Personuppgiftsbiträdesavtal (DPA)

1. Parter

Detta Personuppgiftsbiträdesavtal ("DPA") utgör en del av de Allmänna Villkoren ("Terms of Service") mellan ReVoice AI AB (org.nr 559505-0849), som tillhandahåller tjänsten ReVoice ("Personuppgiftsbiträdet"), och Företagskunden ("Den Personuppgiftsansvarige").

Genom att acceptera de Allmänna Villkoren för en betald tjänst inriktad på B2B (Företagsplaner) eller genom att teckna ett separat affärsavtal med ReVoice ingås även denna DPA.

För Enterprise-kunder som kräver ett manuellt signerat DPA-dokument, vänligen kontakta privacy@re-voice.io för att erhålla en PDF-version.

2. Behandlingens syfte och art

• Syfte: Att tillhandahålla rösttranskribering, analys, sammanfattningar och relaterade verktyg via plattformen.
• Kategorier av data: Ljudinspelningar, text, röstegenskaper och användarkontodetaljer.
• Kategorier av registrerade: Företagskundens anställda, externa mötesdeltagare, klienter eller andra parter som förekommer i kundens inspelningar.
• Behandlingens varaktighet: Biträdet behandlar personuppgifter under avtalstiden, plus eventuell lagrings- eller raderingsperiod enligt avsnitt 6 (Återlämnande och Radering).

2a. Behandling enligt dokumenterade instruktioner

Biträdet ska behandla personuppgifter endast enligt Den Ansvariges dokumenterade instruktioner, inbegripet vad gäller överföring av personuppgifter till tredjeland, om inte behandlingen krävs enligt unionsrätt eller nationell rätt som Biträdet omfattas av; i så fall ska Biträdet informera Den Ansvarige om det rättsliga kravet innan behandlingen sker, såvida inte sådan information är förbjuden med hänsyn till ett viktigt allmänintresse.

Denna DPA, de Allmänna Villkoren samt Den Ansvariges konfiguration och användning av Tjänsten utgör tillsammans Den Ansvariges fullständiga dokumenterade instruktioner för behandlingen. Biträdet behandlar inte personuppgifterna för egna ändamål och ska informera Den Ansvarige om Biträdet anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning.

3. Underbiträden (Sub-processors)

För att leverera Tjänsten anlitar Biträdet noggrant utvalda underbiträden för bland annat molnlagring, hosting, tal-till-text, AI-bearbetning, text-till-tal, mötesassistans, e-postutskick och betalningshantering. Biträdet svarar i alla avseenden gentemot Den Ansvarige för sina underbiträdens behandling.

Underbiträdena behandlar endast personuppgifter i syfte att leverera sin respektive funktion och är bundna av skriftliga avtal (inklusive standardavtalsklausuler där så krävs) som förbjuder dem att behålla, logga eller använda kunddata för egen modellträning. En aktuell och fullständig förteckning över godkända underbiträden tillhandahålls Den Ansvarige på begäran. Tillägg eller byte av underbiträde meddelas minst 30 dagar i förväg, varvid Den Ansvarige har rätt att invända.

4. Datasäkerhet och Konfidentialitet

Biträdet åtar sig att vidta lämpliga Tekniska och Organisatoriska åtgärder (TOMs) för att skydda personuppgifterna:

All data i vila krypteras med branschstandarden AES-256. All data i rörselse (transit) skyddas med modern TLS (1.2+).

Personal hos Biträdet som behandlar uppgifterna omfattas av strikta sekretessavtal.

5. Personuppgiftsincidenter

Om Biträdet upptäcker en säkerhetsincident som rör Den Ansvariges personuppgifter, ska Biträdet underrätta Den Ansvarige utan onödigt dröjsmål - och under alla omständigheter senast 48 timmar efter att ha blivit medveten om intrånget.

5a. Bistånd till Den Ansvarige

Med beaktande av behandlingens art ska Biträdet, genom lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, bistå Den Ansvarige med att fullgöra sin skyldighet att svara på begäran från registrerade som utövar sina rättigheter enligt kapitel III i GDPR (tillgång, rättelse, radering, begränsning, dataportabilitet och invändning). Tjänsten tillhandahåller självbetjäningsverktyg för export och radering för detta ändamål. Om Biträdet tar emot en sådan begäran direkt ska Biträdet utan dröjsmål vidarebefordra den till Den Ansvarige och inte besvara den självt annat än enligt Den Ansvariges dokumenterade instruktioner.

