Personuppgiftsbiträdesavtal

Det här avtalet reglerar hur EDI Labs AB, org.nr 556972-4171 ("Sagt.ai", "vi") behandlar personuppgifter för din räkning när du använder tjänsten. Det utgör en integrerad del av våra användarvillkor och gäller automatiskt från det att du börjar använda tjänsten — du behöver inte begära eller underteckna något.

Behöver din organisation ett undertecknat exemplar skickar vi det på begäran till hej@sagt.ai.

1. Roller

Du är personuppgiftsansvarig för de personuppgifter som förekommer i ditt innehåll — inspelningar, transkript, analyser och de uppgifter om mötesdeltagare som innehållet råkar innehålla. Du bestämmer varför och hur de behandlas.

Vi är personuppgiftsbiträde och behandlar dem endast enligt din instruktion.

Behandlar du innehållet för någon annans räkning — till exempel som anställd, konsult eller leverantör — är den organisationen personuppgiftsansvarig och vi blir underbiträde. Du garanterar i så fall enligt användarvillkoren att du har den ansvariges godkännande.

För ditt konto, din betalning och din användning av tjänsten är vi i stället själva personuppgiftsansvariga. Det beskrivs i integritetspolicyn och omfattas inte av detta avtal.

2. Föremålet för behandlingen

• Ändamål: att leverera tjänsten — transkribering, talarseparering, sammanfattning och lagring av resultatet enligt dina inställningar.
• Varaktighet: så länge du använder tjänsten, med de raderingstider som anges i avsnitt 6.
• Typ av uppgifter: ljudinspelningar, transkriberad text, talaretiketter och genererade sammanfattningar. Innehållet bestäms av dig och kan omfatta känsliga personuppgifter enligt artikel 9.
• Kategorier av registrerade: du själv och de personer som deltar i eller omnämns i dina inspelningar.

3. Instruktion

Din dokumenterade instruktion enligt artikel 28.3 a är att leverera tjänsten enligt användarvillkoren och de inställningar du gör i den. Det innebär att du styr behandlingen genom att använda produkten — väljer du lokalt läge lämnar ljudet aldrig din dator, väljer du molnläge behandlas det enligt detta avtal.

Vi behandlar inte uppgifterna för något annat ändamål. Vi använder dem särskilt inte för att träna AI-modeller, varken våra egna eller någon annans, och vi säljer eller delar dem inte.

Anser vi att en instruktion strider mot dataskyddslagstiftning informerar vi dig, och får avvakta med att utföra den tills frågan är utredd.

4. Ditt ansvar

Du ansvarar för att din behandling är laglig — att det finns en rättslig grund, att mötesdeltagare informerats enligt artikel 13, och att du har en tillämplig grund enligt artikel 9.2 om innehållet omfattar känsliga uppgifter.

Vi kan inte se vems uppgifter du behandlar och kan därför inte bedöma detta åt dig.

5. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32, bland annat:

• kryptering i transit (TLS) och i vila hos våra lagringsleverantörer;
• åtkomstkontroll — endast de hos oss som behöver åtkomst för drift och support har det;
• tystnadsplikt för alla som behandlar uppgifterna;
• loggning av åtkomst till produktionsmiljön;
• separerade miljöer för test och produktion.

Vi har i dagsläget inga certifieringar enligt ISO 27001 eller SOC 2, och påstår inte att vi har det.

6. Lagring och radering

• Ljudfiler raderas automatiskt inom 24 timmar efter slutförd bearbetning. Väljer du omedelbar radering sker det direkt efter transkriberingen.
• Transkript och analyser lagras bara om du aktiverat molnsynk. Annars finns de enbart lokalt hos dig.
• Vid avslutat konto raderas allt innehåll inom 30 dagar.

När behandlingen upphör raderar vi eller återlämnar uppgifterna enligt ditt val, om inte lagring krävs enligt lag (artikel 28.3 g). Begär du återlämnande innan radering, meddela oss inom 30 dagar från uppsägningen.

7. Underbiträden

Du ger oss ett generellt förhandsgodkännande att anlita underbiträden enligt artikel 28.2. Vilka de är, vad de gör och vilken kategori av uppgifter de ser framgår av underbiträdesförteckningen.

Vi meddelar dig minst 30 dagar i förväg innan vi lägger till eller byter ut ett underbiträde. Du har rätt att invända under den tiden. Kan vi inte lösa invändningen får du säga upp tjänsten utan påföljd och får återbetalning för outnyttjad förskottsbetald period.

Vi ålägger varje underbiträde samma skyldigheter som följer av detta avtal och ansvarar för deras behandling som för vår egen.

8. Överföring utanför EU/EES

Ditt innehåll behandlas uteslutande inom EU/EES. Vi överför det inte till tredje land. Skulle det någon gång bli aktuellt sker det bara med en giltig överföringsgrund enligt kapitel V i GDPR, och du underrättas i förväg enligt avsnitt 7.

9. Bistånd till dig

Vi hjälper dig, i den utsträckning det är rimligt med hänsyn till behandlingens art:

• att besvara förfrågningar från registrerade om tillgång, rättelse, radering, begränsning, invändning och dataportabilitet (artikel 28.3 e);
• att uppfylla dina skyldigheter enligt artiklarna 32–36, inklusive konsekvensbedömning och förhandssamråd (artikel 28.3 f).

Vänder sig en registrerad direkt till oss om innehåll du är ansvarig för hänvisar vi personen till dig och underrättar dig.

10. Personuppgiftsincidenter

Får vi kännedom om en personuppgiftsincident som rör ditt innehåll underrättar vi dig utan onödigt dröjsmål (artikel 33.2), med den information du behöver för att kunna göra din egen anmälan till Integritetsskyddsmyndigheten inom 72 timmar: vad som hänt, vilka kategorier av uppgifter och registrerade som berörs, sannolika följder och vilka åtgärder vi vidtagit.

Anmälan till tillsynsmyndighet och eventuell information till de registrerade är ditt ansvar, eftersom du är personuppgiftsansvarig.

11. Granskning

Du har rätt att kontrollera att vi följer detta avtal. I första hand sker det genom att vi tillhandahåller dokumentation och besvarar frågor skriftligen — det räcker i de allra flesta fall och går snabbast för båda parter.

Behöver du därutöver genomföra en granskning på plats gäller: högst en gång per tolvmånadersperiod, efter minst 30 dagars skriftligt varsel, under kontorstid, av en granskare som omfattas av sekretess och som inte är vår konkurrent. Du står för kostnaderna. Vid konstaterad väsentlig brist står vi för dem i stället.

12. Ansvar

Ansvarsfördelningen följer artiklarna 82 och 83 i GDPR. I övrigt gäller ansvarsbegränsningen i användarvillkoren.

13. Ändringar

Vi kan uppdatera detta avtal. Väsentliga ändringar meddelas via e-post eller i tjänsten minst 30 dagar innan de träder i kraft. Underbiträdesförändringar hanteras enligt avsnitt 7.

14. Kontakt

Frågor om detta avtal, begäran om undertecknat exemplar eller om dokumentation för granskning: hej@sagt.ai.