Personuppgiftsbiträdesavtal

1. Bakgrund och syfte

Parterna har ingått avtal om tjänsten Nordibo ("Huvudavtalet"). I samband med leveransen av tjänsten behandlar Biträdet personuppgifter för den Personuppgiftsansvariges räkning.

Med "Huvudavtalet" avses de allmänna användarvillkor för Nordibo som den Personuppgiftsansvarige godkänner i samband med registrering av konto ("click-wrap"). Något separat undertecknat avtal upprättas inte, om inte parterna särskilt kommer överens om annat.

Detta personuppgiftsbiträdesavtal ("DPA") reglerar Biträdets behandling av personuppgifter på den Personuppgiftsansvariges vägnar och kompletterar Huvudavtalet. Vid konflikt mellan detta DPA och Huvudavtalet har DPA:t företräde avseende personuppgiftsbehandling.

2. Definitioner och föremål för behandling

2.1 Definitioner

Termer som inte definieras här har den innebörd de ges i GDPR (EU) 2016/679.

2.2 Föremål, art och syfte

2.3 Kategorier av registrerade

Behandlingen omfattar personuppgifter om:

• Den Personuppgiftsansvarige själv som användare av tjänsten
• Mötesdeltagare vars röst spelas in, inklusive externa parter som inte är kunder hos Biträdet
• Personer som omnämns under ett möte utan att själva delta

2.4 Kategorier av personuppgifter

Följande kategorier behandlas:

• Ljudinspelning av möte (röst)
• Transkriberad text av det som sagts under mötet
• Namn och e-postadress för kontoinnehavaren
• Deltagarnamn och talaretiketter som förekommer i mötet
• Tekniska uppgifter: tidpunkt, mötets längd, mötestyp
• Allt innehåll som deltagarna själva väljer att uttala under mötet
• Vid inloggning med Google: namn och e-postadress från kontoinnehavarens Google-konto

2.5 Konsumentläge och partneranslutet läge

Nordibo erbjuds i två driftlägen. I konsumentläget registrerar en fysisk person själv ett konto och spelar in egna möten. Den strukturerade mötesdatan levereras via ett maskingränssnitt (MCP) med en personlig åtkomsttoken till den AI-klient personen själv valt att koppla. I det partneranslutna läget sker leveransen i stället till ett system som en organisation konfigurerat, se avsnitt 4.

3. Biträdets skyldigheter (GDPR Art. 28.3)

Biträdet åtar sig att:

1. Behandla enbart på instruktion (Art. 28.3(a)): Behandla personuppgifter uteslutande på dokumenterade instruktioner från den Personuppgiftsansvarige, inklusive om överföring till tredjeland, om inte EU- eller nationell rätt föreskriver annat.
2. Sekretess (Art. 28.3(b)): Säkerställa att personal som behandlar personuppgifter har åtagit sig att iaktta konfidentialitet eller är underkastad lämplig lagstadgad tystnadsplikt.
3. Säkerhetsåtgärder (Art. 28.3(c) och Art. 32): Vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder, inklusive:
   • Kryptering av personuppgifter under överföring (TLS). Särskilt känsliga databasfält krypteras i databasen. Filbaserad lagring av ljud och transkript skyddas genom åtkomstkontroll på operativsystems- och databasnivå, inte genom diskkryptering. Se underbiträdeslistan för fullständig redovisning.
   • Fortlöpande konfidentialitet, integritet, tillgänglighet och resiliens
   • Förmåga att återställa tillgänglighet efter incident (BCP)
   • Förfarande för regelbunden testning och utvärdering av säkerhetsåtgärder
4. Underbiträdeskontroll (Art. 28.3(d)): Se avsnitt 4.
5. Biträde vid utövande av rättigheter (Art. 28.3(e)): Bistå den Personuppgiftsansvarige med att uppfylla skyldigheten att svara på begäran om utövande av de registrerades rättigheter (Art. 15-22).
6. Biträde vid säkerhetsåtgärder och DPIA (Art. 28.3(f)): Bistå den Personuppgiftsansvarige med att uppfylla skyldigheterna i Art. 32-36, med beaktande av behandlingens art och Biträdets tillgängliga information.
7. Radering eller återlämning (Art. 28.3(g)): Se avsnitt 11.
8. Dokumentation och granskning (Art. 28.3(h)): Tillhandahålla all information som krävs för att den Personuppgiftsansvarige ska kunna visa att skyldigheterna i Art. 28 uppfylls. Se avsnitt 8.

4. Underbiträden (sub-processors)

4.1 Godkännande av underbiträden

Den Personuppgiftsansvarige ger härmed generellt godkännande för Biträdet att anlita underbiträden listade på Biträdets sub-processor-sida ("Sub-processor-listan"), som uppdateras kontinuerligt.

4.2 Notifiering vid tillägg

Biträdet notifierar den Personuppgiftsansvarige om tillägg eller byte av underbiträde senast 30 dagar i förväg via e-post. Den Personuppgiftsansvarige har rätt att invända mot tillägget inom notifieringsperioden med skriftlig motivering.

4.3 Underbiträdets skyldigheter

Biträdet ålägger varje underbiträde motsvarande dataskyddsskyldigheter via skriftligt avtal. Biträdet ansvarar gentemot den Personuppgiftsansvarige för underbiträdets fullgörande av dessa skyldigheter (Art. 28.4).

5. Tredjelandsöverföringar

Behandling utanför EU/EES sker enbart om minst ett av följande skyddsåtgärder föreligger:

• Europeiska kommissionens adequacy-beslut för det aktuella landet
• EU-US Data Privacy Framework (DPF) för USA-baserade mottagare
• Standardavtalsklausuler (SCC) enligt EU-kommissionens beslut 2021/914
• Bindande företagsregler (BCR) godkända av tillsynsmyndighet

Aktuell lista över underbiträden och respektive skyddsåtgärder finns på sidan över underbiträden.

5.1 Molnbaserad tal-till-text sker inom EES

Molnbaserad tal-till-text utförs av Berget AI AB, med databehandling inom EES. Övriga mötestyper transkriberas på Biträdets egen server inom EU. Ingen överföring av ljud till tredjeland äger rum inom ramen för detta avtal.

6. Säkerhetsincidenter

6.1 Underrättelse

Biträdet underrättar den Personuppgiftsansvarige om en konstaterad eller misstänkt personuppgiftsincident utan onödigt dröjsmål, och senast 48 timmar efter att Biträdet blivit medveten om incidenten. (Den Personuppgiftsansvarige har vidare 72 timmar per Art. 33 att anmäla till IMY.)

6.2 Innehåll i underrättelsen

Underrättelsen ska, i den mån uppgifter är tillgängliga, innehålla:

• Beskrivning av incidentens art, berörda kategorier och ungefärligt antal registrerade
• Kontaktuppgifter till dataskyddsombud eller kontaktperson
• Sannolika konsekvenser av incidenten
• Vidtagna eller planerade åtgärder

7. Konfidentialitet och instruktion

Biträdet behandlar personuppgifter enbart på dokumenterade instruktioner från den Personuppgiftsansvarige, såvida inte EU- eller nationell rätt förpliktar till behandling utan sådan instruktion.

Biträdet informerar omedelbart den Personuppgiftsansvarige om en instruktion enligt Biträdets bedömning innebär brott mot GDPR eller annan tillämplig dataskyddslagstiftning.

All personal hos Biträdet med åtkomst till personuppgifter under detta DPA är bunden av konfidentialitetsskyldighet.

8. Granskning och revision

Biträdet tillhandahåller den Personuppgiftsansvarige all information som krävs för att visa att skyldigheterna i Art. 28 uppfylls.

