Databehandlingsavtal (DPA)

1Omfattning och ändamål

Detta avtal reglerar Personuppgiftsbiträdets behandling av personuppgifter för Kundens räkning. Syftet är att leverera AI-baserade tjänster enligt specifikationen i huvudavtalet.

Behandlingen pågår så länge huvudavtalet löper, med de raderingsskyldigheter som följer av punkt 12. Behandlingens art är insamling, lagring, strukturering, analys med språkmodeller, visning för Kundens anställda och — där Kunden har konfigurerat det — överföring till system och mottagare som Kunden själv bestämmer.

Vilken information samlar vi in

Som en del av samtalet behandlas och lagras följande information:

• Aktuell webbadress för chattsamtalet (kan inaktiveras)
• Personuppgifter som slutanvändaren väljer att uppge i samtalet (namn, telefonnummer och/eller e-postadress m.m.)
• Filer och bilagor som slutanvändaren väljer att ladda upp i samtalet (inklusive bilagor till e-post)
• Personuppgifter från integrationer kopplade till Kundens konto i KonversAI (orderhistorik, retur- och fraktinformation m.m.)
• När slutanvändaren ger uttryckligt samtycke till marknadsföringsspårning: överföring av marknadsföringsattribuering till tredje parter som konfigurerats av Kunden. Se punkt 8.
• Kontaktuppgifter för Kundens egna anställda som använder operatörsgränssnittet (namn, e-postadress, roll)

Slutanvändarens IP-adress behandlas för säkerhet, felsökning och begränsning av missbruk, och förekommer i tekniska loggar hos Personuppgiftsbiträdet och dess underleverantörer. IP-adressen lagras inte som en del av samtalshistoriken.

Tjänsten är inte avsedd för särskilda kategorier av personuppgifter (GDPR art. 9) eller personuppgifter om lagöverträdelser (art. 10). Se punkt 11 om Kundens ansvar för detta.

De registrerade är slutanvändare som kontaktar Kunden via KonversAI — typiskt Kundens kunder, besökare på Kundens webbplats eller andra som hör av sig — samt Kundens egna anställda som använder tjänsten.

Hur länge lagras informationen

• Historik i chattfönstret hos slutanvändaren kan användas för att ge Kunden information om vilka samtal som kommer från samma webbläsarsession.
  • Som utgångspunkt lagras ingen information utöver den aktuella webbläsarsessionen (sessionslagring)
  • Om slutanvändaren ger uttryckligt samtycke till lagring av funktionella cookies lagras chatthistorik i upp till 12 månader i den aktuella webbläsaren (lokal lagring i webbläsaren)
• Samtalshistorik lagras i Kundens konto tills den raderas av Kunden, eller inom 30 dagar efter att kundförhållandet upphör. Kunden kan välja att konfigurera regelbunden radering av sina samtal, exempelvis så att samtal äldre än 30 dagar raderas.
• Klick-ID:n från annonser och pseudonymiserade (hashade) kontaktuppgifter för marknadsföringsattribuering raderas inom 30 dagar. Se punkt 8.
• Leveransloggar för utgående integrationer som Kunden konfigurerat lagras i upp till 180 dagar.
• Tekniska loggar och säkerhetsloggar lagras i upp till 90 dagar.

2Instruktion och behandling

• Personuppgiftsbiträdet får endast behandla uppgifter i enlighet med Kundens dokumenterade instruktioner. Detta avtal, huvudavtalet och Kundens konfiguration av tjänsten utgör Kundens instruktion.
• Behandlingen inkluderar insamling, analys och lagring för att leverera och förbättra tjänsten.
• AI-specifikt: Personuppgiftsbiträdet kan använda anonymiserade och aggregerade data för statistik och förbättring av algoritmer. Personuppgifter eller andra kunddata kommer inte att användas för att träna AI-modeller. Detsamma gäller för Personuppgiftsbiträdets underleverantörer.
• Personuppgiftsbiträdet ska underrätta Kunden om en instruktion enligt Personuppgiftsbiträdets bedömning strider mot dataskyddsregelverket, jfr GDPR art. 28.3 sista stycket.
• Tjänsten utformar och kan skicka svar automatiskt. Detta utgör inte automatiserat beslutsfattande med rättslig verkan eller motsvarande betydande påverkan för den registrerade (GDPR art. 22). Kunden ansvarar för att konfigurera tjänsten så att detta fortsatt gäller, och för nödvändig mänsklig uppföljning.
• Slutanvändaren informeras om att den interagerar med en AI-assistent, jfr förordning (EU) 2024/1689 (AI-förordningen) art. 50.

3Tystnadsplikt och åtkomst

• Personuppgiftsbiträdet ska säkerställa att personer med åtkomst till personuppgifterna har åtagit sig tystnadsplikt, jfr GDPR art. 28.3 b.
• Åtkomst ges utifrån roll och enligt principen om minsta nödvändiga behörighet, och är begränsad till det som är nödvändigt för drift, support och felsökning.
• Personuppgiftsbiträdet har ett administrationsgränssnitt som kan ge åtkomst till data över kundgränser. Åtkomsten är rollstyrd och förbehållen namngiven personal som omfattas av tystnadsplikt, används uteslutande för drift och support av tjänsten, och loggas.

4Säkerhet

• Personuppgiftsbiträdet ska implementera tekniska och organisatoriska åtgärder för att säkerställa konfidentialitet, integritet och tillgänglighet (GDPR art. 32).
• Detta inkluderar kryptering av data under överföring och lagring, åtkomststyrning, loggning och rutiner för att upptäcka och hantera säkerhetsincidenter.
• Vid personuppgiftsincident ska Kunden underrättas utan onödigt dröjsmål och senast inom 24 timmar efter att Personuppgiftsbiträdet fick kännedom om incidenten.
• Underrättelsen ska så långt möjligt beskriva incidentens art, vilka kategorier och ungefärligt antal registrerade och uppgifter som berörs, sannolika konsekvenser, vidtagna och föreslagna åtgärder samt kontaktpunkt för mer information.
• Personuppgiftsbiträdet ska bistå Kunden med Kundens egen anmälan till tillsynsmyndigheten inom 72 timmar och eventuell information till de registrerade.
• Personuppgiftsbiträdet underrättar endast Kunden, inte tillsynsmyndighet eller registrerade, om inte Kunden begär det eller Personuppgiftsbiträdet är rättsligt skyldig.

5Bistånd till Kunden

• Personuppgiftsbiträdet ska bistå Kunden med att uppfylla de registrerades rättigheter (GDPR art. 12–23), inklusive tillgång, rättelse, radering, begränsning och dataportabilitet. Tjänsten har funktionalitet för att hitta, exportera och radera ett samtal; bistånd utöver detta lämnas mot löpande räkning.
• Om en slutanvändare vänder sig direkt till Personuppgiftsbiträdet om sina rättigheter ska Personuppgiftsbiträdet inte besvara begäran på egen hand, utan utan onödigt dröjsmål vidarebefordra den till Kunden.
• Personuppgiftsbiträdet ska bistå Kunden med konsekvensbedömning avseende dataskydd (DPIA) och eventuellt förhandssamråd med tillsynsmyndighet, jfr GDPR art. 35 och 36, och tillhandahålla nödvändig dokumentation.

6Underbiträden

• Kunden ger Personuppgiftsbiträdet ett allmänt skriftligt godkännande att anlita underbiträden, jfr GDPR art. 28.2.
• En uppdaterad lista över underbiträden finns tillgänglig för Kunden på konvers.ai/dpa.
• Nya eller ändrade underbiträden meddelas Kundens administratörer per e-post minst 30 dagar innan de tas i bruk. Kunden har rätt att invända om det finns saklig grund kopplad till dataskydd. Om parterna inte når enighet kan Kunden säga upp den berörda delen av tjänsten utan kostnad, med verkan från den tidpunkt underbiträdet tas i bruk.
• Personuppgiftsbiträdet ska ålägga varje underbiträde samma skyldigheter som följer av detta avtal, och är fullt ut ansvarigt gentemot Kunden för underbiträdets uppfyllelse av dem, jfr GDPR art. 28.4.

Personuppgiftsbiträdet anlitar följande underleverantörer:

• Microsoft Azure — molntjänster och AI-teknik. Datacenter i Norge och Europa. Amerikansk leverantör som omfattas av EU:s standardavtalsklausuler.
• Lettermint.co — e-posttjänst. Datacenter i Europa, europeiskt bolag.
• Twilio — SMS och telefoni. Datacenter i Europa.
• Sentry — systemövervakning. Datacenter i Europa.
• PostHog — marknadsföringsdata för den kommersiella webbplatsen konvers.ai. Används inte för leverans av tjänsten KonversAI och inte för behandling av data för Kundens räkning.

Tredje parter som Kunden själv kopplar till sitt konto — till exempel egna verksamhetssystem, meddelandekanaler eller mottagare av marknadsföringsattribuering — är inte Personuppgiftsbiträdets underbiträden. Kunden ansvarar för egen rättslig grund och eventuella avtal med dessa.

7Lagring i slutanvändarens webbläsare

• KonversAI-widgeten lagrar identifierare i slutanvändarens webbläsare för att knyta ihop ett samtal. Utan en samtyckessignal lagras detta endast för den aktuella webbläsarsessionen (sessionslagring), som en fortsättning på den kontakt slutanvändaren själv har inlett.
• Lagring över flera besök sker först när giltigt samtycke finns. Widgeten läser samtycke från vanliga samtyckeslösningar (CMP) och respekterar senare återkallelse.
• Kunden är personuppgiftsansvarig för lagring i slutanvändarens terminalutrustning på Kundens webbplats, och ansvarig för att inhämta samtycke enligt tillämplig lagstiftning om elektronisk kommunikation. Bilaga B beskriver vad som lagras och kan användas i Kundens egen cookieinformation.

8Marknadsföringsattribuering

• Har Kunden konfigurerat marknadsföringsattribuering, och slutanvändaren har gett uttryckligt samtycke till marknadsföring, kan klick-ID:n från annonser och pseudonymiserade (hashade) kontaktuppgifter överföras till de mottagare Kunden själv har konfigurerat.
• E-postadresser och telefonnummer överförs endast som SHA-256-hash. Hashade värden är pseudonymiserade, inte anonymiserade, och räknas fortfarande som personuppgifter.
• Mottagarna — typiskt annonsplattformar — agerar som självständigt personuppgiftsansvariga för sin egen användning av uppgifterna. Detta avtal reglerar inte deras behandling. Kunden ansvarar för rättslig grund och för information till de registrerade om denna överföring.
• Utan samtycke till marknadsföring registreras händelsen utan klick-ID:n och utan kontaktuppgifter.
• Klick-ID:n och hashade kontaktuppgifter raderas inom 30 dagar.

9Överföring till tredjeland

• Behandling ska ske inom EU/EES och primärt i Norge.
• Om data överförs till länder utanför EU/EES ska Personuppgiftsbiträdet säkerställa giltigt överföringsunderlag (t.ex. EU:s standardavtalsklausuler).
• Vissa underbiträden har moderbolag utanför EU/EES. Support- och driftåtkomst från tredjeland kan förekomma hos dessa, och omfattas i så fall av EU:s standardavtalsklausuler med kompletterande åtgärder. Personuppgiftsbiträdet gör sin överföringsbedömning tillgänglig för Kunden på begäran.

10Revision

• Kunden har rätt att få bekräftat att Personuppgiftsbiträdet uppfyller sina skyldigheter, jfr GDPR art. 28.3 h.
• Detta sker primärt via insyn i säkerhetsrapporter, certifieringar och besvarande av Kundens säkerhetsfrågeformulär.
• Är detta inte tillräckligt kan Kunden genomföra revision eller inspektion, själv eller genom en oberoende revisor som Kunden utser. Revision kan genomföras upp till en gång per år, ska aviseras minst 30 dagar i förväg, ska inte onödigt störa Personuppgiftsbiträdets drift, och förutsätter sekretessförbindelse. Kunden står för egna och Personuppgiftsbiträdets kostnader vid sådan revision, om inte revisionen avslöjar väsentliga avvikelser.
• Vid misstanke om säkerhetsincident eller efter föreläggande från tillsynsmyndighet kan revision genomföras utan hänsyn till begränsningarna ovan.

