Juridik & förtroende

Personuppgiftsbiträdesavtal

Gäller från 2026-10-19 · version 2.0

Standardtext för Free och Betalda planer, som godkänns tillsammans med användarvillkoren. Corporate-kunder kan förhandla ett separat DPA.

1. Parter och tillämpningsområde

Detta personuppgiftsbiträdesavtal (DPA) ingås mellan den kund som har godkänt användarvillkoren (den Personuppgiftsansvarige) och Thalius AI AB, organisationsnummer 559528-5635, momsregistreringsnummer SE559528563501, Slipgatan 5, 117 39 Stockholm, Sverige (Personuppgiftsbiträdet). Det gäller när Personuppgiftsbiträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning i samband med tillhandahållandet av tjänsten Thalius Hippocampus (Tjänsten), och det uppfyller artikel 28 i förordning (EU) 2016/679 (GDPR).

Om detta DPA och användarvillkoren står i strid med varandra i fråga om dataskydd har detta DPA företräde.

2. Beskrivning av behandlingen

För en publik chatt är den Personuppgiftsansvarige personuppgiftsansvarig för besökarnas frågor och svar. Personuppgiftsbiträdet sparar hashade nätverksadresser för att förhindra missbruk, som självständigt personuppgiftsansvarig, enligt vad som beskrivs i dess integritetspolicy.

3. Personuppgiftsbiträdets skyldigheter

Personuppgiftsbiträdet:

1. behandlar personuppgifter endast enligt den Personuppgiftsansvariges dokumenterade instruktioner: villkoren, detta DPA och den Personuppgiftsansvariges konfiguration av Tjänsten. Om en instruktion förefaller strida mot dataskyddslagstiftningen påtalar Personuppgiftsbiträdet detta;
2. säkerställer att alla som har åtkomst till uppgifterna är bundna av sekretess;
3. tillämpar de tekniska och organisatoriska åtgärderna i bilaga 1;
4. anlitar underbiträden endast enligt avsnitt 5;
5. bistår den Personuppgiftsansvarige med att besvara de registrerades begäranden, huvudsakligen genom Tjänstens egna funktioner för nedladdning, rättelse och radering, samt genom export på begäran;
6. bistår den Personuppgiftsansvarige med säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd, med beaktande av behandlingens art;
7. raderar eller återlämnar personuppgifter när Tjänsten upphör enligt avsnitt 10;
8. tillhandahåller den information som krävs för att visa att skyldigheterna fullgörs, och tillåter granskningar enligt avsnitt 8.

Personalens åtkomst till konversationsloggar för support, förhindrande av missbruk och säkerhet utgör en instruktion från den Personuppgiftsansvarige enligt detta DPA; varje sådan åtkomst loggas.

Personuppgiftsbiträdet använder inte den Personuppgiftsansvariges personuppgifter för att träna AI-modeller och säljer dem inte.

4. Den Personuppgiftsansvariges skyldigheter

Den Personuppgiftsansvarige ansvarar för att ha en rättslig grund för de uppgifter den laddar upp eller importerar, för att informera de registrerade, för att konfigurera åtkomst inom sin arbetsyta, för de appar dess användare ansluter och de publika chattar den publicerar, och för att inte ladda upp uppgifter som den inte får behandla.

5. Underbiträden

• Den Personuppgiftsansvarige lämnar ett allmänt förhandstillstånd för de underbiträden som anges på sidan över underbiträden.
• Personuppgiftsbiträdet tillkännager nya eller ersättande underbiträden på den sidan, och via e-post till arbetsytornas ägare, minst 30 dagar innan de börjar anlitas.
• Den Personuppgiftsansvarige kan invända på skäliga dataskyddsgrunder inom den perioden. Om ingen lösning hittas kan den Personuppgiftsansvarige säga upp den berörda Tjänsten och få återbetalning av förskottsbetalda avgifter för de outnyttjade hela månaderna.
• Personuppgiftsbiträdet ålägger varje underbiträde dataskyddsskyldigheter som motsvarar detta DPA, och förblir ansvarigt för dem.

6. Internationella överföringar

Dokument och kunskapsstrukturen lagras i EU (Finland). Där ett underbiträde behandlar personuppgifter utanför EU/EES stöder sig överföringen på ett beslut om adekvat skyddsnivå (inklusive EU–US Data Privacy Framework för certifierade leverantörer) eller på standardavtalsklausulerna (kommissionens beslut 2021/914, modul 3), med stöd av en riskbedömning av överföringen. Corporate-kunder kan kräva EU-hostad eller kundhostad inferens så att ingen överföring sker.

7. Personuppgiftsincidenter

Personuppgiftsbiträdet underrättar den Personuppgiftsansvarige utan onödigt dröjsmål, och senast 72 timmar efter att ha fått kännedom om en personuppgiftsincident som påverkar den Personuppgiftsansvariges uppgifter. Underrättelsen innehåller vad som är känt om incidentens art, de kategorier och det ungefärliga antal som berörs, sannolika konsekvenser samt de åtgärder som vidtagits eller föreslagits. Ytterligare information lämnas i takt med att den blir tillgänglig.

8. Granskningar

Personuppgiftsbiträdet tillhandahåller på begäran sin säkerhetsdokumentation, sin lista över underbiträden och resultaten av eventuella tredjepartsbedömningar. Om dessa inte räcker får den Personuppgiftsansvarige genomföra en granskning, själv eller genom en oberoende granskare som är bunden av sekretess, en gång per år med 30 dagars varsel, på egen bekostnad, på ett sätt som inte äventyrar andra kunders uppgifter.

9. Ansvar

Ansvar enligt detta DPA följer begränsningarna i användarvillkoren, utom där GDPR inte tillåter dem.

10. Radering och återlämnande

• Den Personuppgiftsansvarige kan när som helst ladda ned sina dokument och mappar och radera dokument. Radering av ett källdokument raderar allt som härletts från det i valvet, indexet och grafen. Radering av en arbetsyta raderar dess dokument och allt som härletts från dem.
• Loggar från publika chattar raderas eller anonymiseras efter 30 dagar.
• Den Personuppgiftsansvarige bör exportera det den behöver innan Tjänsten upphör: dokument och mappar, eller en fullständig export av en arbetsyta som görs av dess ägare, i appen; eller en fullständig export på begäran till [email protected], som levereras inom 30 dagar. Ingen export tillhandahålls efter uppsägning.
• När Tjänsten upphör raderar Personuppgiftsbiträdet den Personuppgiftsansvariges personuppgifter från aktiva system inom 30 dagar och från säkerhetskopior inom 90 dagar, såvida inte unionsrätten eller medlemsstaternas nationella rätt kräver att de bevaras.
• På begäran bekräftar Personuppgiftsbiträdet raderingen skriftligen.
• Ett Corporate-avtal kan fastställa andra perioder än dem som anges i detta avsnitt.

11. Tillämplig lag

Detta DPA regleras av svensk rätt, och tvister avgörs enligt användarvillkoren.

Bilaga 1 — Tekniska och organisatoriska åtgärder

Kryptering

• Varje dokument krypteras med en egen nyckel (XChaCha20-Poly1305), bunden till arbetsytans och dokumentets identitet och inkapslad i en nyckelhanteringstjänst i molnet. Rotnyckeln lämnar aldrig KMS:et.
• Lagringslagret innehåller endast chiffertext. Dekryptering sker inuti dokumentvalvet, per anrop.
• TLS skyddar alla data under överföring.

Isolering mellan arbetsytor och åtkomstkontroll

• Arbetsytans identitet är bunden i varje krypteringsoperation, så att data inte kan dekrypteras under en annan arbetsyta.
• Behörigheter upprätthålls inuti hämtningslagret, så att resultat en användare inte får läsa filtreras bort före rankningen.
• Behörigheter på mapp- och dokumentnivå, grupper och arv, samt isolering per användare inom en delad arbetsyta.
• Inloggning med e-postlänk, lösenord eller ett Google-, Microsoft-, Apple- eller GitHub-konto via Google Cloud Identity Platform på Free och Betalda planer; SAML/OIDC single sign-on på Corporate. Sessioner verifieras kryptografiskt i applikationens ytterkant.
• Appar som ansluts via MCP-servern eller API-nycklar får avgränsade token som agerar inom den anslutande användarens behörigheter och som användaren när som helst kan återkalla.
• Token för anslutna tredjepartstjänster lagras krypterade och raderas när tjänsten kopplas från.

Loggning och övervakning

• Säkerhetsrelevanta valvoperationer loggas i sekvens, med övervakning av luckor.
• Varje svar kan härledas till ett byteintervall i en namngiven källa, så att åtkomst kan spåras på avsnittsnivå.
• Personalens åtkomst till konversationsloggar loggas.

Operatörsåtkomst

• Infrastrukturoperatörer kan inte kringgå behörighetskontrollen.
• Åtkomst till kunddata sker enligt need-to-know, för support som kunden begär, för att förhindra missbruk eller av säkerhetsskäl.

Minimering gentemot modelleverantörer

• Modelleverantörer får endast de fragment som behövs för ett anrop, tillfälligt, och har ingen möjlighet att dekryptera lagrade data.

Motståndskraft och radering

• Härledda data kan återskapas från källdokumenten. Radering sprider sig från källdokument till allt som härletts från dem, och från en arbetsyta till alla dess data.
• Säkerhetskopior sparas i högst 90 dagar.

Organisatoriska åtgärder

• Sekretessåtaganden för personal och uppdragstagare, en dokumenterad incidenthanteringsprocess och due diligence av underbiträden.

Kända öppna punkter

• En säkerhetsgranskning av tredje part är ännu inte beställd.
• Det härledda kunskapslagret flyttas in under samma krypteringsgräns som källdokumenten.
• Konversationsloggar är ännu inte låsta till EU.

Bilaga 2 — Underbiträden

Den aktuella listan, med steg, region och de uppgifter varje underbiträde behandlar, finns på sidan över underbiträden och utgör en del av detta DPA.