Kort sagt: Avtalet gäller för alla Team-kunder från det att de börjar använda Team, utan att något behöver skrivas under. Det består av EU:s standardavtalsklausuler, ordagrant, våra tilläggsvillkor och fyra bilagor. Behöver ni en undertecknad kopia, skriv till hei@sayable.no.

Så ingås avtalet

Avtalet är en del av villkoren för Sayable och gäller för alla kunder som använder Sayable Team. Det gäller från det att kunden börjar använda Team, och så länge vi behandlar personuppgifter för kunden.
Kunden är organisationen som använder Team. Team-kontots ägare godtar avtalet för organisationens räkning, och kunden anges som personuppgiftsansvarig i bilaga I.
Behöver ni en undertecknad kopia, skriv till hei@sayable.no med organisationens namn, organisationsnummer, adress och kontaktperson. Vi fyller i bilaga I och skickar en kopia undertecknad av A-JOB AS. Innehållet är detsamma som här.
Avtalet består av EU:s standardavtalsklausuler, tilläggsvillkoren och bilagorna I–IV. Vid motstridighet har standardavtalsklausulerna företräde, som klausul 4 anger.
Raderingsfrist, export och radering av medlemmarnas data, och radering av teamets data när avtalet upphör, kräver att Team-kontots ägare har slagit på företagsstyrning (”Bedriftsstyring”) i Sayable (bilaga II och tilläggsvillkor D).
Datumet högst upp visar när avtalet senast ändrades. Nya eller utbytta underleverantörer meddelar vi enligt klausul 7.7 a, se bilaga IV. Andra ändringar i tilläggsvillkoren och bilagorna meddelar vi via e-post till Team-kontots ägare minst 30 dagar innan de börjar gälla, om inte ändringen bara stärker skyddet för uppgifterna eller krävs enligt lag.

Standardavtalsklausuler

Det här är EU:s standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden enligt artikel 28.7 i dataskyddsförordningen, fastställda i kommissionens genomförandebeslut (EU) 2021/915. Texten återges ordagrant. Där klausulerna ber parterna välja visas bara det valda alternativet: förordning (EU) 2016/679, allmänt skriftligt tillstånd för underleverantörer med 30 dagars varsel, och dockningsklausulen i klausul 5.

Källa: Europeiska unionens officiella tidning L 199, 7.6.2021, s. 18.

AVSNITT I

Klausul 1Syfte och tillämpningsområde

Syftet med dessa standardavtalsklausuler (klausulerna) är att säkerställa överensstämmelse med artikel 28.3 och 28.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.

De personuppgiftsansvariga och de personuppgiftsbiträden som anges i bilaga I har kommit överens om att tillämpa dessa klausuler för att säkerställa efterlevnaden av artikel 28.3 och 28.4 i förordning (EU) 2016/679 och/eller artikel 29.3 och 29.4 i förordning (EU) 2018/1725.

Dessa klausuler är tillämpliga på behandling av personuppgifter i enlighet med bilaga II.

Bilagorna I–IV utgör en integrerad del av klausulerna.

Dessa klausuler påverkar inte de skyldigheter som den personuppgiftsansvarige har enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

Genom dessa klausuler säkerställs inte i sig att skyldigheterna i samband med internationella överföringar i enlighet med kapitel V i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 fullgörs.

Klausul 2Klausulernas oföränderlighet

Parterna förbinder sig att inte ändra klausulerna, förutom för att lägga till information i bilagorna eller uppdatera informationen i dem.

Detta hindrar inte parterna från att inkludera de standardavtalsklausuler som fastställs i dessa klausuler i ett mer omfattande avtal eller att lägga till andra klausuler eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt strider mot klausulerna eller begränsar de registrerades grundläggande rättigheter eller friheter.

Klausul 3Tolkning

Om de begrepp som definieras i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 används i dessa klausuler ska dessa begrepp ha samma betydelse som i den förordningen.

Dessa klausuler ska läsas och tolkas mot bakgrund av bestämmelserna i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725.

Dessa klausuler ska inte tolkas så att de strider mot de rättigheter och skyldigheter som föreskrivs i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 eller påverkar de registrerades grundläggande rättigheter eller friheter.

Klausul 4Hierarki

Om dessa klausuler strider mot bestämmelser i tillhörande avtal mellan parterna som gäller vid den tidpunkt då dessa klausuler avtalas eller ingås därefter, ska dessa klausuler ha företräde.

Klausul 5 – FrivilligDockningsklausul

Varje enhet som inte är part i dessa klausuler får, med godkännande från samtliga parter, när som helst ansluta sig till dessa klausuler som personuppgiftsansvarig eller personuppgiftsbiträde genom att fylla i bilagorna och underteckna bilaga I.

När de bilagor som avses i led a har fyllts i och undertecknats ska den anslutande enheten behandlas som part i dessa klausuler och ha de rättigheter och skyldigheter som gäller personuppgiftsansvariga eller personuppgiftsbiträden i överensstämmelse med dess intagande i bilaga I.

Den anslutande enheten ska inte ha några rättigheter eller skyldigheter som följer av dessa klausuler innan den blir part.

AVSNITT IIPARTERNAS SKYLDIGHETER

Klausul 6Beskrivning av behandlingen

Närmare uppgifter om behandlingen, särskilt kategorierna av personuppgifter och de ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning, anges i bilaga II.

Klausul 7Parternas skyldigheter

7.1 Instruktioner

Personuppgiftsbiträdet får endast behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av. I så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida detta inte är förbjudet med hänvisning till ett viktigt allmänintresse enligt denna rätt. Den personuppgiftsansvarige får även ge efterföljande instruktioner under hela den tid som personuppgifterna behandlas. Dessa instruktioner ska alltid dokumenteras.

Personuppgiftsbiträdet ska omedelbart informera den personuppgiftsansvarige om personuppgiftsbiträdet anser att en instruktion från den personuppgiftsansvarige strider mot förordning (EU) 2016/679 eller förordning (EU) 2018/1725 eller mot unionens eller medlemsstaternas tillämpliga dataskyddsbestämmelser.

7.2 Ändamålsbegränsning

Personuppgiftsbiträdet får behandla personuppgifterna endast för det eller de specifika ändamål med behandlingen som anges i bilaga II, såvida det inte erhåller ytterligare instruktioner från den personuppgiftsansvarige.

7.3 Varaktigheten för behandlingen av personuppgifter

Behandling som utförs av personuppgiftsbiträdet får endast äga rum under den tid som anges i bilaga II.

7.4 Säkerhet i samband med behandlingen

Personuppgiftsbiträdet ska åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga III för att säkerställa säkerheten för personuppgifterna. Detta omfattar att skydda uppgifterna mot säkerhetsincidenter som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömningen av lämplig säkerhetsnivå ska parterna ta vederbörlig hänsyn till den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerade.

Personuppgiftsbiträdet ska bevilja sin personal tillgång till de personuppgifter som behandlas endast i den mån det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Personuppgiftsbiträdet ska säkerställa att personer med behörighet att behandla de erhållna personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

7.5 Känsliga uppgifter

Om behandlingen omfattar personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning eller uppgifter om fällande domar i brottmål och överträdelser (känsliga uppgifter), ska personuppgiftsbiträdet tillämpa särskilda begränsningar och/eller ytterligare skyddsåtgärder.

7.6 Dokumentation och efterlevnad

Parterna ska kunna visa att dessa klausuler följs.

Personuppgiftsbiträdet ska skyndsamt och på lämpligt sätt hantera förfrågningar från den personuppgiftsansvarige om behandlingen av uppgifter i enlighet med dessa klausuler.

Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som behövs för att påvisa efterlevnad av de skyldigheter som fastställs i dessa klausuler och härrör direkt från förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet även tillåta och bidra till granskningar av den behandling som omfattas av dessa klausuler, med rimliga intervall eller om det finns tecken på bristande efterlevnad. Vid beslut om översyn eller granskning får den personuppgiftsansvarige ta hänsyn till relevanta certifieringar som personuppgiftsbiträdet innehar.

Den personuppgiftsansvarige kan välja att själv utföra granskningen eller bemyndiga en oberoende revisor. Granskningar får även omfatta inspektioner i personuppgiftsbiträdets lokaler eller fysiska anläggningar och ska vid behov utföras med rimligt varsel.

Parterna ska på begäran göra den information som avses i denna klausul, inklusive resultaten av eventuella granskningar, tillgänglig för den (de) behöriga tillsynsmyndigheten(-erna).

7.7 Användning av underleverantörer

ALLMÄNT SKRIFTLIGT TILLSTÅND: Personuppgiftsbiträdet har erhållit ett allmänt tillstånd från den personuppgiftsansvarige att anlita underleverantörer från en överenskommen förteckning. Personuppgiftsbiträdet ska skriftligen informera den personuppgiftsansvarige om eventuella planerade ändringar av förteckningen genom att underleverantörer läggs till eller ersätts minst 30 dagar i förväg, så att den personuppgiftsansvarige får tillräckligt med tid för att kunna invända mot sådana ändringar innan den eller de berörda underleverantörerna anlitas. Personuppgiftsbiträdet ska tillhandahålla den personuppgiftsansvarige den information som krävs för att denne ska kunna utöva sin rätt att göra invändningar.

Om personuppgiftsbiträdet anlitar en underleverantör för att utföra en specifik behandling (för den personuppgiftsansvariges räkning) ska personuppgiftsbiträdet göra detta genom ett avtal som i sak ålägger underleverantören samma skyldigheter i fråga om uppgiftsskydd som de som personuppgiftsbiträdet åläggs i enlighet med dessa klausuler. Personuppgiftsbiträdet ska se till att underleverantören uppfyller de skyldigheter som personuppgiftsbiträdet omfattas av enligt dessa klausuler och förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet tillhandahålla den personuppgiftsansvarige en kopia av ett sådant underleverantörsavtal och eventuella senare ändringar. I den mån det är nödvändigt för att skydda affärshemligheter eller annan konfidentiell information, inbegripet personuppgifter, får personuppgiftsbiträdet redigera avtalstexten innan kopian delas.

Personuppgiftsbiträdet ska fortsatt vara fullt ut ansvarig gentemot den personuppgiftsansvarige för att underleverantören fullgör sina skyldigheter i enlighet med sitt avtal med personuppgiftsbiträdet. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige om underleverantören underlåter att uppfylla sina skyldigheter enligt avtalet.

Personuppgiftsbiträdet och underleverantören ska avtala om en klausul om tredjepartsberättigande, enligt vilken den personuppgiftsansvarige – om personuppgiftsbiträdet har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd – ska ha rätt att säga upp underleverantörsavtalet och instruera underleverantören att radera eller återlämna personuppgifterna.

7.8 Internationella överföringar

Personuppgiftsbiträdet får endast överföra uppgifter till ett tredjeland eller en internationell organisation på grundval av dokumenterade instruktioner från den personuppgiftsansvarige eller för att uppfylla ett särskilt krav enligt unionsrätten eller en medlemsstats lagstiftning som personuppgiftsbiträdet omfattas av, och överföringen ska genomföras i enlighet med kapitel V i förordning (EU) 2016/679 eller förordning (EU) 2018/1725.

Den personuppgiftsansvarige samtycker till att, om personuppgiftsbiträdet anlitar en underleverantör i enlighet med klausul 7.7 för att utföra specifik behandling (för den personuppgiftsansvariges räkning) och denna behandling omfattar en överföring av personuppgifter i den mening som avses i kapitel V i förordning (EU) 2016/679, personuppgiftsbiträdet och underleverantören kan säkerställa att kapitel V i förordning (EU) 2016/679 efterlevs genom att använda standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 46.2 i förordning (EU) 2016/679, förutsatt att villkoren för att använda dessa standardavtalsklausuler är uppfyllda.

Klausul 8Stöd till den personuppgiftsansvarige

Personuppgiftsbiträdet ska utan dröjsmål underrätta den personuppgiftsansvarige om varje begäran som erhållits från den registrerade. Personuppgiftsbiträdet ska inte själv besvara begäran, såvida inte den personuppgiftsansvarige har godkänt detta.

Personuppgiftsbiträdet ska hjälpa den personuppgiftsansvarige att fullgöra sin skyldighet att besvara framställningar från registrerade för att utöva sina rättigheter, med hänsyn till behandlingens art. Personuppgiftsbiträdet ska följa den personuppgiftsansvariges instruktioner när det fullgör sina skyldigheter i enlighet med leden a och b.

Utöver personuppgiftsbiträdets skyldighet att bistå den personuppgiftsansvarige enligt klausul 8 b ska personuppgiftsbiträdet dessutom bistå den personuppgiftsansvarige med att säkerställa att följande skyldigheter fullgörs, med beaktande av uppgiftsbehandlingens art och den information som personuppgiftsbiträdet har att tillgå:

Skyldigheten att utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter (en konsekvensbedömning avseende dataskydd) om en typ av behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.

Skyldigheten att samråda med den (de) behöriga tillsynsmyndigheten(-erna) före behandling om en konsekvensbedömning avseende dataskydd visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.

Skyldigheten att säkerställa att personuppgifterna är korrekta och uppdaterade genom att utan dröjsmål informera den personuppgiftsansvarige om personuppgiftsbiträdet får kännedom om att de personuppgifter som behandlas är felaktiga eller har blivit föråldrade.

Skyldigheterna i artikel 32 i förordning (EU) 2016/679.

Parterna ska i bilaga III ange de lämpliga tekniska och organisatoriska åtgärder genom vilka personuppgiftsbiträdet ska bistå den personuppgiftsansvarige vid tillämpningen av denna klausul samt räckvidden och omfattningen av det bistånd som krävs.

Klausul 9Anmälan av personuppgiftsincidenter

Vid en personuppgiftsincident ska personuppgiftsbiträdet samarbeta med och bistå den personuppgiftsansvarige för att denne ska kunna fullgöra sina skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679 eller artiklarna 34 och 35 i förordning (EU) 2018/1725, i tillämpliga fall, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

9.1 Personuppgiftsincidenter som rör uppgifter som behandlas av den personuppgiftsansvarige

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av den personuppgiftsansvarige ska personuppgiftsbiträdet bistå den personuppgiftsansvarige med att

anmäla personuppgiftsincidenten till den (de) behöriga tillsynsmyndigheten(-erna), utan onödigt dröjsmål efter det att den personuppgiftsansvarige har fått kännedom om den, i förekommande fall/(med undantag för om det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter),

erhålla följande information som, i enlighet med artikel 33.3 i förordning (EU) 2016/679, ska anges i den personuppgiftsansvariges anmälan, och åtminstone ska omfatta

personuppgifternas art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,

de sannolika konsekvenserna av personuppgiftsincidenten,

de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

uppfylla, i enlighet med artikel 34 i förordning (EU) 2016/679, skyldigheten att utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten, om den sannolikt kommer att medföra en hög risk för fysiska personers rättigheter och friheter.

9.2 Personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet ska personuppgiftsbiträdet underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter det att personuppgiftsbiträdet har fått kännedom om incidenten. En sådan anmäla ska åtminstone innehålla

en beskrivning av incidentens art (inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade och uppgiftsposter som berörs),

uppgifter från en kontaktpunkt där mer information om personuppgiftsincidenten kan erhållas,

de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslagits för att åtgärda incidenten, inbegripet åtgärder för att mildra dess potentiella negativa effekter.

Parterna ska i bilaga III ange alla andra uppgifter som personuppgiftsbiträdet ska tillhandahålla när denne bistår den personuppgiftsansvarige vid fullgörandet av den personuppgiftsansvariges skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679.

AVSNITT IIISLUTBESTÄMMELSER

Klausul 10Bristande efterlevnad av klausulerna och uppsägning

Utan att det påverkar tillämpningen av bestämmelserna i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 får den personuppgiftsansvarige, om personuppgiftsbiträdet inte fullgör sina skyldigheter enligt dessa klausuler, instruera personuppgiftsbiträdet att avbryta behandlingen av personuppgifter till dess att denne uppfyller dessa klausuler eller avtalet sägs upp. Personuppgiftsbiträdet ska omedelbart underrätta den personuppgiftsansvarige om denne av något skäl inte kan följa dessa klausuler.

Den personuppgiftsansvarige ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter i enlighet med dessa klausuler om

personuppgiftsbiträdets behandling av personuppgifter har avbrutits av den personuppgiftsansvarige i enlighet med led a och om efterlevnaden av dessa klausuler inte återställs inom rimlig tid och i alla händelser inom en månad efter det att behandlingen avbrutits,

personuppgiftsbiträdet allvarligt eller ihållande åsidosätter dessa klausuler eller sina skyldigheter enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725,

personuppgiftsbiträdet underlåter att följa ett bindande beslut från en behörig domstol eller den (de) behöriga tillsynsmyndigheten(-erna) som rör dennes skyldigheter i enlighet med dessa klausuler eller förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

Personuppgiftsbiträdet ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter enligt dessa klausuler, om den personuppgiftsansvarige, efter att ha informerats av personuppgiftsbiträdet om att dennes instruktioner strider mot tillämpliga rättsliga krav i enlighet med klausul 7.1 b, insisterar på att instruktionerna följs.

Efter uppsägningen av avtalet ska personuppgiftsbiträdet, beroende på vad den personuppgiftsansvarige väljer, radera alla personuppgifter som behandlats för den personuppgiftsansvariges räkning och intyga för den personuppgiftsansvarige att detta är utfört, eller återlämna alla personuppgifter till den personuppgiftsansvarige och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt. Till dess att uppgifterna raderas eller återlämnas ska personuppgiftsbiträdet säkerställa efterlevnaden av dessa klausuler.

Tilläggsvillkor

De här villkoren gäller utöver standardavtalsklausulerna, som klausul 2 b tillåter. De inskränker inte standardavtalsklausulerna, och vid motstridighet har standardavtalsklausulerna företräde.

A. Ingen användning för modellträning

Personuppgiftsbiträdet får inte använda personuppgifter eller annat innehåll som behandlas enligt detta avtal, till exempel ljud, inspelningar, transkriberingar, protokoll och anteckningar, för att träna, förbättra eller utveckla modeller för maskininlärning eller artificiell intelligens, vare sig egna eller andras.
Personuppgiftsbiträdet ska se till att underleverantörerna i bilaga IV inte heller använder sådana uppgifter för detta, och ska på begäran dokumentera hur det säkerställs för var och en av dem.
Punkt 1 och 2 hindrar inte den kontroll av missbruk som Microsoft gör i Azure OpenAI, så som den beskrivs i bilaga IV. Den används inte för träning.

B. Begäranden från myndigheter

Om personuppgiftsbiträdet tar emot en rättsligt bindande begäran från en myndighet om att lämna ut personuppgifter som behandlas enligt detta avtal, ska personuppgiftsbiträdet genast underrätta den personuppgiftsansvarige, om inte lagen förbjuder det.
Personuppgiftsbiträdet ska bedöma om begäran är laglig innan något lämnas ut, och får inte lämna ut mer än begäran rättsligt kräver.

C. Granskning

Den personuppgiftsansvarige kan begära information enligt klausul 7.6 c skriftligen till hei@sayable.no. Personuppgiftsbiträdet svarar inom 15 arbetsdagar, med skriftliga svar, dokumentation av åtgärderna i bilaga III och underleverantörernas egna granskningsrapporter och certifieringar, i den mån personuppgiftsbiträdet har tillgång till dem.
Granskning och inspektion enligt klausul 7.6 d aviseras minst 30 dagar i förväg och sker högst en gång per kalenderår, om det inte har inträffat en personuppgiftsincident eller det finns tecken på bristande efterlevnad. En oberoende revisor ska vara bunden av tystnadsplikt.
Den personuppgiftsansvarige står för kostnaderna för granskningen, om inte granskningen visar väsentliga brott mot detta avtal.
Underleverantörernas lokaler och system granskas genom deras egna granskningsordningar och rapporter.

D. Radering och återlämnande när avtalet upphör

Med företagsstyrning avvecklas teamet när avtalet upphör, antingen abonnemanget upphör eller ägaren lägger ner teamet. Avvecklingen pågår i 30 dagar från det att alla i teamet har fått e-post om den. Under den tiden kan teamets ägare och administratörerna exportera medlemmarnas data, och ägaren kan starta abonnemanget igen, vilket stoppar avvecklingen.
Den personuppgiftsansvarige väljer återlämnande genom att exportera uppgifterna under avvecklingen. Annars raderas de.
Efter 30 dagar raderar personuppgiftsbiträdet alla konton i teamet med innehållet, även ägarens. Ägaren kan också välja att radera allt direkt. Ägaren får e-post när allt är raderat, och personuppgiftsbiträdet bekräftar raderingen skriftligen när den personuppgiftsansvarige ber om det.
Kopior i säkerhetskopiorna hos Railway raderas när säkerhetskopiorna löper ut, senast 27 dagar efter att uppgifterna raderades från tjänsten, och används fram till dess bara för att återställa hela tjänsten. Återställs en kopia gör servern raderingarna efter kopian igen.
Kopior på medlemmarnas egna enheter, till exempel möten som spelats in på Mac eller Windows, raderas inte av tjänsten. De är den personuppgiftsansvariges ansvar.
Utan företagsstyrning bestämmer medlemmarna själva över sina konton, och uppgifterna finns kvar där när teamet upphör. För att personuppgiftsbiträdet ska radera allt när avtalet upphör måste företagsstyrning vara påslagen.

E. Giltighetstid, ansvar och lagval

Avtalet gäller så länge personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvarige genom Sayable Team, och därefter tills uppgifterna har raderats eller återlämnats enligt klausul 10 d och tilläggsvillkor D.
Ansvaret mellan parterna är begränsat enligt villkoren för Sayable punkt 7: till det kunden har betalat för tjänsten de senaste 12 månaderna. Begränsningen gäller inte ansvar gentemot de registrerade, och inte ansvar som inte kan friskrivas enligt norsk lag.
Avtalet lyder under norsk rätt, med Oslo tingsrätt (Oslo tingrett) som behörig domstol.

Bilaga I – Förteckning över parter

Personuppgiftsansvarig

Kunden (Team-kontots ägare för organisationens räkning).
Namn, adress och kontaktperson: organisationen och kontaktuppgifterna som står på Team-kontot. Kontaktpersonen är Team-kontots ägare, om inte kunden anger någon annan till hei@sayable.no.
Dataskyddsombud: kundens eget, om kunden har ett.
Underskrift och anslutningsdatum: avtalet gäller från det att kunden började använda Team. I en undertecknad kopia fylls namn, organisationsnummer, adress och kontaktperson i, och kunden skriver under.

Personuppgiftsbiträde

A-JOB AS, organisationsnummer 836 280 652 (Norge).
Adress: Lysaker torg 35, 1366 Lysaker, Norge.
Kontakt: Sayable-teamet, hei@sayable.no.
Dataskyddsombud: A-JOB AS har inget dataskyddsombud.
Underskrift: i en undertecknad kopia skriver en person med firmateckningsrätt för A-JOB AS under.

Bilaga II – Beskrivning av behandlingen

Företagsstyrning

Team-kontots ägare slår på företagsstyrning (”Bedriftsstyring”) i Sayable. Har teamet andra medlemmar gäller den 14 dagar senare, och medlemmarna får e-post med datumet. När den gäller hör allt på medlemmarnas konton till kunden: möten, inspelningar och video, transkriberingar, protokoll, uppgifter, anteckningar, ordlista och egna protokollmallar. En medlem kan då inte lämna teamet själv, och en inaktiverad medlem kan inte logga in.

Utan företagsstyrning bestämmer varje medlem över sitt eget konto. Kunden kan då inte sätta raderingsfrist eller exportera och radera medlemmarnas data, och när teamet upphör finns uppgifterna kvar på medlemmarnas konton. Instruktionerna om raderingsfrist, export och radering nedan, och tilläggsvillkor D, förutsätter företagsstyrning.

Kategorier av registrerade

Medlemmarna: kundens anställda och andra som har bjudits in till teamet.
Deltagare i möten som en medlem spelar in eller transkriberar, både interna och externa, till exempel kunder, samarbetspartner och kandidater.
Personer som nämns i inspelningar, transkriberingar, protokoll och anteckningar.
Personer som kontaktar Sayables support för kundens räkning.

Kategorier av personuppgifter

Kontot: e-postadress, roll i teamet (ägare, administratör eller medlem), när kontot skapades och senast användes, vilka appar det används från, enheternas namn, och inloggningarna med app och tidpunkt. Vid inloggning med företagskonto även ett fast id för kontot och företagets id hos Microsoft eller Google, och när kopplingen gjordes och senast användes.
Innehållet: inspelningar (ljud, och video när det har valts), transkriberingar med tidpunkter och talare, namnen som medlemmen ger talarna, protokoll, anteckningar, uppgifter, mötestitlar (även från kalendern när den är påslagen), ordlista och protokollmallar.
Metadata: datum, längd, status för behandlingen, vad som har delats i teamarkivet och av vem, och offentliga delningslänkar.
Teamets granskningslogg: inloggning och utloggning, ändringar i teamet och delningar, med vem, vad och när, men aldrig innehåll från mötena.
Användning: transkriberade minuter, lagringsutrymme och antal AI-anrop.
Tekniska uppgifter: IP-adress och tidpunkter i serverns driftloggar och i trafiken genom Cloudflare, och felrapporter utan innehåll.
Support: det som skickas till hei@sayable.no.

Känsliga personuppgifter

Tjänsten är inte gjord för känsliga uppgifter, men inspelningar och transkriberingar kan innehålla sådana uppgifter om de sägs i mötet, till exempel uppgifter om hälsa eller medlemskap i fackförening. Kunden avgör om sådana möten ska spelas in, och om de ska behandlas lokalt eller i molnet. Följande begränsningar och skyddsåtgärder gäller:

Talaruppdelningen räknar ut röstdrag medan mötet behandlas och kastar dem med jobbet. Inga röstavtryck lagras, röster från ett möte matchas aldrig mot ett annat, och ingen biometrisk identifiering sker.
En medlems möten är bara tillgängliga för medlemmen, och för teamet när medlemmen själv har delat dem. Teamets ägare och administratörer kan inte läsa odelade möten i Sayable. Med företagsstyrning kan ägaren sätta en raderingsfrist, och ägaren och administratörerna kan exportera och radera data för en inaktiverad medlem. Exporten är det enda undantaget: den förs i teamloggen, och medlemmen får e-post innan den görs.
A-JOBs adminpanel visar aldrig innehållet i mötena.
I lokalt läge på Mac, Windows, iPhone och Android skickas innehållet inte till A-JOB eller underleverantörerna (se ”Lokal behandling och molnet” nedan).

Behandlingens art

Insamling genom apparna för Mac, Windows, iPhone och Android, Chrome-tillägget och Sayable på webben; lagring; transkribering och talaruppdelning; textbehandling med språkmodell (protokoll, chatt, insikter, uppgifter och städning av diktering); delning i teamarkivet och via länk när medlemmen själv väljer det; utskick av e-post och aviseringar; export och radering.

Ändamål och dokumenterade instruktioner

Personuppgifterna behandlas bara för att leverera Sayable Team till kunden, enligt dessa instruktioner:

Lagra möten, anteckningar och inställningar för medlemmarna, och synka dem mellan deras enheter.
Transkribera ljud, dela upp talare och skapa protokoll, chatt, insikter och uppgifter när medlemmen använder molnet.
Dela möten i teamarkivet och via länk när medlemmen själv väljer det, inom vad teamets ägare och administratörer har tillåtit för offentliga länkar.
Ge teamets ägare och administratörer teamets granskningslogg och översikten över medlemmarnas offentliga länkar, och låta dem dra tillbaka länkar, begränsa teamet till organisationens e-postdomäner och inaktivera medlemmar.
Med företagsstyrning: radera möten och anteckningar som är äldre än raderingsfristen som teamets ägare har satt, räknat från mötets datum, även möten som medlemmen inte har delat, normalt senast ett dygn efter att fristen har passerats. En ny eller kortare frist gäller efter 14 dagar, med e-post till medlemmarna.
Med företagsstyrning: exportera eller radera data för en inaktiverad medlem när teamets ägare eller en administratör ber om det, utan att medlemmen behöver logga in (ägaren för alla, administratörerna för vanliga medlemmar), och avveckla teamet enligt tilläggsvillkor D när avtalet upphör.
Använda underleverantörerna och överföringarna i bilaga IV.
Ge support när kunden eller en medlem ber om det.
Radera enligt ”Behandlingens varaktighet” nedan, och i övrigt enligt kundens instruktioner.

Följande gör A-JOB AS som personuppgiftsansvarig själv, och det omfattas inte av detta avtal: fakturering och betalning, kontosäkerhet och förebyggande av missbruk, bokföring, A-JOBs egna driftloggar och felrapporter, e-post om kontot, och uppföljning av kundrelationen, även siffror för hur kontona används, aldrig innehåll. Det beskrivs i integritetspolicyn.

Behandlingens varaktighet

Så länge kunden använder Sayable Team, och därefter tills uppgifterna har raderats eller återlämnats enligt klausul 10 d och tilläggsvillkor D. Under avtalsperioden gäller:

Möten, transkriberingar och protokoll lagras tills medlemmen raderar dem, eller, med företagsstyrning, tills de är äldre än raderingsfristen som teamets ägare har satt.
Exportfiler raderas 7 dagar efter att de skapades.
Raderingslistan finns i 100 dagar, se ”Tillgänglighet och återställning” i bilaga III.
Texten från en molntranskribering av ett möte som bara sparas på datorn finns hos A-JOB tills appen har hämtat den, normalt högst ett dygn.
Diktering som skickas från telefonen till Macen raderas efter ungefär en timme.
Teamets granskningslogg raderas efter 13 månader.
Fel- och kraschrapporter raderas efter 90 dagar.
Raderar en medlem sitt konto raderas innehållet, inspelningarna och jobben hos Gladia. Vad som behålls står på sidan om att radera kontot.
Kopior i säkerhetskopiorna finns kvar i högst 27 dagar, se tilläggsvillkor D punkt 4.

Lokal behandling och molnet

Mac: två reglage, transkribering och text-AI, var för sig. Med båda på lokalt sker transkribering, talaruppdelning och protokoll på Macen. I molnet strömmas diktering till Gladia, möten skickas som hela filer till A-JOB, som skickar dem till Gladia, och text-AI går till Microsoft.
Windows: ett reglage. I lokalt läge sker transkribering, talaruppdelning och protokoll på datorn, och inget laddas upp. I molnet skickas inspelningen till A-JOB och sparas i molnet, eller transkriberas bara och sparas på datorn, beroende på valet ”bara på datorn”.
iPhone och Android: i lokalt läge sker transkribering och protokoll på telefonen. I molnet som på Mac.
Chrome-tillägget: alltid molnet.
Även i lokalt läge går följande till A-JOB när medlemmen är inloggad: inloggningen, antalet transkriberade minuter, ordlistan, protokollmallar som medlemmen har valt att synka, anteckningarna när synkning av anteckningar är på (på som standard för Team på Mac och Windows), meddelandet om att Macen spelar in med Macens namn, och felrapporter utan innehåll.
Standard i apparna är molnet. Varje medlem väljer själv, och kunden kan inte låsa valet i dag.

Bilaga III – Tekniska och organisatoriska åtgärder

Åtgärderna nedan används. Det som är planerat står inte här. Sayable har inga certifieringar som ISO 27001 eller SOC 2.

Kryptering

All trafik till sayable.no, app.sayable.no, api.sayable.no och dl.sayable.no går krypterad (TLS) till Cloudflare, som skickar den vidare till servern hos Railway. Servern ber webbläsaren att bara använda krypterad anslutning (HSTS).
Databasen hos Railway och inspelningarna i Cloudflare R2 är krypterade på disk av leverantörerna.
Text i Sayable, som möten, transkriberingar, protokoll, anteckningar, uppgifter och ordlistan, är dessutom krypterad med en egen nyckel per kund (AES-256-GCM). Nycklarna är inslagna med en huvudnyckel i Azure Key Vault, med HSM, i Sverige. Servern dekrypterar texten när den ska visas eller behandlas. Inspelningarna (ljud och video) har inte den här ordningen ännu.
Apparna krypterar inte mötena på disken. På Mac och Windows skyddas de av datorns diskkryptering (FileVault, BitLocker), som kunden själv styr. Inloggningen sparas i nyckelringen på Mac och i Credential Manager på Windows.

Inloggning och åtkomst

Inga lösenord. Inloggning med länk eller sexsiffrig kod via e-post, giltig i 15 minuter och en gång. Koden lagras hashad och kan provas fem gånger. Gränser per IP-adress och per e-postadress.
Ägaren eller en administratör kan bevisa med en post i DNS att en domän tillhör företaget och koppla den till företagets konto hos Microsoft Entra ID eller Google Workspace. Ägaren kan sedan kräva att alla med en adress på domänen loggar in med företagskontot. Då gäller företagets egen tvåfaktorsautentisering och åtkomstregler, och inloggning med länk eller kod via e-post är stängd för dem. Sayable ber bara om e-postadressen och får ingen åtkomst till e-post, kalender eller filer.
På webben och i apparna för Mac, Windows och Android fungerar länken och koden bara i webbläsaren eller på enheten som begärde dem.
Varje inloggning är en egen session med fast livslängd som inte förlängs. Medlemmen ser sina sessioner och kan logga ut en eller alla. Loggar medlemmen ut på webben, eller loggar ut en session från listan, blir sessionen ogiltig på servern.
Teamet har rollerna ägare, administratör och medlem. Ägaren och administratörerna bjuder in och tar bort medlemmar. Inbjudningar gäller i sju dagar.
Ägaren och administratörerna kan begränsa teamet till organisationens e-postdomäner. Då kan ingen utanför domänerna bjudas in eller gå med.
Ägaren och administratörerna kan inaktivera en medlem. Medlemmen förlorar direkt åtkomsten till teamet och teamarkivet och loggas ut på alla enheter. Detsamma sker när en medlem tas bort. Med företagsstyrning kan en inaktiverad medlem inte heller logga in.
En medlem ser bara sina egna möten och det som andra har delat till teamarkivet. Ägaren och administratörerna ser bara det som är delat, och kan inte läsa medlemmarnas odelade möten i Sayable. Undantaget är exporten av en inaktiverad medlems data med företagsstyrning.

Delning

Offentlig länk bara när medlemmen väljer det. Länken har en slumpmässig nyckel på 16 byte. Sidan visar titel, datum, längd och protokoll, aldrig transkriberingen. Inspelningen är bara med när medlemmen har valt det, och spelas upp via adresser som gäller i 15 minuter.
Ägaren och administratörerna kan stänga av offentliga länkar för hela teamet, sätta en längsta livslängd för nya länkar, se medlemmarnas aktiva länkar utan titel och innehåll, och dra tillbaka dem.
Delningssidorna ber sökmotorer att hålla sig borta, skickar ingen hänvisningsadress vidare och tar emot högst 60 anrop i minuten per IP-adress.
Låsta möten kan inte delas. En länk slutar fungera när medlemmen drar tillbaka den, när den löper ut, eller när mötet eller kontot raderas.

Loggning

Teamets granskningslogg visar ägaren och administratörerna när medlemmarna loggar in och ut, ändringar i teamet (inbjudningar, medlemmar, roller, platser, domäner, val för delning, företagsstyrning och raderingsfrist), delningar och exporter, med vem och när, men aldrig innehåll. Raderingar enligt fristen förs bara som antal. Loggen raderas efter 13 månader.
A-JOBs egna åtgärder i adminpanelen förs i en separat granskningslogg, och inloggning i adminpanelen aviseras via e-post.
Serverns driftloggar lagras hos Railway i USA.

A-JOBs egna åtkomster

Adminpanelen har ingen åtkomst till möteslagret och visar aldrig inspelningar, transkriberingar eller protokoll.
Bara A-JOB har åtkomst till drift, databas och nycklar hos oss. Hemligheter ligger i Railways miljövariabler och delas inte i chatt eller e-post.
Källkoden går igenom pull request och automatiska tester innan den tas i bruk.

Dataminimering

Servern använder inga verktyg från tredje part för loggning, analys eller felspårning. Mac- och Windows-appen har inga inbyggda analys- eller reklamverktyg från tredje part.
Text-AI går bara till godkända adresser inom EU (Azure OpenAI i Sweden Central). Servern stoppar anrop till alla andra adresser innan något skickas.
Livesessioner hos Gladia skapas i Gladias EU-region.
Vi ber Gladia radera ljud och text när texten har sparats, och vid fel. Ett dagligt jobb rensar det som blev kvar.
Aviseringar till iPhone innehåller inte mötets titel, om inte medlemmen har slagit på det.
Felrapporterna innehåller aldrig inspelningar eller text. Kraschrapporter från apparna skickas bara efter användarens ja.

