Personuppgiftsbiträdesavtal (DPA)

Parter

Personuppgiftsansvarig: Kunden, det företag som beställt tjänsten ("Kunden").

Personuppgiftsbiträde: Jonathan Brolin, som driver Svarza som privatperson, Påhlmans väg 7, 139 40 Värmdö, jonathan.brolin@svarza.se ("Svarza").

Avtalet gäller så länge Svarza behandlar personuppgifter för Kunden och ingår i de allmänna villkoren.

1. Bakgrund och definitioner

1.1 Svarza tillhandahåller AI-röstassistenten Erik, som besvarar Kundens inkommande samtal, skriver ned ärenden och gör dem tillgängliga för Kunden i appen.

1.2 Begrepp som personuppgift, behandling, personuppgiftsincident och tredjeland har samma betydelse som i GDPR (förordning (EU) 2016/679).

2. Behandlingens omfattning

2.1 Ändamål, kategorier av uppgifter och registrerade framgår av bilaga 1.

2.2 Svarza behandlar uppgifterna bara på Kundens dokumenterade instruktioner. Detta avtal och Kundens användning av tjänsten är sådana instruktioner. Om Svarza anser att en instruktion strider mot dataskyddslagstiftning ska Svarza underrätta Kunden.

3. Kundens ansvar

3.1 Kunden ansvarar för att det finns rättslig grund för behandlingen och för att informera de registrerade, bland annat dem som ringer. Svarza tillhandahåller på begäran en textmall.

3.2 Kunden ska inte instruera tjänsten att samla in personnummer eller särskilda kategorier av personuppgifter.

4. Svarzas åtaganden

Svarza ska:

• behandla uppgifterna endast enligt Kundens instruktioner, om inte lag kräver annat;
• se till att personer som behandlar uppgifterna är bundna av sekretess;
• vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt bilaga 2;
• hjälpa Kunden att besvara begäranden från registrerade, bland annat genom funktioner för export och radering i appen;
• hjälpa Kunden med säkerhet, incidentanmälan, konsekvensbedömningar och förhandssamråd i rimlig utsträckning;
• ge Kunden den information som behövs för att visa att skyldigheterna fullgörs.

5. Personuppgiftsincidenter

Svarza underrättar Kunden utan onödigt dröjsmål, och om möjligt inom 48 timmar, efter att Svarza fått kännedom om en personuppgiftsincident som rör Kundens uppgifter. Underrättelsen ska beskriva incidentens art, berörda uppgifter, sannolika konsekvenser och vidtagna eller planerade åtgärder, i den mån uppgifterna finns tillgängliga.

6. Underbiträden

6.1 Kunden ger ett allmänt godkännande till att Svarza anlitar underbiträden. Kategorierna framgår av bilaga 3 och underbiträden. Namngiven lista lämnas till Kunden på begäran.

6.2 Svarza meddelar Kunden minst 30 dagar innan ett underbiträde läggs till eller byts. Kunden kan invända med saklig grund inom den tiden. Om parterna inte kan komma överens får Kunden säga upp avtalet.

6.3 Svarza ingår skriftligt avtal med varje underbiträde med samma dataskyddsskyldigheter som i detta avtal och ansvarar mot Kunden för underbiträdenas fullgörande.

7. Överföring till tredjeland

7.1 Svarza överför personuppgifter utanför EU/EES endast om kapitel V i GDPR är uppfyllt.

7.2 Samtalsljud bearbetas i realtid av en AI-leverantör i USA. Överföringen sker med EU-kommissionens standardavtalsklausuler (modul 3, från biträde till underbiträde) och kompletterande skyddsåtgärder. Svarza dokumenterar en bedömning av överföringen och lämnar den till Kunden på begäran.

8. Revision

Kunden har rätt att granska Svarzas efterlevnad av avtalet, genom skriftliga frågor eller, om det är motiverat, genom en revision efter 30 dagars varsel under ordinarie arbetstid. Kunden står sina egna kostnader.

9. Radering och återlämnande

9.1 Samtalslogg, utskrift, sammanfattning, namn och telefonnummer raderas automatiskt efter 90 dagar, eller tidigare om Kunden raderar dem själv i appen. Kunden kan exportera uppgifterna i appen.

9.2 När avtalet upphör raderar Svarza Kundens uppgifter senast 90 dagar efter upphörandet, om inte lag kräver fortsatt lagring.

10. Ansvar

Ansvar enligt avtalet följer de allmänna villkoren, punkt 12, med de undantag som följer av tvingande lag. Det påverkar inte en registrerads rätt till ersättning enligt art. 82 GDPR.

11. Avtalstid och ändringar

Avtalet gäller så länge Svarza behandlar uppgifter för Kundens räkning. Ändringar görs enligt de allmänna villkoren.

12. Tillämplig lag

Svensk lag gäller. Tvister avgörs enligt de allmänna villkoren.

Bilaga 1. Beskrivning av behandlingen

Ändamål	Besvara Kundens inkommande samtal, skriva ned ärenden, notifiera Kunden och visa ärenden i appen
Registrerade	Personer som ringer Kunden; Kundens anställda som använder appen
Kategorier av uppgifter	Telefonnummer, röst (som bearbetas i realtid), namn och adress om den som ringer lämnar dem, textutskrift, sammanfattning, samtalsuppgifter (tid, längd, utfall)
Känsliga uppgifter	Behandlas inte avsiktligt. Assistenten ber inte om sådana uppgifter
Behandlingens varaktighet	Så länge avtalet gäller. Uppgifter raderas efter 90 dagar

Bilaga 2. Säkerhetsåtgärder (art. 32 GDPR)

• Inloggning krävs och varje kund ser bara sina egna samtal.
• Åtkomst begränsas till dem som behöver den.
• Kryptering av uppgifter under överföring.
• Notiser visar inte vem som ringt eller vad samtalet gällde.
• Automatisk radering efter 90 dagar.
• Samtalsljud sparas inte av Svarza.
• Rutiner för incidenthantering.

Bilaga 3. Underbiträden (kategorier)

Kategori	Ändamål	Plats
Telefoni och sms	Ta emot och förmedla samtal och sms	EU
AI-tal	Lyssna och svara i samtal	USA, med standardavtalsklausuler
Drift, nätverk och notiser	Driva tjänsten och skicka notiser	Se underbiträden
Kalender (valfri)	Lägga in bokningar om Kunden kopplar sin kalender	Enligt Kundens val