Biträdet behandlar personuppgifter enbart för att kunna tillhandahålla Tjänsten i enlighet med Avtalet.
- Kategorier av registrerade: Kundens anställda (agenter) samt Kundens slutanvändare.
- Typer av personuppgifter: Namn, kontaktuppgifter, IP-adresser, orderinformation och övrig information som framgår i supportärenden.
1. Biträdets skyldigheter
Biträdet förbinder sig att:
- Endast behandla personuppgifter i enlighet med dokumenterade instruktioner från den Ansvarige.
- Säkerställa att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta sekretess.
- Vidta alla lämpliga tekniska och organisatoriska säkerhetsåtgärder som krävs enligt artikel 32 i GDPR.
- Bistå den Ansvarige för att denne ska kunna svara på begäran om utövande av den registrerades rättigheter.
2. Nyttjanderätt och Användare
Kunden erhåller en icke-exklusiv, icke-överlåtbar rätt att använda Tjänsten för sin egen interna affärsverksamhet. Tjänsten inkluderar rätt att skapa ett obegränsat antal användarkonton (agenter) för Kundens anställda. Kunden ansvarar för att inloggningsuppgifter och API-nycklar hanteras säkert och hålls strikt konfidentiella. Kunden äger inte rätt att använda Tjänsten för att bygga, träna eller marknadsföra en konkurrerande plattform eller AI-modell (förbud mot Reverse Engineering).
3. Underbiträden och Infrastruktur
För att leverera Tjänsten anlitar Biträdet ett strikt begränsat antal underleverantörer. Den Ansvarige ger härmed ett allmänt förhandstillstånd till Biträdet att anlita följande underbiträden:
- Hosting och Datalagring (Hetzner Online GmbH): Tjänsten driftas på dedikerad infrastruktur med servrar fysiskt placerade i Helsingfors, Finland (EU/EES). All applikationsdrift, databas och fillagring sker uteslutande inom denna säkra miljö.
- System- och Transaktionsmail (Resend Inc.): Hantering och utskick av transaktions- och systemmejl, med primär datalagring på Irland (EU). Överföringar sker i förekommande fall med stöd av EU:s standardavtalsklausuler (SCC).
In-house hantering (Inga externa underbiträden):
- AI-funktioner: Vissa funktioner i tjänsten använder en AI-motor för att generera och bearbeta innehåll. AI-bearbetningen sker via en dedikerad, för ändamålet konfigurerad instans under vår fulla kontroll inom vår egen driftmiljö. Endast den data som krävs för att utföra den aktuella funktionen behandlas. Data delas aldrig med tredje part och används inte för att träna externa modeller.
- Sök och indexering: För sök- och matchningsfunktioner lagras så kallade embeddings i vår egen databas inom samma stängda driftmiljö. Denna data delas inte med några tredjepartsleverantörer av vektordatabaser.
4. Överföring till tredjeland
All primär lagring sker inom EU/EES. I de fall en underleverantör har koppling till tredjeland säkerställs överföringar genom EU:s standardavtalsklausuler (SCC) och tecknade DPA:er.
5. Personuppgiftsincidenter
Vid upptäckt av en personuppgiftsincident ska Biträdet utan onödigt dröjsmål skriftligen underrätta den Ansvarige. Biträdet ska bistå i utredningen och tillhandahålla information för eventuell anmälan till Integritetsskyddsmyndigheten (IMY).
6. Radering av data
Efter avtalets upphörande äger den Ansvarige rätt att exportera sin data under 30 dagar. Därefter raderas all tillhörande Kunddata permanent från Biträdets och eventuella underbiträdens system, såvida inte lagring krävs enligt gällande lag.
