Personuppgiftsbiträdesavtal

Senast uppdaterad: 2026-10-03

Lomex AI AB · Bilaga till Allmänna villkor för Lomex AI

Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") reglerar Leverantörens behandling av personuppgifter för Kundens räkning inom ramen för Tjänsten, i enlighet med artikel 28 i EU:s dataskyddsförordning (GDPR).

Vid konflikt mellan detta Biträdesavtal och Avtalet i övrigt avseende behandling av personuppgifter, har detta Biträdesavtal företräde.

Personuppgiftsansvarig ("Kunden"): den kund som anges i Avtalet. Personuppgiftsbiträde ("Leverantören"): Lomex AI AB, org.nr 559537-8695, Järpgränd 19, 974 54 Luleå. 1. Bakgrund och syfte

1.1 Kunden är personuppgiftsansvarig för de personuppgifter som Kunden och dess Behöriga Användare laddar upp i eller skapar genom Tjänsten. Leverantören behandlar dessa personuppgifter som personuppgiftsbiträde, uteslutande för Kundens räkning.

1.2 Detta Biträdesavtal fastställer Leverantörens skyldigheter vid sådan behandling och gäller så länge Leverantören behandlar personuppgifter för Kundens räkning.

2. Föremål, varaktighet, art och ändamål

2.1 Föremål. Behandlingen avser de personuppgifter som förekommer i Kunddata – exempelvis i uppladdade dokument, mötesinspelningar, transkriberingar och sökningar – i syfte att tillhandahålla Tjänstens funktioner för branschkunskap, intern kunskapsbank och automatiserad mötesanalys.

2.2 Varaktighet. Behandlingen pågår under Avtalstiden och upphör i enlighet med punkt 9 nedan.

2.3 Art och ändamål. Behandlingen omfattar lagring, strukturering, indexering, sökning, AI-baserad bearbetning (analys, sammanfattning och transkribering) samt visning av Kunddata till Kundens Behöriga Användare. Ändamålet är begränsat till att leverera och driva Tjänsten enligt Avtalet.

3. Kategorier av registrerade och personuppgifter

3.1 Eftersom Kunden själv bestämmer vilket material som laddas upp, kontrollerar Kunden vilka kategorier av registrerade och personuppgifter som behandlas. Behandlingen kan typiskt omfatta:

Kategorier av registrerade: Kundens anställda och Behöriga Användare, samt personer som förekommer i uppladdat material eller inspelade möten (exempelvis projektdeltagare, motparter, konsulter och andra aktörer i byggprojekt). Kategorier av personuppgifter: namn, titel eller roll, kontaktuppgifter, organisationstillhörighet, röst- och mötesinnehåll, samt övriga personuppgifter som kan förekomma i fritext i dokument och inspelningar.

3.2 Tjänsten är inte avsedd för behandling av särskilda kategorier av personuppgifter (känsliga personuppgifter enligt artikel 9 GDPR). Kunden ansvarar för att inte ladda upp sådana uppgifter annat än i den utsträckning det är nödvändigt och lagligt, och för att i så fall ha rättslig grund för det.

4. Leverantörens skyldigheter

Leverantören ska:

4.1 endast behandla personuppgifter enligt Kundens dokumenterade instruktioner, vilka utgörs av Avtalet, detta Biträdesavtal och Kundens användning av Tjänstens funktioner. Om Leverantören enligt tvingande EU- eller medlemsstatsrätt är skyldig att behandla uppgifter utöver dessa instruktioner, ska Leverantören informera Kunden om detta rättsliga krav innan behandlingen, om inte sådan information är förbjuden med hänvisning till ett viktigt allmänintresse.

4.2 utan onödigt dröjsmål informera Kunden om Leverantören anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning.

4.3 säkerställa att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

4.4 vidta de tekniska och organisatoriska säkerhetsåtgärder som krävs enligt artikel 32 GDPR, i enlighet med Bilaga A.

4.5 bistå Kunden med lämpliga tekniska och organisatoriska åtgärder, i den mån det är möjligt, så att Kunden kan fullgöra sin skyldighet att svara på begäranden från registrerade som vill utöva sina rättigheter enligt kapitel III GDPR.

4.6 bistå Kunden med att säkerställa efterlevnaden av skyldigheterna i artiklarna 32–36 GDPR (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning och förhandssamråd), med beaktande av behandlingens art och den information Leverantören har tillgång till.

4.7 ställa all information till Kundens förfogande som krävs för att visa att skyldigheterna i artikel 28 GDPR fullgjorts, samt möjliggöra och bidra till granskningar enligt punkt 7.

4.8 på Kundens begäran radera enskilda dokument, mötesinspelningar, transkriberingar eller andra uppgifter under Avtalstiden. Kunden kan själv radera material i Tjänsten, och raderat material tas bort ur sökindex så att det inte längre kan hämtas.

5. Underbiträden

5.1 Kunden ger Leverantören ett allmänt förhandstillstånd att anlita underbiträden för behandlingen. Vid detta Biträdesavtals ingående anlitas följande underbiträden:

Underbiträde Tjänst Plats för behandling Microsoft Ireland Operations Limited (Microsoft Azure) Molninfrastruktur, dokumentlagring, databas, cache, söktjänst samt AI-baserad bearbetning för analys, sammanfattning och transkribering Sverige och EU/EES (Azure Sweden Central)

5.2 Leverantören ska ålägga varje underbiträde samma dataskyddsskyldigheter som anges i detta Biträdesavtal, genom skriftligt avtal.

5.3 Om Leverantören avser att anlita ett nytt underbiträde eller ersätta ett befintligt, ska Kunden informeras minst 30 dagar i förväg och ges möjlighet att invända. Om Kunden har sakliga skäl att invända mot förändringen ska Parterna i god tro söka en lösning. Om ingen lösning nås har Kunden rätt att säga upp Avtalet såvitt avser den påverkade delen av Tjänsten.

5.4 Leverantören är fullt ansvarig gentemot Kunden för underbiträdets fullgörande av sina skyldigheter.

6. Överföring till tredjeland

6.1 All behandling av personuppgifter sker inom EU/EES. Personuppgifter överförs inte till, och behandlas inte i, ett land utanför EU/EES.

6.2 Skulle en överföring till tredjeland i framtiden bli nödvändig, får den ske endast efter Kundens dokumenterade godkännande och under förutsättning att en giltig överföringsmekanism enligt kapitel V GDPR finns på plats.

7. Granskning och revision

7.1 Leverantören ska på Kundens skriftliga begäran, högst en gång per kalenderår, tillhandahålla dokumentation som visar att skyldigheterna enligt detta Biträdesavtal och artikel 28 GDPR uppfylls. Detta kan ske genom aktuella intyg, certifieringar eller revisionsrapporter från oberoende tredje part.

7.2 Om sådan dokumentation inte är tillräcklig för att visa efterlevnad, har Kunden rätt att genomföra eller låta genomföra en revision, efter skälig framförhållning och under normal arbetstid, på ett sätt som inte oskäligt stör Leverantörens verksamhet.

8. Personuppgiftsincidenter

8.1 Leverantören ska underrätta Kunden utan onödigt dröjsmål, och senast inom 72 timmar, efter att ha fått kännedom om en personuppgiftsincident som påverkar Kundens personuppgifter.

8.2 Underrättelsen ska, i den mån informationen är tillgänglig, innehålla en beskrivning av incidentens art, de sannolika konsekvenserna, de åtgärder som vidtagits eller föreslås för att hantera incidenten, samt kontaktuppgift för vidare information.

8.3 Leverantören ska bistå Kunden med den information och de åtgärder som krävs för att Kunden ska kunna fullgöra sina egna skyldigheter att anmäla incidenten till tillsynsmyndighet och, i förekommande fall, till registrerade.

9. Radering och återlämnande vid avtalets upphörande

9.1 Vid Avtalets upphörande har Kunden under 30 dagar rätt att exportera sin Kunddata i ett vanligt maskinläsbart format.

9.2 Därefter raderar Leverantören permanent all Kunddata, inklusive personuppgifter, från produktions- och backupsystem, senast inom 60 dagar, om inte lagring krävs enligt tvingande EU- eller medlemsstatsrätt.

10. Ansvar

Ansvar för behandling av personuppgifter enligt detta Biträdesavtal regleras av ansvarsbestämmelserna i Avtalet, samt av tvingande bestämmelser i GDPR.

11. Kontakt i dataskyddsfrågor

Begäran enligt detta Biträdesavtal, frågor om behandlingen av personuppgifter och anmälan av misstänkta incidenter skickas till kontakt@lomex.ai.

Leverantören bekräftar mottagandet utan onödigt dröjsmål.

Bilaga A – Tekniska och organisatoriska säkerhetsåtgärder

Leverantören tillämpar minst följande åtgärder enligt artikel 32 GDPR.

Datalokalisering. All data lagras och behandlas i Microsoft Azure Sweden Central. Data behandlas alltid inom EU/EES och lämnar aldrig Europa. Detta gäller AI-modeller, dokumentlagring, databas, cache och söktjänst.

Ingen modellträning. Kunddata används aldrig för att träna AI-modeller, varken Leverantörens egna eller tredje parts. AI-bearbetningen sker i Microsofts skyddade miljöer inom EU/EES, och ingen utomstående part får tillgång till materialet.

Kryptering. All data krypteras i vila med AES-256 och under överföring med TLS. Detta gäller samtliga tjänster: dokumentlagring, databas, cache och söktjänst. Okrypterad åtkomst är inaktiverad på alla nivåer.

Isolering mellan kunder. Varje kund har en strikt isolerad arbetsyta. Åtkomst till dokument, mötesinspelningar, transkriberingar och sökindex är tekniskt begränsad per kund, och varje sökning filtreras så att material från en organisation inte kan hämtas av en annan.

Åtkomstkontroll. Behörighetsstyrning tillämpas med åtkomst begränsad till behörig personal utifrån behovsprincip. Personal som behandlar personuppgifter omfattas av tystnadsplikt.

Kontinuitet. Data lagras med redundans och säkerhetskopiering inom Azure Sweden Central, för att skydda mot förlust och möjliggöra återställning.

Lomex AI AB · Org.nr 559537-8695 · kontakt@lomex.ai · lomex.ai