Personuppgiftsbiträdesavtal

1. Parter och bakgrund

Avtalet ingås mellan den organisation som använder Diktly (”personuppgiftsansvarig” eller ”kunden”) och PEYS Group AB, org.nr 559553-3653, Smedjegatan 33, 632 20 Eskilstuna (”personuppgiftsbiträde”, ”vi”).

Avtalet kompletterar våra användarvillkor (”huvudavtalet”) och godkänns tillsammans med dem. Det gäller den behandling av personuppgifter i mötesinnehåll som vi utför för kundens räkning. För kontouppgifter och fakturering är vi själva personuppgiftsansvariga; den behandlingen beskrivs i vår integritetspolicy. Vid motstridigheter gäller detta avtal före huvudavtalet i frågor om personuppgifter.

2. Behandlingens föremål, art, ändamål och varaktighet

Vi behandlar personuppgifter enbart för att tillhandahålla Diktly till kunden: att spela in, transkribera, sammanfatta, lagra och dela möten så som kunden väljer i tjänsten. Behandlingen pågår så länge huvudavtalet gäller. Kategorier av registrerade och personuppgifter, lagringstider och platser för behandlingen anges i bilagan längst ned.

3. Den personuppgiftsansvariges ansvar

• Kunden ansvarar för att behandlingen har en rättslig grund och för att de registrerade får den information de har rätt till, bland annat att ett möte spelas in och att ljudet transkriberas och sammanfattas med AI.
• Kunden ansvarar för vilka möten som spelas in, vilka personuppgifter som förs in i tjänsten och för att de instruktioner kunden ger är förenliga med dataskyddsregleringen.
• Kunden ansvarar för vilka användare i organisationen som får tillgång till innehållet.

4. Instruktioner

Vi behandlar personuppgifterna endast enligt kundens dokumenterade instruktioner. Instruktionerna utgörs av detta avtal, huvudavtalet och de val kunden och dess användare gör i tjänsten, till exempel att starta en inspelning, dela ett protokoll, koppla en kalender eller radera ett möte. Behandling som krävs enligt unionsrätten eller svensk rätt får ske även utan instruktion; då informerar vi kunden i förväg, om det inte är förbjudet enligt lag.

Instruktionen omfattar även att, i den utsträckning som krävs för att felsöka ett rapporterat fel eller kvalitetssäkra tjänstens funktion för kunden, låta behörig personal ta del av enskilt mötesinnehåll. Åtkomsten loggas. Innehållet används inte för att träna modeller och inte för andra kunder. Allmän produktutveckling och tester på kundens mötesinnehåll kräver kundens uttryckliga godkännande i varje enskilt fall.

Anser vi att en instruktion strider mot dataskyddsregleringen informerar vi kunden om det utan dröjsmål.

5. Sekretess

Vi säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Åtkomst ges bara i den utsträckning som behövs för att leverera tjänsten, felsöka eller ge support, och vi lämnar inte ut uppgifterna till någon annan än underbiträden enligt avsnitt 7, om inte kunden instruerat oss eller lag kräver det.

6. Säkerhetsåtgärder

Vi vidtar tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR. Dessa omfattar i dag:

• Kryptering av data vid överföring, och kryptering i vila hos vår lagringsleverantör.
• Åtkomstkontroll med inloggning och roller inom organisationen. Möten kan dessutom göras privata, och syns då bara för den som skapat dem och den de delats med.
• Isolering mellan organisationer, både i applikationen och i databasen genom radnivåsäkerhet.
• Loggning av administrativa ändringar, åtkomst och delning av innehåll.
• Automatisk gallring av råljud 90 dagar efter mötet.
• Begränsning av antalet försök vid inloggning och andra känsliga åtgärder.

Vi får anpassa åtgärderna över tid, så länge skyddsnivån inte sänks.

7. Underbiträden

Kunden lämnar genom detta avtal ett generellt förhandsgodkännande till att vi anlitar underbiträden. De underbiträden vi anlitar i dag, vad de gör, var behandlingen sker och på vilken grund uppgifter överförs till tredjeland, framgår av förteckningen över underbiträden.

Vi ålägger varje underbiträde samma skyldigheter i fråga om dataskydd som följer av detta avtal, genom skriftligt avtal, och vi ansvarar gentemot kunden för underbiträdets fullgörande.

Minst 30 dagar innan vi lägger till eller byter ut ett underbiträde uppdaterar vi förteckningen och meddelar organisationens ägare via e-post. Kunden kan invända mot ändringen inom den tiden. Kan vi inte tillmötesgå invändningen har kunden rätt att säga upp huvudavtalet, utan kostnad, till upphörande innan ändringen genomförs.

8. Överföring till tredjeland

Databasen och ljudfilerna lagras inom EU. AI-sammanfattningen utförs i första hand inom EU (Amazon Bedrock i Irland). Transkribering och sökindex utförs däremot av underbiträden i USA, liksom AI-sammanfattningen om Irland inte svarar, och flera av våra leverantörer är etablerade där. Sådana överföringar sker med stöd av EU-kommissionens standardavtalsklausuler (SCC) och kompletterande skyddsåtgärder, så som anges i förteckningen över underbiträden och i integritetspolicyns avsnitt 7. Kunden godkänner dessa överföringar genom detta avtal.

9. Bistånd till den personuppgiftsansvarige

• Registrerades rättigheter: tjänsten låter kunden själv exportera, rätta och radera innehåll. Vänder sig en registrerad direkt till oss i en fråga som rör kundens mötesinnehåll hänvisar vi till kunden, och bistår i övrigt i skälig omfattning.
• Personuppgiftsincidenter: vi underrättar kunden utan onödigt dröjsmål efter att vi fått vetskap om en incident som rör kundens personuppgifter, med den information som behövs för att kunden ska kunna anmäla incidenten till Integritetsskyddsmyndigheten inom 72 timmar och vid behov informera de registrerade.
• Konsekvensbedömningar och förhandssamråd: vi bistår med den information om behandlingen som vi har tillgång till.

Normala förfrågningar ingår i tjänsten. Omfattande granskningar eller revisioner som kunden begär debiteras enligt vårt vid tillfället gällande timpris, efter överenskommelse i förväg.

10. Radering och återlämnande

Under hela avtalstiden kan kundens användare radera möten, ladda ner sitt innehåll i ett maskinläsbart format och radera sina konton under Inställningar. Önskar kunden få ut organisationens innehåll i annan form bistår vi i skälig omfattning. När huvudavtalet upphört raderar vi kundens personuppgifter 30 dagar efter upphörandet, om inte lag kräver att vi sparar dem. Fram till dess kan organisationens ägare exportera innehållet; privata möten exporteras av den användare som äger dem. Kopior i säkerhetskopior hos vår lagringsleverantör raderas i takt med att de roteras ut.

11. Insyn och revision

Vi gör den information tillgänglig som behövs för att visa att skyldigheterna i artikel 28 fullgörs, och bidrar till granskningar som genomförs av kunden eller av en oberoende granskare som kunden utser. Granskningar ska aviseras skriftligen i skälig tid i förväg, genomföras så att de inte stör driften eller röjer andra kunders uppgifter, och bekostas av kunden. I första hand besvarar vi frågor skriftligen och hänvisar till underbiträdenas egna revisionsrapporter.

12. Ansvar

Ansvar för skada till följd av behandling som strider mot GDPR fördelas mellan parterna enligt artikel 82. I övrigt gäller ansvarsbegränsningen i huvudavtalet, i den mån den är förenlig med tvingande lag.

13. Giltighet och ändringar

Avtalet gäller så länge vi behandlar personuppgifter för kundens räkning. Vi kan ändra avtalet, till exempel när förteckningen över underbiträden ändras eller lagstiftningen kräver det; väsentliga ändringar meddelar vi på samma sätt som ändringar av huvudavtalet. Svensk rätt gäller, och tvister avgörs enligt huvudavtalet.

Frågor om avtalet besvaras via hej@diktly.se eller kontaktformuläret på diktly.se/kontakt.

Bilaga: Beskrivning av behandlingen

Ändamål

Att spela in, transkribera, sammanfatta, lagra, söka i och dela möten åt den personuppgiftsansvarige, samt att ta fram uppgifter (action items) ur dem.

Behandlingens art

Insamling (inspelning via webbläsare, iPhone-app eller mötesbot, samt uppladdade filer), lagring, automatisk transkribering, AI-baserad sammanfattning, analys av röster för att skilja talare åt, sökning, delning på den ansvariges begäran, export och radering.

Kategorier av registrerade

Den personuppgiftsansvariges användare, samt deltagare i de möten som spelas in eller laddas upp, och personer som nämns i dem.

Kategorier av personuppgifter

Ljudinspelningar (röst), transkript, sammanfattningar och uppgifter, namn på talare och deltagare, e-postadresser ur kalenderinbjudningar, mötestitlar och tider, sökindex (vektorer) över sammanfattningar, samt teknisk loggdata.

Känsliga personuppgifter

Kan förekomma beroende på vad som sägs i mötena, till exempel uppgifter om hälsa eller facklig tillhörighet. Tjänsten är inte utformad för att särskilt behandla sådana uppgifter, och får enligt villkoren inte användas för att dokumentera vård eller behandling av patienter. Den ansvarige avgör om och hur övriga möten med sådana uppgifter spelas in.

Varaktighet

Så länge huvudavtalet gäller, och därefter till dess uppgifterna raderats enligt avsnitt 10.

Lagringstid

Råljud raderas automatiskt 90 dagar efter mötet. Transkript, sammanfattningar och uppgifter lagras tills den ansvarige raderar dem eller kontot. Tekniska händelser från behandlingen sparas i 90 dagar.

Plats för lagring

Databas och ljudfiler i Stockholm, Sverige. Råljud från mötesbottar mellanlagras i Frankfurt, Tyskland, tills det laddats upp. AI-sammanfattning i första hand i Irland (EU). Transkribering och sökindex hos underbiträden i USA.