Den Personuppgiftsansvarige har rätt att genomföra, eller låta tredje part genomföra, revision av Biträdets behandling under detta DPA. Revision genomförs med rimligt förhandsmeddelande om minst 30 dagar, maximalt en gång per 12-månadersperiod, och på den Personuppgiftsansvariges bekostnad.

Biträdet har rätt att neka revisionsåtgärder som riskerar att avslöja konfidentiell information tillhörande andra kunder.

9. Rättigheter för registrerade

Biträdet bistår den Personuppgiftsansvarige med att uppfylla skyldigheter vid begäran om utövande av registrerades rättigheter (Art. 15-22). Biträdet vidarebefordrar omedelbart, och senast inom 5 arbetsdagar, alla direkta begäran till den Personuppgiftsansvarige.

10. DPIA och förhandssamråd

Biträdet bistår den Personuppgiftsansvarige vid genomförande av konsekvensbedömningar (DPIA, Art. 35) och vid förhandssamråd med tillsynsmyndighet (Art. 36) i den utsträckning uppgifter om behandlingen är nödvändiga och tillgängliga hos Biträdet.

11. Radering och återlämning vid avtalets upphörande

Vid Huvudavtalets upphörande, oavsett orsak, ska Biträdet på den Personuppgiftsansvariges val:

1. Återlämna alla personuppgifter i maskinläsbart format (CSV/JSON) och därefter radera befintliga kopior, eller
2. Radera samtliga personuppgifter och skriftligen bekräfta raderingen.

Radering ska genomföras senast 30 dagar efter avtalets upphörande, om inte EU- eller nationell rätt föreskriver längre lagringsskyldighet (t.ex. bokföringslagen).

Biträdet är inte skyldigt att radera data som Biträdet är rättsligt förpliktat att bevara, och ska i sådant fall informera den Personuppgiftsansvarige skriftligen.

12. Ansvarsbegränsning

Biträdets sammanlagda ansvar gentemot den Personuppgiftsansvarige enligt detta DPA, oavsett grund, är per kalenderår begränsat till den ersättning som Personuppgiftsansvarig betalat till Biträdet under de tolv (12) månader som föregick den skadegrundande händelsen. För tjänster som tillhandahålls utan ersättning är ansvaret begränsat till tiotusen (10 000) kronor per kalenderår.

Begränsningen i föregående stycke gäller inte vid:

• uppsåt eller grov vårdslöshet,
• Biträdets eget brott mot åtagandet att inte använda data för egna ändamål eller för träning av AI-modeller,
• sanktionsavgift som tillsynsmyndighet ålägger den Personuppgiftsansvarige och som direkt orsakats av Biträdets brott mot dokumenterade instruktioner, eller
• skada som enligt tvingande rätt inte får begränsas.

Ingen av parterna ansvarar för indirekt skada, utebliven vinst eller följdskada, om inte annat följer av tvingande rätt. Part befrias från ansvar för underlåtenhet som beror på omständighet utanför partens rimliga kontroll, såsom krig, pandemi, myndighetsbeslut, naturkatastrof eller omfattande infrastrukturincident. Denna befrielse gäller inte skyldigheterna vid personuppgiftsincidenter.

Biträdet ansvarar inte för skada som uppstår till följd av den Personuppgiftsansvariges instruktioner, förutsatt att Biträdet uppfyllt sina skyldigheter under detta DPA.

13. Tillämplig lag och tvistlösning

Detta DPA regleras av svensk lag. Tvister avgörs i första hand genom förhandling. Kan enighet inte nås inom 30 dagar hänvisas tvisten till allmän domstol med Stockholms tingsrätt som första instans.

14. Underskrifter

Detta avtal ingås elektroniskt när du registrerar ett konto i Nordibo och godkänner villkoren. Tidpunkten för ditt godkännande och vilken version du godkände registreras i systemet och kan visas på begäran.

Önskar du ett separat undertecknat exemplar, exempelvis för din egen dokumentation eller upphandling, kontakta oss så ordnar vi det.