Redofy inte haft några säkerhetsincidenter att rapportera.

Kontakt för GDPR- och säkerhetsfrågor

• Dataskyddsombud: dpo@redofy.se
• Säkerhet: security@redofy.se

Myndighetsförfrågningar (Datainspektionen, Skatteverket, Polisen) hanteras separat enligt etablerade rutiner.