Personuppgiftsbiträdesavtal

1. Definitioner

Personuppgiftsansvarig, personuppgiftsbiträde, underbiträde, registrerad, personuppgifter, behandling och personuppgiftsincident har betydelsen i UK GDPR och EU GDPR. ”Dataskyddslagstiftning” avser UK GDPR, EU GDPR (förordning 2016/679), UK Data Protection Act 2018 och annan tillämplig dataskydds- eller integritetslagstiftning.

2. Roller och omfattning

För uppgifter som behandlas enligt avtalet är Kunden personuppgiftsansvarig och Clavio personuppgiftsbiträde, eller underbiträde när Kunden själv är biträde åt sina slutanvändare. Clavio behandlar bara uppgifter för att tillhandahålla och stödja Tjänsten. Föremål, varaktighet, art, ändamål, uppgiftstyper och kategorier av registrerade beskrivs i bilaga A nedan.

3. Biträdets skyldigheter (artikel 28)

Clavio ska:

• Dokumenterade instruktioner — Bara behandla uppgifter enligt Kundens dokumenterade instruktioner, inklusive avtalet och detta DPA, om inte lag kräver annat. I så fall informerar Clavio Kunden i förväg när det är tillåtet.
• Konfidentialitet — Säkerställa att behöriga personer omfattas av lämplig tystnadsplikt.
• Säkerhet — Genomföra tekniska och organisatoriska åtgärder enligt §6 och bilaga B (artikel 32).
• Underbiträden — Endast anlita underbiträden enligt §5.
• Hjälp med registrerades rättigheter — Med hänsyn till behandlingens art hjälpa Kunden med lämpliga åtgärder att besvara begäranden om tillgång, rättelse, radering, begränsning, portabilitet och invändning.
• Hjälp med efterlevnad — Hjälpa Kunden att uppfylla artiklarna 32–36 om säkerhet, incidentanmälan, konsekvensbedömning och förhandssamråd, med hänsyn till informationen Clavio har.
• Radering eller återlämning — Enligt Kundens val radera eller återlämna alla personuppgifter när tjänsterna upphör och radera befintliga kopior, om inte lag kräver lagring (se §8).
• Revisioner — Tillhandahålla information som behövs för att visa efterlevnad av artikel 28 och tillåta samt bidra till revisioner, inklusive inspektioner, av Kunden eller utsedd revisor, med rimliga arrangemang för sekretess och säkerhet.

4. Personuppgiftsincident

Clavio ska underrätta Kunden utan onödigt dröjsmål efter kännedom om en incident som berör Kundens uppgifter och ge rimligen tillgänglig information för att hjälpa Kunden uppfylla sina skyldigheter gentemot tillsynsmyndigheter och registrerade enligt artiklarna 33 och 34.

5. Underbiträden

Kunden ger allmänt tillstånd att anlita underbiträden för Tjänsten. Aktuella underbiträden finns i vår integritetspolicy och nedan. Clavio ålägger dem dataskyddsskyldigheter som är väsentligen likvärdiga med detta DPA och förblir ansvarigt för deras fullgörande. Clavio informerar om planerade ändringar och ger Kunden möjlighet att invända på rimliga dataskyddsgrunder.

• Anthropic — AI-bearbetning av transkriberad text; behandlar transkriptioner och dikterat innehåll.
• OpenAI (Whisper) — Tal till text; behandlar röstinspelningar.
• Groq — Kan tillhandahålla transkribering när det konfigureras; behandlar ljud och relaterade inferensdata enligt kontots tillämpliga datakontroller.
• Lemon Squeezy — Betalningar och prenumerationsfakturering som Merchant of Record; behandlar konto- och identitetsdata som namn och e-post, fakturerings- och betalningsinformation samt land för skatt.
• Apple — Inloggning och identitetskontroll; behandlar konto- och identitetsdata.
• Google — Inloggning och identitetskontroll; behandlar konto- och identitetsdata.
• Railway — Appdrift och databasinfrastruktur; kan behandla alla kategorier i bilaga A.
• GitLab — Programvaruleverans och driftverktyg; behandlar diagnostik och driftdata.

6. Säkerhetsåtgärder (artikel 32)

Clavio upprätthåller lämpliga tekniska och organisatoriska åtgärder, bland annat kryptering under överföring (TLS), enbart hashade autentiseringstoken i stället för lösenord, behörighet efter behov, välrenommerade infrastrukturleverantörer och rutiner för Tjänstens fortlöpande konfidentialitet, integritet, tillgänglighet och motståndskraft. En sammanfattning finns i bilaga B.

7. Internationella överföringar

Om behandling enligt DPA innebär överföring utanför Storbritannien eller EES till ett land utan beslut om adekvat skyddsnivå, ska lämpliga skyddsåtgärder enligt artikel 46 användas: Europeiska kommissionens standardavtalsklausuler (EU 2021/914) och, för brittiska överföringar, UK International Data Transfer Agreement / UK Addendum. Dessa införlivas genom hänvisning och kompletteras med uppgifterna i bilagorna. Vi undertecknar klausulerna som standard utan förhandling.

8. Varaktighet, radering och återlämning

DPA gäller så länge Clavio behandlar uppgifter för Kunden. När Tjänsten upphör eller löper ut raderar eller återlämnar Clavio enligt Kundens val uppgifterna och raderar kopior, med förbehåll för korta perioder för säkerhetskopieringens rotation och lagstadgad lagring.

9. Bilaga A — Behandlingsuppgifter

• Föremål och art: AI-baserad röstdiktering: insamling, överföring, transkribering och bearbetning samt konto- och prenumerationshantering.
• Ändamål: Att leverera Tjänsten till Kunden och dess behöriga användare.
• Varaktighet: Avtalstiden plus en begränsad avvecklingsperiod enligt §8.
• Kategorier av registrerade: Kundens behöriga användare, exempelvis anställda eller teammedlemmar.
• Uppgiftstyper: Konto- och identitetsdata som användaridentifierare, namn och e-post, inklusive Apples privata vidarebefordringsadresser; ljud och transkriptioner; prenumerations-, fakturerings- och betalningsinformation som hanteras av vår Merchant of Record Lemon Squeezy, inklusive skatteland; användnings-, diagnostik-, enhets- och operativsystemsdata.
• Särskilda kategorier: Röstinspelningar som behandlas tillfälligt för att skapa transkriptioner och inte används för AI-träning.

10. Bilaga B — Säkerhetsåtgärder i sammanfattning

• Kryptering av personuppgifter under överföring (TLS).
• Autentisering via inloggade identitetsleverantörer; enbart hashade token lagras, inte lösenord.
• Roll- och behovsbaserad åtkomst till system och data.
• Välrenommerad, säkerhetsgranskad infrastruktur och AI-underbiträden med dataskyddsvillkor.
• Loggning och övervakning för att upptäcka och hantera säkerhetshändelser samt en process för att underrätta Kunden om personuppgiftsincidenter.
• Åtgärder för att i tid återställa tillgänglighet och åtkomst till personuppgifter efter en incident.

11. Kontakt

För att begära, underteckna eller ställa frågor om DPA, kontakta office@justetools.co.uk .