Vital AIPersonuppgiftsbiträdesavtal
1. Parter
Personuppgiftsansvarig: det företag som aktiverat tjänsten ("Kunden"). Personuppgiftsbiträde: Vital AI International AB, org.nr 559478-6765, Gaffelseglet 38, 136 56 Vega ("Biträdet").
2. Behandlingens art och ändamål
Biträdet behandlar personuppgifter i Kundens Fortnox-konto uteslutande för att, på instruktion från Kundens användare via en AI-assistent, hämta, sammanställa och i förekommande fall skapa eller ändra uppgifter via Fortnox API, samt för att logga dessa åtgärder för Kundens spårbarhet.
3. Kategorier av registrerade och uppgifter
Kundens kunder, leverantörer, kontaktpersoner, anställda och användare. Uppgifter kan omfatta namn, kontaktuppgifter, organisations- och personnummer, fakturerings- och betalningsuppgifter, tidrapporter och, om Kunden beviljat sådan behörighet, löneuppgifter.
4. Instruktioner
Biträdet behandlar uppgifterna endast enligt Kundens dokumenterade instruktioner, vilka utgörs av dessa villkor, den åtkomstnivå Kunden valt vid aktiveringen samt de frågor och kommandon Kundens användare ger AI-assistenten. Biträdet ska informera Kunden om en instruktion enligt Biträdets bedömning strider mot dataskyddslagstiftningen.
5. Sekretess och säkerhet
Biträdet säkerställer att personer med åtkomst till uppgifterna omfattas av sekretess. Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder: kryptering under överföring, åtkomstskyddad lagring av nycklar, loggning, principen om minsta behörighet och möjlighet för Kunden att välja läs-only-åtkomst.
6. Underbiträden
Kunden godkänner följande underbiträden. Biträdet informerar Kunden minst 30 dagar innan ett nytt underbiträde anlitas, och Kunden har rätt att invända.
| Underbiträde | Tjänst | Plats |
|---|---|---|
| Railway Corp. | Drift av servern och databas för nycklar och loggar | EU (Nederländerna) |
| Den AI-leverantör Kunden själv valt (t.ex. Anthropic, OpenAI) | Mottagare av de svar Kundens användare efterfrågar. Anlitas av Kunden direkt, inte av Biträdet. | Enligt respektive leverantörs villkor |
7. Överföring till tredje land
Biträdet lagrar och behandlar uppgifterna inom EU/EES. Överföring till Kundens AI-leverantör sker på Kundens eget val och ansvar.
8. Bistånd till Kunden
Biträdet bistår Kunden med att besvara registrerades begäranden, genomföra konsekvensbedömningar och uppfylla säkerhetskrav, i den utsträckning det är rimligt med hänsyn till behandlingens art. Aktivitetsloggen kan lämnas ut till Kunden på begäran.
9. Personuppgiftsincident
Biträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör Kundens uppgifter.
10. Radering
När kopplingen avslutas raderas Kundens åtkomstnycklar omedelbart. Aktivitetslogg och identifieringsuppgifter raderas inom 12 månader, eller tidigare på Kundens begäran, om inte lag kräver fortsatt lagring.
11. Granskning
Kunden har rätt att, med rimligt varsel och högst en gång per år, granska att Biträdet uppfyller detta avtal, i första hand genom att Biträdet tillhandahåller dokumentation.
12. Avtalstid
Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning.