Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal (”Avtalet”) ingås mellan den kund som har ett konto hos Threll (”Personuppgiftsansvarig” eller ”Kunden”) och Threll.ai AS, org.nr 935 054 702, Vulkan 16, 0178 Oslo, Norge (”Personuppgiftsbiträde” eller ”Threll”). Avtalet är avsett att uppfylla kraven i artikel 28 i dataskyddsförordningen (GDPR) och utgör en del av användarvillkoren.

01Parter och bakgrund

Kunden använder Threll-plattformen för AI-drivna telefonsamtal, transkribering, sammanfattning och arbetsflöden (”Tjänsten”). När Kunden använder Tjänsten behandlar Threll personuppgifter för Kundens räkning. Kunden är personuppgiftsansvarig för dessa uppgifter och Threll är personuppgiftsbiträde.

Avtalet gäller från det att Kunden börjar använda Tjänsten och så länge Threll behandlar personuppgifter för Kundens räkning. Vid motstridighet mellan Avtalet och användarvillkoren har Avtalet företräde i fråga om behandlingen av personuppgifter.

02Definitioner

Begreppen ”personuppgifter”, ”behandling”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad” och ”personuppgiftsincident” har samma betydelse som i artikel 4 i GDPR. ”Dataskyddsregelverket” avser GDPR, norska personuppgiftslagen (personopplysningsloven) och annan tillämplig dataskyddslagstiftning i Norge och EES. ”Tillsynsmyndigheten” avser den dataskyddsmyndighet som är behörig för Kunden, till exempel Datatilsynet i Norge, Integritetsskyddsmyndigheten (IMY) i Sverige eller Datatilsynet i Danmark.

03Ändamål, art och omfattning

Threll behandlar personuppgifter endast för att tillhandahålla Tjänsten till Kunden, så som den beskrivs i användarvillkoren och har konfigurerats av Kunden. Vilka kategorier av registrerade och personuppgifter som behandlas framgår av bilaga A.

Kundens konfiguration av Tjänsten utgör Kundens dokumenterade instruktioner. Det gäller bland annat vilka samtal som genomförs, vilka manus och dokument som används, vilka integrationer som ansluts och hur länge inspelningar, transkriptioner och uppgifter om samtalsparter lagras.

04Personuppgiftsansvariges skyldigheter

Kunden ansvarar för att behandlingen har en giltig rättslig grund och för att de registrerade får den information som dataskyddsregelverket kräver. Det innefattar att i förekommande fall informera samtalsparterna om att samtalet spelas in, transkriberas och analyseras. Kundens skyldigheter i fråga om transparens kring AI och telefonförsäljning framgår av användarvillkoren.

Kunden får inte instruera Threll att behandla personuppgifter i strid med dataskyddsregelverket. Kunden får inte heller använda Tjänsten för att behandla särskilda kategorier av personuppgifter (artikel 9 i GDPR), såvida inte Kunden har en giltig grund för detta och har bedömt riskerna, bland annat genom en konsekvensbedömning avseende dataskydd (DPIA) när en sådan krävs.

05Personuppgiftsbiträdets skyldigheter

Threll ska:

• endast behandla personuppgifter enligt Kundens dokumenterade instruktioner, även i fråga om överföring till länder utanför EES, såvida inte behandlingen krävs enligt EES-rätt eller norsk rätt som Threll omfattas av. Threll ska i så fall informera Kunden om det rättsliga kravet innan behandlingen, om inte den rätten förbjuder sådan information;
• omedelbart informera Kunden om Threll anser att en instruktion strider mot dataskyddsregelverket;
• säkerställa att personer som har behörighet att få tillgång till personuppgifterna omfattas av tystnadsplikt;
• bistå Kunden med att tillgodose de registrerades rättigheter enligt kapitel III i GDPR, bland annat rätten till tillgång, rättelse och radering. Förfrågningar som kommer direkt till Threll ska vidarebefordras till Kunden utan onödigt dröjsmål;
• bistå Kunden med att fullgöra skyldigheterna i artiklarna 32–36 i GDPR, bland annat i fråga om säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning avseende dataskydd (DPIA) och förhandssamråd med Tillsynsmyndigheten;
• inte använda Kundens personuppgifter för egna ändamål, inklusive för att träna eller förbättra AI-modeller, utan Kundens skriftliga förhandssamtycke. Insamling av samtalsljud för sådana ändamål är avstängd för alla konton, om inte Kunden har lämnat ett sådant samtycke.

