Personuppgiftsbiträdesavtal

Version 23 oktober 2026. Gäller från och med 23 oktober 2026.

Det viktigaste i korthet

Ni är personuppgiftsansvariga för era kunders uppgifter. Avora är ert personuppgiftsbiträde och följer era instruktioner.
Ljud från samtalen sparas inte. Samtalsutskrifter och bilder från chatten raderas efter 30 dagar och kontaktuppgifter efter 12 månader.
Applikationen, databasen och AI-modellen finns i EU. Underbiträdena står i bilaga 2, och vi meddelar er 30 dagar innan något ändras.
Vi meddelar er inom 48 timmar om en personuppgiftsincident.
Avtalet gäller från det att ni godkänner en beställning, utan separat underskrift.

1. Parter

Personuppgiftsansvarig är det företag som har godkänt en beställning av Avoras tjänst (”Kunden”), med de uppgifter som står i beställningen.

Personuppgiftsbiträde är Avora Systems (”Avora”).

Personuppgiftsbiträde

Företag: Avora Systems
E-post: info@avorasystems.se
Telefon: 076-686 69 58

2. Bakgrund

Avora levererar en AI-assistent som svarar i telefon och/eller chatt för Kundens räkning, enligt Kundens beställning och Avoras allmänna villkor (tillsammans ”Huvudavtalet”). När Avora levererar tjänsten behandlar Avora personuppgifter för Kundens räkning. Det här avtalet reglerar den behandlingen enligt artikel 28 i dataskyddsförordningen (EU) 2016/679 (”GDPR”). Begrepp i avtalet har samma betydelse som i GDPR.

3. Instruktioner

Avora får bara behandla personuppgifter enligt Kundens dokumenterade instruktioner. Instruktionerna framgår av det här avtalet med bilaga 1, av Huvudavtalet och av de inställningar Kunden gör i tjänsten. Avora får behandla personuppgifterna på annat sätt bara om unionsrätten eller svensk rätt kräver det, och ska då informera Kunden om kravet innan behandlingen sker, om inte lagen förbjuder det. Avora ska utan dröjsmål informera Kunden om Avora anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning.

4. Kundens ansvar

Kunden ansvarar för att behandlingen har rättslig grund, för att de registrerade informeras (till exempel i assistentens hälsning och i Kundens integritetspolicy) och för att assistentens hälsning anger att den som ringer eller chattar talar med en AI. Kunden ska inte instruera assistenten att efterfråga känsliga personuppgifter enligt artikel 9 GDPR, uppgifter om lagöverträdelser eller personnummer utan en särskild skriftlig överenskommelse.

5. Sekretess

Avora ska se till att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta sekretess eller omfattas av lämplig lagstadgad tystnadsplikt.

6. Säkerhet

Avora ska vidta de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR. Åtgärderna beskrivs i bilaga 3.

7. Underbiträden

Kunden ger ett allmänt förhandstillstånd till att Avora anlitar de underbiträden som står i bilaga 2. Avora ska informera Kunden minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden får invända av sakliga skäl. Kommer parterna inte överens får Kunden säga upp den berörda delen av tjänsten. Avora ska ingå skriftliga avtal med underbiträden som ger motsvarande skydd som det här avtalet, och ansvarar gentemot Kunden för underbiträdenas behandling.

8. Överföring till tredje land

Avora får överföra personuppgifter till ett land utanför EU/EES bara om överföringen har stöd i kapitel V GDPR, till exempel ett beslut om adekvat skyddsnivå (inklusive EU–US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler. De överföringar som sker när avtalet ingås står i bilaga 2.

9. Bistånd

Avora ska, med hänsyn till behandlingens art, hjälpa Kunden att besvara begäranden från registrerade (till exempel om tillgång och radering), med konsekvensbedömningar och förhandssamråd och med att fullgöra skyldigheterna i artiklarna 32–36 GDPR. Enskilda samtal kan raderas direkt i Avora Hub.

10. Personuppgiftsincidenter

Avora ska underrätta Kunden utan onödigt dröjsmål, och senast 48 timmar efter att Avora fått kännedom om en personuppgiftsincident, med den information som Kunden behöver enligt artikel 33.3 GDPR.

11. Lagring, radering och återlämnande

Under avtalstiden raderas personuppgifter automatiskt enligt lagringstiderna i bilaga 1 eller de tider Kunden har valt. När Huvudavtalet upphör ska Avora, enligt Kundens val, radera eller återlämna personuppgifterna inom 30 dagar, om inte lag kräver att de sparas längre.

