Personuppgifts­biträdesavtal

1. Parter och roller

Personuppgiftsansvarig är det företag som använder Gjort (“kunden”). Kunden bestämmer vilka uppgifter som sparas och varför.

Personuppgiftsbiträde är Viktor Blomstrand (enskild firma) (“biträdet”), som behandlar uppgifterna för kundens räkning.

Uppgifter om användarna själva (namn, e-post, inloggning) behandlar biträdet som personuppgiftsansvarig. Det beskrivs på integritetssidan.

2. Behandlingen

Ändamål

Att tillhandahålla Gjort: spara, strukturera och visa kundens uppgifter, ta fram jobbrapporter, fakturaunderlag och exporter.

Behandlingar

Lagring, att göra om röstinspelningar till text, att tolka text till en jobbrapport med AI, att skapa PDF- och CSV-filer, och radering.

Registrerade

Kundens kunder och deras kontaktpersoner, samt andra personer som nämns i inspelningar eller anteckningar.

Personuppgifter

Namn, adress, telefonnummer, e-postadress, röstinspelningar, transkriberad text samt beskrivningar av utförda jobb, tider och belopp. Vid ROT- och RUT-avdrag även köparens personnummer och bostadens fastighetsbeteckning eller bostadsrättsförening och lägenhetsnummer.

Känsliga uppgifter

Ska inte behandlas i tjänsten. Kunden ansvarar för att inte spela in eller spara sådana uppgifter, till exempel om någons hälsa.

Varaktighet

Så länge kunden har ett konto, därefter raderas uppgifterna enligt avsnitt 9.

3. Kundens instruktioner

Biträdet behandlar personuppgifterna endast enligt kundens dokumenterade instruktioner. Instruktionerna är det här avtalet, användarvillkoren och de val kunden gör i tjänsten – till exempel att spela in, spara, ändra, exportera eller radera.

Biträdet behandlar inte uppgifterna för egna ändamål, säljer dem inte och använder dem inte för att träna AI-modeller. Anser biträdet att en instruktion strider mot dataskyddsreglerna meddelar biträdet kunden det.

Om lag kräver att biträdet lämnar ut uppgifter till en myndighet informeras kunden först, om det inte är förbjudet enligt lag.

4. Kundens ansvar

• Att det finns en rättslig grund för de uppgifter kunden sparar, och att de registrerade informeras om behandlingen.
• Att inte spara mer uppgifter än som behövs, och inga känsliga personuppgifter.
• Att den som spelas in vet om det.
• Att bara behöriga personer har tillgång till kundens konto.

5. Sekretess

Bara de personer som behöver det för att driva, skydda eller felsöka tjänsten får tillgång till personuppgifterna, och de är bundna av tystnadsplikt.

6. Säkerhet

Biträdet vidtar tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR, bland annat:

• Varje företags uppgifter skiljs åt i databasen med regler som kontrolleras av databasen själv, inte bara av appen.
• All trafik är krypterad (HTTPS). Databas och fillagring är krypterade hos underbiträdet.
• Röstinspelningar ligger i privat lagring och kan bara nås av inloggade användare i samma företag.
• Lösenord sparas hashade och kan inte läsas. Byts lösenordet loggas andra inloggade enheter ut.
• AI-leverantören ombeds att inte spara tolkningen av inspelningen.
• Hemliga nycklar finns bara på servern, aldrig i appen på din enhet.
• Felloggar är utformade för att inte innehålla innehållet i inspelningar eller jobb.

7. Underbiträden

Kunden godkänner att biträdet anlitar följande underbiträden:

• Supabase Inc.

  Databas, fillagring (röstinspelningar) och inloggning

  Datacenter inom EU

• Vercel Inc.

  Driftar servrarna som kör Gjort

  Servrar i Dublin, Irland

• OpenAI, L.L.C.

  Gör om inspelningar till text och tolkar texten till en jobbrapport

  USA

• Resend, Inc.

  Skickar e-post till användare, t.ex. bekräftelse- och återställningslänkar

  Servrar i Irland

Biträdet har avtal med varje underbiträde som ger minst samma skydd som det här avtalet. Biträdet ansvarar gentemot kunden för att underbiträdena fullgör sina skyldigheter.

Biträdet meddelar kunden minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Kunden kan invända mot ändringen. Kan parterna inte komma överens kan kunden avsluta avtalet genom att radera kontot.

8. Överföring utanför EU/EES

Några underbiträden är amerikanska företag, och OpenAI behandlar uppgifter i USA. Överföringar till länder utanför EU/EES sker bara med stöd av ett giltigt skydd enligt kapitel V i GDPR – EU-kommissionens beslut om EU–US Data Privacy Framework för certifierade företag, eller EU-kommissionens standardavtalsklausuler.

9. Radering och återlämnande

Kunden kan när som helst ladda ner sina jobb och kunder under Inställningar. När ett jobb raderas tas uppgifterna och inspelningen bort direkt. När kontot raderas – och användaren är ensam i företaget – raderas alla företagets uppgifter.

Kopior i underbiträdenas säkerhetskopior och loggar skrivs över enligt deras rutiner. OpenAI kan spara anrop i upp till 30 dagar för att upptäcka missbruk.

10. Stöd till kunden

Biträdet hjälper kunden, i den mån det är möjligt och skäligt, att:

• besvara begäranden från registrerade, till exempel om att få ut, rätta eller radera sina uppgifter – mycket kan kunden göra själv i tjänsten;
• uppfylla kraven på säkerhet, konsekvensbedömningar och förhandssamråd enligt artiklarna 32–36.

Vänder sig en registrerad direkt till biträdet hänvisas hen till kunden.

11. Personuppgiftsincidenter

Upptäcker biträdet en personuppgiftsincident som rör kundens uppgifter meddelas kunden utan onödigt dröjsmål, och om möjligt inom 48 timmar. Meddelandet beskriver vad som hänt, vilka uppgifter som berörs och vilka åtgärder som vidtagits, så att kunden kan uppfylla sin eventuella anmälningsskyldighet till Integritetsskyddsmyndigheten.

12. Granskning

Biträdet ger kunden den information som behövs för att visa att avtalet följs. Kunden får, med skäligt varsel och på egen bekostnad, granska biträdets efterlevnad, i första hand genom skriftliga frågor.

13. Ansvar, giltighet och ändringar

Ansvaret mellan parterna följer artikel 82 i GDPR och i övrigt ansvarsbegränsningen i användarvillkoren. Avtalet gäller så länge biträdet behandlar personuppgifter för kundens räkning. Ändringar meddelas på samma sätt som ändringar av användarvillkoren. Svensk lag gäller.

14. Kontakt

Frågor om avtalet eller om en incident? Kontakta oss på hej@gjortai.se.