Personuppgifts­biträdes­avtal

Avtalet gäller mellan den kund som använder tjänsten Haien (”Kunden”), som personuppgiftsansvarig, och Haien AB, org.nr 559546-3778, Engelbrektsgatan 71, 411 37 Göteborg (”Haien”), som personuppgiftsbiträde.

Kunden använder Haien enligt Haiens allmänna villkor (”Huvudavtalet”). När Haien tillhandahåller tjänsten behandlar Haien personuppgifter för Kundens räkning. Det här avtalet reglerar den behandlingen och uppfyller kraven i artikel 28 i dataskyddsförordningen (EU) 2016/679 (”GDPR”).

Ord som personuppgifter, behandling, registrerad och personuppgiftsincident betyder detsamma som i GDPR. Kunddata, Arbetsytan, Användare och Navet betyder detsamma som i Huvudavtalet. Dataskyddsreglerna är GDPR, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och andra regler om personuppgifter som gäller för behandlingen.

Avtalet ingås när Kunden godkänner Huvudavtalet och behöver inte skrivas under separat. Säger det här avtalet och Huvudavtalet olika saker om personuppgifter gäller det här avtalet.

Vad som behandlas, varför, om vilka och hur länge står i bilaga 1.

Kunden ansvarar för att behandlingen är laglig, det vill säga att det finns en rättslig grund, att de registrerade har fått information och att Kunddata får behandlas i tjänsten.

Tjänsten är inte särskilt utformad för känsliga personuppgifter (artikel 9 i GDPR) eller uppgifter om lagöverträdelser (artikel 10). Kunden bedömer själv om sådana uppgifter får behandlas i tjänsten och ansvarar för det.

Haien behandlar personuppgifterna bara enligt Kundens dokumenterade instruktioner. Instruktionerna är det här avtalet, Huvudavtalet och de val som Kunden och Användarna gör i tjänsten, till exempel vilka agenter som finns, vilka verktyg och kopplingar de har och vad som läggs in i Arbetsytan.

Genom att använda tjänsten instruerar Kunden Haien att skicka uppgifter till AI-modeller via OpenRouter och vidare till modellleverantörerna, och att skicka sökfrågor till söktjänster när en agent söker på webben. Det är så tjänsten fungerar. Överföringarna sker enligt punkt 9.

Andra instruktioner ska lämnas skriftligen. Kräver de arbete som inte ingår i Huvudavtalet får Haien ta betalt för det enligt överenskommelse. [KONTROLLERA: förslag]

Haien informerar Kunden direkt om Haien anser att en instruktion strider mot dataskyddsreglerna.

Kräver unionsrätten eller svensk rätt att Haien behandlar personuppgifterna på annat sätt informerar Haien Kunden om det innan behandlingen börjar, om lagen inte förbjuder det.

Haien använder inte personuppgifterna för egna ändamål, till exempel för att träna AI-modeller eller för marknadsföring.

Haien ser till att alla som behandlar personuppgifterna för Haiens räkning har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt, och att de bara behandlar uppgifterna enligt Kundens instruktioner.

Haien lämnar inte ut personuppgifterna till någon annan än underbiträden enligt punkt 8, om inte Kunden har begärt det eller lag kräver det. Begär en myndighet att få ut personuppgifter hänvisar Haien till Kunden och meddelar Kunden, om lagen inte förbjuder det.

Haien vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i GDPR. De beskrivs i bilaga 1.

Haien får ändra åtgärderna, men inte så att skyddet blir sämre.

Kunden ansvarar för säkerheten i det Kunden själv styr, till exempel vilka som får konton, vilka behörigheter agenterna har, vilka tjänster som kopplas in och vilka nycklar agenterna får.

Haien kan logga in i Kundens Arbetsyta för att ge support. Varje sådan inloggning loggas, och Haien ser då inte Kundens samtal eller kanaler.

Haien har teknisk åtkomst till Kundens server för drift och uppdateringar. Haien använder den bara för drift, uppdateringar och felsökning, för att hantera säkerhetsproblem, när Kunden ber om det eller när lag kräver det.

Navet har aldrig samtal, meddelanden eller minne. Det har bara de uppgifter om Kunden och Användarna som beskrivs i integritetspolicyn, där Haien är personuppgiftsansvarigt.

Haien meddelar Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör Kunddata. [KONTROLLERA: förslag, 48 timmar]

Meddelandet skickas med e-post till Kundens admins. Det beskriver vad som har hänt, vilka slags uppgifter och ungefär hur många registrerade som berörs, troliga följder och vad Haien har gjort eller föreslår. Det som inte är känt ännu meddelas så snart det är känt.

Haien hjälper Kunden att anmäla incidenten till Integritetsskyddsmyndigheten och att informera de registrerade när det krävs.

Kunden ger Haien ett allmänt förhandstillstånd att anlita underbiträden. De som används när avtalet ingås står i bilaga 2.

Haien meddelar Kunden minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut, med e-post till Kundens admins och genom att uppdatera bilaga 2 på den här sidan. [KONTROLLERA: förslag, 30 dagar]

Kunden får invända mot ändringen inom den tiden, på saklig grund. Hittar parterna ingen lösning får Kunden säga upp Huvudavtalet till den dag ändringen börjar gälla och få tillbaka det Kunden har betalat i förskott för tiden därefter. [KONTROLLERA: förslag]

Haien ingår skriftliga avtal med underbiträdena med samma skyldigheter om dataskydd som i det här avtalet. [KONTROLLERA: att sådana avtal finns med varje underbiträde] Haien ansvarar mot Kunden för underbiträdenas behandling som för sin egen.

När Kunden kopplar tjänsten till en tjänst som Kunden själv har avtal med, till exempel Google Workspace eller Microsoft 365, är den leverantören Kundens egen och inte Haiens underbiträde. Uppgifter skickas dit bara när Kunden eller Användarna begär det.

Kundens server och backuperna finns i Finland, inom EU.

Det agenterna bearbetar skickas till AI-modeller via OpenRouter, Inc. i USA och vidare till modellleverantörerna. Uppgifter förs alltså över till länder utanför EU/EES. Sökfrågor kan också gå till söktjänster utanför EU/EES.

Haien ser till att varje överföring har stöd i kapitel V i GDPR, till exempel genom att mottagaren omfattas av ett beslut om adekvat skyddsnivå, som EU–US Data Privacy Framework, eller genom EU-kommissionens standardavtalsklausuler med de extra skyddsåtgärder som behövs. Grunden för varje underbiträde står i bilaga 2.

Haien hjälper Kunden att svara när en registrerad vill få tillgång till, rätta, radera, begränsa eller flytta sina uppgifter eller invända mot behandlingen. Mycket kan Kunden göra själv i tjänsten, till exempel ta bort meddelanden, Användare, agenter och kopplingar. Det som inte går att göra i tjänsten gör Haien på Kundens begäran.

Vänder sig en registrerad direkt till Haien hänvisar Haien till Kunden och meddelar Kunden. Haien svarar inte själv i sak utan Kundens instruktion.

Haien hjälper Kunden att fullgöra skyldigheterna i artiklarna 32–36 i GDPR, om säkerhet, personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd, med hänsyn till behandlingens art och den information Haien har.

Haien för ett register över den behandling Haien utför för Kunden, enligt artikel 30.2 i GDPR.

Hjälp som går utöver det som normalt ingår i tjänsten får Haien ta betalt för enligt överenskommelse. [KONTROLLERA: förslag]

Haien ger Kunden den information som behövs för att visa att skyldigheterna i det här avtalet och i artikel 28 i GDPR följs.

Haien möjliggör och bidrar till granskningar, inklusive inspektioner, som görs av Kunden eller av en oberoende granskare som Kunden anlitar. Granskaren ska ha tystnadsplikt. En granskning ska meddelas minst 30 dagar i förväg, får inte störa driften och får inte ge tillgång till andra kunders uppgifter. Kunden står för sina egna kostnader. [KONTROLLERA: förslag, villkoren för granskning]

Haien låter tillsynsmyndigheter granska behandlingen när de begär det.

Var och en av parterna ansvarar för skada enligt artikel 82 i GDPR och för sanktionsavgifter som beslutas mot parten för partens egna överträdelser.

I övrigt gäller ansvarsbegränsningen i punkt 16 i villkoren även för det här avtalet. [KONTROLLERA: förslag]

Avtalet gäller så länge Haien behandlar personuppgifter för Kundens räkning.

När Huvudavtalet upphör väljer Kunden om Haien ska lämna en kopia av Kunddata eller radera den. Kunden meddelar sitt val inom 7 dagar. Utan besked raderar Haien Kunddata. [KONTROLLERA: hur och i vilket format en kopia lämnas]

Haien raderar Kundens server med all Kunddata och stänger Kundens modellnyckel. Hetzner tar en backup av servern om dagen och sparar de sju senaste, så en backup finns kvar i ungefär en vecka. [KONTROLLERA: vad som händer med backuperna när servern tas bort] Så länge backuperna finns skyddas de enligt det här avtalet. Haien bekräftar raderingen skriftligen om Kunden ber om det.

Måste Haien spara uppgifter enligt lag gäller det här avtalet för dem så länge de sparas.

Haien får ändra avtalet på samma sätt som villkoren, enligt punkt 20 i villkoren. Bilaga 2 ändras enligt punkt 8.

Ändringar som krävs enligt dataskyddsreglerna eller av en tillsynsmyndighet får börja gälla när de krävs.