Personuppgiftsbiträdesavtal (DPA)

1. Bakgrund och syfte

1.1 Detta DPA reglerar Personuppgiftsbiträdets behandling av personuppgifter för Personuppgiftsansvariges räkning i samband med tillhandahållandet av SvaraSaras AI-baserade receptionisttjänst.

1.2 Avtalet har upprättats i syfte att säkerställa efterlevnad av EU:s dataskyddsförordning (GDPR), särskilt artikel 28, samt tillämplig svensk dataskyddslagstiftning.

2. Behandlingens art, ändamål och omfattning

2.1 Ändamål med behandlingen
Behandlingen sker i syfte att möjliggöra automatiserad hantering av inkommande telefonsamtal, inklusive röstinteraktion, transkribering, sammanfattning och analys, enligt instruktion från Personuppgiftsansvarig.

2.2 Kategorier av registrerade

• Inringande slutkunder
• Andra fysiska personer som kontaktar Personuppgiftsansvarig via telefon

2.3 Typer av personuppgifter

• Röstupptagningar (ljudfiler)
• Telefonnummer
• Transkriberad text (speech-to-text)
• Sammanfattningar och metadata kopplade till samtal

2.4 Behandlingens varaktighet
Behandlingen pågår under den tid som Tjänsten används samt därefter i enlighet med tillämpliga gallringsrutiner enligt punkt 5.

3. Instruktioner och laglig grund

3.1 Personuppgiftsbiträdet får endast behandla personuppgifter i enlighet med dokumenterade instruktioner från Personuppgiftsansvarig.

3.2 Genom detta DPA instruerar Personuppgiftsansvarig Personuppgiftsbiträdet att:

• spela in, lagra, analysera och transkribera samtal, samt
• tillhandahålla AI-baserade funktioner i enlighet med Tjänstens beskrivning.

3.3 Personuppgiftsansvarige ansvarar för att det finns laglig grund för behandlingen (t.ex. berättigat intresse, samtycke eller annan tillämplig grund) samt för att informationsskyldigheten gentemot registrerade uppfylls.

3.4 Personuppgiftsbiträdet ska utan dröjsmål informera Personuppgiftsansvarig om en instruktion enligt Biträdets bedömning strider mot dataskyddslagstiftning, om Biträdet inte är förbjudet enligt lag att göra detta.

4. Sekretess

4.1 Personuppgiftsbiträdet ska säkerställa att personer som behandlar personuppgifter omfattas av lagstadgad eller avtalad sekretess.

5. Lagring och gallring (Retention Policy)

I enlighet med principen om dataminimering tillämpar SvaraSara följande standardiserade gallringstider:

Personuppgiftsansvarig kan via kontrollpanel eller skriftlig instruktion begära kortare lagringstider, dock aldrig längre än vad som följer av tillämplig lag eller Biträdets säkerhetskrav utan särskilt skriftligt tillägg.

6. Säkerhetsåtgärder

6.1 Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder, inklusive men inte begränsat till:

• kryptering av personuppgifter under överföring och lagring,
• behörighetsstyrning och åtkomstloggning,
• regelbunden säkerhets- och sårbarhetstestning,
• säkerhetskopiering och incidenthanteringsrutiner.

7. Underbiträden (Sub-processors)

7.1 Personuppgiftsansvarig godkänner att Personuppgiftsbiträdet anlitar underbiträden för att tillhandahålla Tjänsten, exempelvis molnleverantörer, telekom- och AI-tjänsteleverantörer.

7.2 Primär applikations- och databaslagring är konfigurerad inom EU/EES. Vissa funktioner och underbiträden kan behandla uppgifter globalt eller utanför EU/EES. När Gemini Live-transkribering är aktiverad överförs samtalsljud i realtid till Google Clouds globala Vertex AI-endpoint, som inte innebär regional isolering.

7.3 Personuppgiftsbiträdet ska säkerställa att underbiträden åtar sig motsvarande dataskyddsåtaganden.

7.4 Personuppgiftsansvarig ska informeras minst 30 dagar innan ett nytt eller ersättande väsentligt underbiträde börjar behandla uppgifter och får under perioden invända på skäliga dataskyddsgrunder. Personuppgiftsbiträdet ansvarar för att underbiträdet fullgör motsvarande dataskyddsskyldigheter.

7.5 Vid överföring till tredjeland ska en giltig överföringsmekanism användas, exempelvis beslut om adekvat skyddsnivå eller EU:s standardavtalsklausuler, tillsammans med kompletterande skyddsåtgärder där det krävs.

8. De registrerades rättigheter

8.1 Personuppgiftsbiträdet ska, med beaktande av behandlingens art, bistå Personuppgiftsansvarig genom tekniska och organisatoriska åtgärder för att denne ska kunna fullgöra sina skyldigheter gentemot registrerade, inklusive:

• rätt till tillgång (artikel 15),
• rätt till rättelse, begränsning och invändning (artiklarna 16, 18 och 21),
• rätt till radering (artikel 17),
• rätt till dataportabilitet (artikel 20).

Med beaktande av behandlingens art och den information som finns tillgänglig ska Biträdet även skäligen bistå Kunden med skyldigheterna enligt artiklarna 32–36 GDPR, inklusive konsekvensbedömning och förhandssamråd.

9. Personuppgiftsincidenter

9.1 Personuppgiftsbiträdet ska underrätta Personuppgiftsansvarig utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident.

9.2 Underrättelsen ska innehålla tillgänglig information som krävs för att Personuppgiftsansvarig ska kunna uppfylla sin anmälningsskyldighet gentemot tillsynsmyndighet (IMY) inom 72 timmar.

10. Revision och efterlevnad

10.1 Personuppgiftsbiträdet ska på begäran tillhandahålla information som skäligen krävs för att visa efterlevnad av detta DPA.

10.2 Kunden eller en oberoende revisor som Kunden utsett får genomföra revision, inklusive inspektion, med skäligt varsel. Revisionen ska skydda andra kunders och Biträdets konfidentiella uppgifter och får inte oskäligt störa verksamheten.

11. Överföring av personuppgifter vid bolagstransaktion

Vid försäljning, fusion eller annan bolagstransaktion får personuppgifter överföras till förvärvande part i den utsträckning som krävs för att möjliggöra fortsatt tillhandahållande av Tjänsten, under förutsättning att tillämplig dataskyddslagstiftning efterlevs.

12. Avtalets upphörande

12.1 Vid upphörande av Tjänsten ska Personuppgiftsbiträdet, enligt Personuppgiftsansvariges val:

• radera, eller
• återlämna personuppgifter,

såvida inte lagring krävs enligt lag. Radering av befintliga kopior sker inom 90 dagar och ordinarie säkerhetskopieringscykler. Leverantörers tillfälliga cache- och säkerhetsloggar följer tillämpligt leverantörsavtal.

13. Tillämplig lag

Detta DPA ska tolkas i enlighet med EU:s dataskyddsförordning (GDPR) och i tillämpliga delar svensk lag.