Bilaga om personuppgiftsbehandling

När ditt företag använder Arvisflows tar agenten hand om dina kunder och behandlar deras uppgifter. Uppgifterna är dina, inte våra. Den här bilagan är det biträdesavtal som krävs enligt artikel 28 i dataskyddsförordningen och reglerar vad vi får och inte får göra med dem.

1. Parterna och deras roller

Arvisflows bestämmer varken ändamålen eller de väsentliga medlen för behandlingen av dessa uppgifter och använder dem inte för egna ändamål.

2. Föremål, varaktighet och ändamål

Föremål. Behandling av personuppgifter om företagets slutkunder i den mån det behövs för att AI-agenten ska kunna ta hand om dem.

Art och ändamål. Insamling, registrering, lagring, sökning, användning och radering av uppgifterna för att föra konversationer, ta emot samtal, kontrollera lediga tider, hantera tidsbokningar, bokningar, beställningar, leveranser och transportresor samt skicka de aviseringar som företaget ställer in; och, om företaget aktiverar betalning, förbereda betalningen av transaktionen på företagets Stripe-konto och registrera resultatet.

Varaktighet. Så länge tjänsteavtalet gäller, plus den tid som anges i klausul 11 för återlämnande eller radering. Innehållet i konversationerna med assistenten (WhatsApp, telefon och webbchatt) sparas i sex månader från varje meddelande och raderas sedan automatiskt, oavsett om avtalet fortfarande gäller. Uppgifter om tidsbokningar, bokningar, offerter, beställningar, leveranser och transportresor påverkas inte av den tidsgränsen och sparas enligt klausul 11.

3. Vilka uppgifter och om vem

4. Arvisflows skyldigheter

Arvisflows förbinder sig att:

• Behandla uppgifterna endast enligt kundens dokumenterade instruktioner. Som dokumenterade instruktioner räknas dessa villkor, denna bilaga och de inställningar som kunden gör i Chefpanelen.
• Inte använda uppgifterna för egna ändamål, inte lämna ut dem och inte använda dem för att träna egna eller andras AI-modeller.
• Säkerställa att de personer som har behörighet att behandla uppgifterna har förbundit sig att iaktta sekretess, på obestämd tid, även efter att deras förhållande till Arvisflows har upphört.
• Tillämpa och upprätthålla säkerhetsåtgärderna i klausul 8.
• Så långt det är möjligt hjälpa kunden att besvara de registrerades begäranden om att utöva sina rättigheter.
• Hjälpa kunden att fullgöra sina skyldigheter avseende säkerhet, anmälan av incidenter och konsekvensbedömning, med hänsyn till den information Arvisflows har.
• Omedelbart informera kunden om Arvisflows anser att en mottagen instruktion strider mot dataskyddsreglerna.
• Ge kunden den information som behövs för att visa att dessa skyldigheter fullgörs.

5. Kundens skyldigheter

Kunden förbinder sig som personuppgiftsansvarig att:

• Ha en giltig rättslig grund för att behandla sina slutkunders uppgifter och för att lämna dem till Arvisflows.
• Informera sina slutkunder om att kundtjänsten kan skötas av ett automatiserat system, om vem som är personuppgiftsansvarig och om hur de utövar sina rättigheter. Arvisflows rekommenderar att detta tas med i agentens första meddelande och i företagets integritetspolicy.
• Ställa in agenten och panelen i enlighet med regelverket och inte lägga in uppgifter som kunden inte behöver för att tillhandahålla sin tjänst.
• Hantera de begäranden om rättigheter som kunden får från sina slutkunder, med hjälp av Arvisflows.
• Hålla listan över personer i sin organisation med åtkomst till panelen uppdaterad och återkalla åtkomsten för den som inte längre behöver den.

6. Godkända underbiträden

Kunden ger Arvisflows ett allmänt tillstånd att anlita följande underbiträden, som behövs för att tillhandahålla tjänsten:

När kunden aktiverar betalning av bokningar tillhandahåller Stripe betaltjänsten enligt det avtal som kunden ingår direkt med Stripe, och inte som underbiträde till Arvisflows. För kundens räkning lämnar Arvisflows endast belopp, valuta, tjänstens namn och en intern identifierare för bokningen till Stripe. Kunden ansvarar för att informera sina slutkunder om Stripes behandling.

Arvisflows ålägger varje underbiträde skyldigheter som motsvarar dem i denna bilaga och ansvarar gentemot kunden för underbiträdets agerande.

Innan Arvisflows anlitar eller byter ut ett underbiträde meddelas kunden minst 30 kalenderdagar i förväg. Om kunden invänder av rimliga och välgrundade skäl som rör dataskydd kan kunden säga upp avtalet utan påföljd innan ändringen träder i kraft.

Senaste ändring i listan: den 6 september 2026 lades Anthropic till som underbiträde, och OpenAI:s funktion delas sedan dess med Anthropic. Båda behandlar samma kategori av uppgifter, i samma land och med samma garantier som beskrivs i nästa avsnitt, och ingen av dem använder konversationernas innehåll för att träna sina modeller. Ändringen meddelades alla kunder via e-post den 6 september 2026.

Ändring den 30 oktober 2026: OpenAI blev huvudleverantör och Anthropic reservleverantör. Båda behandlar samma kategori av uppgifter, i samma land och med samma garantier som beskrivs i nästa avsnitt.

7. Internationella överföringar

Uppgifterna finns i Europeiska unionen. Arvisflows är dock ett amerikanskt bolag och en del av underbiträdena ovan behandlar uppgifter i USA, vilket innebär att internationella överföringar sker.

Överföringarna grundas på standardavtalsklausuler som godkänts av Europeiska kommissionen, kompletterade med de ytterligare åtgärder som behövs, eller på beslutet om adekvat skyddsnivå för ramen för dataskydd mellan EU och USA när underbiträdet är certifierat enligt den. Arvisflows ger kunden en kopia av de tillämpliga garantierna på begäran.

8. Säkerhetsåtgärder

Med hänsyn till den senaste tekniken och risken med behandlingen tillämpar Arvisflows minst följande åtgärder:

• Kryptering vid överföring. All kommunikation mellan webbläsaren, applikationen och leverantörerna krypteras med TLS.
• Inloggningsuppgifter. Lösenorden till panelen lagras med en härledningsfunktion med salt, aldrig i klartext, och kan inte återställas ens av Arvisflows egen personal.
• Åtkomstkontroll. Åtkomst till panelen kräver autentisering och hanteras med sessionstoken med begränsad giltighet, som upphör när webbläsaren stängs.
• Separering. Varje företags uppgifter är logiskt åtskilda och varje sökning är begränsad till det autentiserade företaget.
• Minsta behörighet. Administrativ åtkomst till systemen är begränsad till de personer som behöver den för att driva tjänsten.
• Regelbundna säkerhetskopior av databasen, med möjlighet till återställning.
• Loggning av körningar och systemfel, för att kunna upptäcka och analysera incidenter.
• Översyn. Åtgärderna ses över regelbundet och uppdateras när risken förändras.

9. Personuppgiftsincidenter

Om Arvisflows får kännedom om en säkerhetsincident som påverkar uppgifter som behandlas för kundens räkning, anmäls den till kunden utan onödigt dröjsmål och senast inom 48 timmar från att Arvisflows fått kännedom om den.

Anmälan beskriver incidentens art, kategorierna och det ungefärliga antalet berörda registrerade och poster, de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslås för att åtgärda den. Det är kunden, som personuppgiftsansvarig, som beslutar om anmälan till tillsynsmyndigheten och till de registrerade.

10. De registrerades rättigheter

Om en slutkund vänder sig direkt till Arvisflows för att utöva sina rättigheter besvarar Arvisflows inte begäran i sak utan vidarebefordrar den utan dröjsmål till det berörda företaget och informerar den som begär att det är det företaget som är personuppgiftsansvarigt.

Arvisflows ger kunden de verktyg som behövs för att själv hantera sådana begäranden i Chefpanelen och ger ytterligare hjälp när sökning eller radering inte kan göras från panelen.

Kunden kan själv, i Chefpanelen, radera hela konversationen med en viss person, inklusive den historik som assistenten använder för att komma ihåg tidigare konversationer. Raderingen sker omedelbart och kan inte ångras.

11. Återlämnande och radering vid avtalets slut

När tjänsten upphör återlämnar Arvisflows, enligt kundens val, uppgifterna i ett strukturerat och allmänt använt format eller raderar dem tillsammans med befintliga kopior.

Kunden har 30 kalenderdagar från uppsägningen på sig att begära återlämnande. Om ingen begäran inkommer inom den tiden raderar Arvisflows uppgifterna. Undantagna är uppgifter som måste bevaras enligt lag; de förblir spärrade och oanvända tills respektive tidsfrist löper ut.

12. Granskning

Arvisflows ger kunden den information som rimligen behövs för att visa att denna bilaga följs och medverkar vid granskningar eller inspektioner som utförs av kunden eller av en granskare som kunden utser.

Granskningar ska begäras minst trettio dagar i förväg, begränsas till en per år om inte en incident motiverar ytterligare en, genomföras under arbetstid utan att störa verksamheten och omfattas av sekretess. Kostnaderna bärs av kunden, om inte granskningen visar en väsentlig överträdelse som kan tillskrivas Arvisflows.

13. Ändringar av denna bilaga

Arvisflows kan uppdatera denna bilaga för att anpassa den till ändrade regler, nya beslut från tillsynsmyndigheter eller ändringar i tjänsten. Väsentliga ändringar meddelas minst 30 kalenderdagar i förväg. Vid motstridigheter mellan denna bilaga och Användarvillkoren har denna bilaga företräde i allt som rör dataskydd.