12. Granskning

Avora ska ge Kunden den information som behövs för att visa att skyldigheterna i artikel 28 GDPR fullgörs, och möjliggöra granskningar som utförs av Kunden eller av en oberoende granskare som Kunden utser. En granskning ska föregås av minst 30 dagars skriftligt varsel och får ske högst en gång per år, om inte en personuppgiftsincident motiverar något annat. Kunden står för sina egna kostnader för granskningen.

13. Ansvar

Ansvar för skada till följd av behandlingen regleras av artikel 82 GDPR. I övrigt gäller Huvudavtalets bestämmelser om ansvar och ansvarsbegränsning. Varje part svarar för sanktionsavgifter som påförs parten.

14. Giltighet och ändringar

Avtalet börjar gälla när Kunden godkänner en beställning och gäller så länge Avora behandlar personuppgifter för Kundens räkning. Avora får ändra avtalet med minst 30 dagars skriftligt varsel, på samma sätt som de allmänna villkoren. Ändringar som krävs enligt lag eller beslut av en myndighet får gälla tidigare. Godtar Kunden inte en ändring får Kunden säga upp Huvudavtalet till den dag ändringen börjar gälla. Vill Kunden hellre ha ett undertecknat avtal skickar vi gärna det här avtalet ifyllt.

15. Tillämplig lag och tvister

Svensk lag gäller. Tvister ska i första hand lösas genom samtal mellan parterna. Går det inte avgörs tvisten av allmän domstol i Sverige.

Bilaga 1: Behandlingen

Ändamål	Besvara samtal och chattmeddelanden från Kundens kunder, svara på frågor utifrån Kundens information, ta emot bokningsförfrågningar, beställningar och meddelanden, koppla vidare samtal till Kundens personal, skicka bekräftelser till den som bokat, sammanfatta ärenden, avisera Kundens användare och visa ärendena för Kunden i Avora Hub. Support, felsökning och kvalitetsuppföljning av tjänsten åt Kunden, till exempel när Avoras personal hjälper Kunden eller följer upp hur väl Ava förstår och svarar.
Registrerade	Personer som ringer eller chattar med Kundens assistent. Kundens anställda som använder Avora Hub, tar emot vidarekopplade samtal och aviseringar eller nämns i Kundens kunskapsbas.
Personuppgifter	Röst under samtalet. Utskrift av samtal eller chatt och en sammanfattning. Bilder som den som chattar själv skickar, utan uppgifterna som följer med bildfilen, till exempel var den togs. Frågor som assistenten inte kunde svara på. Telefonnummer till den som ringer (telefonkanalen). Namn, företag, telefonnummer, e-post och det som lämnas i meddelanden och bokningar. Namn, nummer och vad ärendet gäller i SMS till den som tar emot ett vidarekopplat samtal. Mottagare och tidpunkt för aviseringar och SMS som skickats. Tekniska uppgifter: tidpunkt, längd, vilken sida på Kundens webbplats chatten används från (sidans adress utan det som står efter ? eller # och sidans rubrik) och en pseudonymiserad referens till IP-adress eller nummer för missbruksskydd. Uppgifter om Kundens användare och hur de använder Avora Hub behandlar Avora som personuppgiftsansvarig, enligt Avoras integritetspolicy.
Känsliga uppgifter	Ska inte behandlas. Assistenten ställs inte in för att efterfråga sådana uppgifter.
Behandlingar	Överföring av ljud i realtid till AI-modellen, tal till text, formulering av svar, lagring i databas, sammanfattning, visning i Avora Hub (även medan ett samtal pågår, som text), vidarekoppling av samtal, SMS till den som bokat och till den som tar emot ett vidarekopplat samtal, e-post och notiser till Kundens användare, en länk i aviseringen om en ny förfrågan som visar just den förfrågan utan inloggning i 72 timmar, ett kalenderflöde med Kundens bokningar via en hemlig länk som Kunden själv lägger in i sin kalender, och radering.
Lagringstid	Ljud från samtal med Kundens kunder lagras inte. När Avoras personal testar assistenten kan samtalet spelas in, men bara den som testar, och inspelningen raderas efter 30 dagar. Utskrifter, bilder från chatten, sammanfattningar, samtalshändelser och frågor som assistenten inte kunde svara på: 30 dagar. Logg över skickade aviseringar och SMS: 90 dagar. Kontaktuppgifter och meddelanden: 12 månader. Bokningar: 12 månader efter den bokade tiden. Händelselogg i Avora Hub: 12 månader. Annan tid kan avtalas.
Plats	Applikation och databas i EU (Amsterdam). AI-behandlingen sker hos Google Cloud (Vertex AI) i EU, och som reserv hos Amazon Web Services (Amazon Bedrock) i EU. E-post skickas via Resend från EU, men Resend är ett amerikanskt bolag. Railways driftloggar, utan samtalsinnehåll, lagras i USA.

Bilaga 2: Underbiträden

Underbiträde	Uppgift	Plats	Skydd vid överföring
Google Cloud (Vertex AI)	AI-modell: tal till text, svar, sammanfattningar och sökindex för kunskapsbasen	EU (Vertex AI, region eu)	Googles Cloud Data Processing Addendum. Google är ett amerikanskt bolag: EU:s standardavtalsklausuler och Data Privacy Framework
Amazon Web Services (Amazon Bedrock)	Reserv för AI-modellen (Claude): svar i chatten och sammanfattningar när Google Cloud inte svarar. Aldrig telefonsamtal.	EU (Tyskland, Sverige, Irland, Frankrike, Italien, Spanien)	AWS Data Processing Addendum. AWS är ett amerikanskt bolag: EU:s standardavtalsklausuler och Data Privacy Framework
Railway Corporation	Drift av applikation och databas	EU West (Amsterdam). Driftloggar i USA	Railways Data Processing Addendum (standardavtalsklausuler och Data Privacy Framework)
Resend	E-post till Kundens användare: inbjudningar, aviseringar och rapporter	Sändning från EU. Amerikanskt bolag	Resends Data Processing Agreement (standardavtalsklausuler och Data Privacy Framework)

Telekomoperatör

46elks AB (Sverige) förmedlar samtalen när assistenten nås via telefonnummer, kopplar vidare samtal och skickar SMS, till exempel bokningsbekräftelser och en kort sammanfattning till den som tar emot ett vidarekopplat samtal. 46elks är en telekomoperatör som omfattas av lagen (2022:482) om elektronisk kommunikation och PTS regler.

Notiser i webbläsaren

Slår Kundens användare på notiser i Avora Hub skickas de via webbläsarens notistjänst (Apple, Google, Mozilla eller Microsoft). Innehållet är krypterat från Avora till enheten, så notistjänsten ser bara enhetens adress och kan inte läsa notisen.

Kalendrar

Lägger Kunden in kalenderflödet med sina bokningar i en kalendertjänst, till exempel Google Kalender eller Outlook, hämtar den tjänsten bokningarna från Avora. Kunden väljer den tjänsten själv och har eget avtal med den, så den är inte Avoras underbiträde.

Väljer Kunden en tjänst som inte står här, till exempel aviseringar till Slack eller en egen bokningstjänst, läggs den till här innan funktionen slås på.

Bilaga 3: Säkerhetsåtgärder

Kryptering	All trafik till och från tjänsten går över HTTPS eller WSS. Applikation och databas kommunicerar i Railways privata nätverk, som är krypterat. Notiser krypteras från Avora till mottagarens enhet.
Åtkomst	Avora Hub kräver inloggning med personliga konton. Varje användare ser bara de företag hen är inbjuden till. Avoras personal har åtkomst för support och uppsättning. Sessionen är signerad, gäller i 12 timmar och kan inte läsas av skript på sidan. Ändringar kräver ett särskilt anropshuvud som skydd mot förfalskade anrop. Inloggningar och ändringar loggas.
Nycklar	API-nycklar och lösenord ligger i driftmiljöns hemliga variabler, inte i koden. Telefonins webbadresser innehåller en hemlig nyckel som byts om den kan ha läckt. Länkar utan inloggning är slumpmässiga, gäller en sak i taget och har ett sista giltighetsdatum.
Dataminimering	Ljud från Kundens samtal lagras inte. IP-adresser lagras bara som pseudonymiserad kod. Inga spårningskakor. Applikationsloggarna innehåller inte samtalsinnehåll, och IP-adresser loggas inte. Dagens sammanfattning som notis innehåller bara antal.
Radering	Automatisk radering enligt lagringstiderna i bilaga 1, varje timme. Enskilda samtal kan raderas direkt i Avora Hub.
Missbruksskydd	Gräns för antal samtal per IP-adress och timme, kontroll av vilken webbplats anrop kommer från, högsta antal samtidiga samtal, längsta samtalslängd, daglig kostnadsgräns och högst tre SMS per mottagare och dygn.
Separation	Varje kund har en egen kunskapsbas och egna samtal och förfrågningar i databasen.
Övervakning	Misslyckade utskick och fel hos AI-leverantören visas som larm för Avoras personal.
Kvalitet	Automatiska tester av bland annat radering, inloggning, behörigheter och AI-upplysning.

Frågor om avtalet? Mejla info@avorasystems.se. Läs också våra allmänna villkor, vår integritetspolicy och sidan om säkerhet och GDPR.

Personuppgifts­biträdesavtal