06Informationssäkerhet

Threll ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, jfr artikel 32 i GDPR. Åtgärderna anges i bilaga C. Threll får ändra åtgärderna, så länge säkerhetsnivån inte sänks.

07Personuppgiftsincidenter

Threll ska underrätta Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör Kundens personuppgifter.

Underrättelsen ska i möjligaste mån beskriva vad som har hänt, vilka kategorier av och ungefär hur många registrerade och uppgifter som berörs, sannolika konsekvenser och vilka åtgärder som har vidtagits eller planeras. Om inte all information finns tillgänglig samtidigt ska Threll lämna den stegvis, allteftersom den blir tillgänglig. Kunden ansvarar för eventuell anmälan till Tillsynsmyndigheten och underrättelse till de registrerade.

08Underbiträden

Kunden lämnar ett allmänt förhandstillstånd till att Threll anlitar de underbiträden som anges i bilaga B. Threll ska ingå skriftliga avtal med underbiträdena som ålägger dem samma skyldigheter i fråga om dataskydd som detta Avtal. Threll ansvarar gentemot Kunden för att underbiträdena fullgör sina skyldigheter.

Threll ska underrätta Kunden per e-post minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Kunden kan inom denna frist skriftligen invända av sakliga dataskyddsskäl. Om parterna inte kommer överens kan Kunden säga upp Tjänsten med verkan från den dag ändringen träder i kraft. Threll ska då återbetala förskottsbetalda avgifter för tiden efter uppsägningen.

09Överföring till länder utanför EES

Kundens personuppgifter lagras inom EES. Vissa underbiträden är etablerade i länder utanför EES, eller ingår i koncerner med moderbolag där, och kan behandla eller få åtkomst till personuppgifter därifrån. Sådan överföring sker endast när det finns en giltig överföringsmekanism enligt kapitel V i GDPR, det vill säga ett beslut om adekvat skyddsnivå, till exempel beslutet om EU–US Data Privacy Framework (DPF), eller EU-kommissionens standardavtalsklausuler (SCC) tillsammans med de kompletterande åtgärder som krävs. Av bilaga B framgår plats och överföringsmekanism för varje underbiträde.

Om Threll får en rättsligt bindande begäran från en myndighet om åtkomst till Kundens personuppgifter ska Threll underrätta Kunden, om det inte är förbjudet enligt lag. Threll ska inte lämna ut mer än vad som krävs och ska bestrida begäranden som Threll anser vara olagliga.

10Revision och tillgång till information

Threll ska på begäran ge Kunden den information som behövs för att visa att Avtalet och artikel 28 i GDPR efterlevs. Kunden får genomföra en revision, inklusive en inspektion, själv eller genom en oberoende revisor med tystnadsplikt, högst en gång per år. Revisionen ska aviseras minst 30 dagar i förväg, utom vid en personuppgiftsincident eller när det finns särskild anledning att misstänka att Avtalet inte efterlevs. Kunden står för sina egna kostnader för revisionen.

11Radering och återlämnande av uppgifter

Under kundförhållandet kan Kunden själv radera inspelningen och transkriptionen av enskilda samtal, radera en threll med alla dess samtal och ange lagringstider för inspelningar, transkriptioner och uppgifter om samtalsparter inom ramen för sitt abonnemang. Om ingen lagringstid har angetts sparas uppgifterna tills Kunden raderar dem eller kundförhållandet upphör.

När kundförhållandet upphör ska Threll, enligt Kundens val, radera Kundens personuppgifter eller återlämna dem. Kunden kan ladda ned inspelningar och transkriptioner i Tjänsten innan Kunden avslutar sitt konto. Om Threll avslutar kundförhållandet kan Kunden begära en export inom 14 dagar. Threll raderar eller anonymiserar uppgifterna senast 14 dagar efter att kundförhållandet har upphört eller, om Kunden har begärt en export, efter att exporten har levererats, såvida inte EES-rätt eller norsk rätt kräver att de sparas. Krypterade säkerhetskopior skrivs över inom 30 dagar.

12Ansvar

Avtalet begränsar inte parternas ansvar gentemot de registrerade enligt artikel 82 i GDPR. Mellan parterna gäller ansvarsbegränsningarna i användarvillkoren, även för anspråk enligt detta Avtal.

13Giltighetstid och ändringar

Avtalet gäller så länge Threll behandlar personuppgifter för Kundens räkning. Threll får uppdatera Avtalet för att följa ändringar i regelverket eller i Tjänsten. Väsentliga ändringar meddelas Kunden per e-post minst 30 dagar i förväg. Om Kunden inte godtar en väsentlig ändring kan Kunden säga upp Tjänsten innan ändringen träder i kraft. Threll ska då återbetala förskottsbetalda avgifter för tiden efter uppsägningen. Den gällande versionen finns alltid tillgänglig i Threll-kontot och på threll.ai.

14Tillämplig lag och behörig domstol

Avtalet regleras av norsk rätt. Tvister ska avgöras av Oslo tingsrätt (Oslo tingrett) som exklusivt behörig domstol.

15Bilaga A – Beskrivning av behandlingen

• Ändamål: Genomföra inkommande och utgående telefonsamtal med AI-assistenter, transkribera, sammanfatta och analysera samtal samt utföra uppgifter i Kundens anslutna system.
• Kategorier av registrerade: Personer som ringer till eller blir uppringda av Kunden via Tjänsten, Kundens kontakter och kunder samt Kundens anställda och användare.
• Kategorier av personuppgifter: Namn, telefonnummer, e-postadress och andra kontaktuppgifter; ljudinspelningar, transkriptioner, sammanfattningar och analyser av samtal; uppgifter som lämnas under samtalet; dokument och kunskapsbaser som Kunden laddar upp; samt data från integrationer som CRM- och kalendersystem.
• Särskilda kategorier: Behandlas endast om Kunden konfigurerar Tjänsten för detta, eller om de registrerade själva lämnar sådana uppgifter under samtalet.
• Varaktighet: Så länge kundförhållandet varar, inom de lagringstider som Kunden fastställer, och därefter enligt beskrivningen under ”Radering och återlämnande av uppgifter”.

16Bilaga B – Underbiträden

• Amazon Web Services (Sverige): Molninfrastruktur, lagring, beräkningskapacitet, samtalskoppling och e-post (Amazon SES) i Stockholm. Moderbolaget finns i USA; SCC och EU–US DPF.
• Supabase (Sverige): Databas och autentisering, med lagring i Stockholm. Avtalsparten finns i Singapore; SCC.
• Google Cloud – Gemini Enterprise Agent Platform (EU): AI-modeller, taligenkänning och talsyntes, med behandling i Googles EU-regioner. Moderbolaget finns i USA; SCC och EU–US DPF.
• Munin (Nederländerna): Kundsupport via chatt och e-post, behandlat i EU. Omfattar det Kunden delar i supportärenden.
• RunPod (EU): Taligenkänning (Whisper) på servrar inom EU. RunPod är ett amerikanskt företag; SCC.
• Telenor SIP-trunk (Norge): Telefoni.
• Twilio (Irland/USA): Vidarebefordran av ljudet i samtal i webbläsaren när en direkt anslutning inte är möjlig (TURN). Ljudet är krypterat från ände till ände, så Twilio ser bara IP-adresser och anslutningsdata. SCC och EU–US DPF. Kunder som ansluter sitt eget Twilio-konto har ett eget avtal med Twilio för de samtalen.
• Telenor AI Factory (Norge): Beräkningskapacitet för AI.
• Vercel (Sverige/USA): Drift av webbapplikationen. Webbanrop (HTTP) hanteras i Stockholm; kontouppgifter och loggar behandlas i USA. SCC och EU–US DPF.
• Vipps MobilePay (Norge): Identitetskontroll under samtal, för Kunder som aktiverar funktionen.

17Bilaga C – Säkerhetsåtgärder

• Personuppgifter lagras i datacenter i Stockholm, Sverige;
• kryptering av lagrade data, både i databas och fillagring;
• kryptering av data under överföring med TLS 1.2 eller senare;
• separering av olika kunders data i databasen genom säkerhet på radnivå (row-level security);
• rollbaserad åtkomstkontroll, där Kunden styr vilka användare som har åtkomst till vad, samt möjlighet till flerfaktorsautentisering för användare;
• åtkomst till produktionsmiljön begränsad till behörig personal med tjänstemässigt behov;
• automatisk radering av inspelningar, transkriptioner och uppgifter om samtalsparter enligt Kundens inställningar för lagringstid;
• loggning, övervakning och larm för system och åtkomst;
• krypterade dagliga säkerhetskopior som lagras i Stockholm i upp till 30 dagar;
• regelbundna säkerhetsgranskningar.

18Kontakt

Frågor om Avtalet eller behandlingen av personuppgifter kan riktas till: