1. Parter och föremål
Detta personuppgiftsbiträdesavtal enligt GDPR artikel 28 gäller mellan kunden som personuppgiftsansvarig och Oriva Technologies AB, 559581-5225, som personuppgiftsbiträde. Avtalet omfattar behandling av personuppgifter i kundens inkommande samtal och receptionisttjänst under tjänsteavtalet. För besökar- och kontouppgifter är Oriva separat personuppgiftsansvarig.
2. Behandlingens art, ändamål och kategorier
Behandlingen omfattar mottagning, röstbehandling, transkribering, sammanfattning, strukturering, lagring, visning, vidarebefordran och radering för att besvara och hantera kundens inkommande ärenden. Registrerade är uppringare, kundens kontaktpersoner och eventuella bokningsdeltagare. Uppgifter kan vara telefonnummer, namn, kontaktuppgifter, adress, ärende, samtalstid och längd, transkript, sammanfattning och prioritet. Kunden ska inte instruera tjänsten att samla in känsliga personuppgifter eller andra uppgifter som inte behövs.
3. Dokumenterade instruktioner
Oriva behandlar uppgifter endast enligt detta avtal, kundens portalinställningar och kompletterande skriftliga instruktioner, även vid överföring till tredje land. Om lag kräver annan behandling ska Oriva informera kunden före behandlingen om lagen tillåter det. Oriva underrättar kunden om en instruktion bedöms strida mot dataskyddsregler och pausar den berörda behandlingen tills frågan lösts.
4. Sekretess och säkerhet
Oriva säkerställer att personer med åtkomst omfattas av sekretess och bara har nödvändig behörighet. Oriva ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32, däribland företagsavgränsad åtkomst, autentisering, krypterad transport, skydd för credentials, säkerhetsuppdateringar och raderingsrutiner. Åtgärderna ska anpassas efter risk och dokumenteras för kunden på begäran.
5. Underbiträden
Kunden lämnar ett allmänt skriftligt tillstånd till underbiträden som behövs för den avtalade tjänsten. Innan verklig samtalsbehandling aktiveras ska Oriva lämna en bekräftad förteckning med avtalspart, uppgift, behandlingsland och överföringsgrund. Planerade leverantörer är ElevenLabs för röst-AI, 46elks för telefoni, databasleverantören och Lovable för drift; Google tillkommer först om kalender aktiveras. Oriva ska säkerställa tillämpliga dataskyddsförpliktelser och ansvarar för underbiträdets skyldigheter enligt artikel 28. Kunden ska informeras om planerade ändringar i god tid och ges möjlighet att invända av sakliga dataskyddsskäl innan ändringen. Om en säker lösning inte kan nås får den berörda tjänsten inte fortsätta.
6. Överföringar utanför EU/EES
Överföring sker endast enligt dokumenterade instruktioner och med giltig grund enligt GDPR kapitel V, exempelvis tillämpligt adekvansbeslut eller standardavtalsklausuler, med riskbedömning och kompletterande skydd där det behövs. Ingen obevisad uppgift om EU-lagring ska användas som grund för aktivering.
7. Bistånd, rättigheter och incidenter
Oriva bistår kunden med registrerades rättigheter, konsekvensbedömningar, förhandssamråd och säkerhetskrav enligt artiklarna 32–36 utifrån behandlingens art och tillgänglig information. Begäran från registrerad om kundens samtalsdata vidarebefordras till kunden. Oriva underrättar kunden utan onödigt dröjsmål när en personuppgiftsincident blir känd och lämnar tillgänglig information om omfattning, följder och åtgärder. Kunden ansvarar för anmälan till myndighet och registrerade där det krävs.
8. Lagring, återlämning och radering
Transkript och sammanfattningar sparas 90 dagar som standard; kunden kan välja 30, 90 eller 365 dagar och radera enskilda samtal. Oriva sparar inte ljudinspelningar i sin databas. Vid avslut ska Oriva, enligt kundens val, återlämna eller radera personuppgifter och radera kopior, om inte lag kräver fortsatt lagring. Eventuella säkerhetskopior ska hållas avskilda och raderas enligt bekräftade frister innan tjänsten tas i produktion.
9. Kontroll och information
Oriva gör information som behövs för att visa efterlevnad tillgänglig och möjliggör proportionerliga granskningar av kunden eller av kunden utsedd oberoende granskare. Granskning planeras så att sekretess, andra kunders säkerhet och drift skyddas, utan att kundens rättigheter enligt artikel 28 begränsas.
10. Löptid och tillämplig lag
Avtalet gäller så länge Oriva behandlar personuppgifter för kundens räkning. Vid konflikt om personuppgiftsbehandling har detta avtal företräde framför tjänstevillkoren. Svensk lag och behörig svensk domstol gäller, utan att registrerades rättigheter eller tillsynsmyndigheters befogenheter begränsas.