1. Behandlingens art och ändamål
Biträdet behandlar personuppgifter för att tillhandahålla tjänsten: skapa och skicka undersökningar, genomföra AI-ledda och telefonbaserade intervjuer, samla in webbsignaler, analysera svar och ta fram rapporter. Uppgifterna behandlas endast enligt kundens dokumenterade instruktioner, som utgörs av avtalet och kundens inställningar i tjänsten.
2. Kategorier av registrerade och uppgifter
- Registrerade: kundens kunder, medarbetare, webbplatsbesökare och andra respondenter, samt kundens användare.
- Uppgifter: kontaktuppgifter (namn, e-post, telefon, företag, segment), svar och fritext, tidpunkter, teknisk information om webbsignaler (sökväg, signaltyp, anonym sessions-id). Kunden ansvarar för att inte samla in känsliga personuppgifter utan rättslig grund.
3. Biträdets skyldigheter
- Personal med åtkomst omfattas av tystnadsplikt.
- Lämpliga tekniska och organisatoriska skyddsåtgärder vidtas, bland annat krypterad överföring (HTTPS), hashade lösenord, behörighetsstyrning per arbetsyta, dataminimering och säkerhetskopiering.
- Biträdet bistår kunden vid förfrågningar från registrerade (till exempel registerutdrag och radering) och vid konsekvensbedömningar.
- Personuppgiftsincidenter meddelas kunden utan onödigt dröjsmål och senast inom 48 timmar efter att de upptäckts.
4. Underbiträden
Kunden godkänner att biträdet anlitar underbiträden för drift, e-postleverans och AI-tjänster. Aktuell lista lämnas på begäran. Nya underbiträden meddelas kunden i förväg och kunden har rätt att invända. Underbiträden binds av motsvarande skyldigheter som i detta avtal.
5. Överföring till tredjeland
Uppgifter behandlas i första hand inom EU/EES. Om ett underbiträde behandlar uppgifter utanför EU/EES säkerställs skyddsnivån genom EU-kommissionens standardavtalsklausuler eller annan giltig överföringsmekanism.
6. AI-behandling
Respondenters svar skickas till AI-tjänsten för att formulera följdfrågor, sammanfattningar, översättningar och klassificering. Uppgifterna används inte för att träna AI-leverantörens modeller i den omfattning leverantörens villkor medger. Aggregerade portföljinsikter skickas utan personuppgifter.
7. Revision
Kunden har rätt att begära den information som behövs för att visa att skyldigheterna i avtalet följs, och att genomföra revision med rimligt varsel och på egen bekostnad.
8. Avtalets upphörande
När avtalet upphör raderar eller återlämnar biträdet personuppgifterna enligt kundens val, senast inom 30 dagar, om inte lag kräver fortsatt lagring. Kunden kan själv exportera sin data i tjänsten före upphörandet.