Med beaktande av behandlingens art och den information som är tillgänglig för Biträdet ska Biträdet bistå Den Ansvarige med att säkerställa att skyldigheterna enligt artiklarna 32-36 i GDPR fullgörs, inbegripet säkerhet i behandlingen, anmälan av personuppgiftsincidenter till tillsynsmyndigheten och till registrerade, konsekvensbedömningar avseende dataskydd samt förhandssamråd med tillsynsmyndigheten.

5b. Dokumentation och Granskningar

Biträdet ska ge Den Ansvarige tillgång till all information som krävs för att visa att skyldigheterna enligt artikel 28 i GDPR fullgörs, och ska möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av Den Ansvarige eller av en annan revisor som Den Ansvarige bemyndigat. Granskningar ska ske efter rimligt förhandsmeddelande, under normal arbetstid, högst en gång per tolvmånadersperiod (utom när det krävs av en tillsynsmyndighet eller efter en personuppgiftsincident) och med förbehåll för lämpliga sekretessåtaganden. Biträdet kan fullgöra denna skyldighet genom att tillhandahålla sin aktuella säkerhetsdokumentation tillsammans med eventuella tredjepartsrevisioner eller certifieringar som Biträdet innehar.

6. Återlämnande och Radering

Vid Avtalets upphörande ska Biträdet (beroende på Den Ansvariges val) radera eller återlämna alla personuppgifter. Den Ansvarige kan när som helst innan kontot stängs exportera all data via tjänstens exportfunktion. I enlighet med vår Datalagringspolicy raderas ljud- och AI-data senast efter 30 dagar vid gratisanvändning, eller direkt när kontot raderas av Administratören.

7. Insamling via delad mötesresurs

Denna bilaga reglerar den specifika tekniska metoden för insamling av ljud och generering av texttranskript när Personuppgiftsbiträdet (ReVoice AI AB) tillhandahåller Tjänsten i digitala möten.

• Teknisk insamlingsmetod (Plattformsägd Bot): För att minimera redundant databehandling och säkerställa en stabil tjänst använder Personuppgiftsbiträdet en neutral, plattformsägd mjukvarurobot ("Boten") för att ansluta till och spela in de digitala möten som den Personuppgiftsansvarige har integrerat med Tjänsten. Boten identifierar sig inte som tillhörande en specifik kund i mötesgränssnittet.
• Gemensam insamlingsresurs: I det fall användare från två eller flera oberoende organisationer, som båda är kunder till Personuppgiftsbiträdet, deltar i samma digitala möte kan Boten agera som en enda teknisk resurs i mötet för att fånga upp ljudströmmen.
• Strikt logisk separation: Omedelbart efter ljudupptagningen separeras dataströmmen. En unik, isolerad kopia av det resulterande transkriptet genereras för respektive kund.
• Inget gemensamt personuppgiftsansvar: Varje kund förblir ensam Personuppgiftsansvarig för sin egen kopia av transkriptet, inklusive alla efterföljande bearbetningar (såsom AI-sammanfattningar och integrationer). Inget gemensamt personuppgiftsansvar (Joint Controllership) uppstår mellan Personuppgiftsbiträdets kunder till följd av Tjänstens arkitektur.
• Ingen informationsdelning: Kundens specifika data, inklusive men inte begränsat till promptar, AI-sammanfattningar och interna anteckningar, delas aldrig med andra organisationer, oavsett om dessa deltog i samma möte. Den Personuppgiftsansvarige kommer inte att informeras av Personuppgiftsbiträdet huruvida andra deltagande organisationer i mötet använder Tjänsten.
• Deltagarverifiering (Fail-Closed System): För att ett transkript ska allokeras till den Personuppgiftsansvariges arbetsyta (workspace) krävs att deltagandet kan verifieras tekniskt, exempelvis genom kryptografisk matchning av möteslänkar via den kalenderintegration kunden tillhandahållit. Tyst eller icke-verifierad tillgång till andras transkript är tekniskt blockerad.