Personuppgiftsbiträdesavtal (DPA)

1. Bakgrund och syfte

1.1 Detta DPA reglerar Personuppgiftsbiträdets behandling av personuppgifter för Personuppgiftsansvariges räkning i samband med tillhandahållandet av SvaraSaras AI-baserade receptionisttjänst.

1.2 Avtalet har upprättats i syfte att säkerställa efterlevnad av EU:s dataskyddsförordning (GDPR), särskilt artikel 28, samt tillämplig svensk dataskyddslagstiftning.

2. Behandlingens art, ändamål och omfattning

2.1 Ändamål med behandlingen
Behandlingen sker i syfte att möjliggöra automatiserad hantering av inkommande telefonsamtal, inklusive röstinteraktion, transkribering, sammanfattning och analys, enligt instruktion från Personuppgiftsansvarig.

2.2 Kategorier av registrerade

• Inringande slutkunder
• Andra fysiska personer som kontaktar Personuppgiftsansvarig via telefon

2.3 Typer av personuppgifter

• Röstupptagningar (ljudfiler)
• Telefonnummer
• Transkriberad text (speech-to-text)
• Sammanfattningar och metadata kopplade till samtal

2.4 Behandlingens varaktighet
Behandlingen pågår under den tid som Tjänsten används samt därefter i enlighet med tillämpliga gallringsrutiner enligt punkt 5.

3. Instruktioner och laglig grund

3.1 Personuppgiftsbiträdet får endast behandla personuppgifter i enlighet med dokumenterade instruktioner från Personuppgiftsansvarig.

3.2 Genom detta DPA instruerar Personuppgiftsansvarig Personuppgiftsbiträdet att:

• spela in, lagra, analysera och transkribera samtal, samt
• tillhandahålla AI-baserade funktioner i enlighet med Tjänstens beskrivning.

3.3 Personuppgiftsansvarige ansvarar för att det finns laglig grund för behandlingen (t.ex. berättigat intresse, samtycke eller annan tillämplig grund) samt för att informationsskyldigheten gentemot registrerade uppfylls.

4. Sekretess

4.1 Personuppgiftsbiträdet ska säkerställa att personer som behandlar personuppgifter omfattas av lagstadgad eller avtalad sekretess.

5. Lagring och gallring (Retention Policy)

I enlighet med principen om dataminimering tillämpar SvaraSara följande standardiserade gallringstider:

Personuppgiftsansvarig kan via kontrollpanel eller skriftlig instruktion begära kortare lagringstider, dock aldrig längre än vad som följer av tillämplig lag eller Biträdets säkerhetskrav utan särskilt skriftligt tillägg.

6. Säkerhetsåtgärder

6.1 Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder, inklusive men inte begränsat till:

• kryptering av personuppgifter under överföring och lagring,
• behörighetsstyrning och åtkomstloggning,
• regelbunden säkerhets- och sårbarhetstestning,
• säkerhetskopiering och incidenthanteringsrutiner.

7. Underbiträden (Sub-processors)

7.1 Personuppgiftsansvarig godkänner att Personuppgiftsbiträdet anlitar underbiträden för att tillhandahålla Tjänsten, exempelvis molnleverantörer, telekom- och AI-tjänsteleverantörer.

7.2 All primär behandling och lagring sker inom EU/EES, med huvudsaklig drift inom regioner i Sverige.

7.3 Personuppgiftsbiträdet ska säkerställa att underbiträden åtar sig motsvarande dataskyddsåtaganden.

7.4 Personuppgiftsansvarig ska informeras vid byte av väsentliga underbiträden.

8. De registrerades rättigheter

8.1 Personuppgiftsbiträdet ska, med beaktande av behandlingens art, bistå Personuppgiftsansvarig genom tekniska och organisatoriska åtgärder för att denne ska kunna fullgöra sina skyldigheter gentemot registrerade, inklusive:

• rätt till tillgång (artikel 15),
• rätt till radering (artikel 17),
• rätt till dataportabilitet (artikel 20).

9. Personuppgiftsincidenter

9.1 Personuppgiftsbiträdet ska underrätta Personuppgiftsansvarig utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident.

9.2 Underrättelsen ska innehålla tillgänglig information som krävs för att Personuppgiftsansvarig ska kunna uppfylla sin anmälningsskyldighet gentemot tillsynsmyndighet (IMY) inom 72 timmar.

10. Revision och efterlevnad

10.1 Personuppgiftsbiträdet ska på begäran tillhandahålla information som skäligen krävs för att visa efterlevnad av detta DPA.

10.2 Eventuella revisioner ska ske på ett sätt som inte oskäligt stör Biträdets verksamhet.

11. Överföring av personuppgifter vid bolagstransaktion

Vid försäljning, fusion eller annan bolagstransaktion får personuppgifter överföras till förvärvande part i den utsträckning som krävs för att möjliggöra fortsatt tillhandahållande av Tjänsten, under förutsättning att tillämplig dataskyddslagstiftning efterlevs.

12. Avtalets upphörande

12.1 Vid upphörande av Tjänsten ska Personuppgiftsbiträdet, enligt Personuppgiftsansvariges val:

• radera, eller
• återlämna personuppgifter,

såvida inte lagring krävs enligt lag.

13. Tillämplig lag

Detta DPA ska tolkas i enlighet med EU:s dataskyddsförordning (GDPR) och i tillämpliga delar svensk lag.