11Kundens skyldigheter som personuppgiftsansvarig

• Kunden ansvarar för att ha rättslig grund för de uppgifter som behandlas i KonversAI.
• Kunden ska informera sina slutanvändare i sin egen integritetspolicy om att KonversAI används, vilka uppgifter som behandlas, och att KonversAI AS är Kundens personuppgiftsbiträde. Kunden ska även föra upp KonversAI AS i sitt eget register över behandling (GDPR art. 30).
• Är Kunden själv personuppgiftsbiträde åt en annan personuppgiftsansvarig — till exempel en byrå som driftar lösningen åt sin egen kund — är KonversAI AS underbiträde i det förhållandet. Kunden ansvarar då för att inhämta nödvändigt godkännande från sin personuppgiftsansvarige och för att föra vidare skyldigheterna i detta avtal.
• Kunden ska inhämta samtycke för lagring i slutanvändarens webbläsare och för marknadsföringsattribuering, och förmedla samtyckessignalen till widgeten. Se punkt 7 och 8 samt teknisk dokumentation för inbäddning.
• Kunden ska inte konfigurera eller använda tjänsten för att samla in särskilda kategorier av personuppgifter (GDPR art. 9) eller uppgifter om lagöverträdelser (art. 10) utan föregående skriftligt avtal med Personuppgiftsbiträdet.

12Radering vid upphörande

• Vid upphörande ska Personuppgiftsbiträdet, efter Kundens val, radera eller återlämna alla personuppgifter, jfr GDPR art. 28.3 g. Ger Kunden inget besked raderas uppgifterna.
• Radering sker inom skälig tid (standard 30 dagar), om inte lagstiftningen kräver fortsatt lagring. Säkerhetskopior raderas enligt ordinarie rotationscykel och omfattas under tiden av samma säkerhetsåtgärder.
• Kunden kan begära export av data innan radering.
• Personuppgiftsbiträdet bekräftar skriftligen när radering har genomförts, om Kunden begär det.

13Löptid, ändringar och övriga bestämmelser

• Avtalet gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för Kundens räkning.
• Personuppgiftsbiträdet kan uppdatera detta avtal. Kundens administratörer meddelas per e-post vid ändringar. Väsentliga ändringar meddelas minst 30 dagar innan de träder i kraft, och Kunden kan under den perioden säga upp huvudavtalet utan kostnad om Kunden inte godtar ändringen.
• Vid motstridighet har detta avtal företräde framför huvudavtalet i frågor om behandling av personuppgifter.
• Ansvarsbegränsningen i huvudavtalet gäller även för detta avtal. Begränsningen gäller inte för sanktionsavgift som påförts Kunden till följd av Personuppgiftsbiträdets brott mot detta avtal, eller för krav från registrerade enligt GDPR art. 82 som beror på Personuppgiftsbiträdet.
• Avtalet lyder under norsk rätt med samma forum som huvudavtalet.

Bilaga B: Lagring i slutanvändarens webbläsare

Widgeten lagrar värdena nedan i slutanvändarens webbläsare. Detta är inte cookies, utan lagring i webbläsarens sessionStorage och localStorage. Reglerna om lagring i terminalutrustning gäller ändå på samma sätt. <nyckel> är Kundens widgetnyckel.

Widgeten läser dessutom cookien __oppref om den finns på Kundens webbplats. Den sätts av annonsplattformens egen spårningskod, inte av KonversAI, och läses endast när marknadsföringssamtycke finns.

Återkallar slutanvändaren samtycket tas de värden som lagrats över flera besök bort, och samtalet fortsätter på sessionslagring resten av den aktuella webbläsarsessionen.