Radering

Raderar en medlem ett möte töms titel och innehåll direkt, uppgifter och delningar tas bort, och inspelningsfilerna i R2 raderas. R2 har ingen versionshantering, så en raderad fil kan inte återställas.
Med företagsstyrning och raderingsfrist raderas möten och anteckningar som är äldre än fristen automatiskt på samma sätt, normalt senast ett dygn efter att fristen har passerats.
Efter raderingen finns bara en markering kvar med mötets id och tekniska tidsstämplar, utan titel, datum, längd eller innehåll, så att apparna vet att mötet är raderat.
Kopior på medlemmarnas egna datorer och telefoner, till exempel möten som spelats in på Mac eller Windows, raderas inte av tjänsten. De är kundens ansvar.
Raderar en medlem kontot raderas kontot, mötena, inspelningarna och jobben hos Gladia. Vad som behålls står på sidan om att radera kontot.
Fasta raderingsfrister: diktering som skickats till Macen efter ungefär en timme, exportfiler efter 7 dagar, fel- och kraschrapporter efter 90 dagar, raderingslistan efter 100 dagar, teamets granskningslogg efter 13 månader och e-postloggen efter 12 månader.

Tillgänglighet och återställning

Databasen säkerhetskopieras hos Railway varje dag och varje vecka. De dagliga kopiorna sparas i 6 dagar och de veckovisa i 27 dagar.
Kopiorna används bara för att återställa hela tjänsten efter en olycka, aldrig en enskild kunds data. Varje radering av ett möte, en anteckning eller ett konto skrivs också i en raderingslista i R2, utanför databasen, utan titlar, innehåll eller e-postadress. Återställs databasen från en kopia gör servern raderingarna på listan igen när den startar och därefter varje timme, så att raderade data inte kommer tillbaka. Listan raderas efter 100 dagar.
A-JOB tar inga egna säkerhetskopior därutöver. Inspelningarna i R2 har inga säkerhetskopior.

Stöd till kunden (klausul 8)

Begäranden från registrerade och från kunden skickas till hei@sayable.no. Vi svarar inom 5 arbetsdagar.
Tillgång och dataportabilitet: medlemmen kan ladda ner transkriberingar, protokoll och inspelningar i Sayable på webben. Med företagsstyrning kan teamets ägare och administratörer exportera data för en inaktiverad medlem som en zip-fil med mötena (transkribering, protokoll och inspelning), anteckningarna, ordlistan och protokollmallarna. Medlemmen får e-post när exporten beställs, länken fungerar i 15 minuter och filen raderas efter 7 dagar.
Radering: medlemmen raderar själv möten eller kontot. Med företagsstyrning kan teamets ägare sätta en raderingsfrist, och ägaren och administratörerna kan radera kontot för en inaktiverad medlem.
Konsekvensbedömning avseende dataskydd: vi tillhandahåller detta avtal, sidorna om underleverantörer och säkerhet, och svar på säkerhetsfrågor.

Personuppgiftsincident (klausul 9.2)

Vi underrättar kunden utan onödigt dröjsmål och senast 48 timmar efter att vi fick kännedom om incidenten, via e-post till kontaktpersonen i bilaga I.
Fristen gäller även incidenter hos en underleverantör, räknat från när vi fick veta om den.
Vi har en skriftlig rutin för incidenter och för logg över alla incidenter, även dem som inte anmäls.

Bilaga IV – Förteckning över underleverantörer

Kunden har godkänt dessa underleverantörer. Förteckningen är den överenskomna förteckningen i klausul 7.7 a, och samma förteckning finns på sidan om underleverantörer.

Vi meddelar nya eller utbytta underleverantörer via e-post till Team-kontots ägare minst 30 dagar innan de anlitas. Ändrar en underleverantör sina egna underleverantörer meddelar vi så snart vi har fått veta det, och senast fem arbetsdagar efter. Kunden kan invända genom att svara på e-postmeddelandet eller skriva till hei@sayable.no. Hittar vi ingen lösning kan kunden säga upp Team innan ändringen börjar gälla.

Railway Corporation · USA

Roll	Driver Sayables server och databas.
Data	Allt innehåll i molnet utom själva inspelningarna: transkriberingar, protokoll, anteckningar, uppgifter, titlar och inställningar, och kontona (e-postadress, team och användning). Serverns driftloggar, som kan innehålla konto-id:n, e-postadresser och IP-adresser.
Var	Servern och databasen: Amsterdam, Nederländerna (EU). Driftloggarna: USA. Railway uppger att företaget har sin huvudsakliga drift i USA.
Grund för överföring	EU–US Data Privacy Framework och EU:s standardavtalsklausuler i Railways personuppgiftsbiträdesavtal, som A-JOB har undertecknat.

Cloudflare, Inc. (R2) · USA

Roll	Lagrar inspelningarna.
Data	Ljud och video från mötena du sparar i molnet.
Var	EU.
Grund för överföring	Lagras inom EU. EU–US Data Privacy Framework och EU:s standardavtalsklausuler i Cloudflares personuppgiftsbiträdesavtal.

Cloudflare, Inc. (namnserver och proxy) · USA

Roll	All trafik till sayable.no, app.sayable.no, api.sayable.no och dl.sayable.no går via Cloudflare, som skickar den vidare till servern.
Data	Allt som skickas mellan dig och tjänsten, även innehållet, och din IP-adress.
Var	Cloudflares datacenter närmast dig. Det kan ligga utanför EU/EES.
Grund för överföring	EU–US Data Privacy Framework och EU:s standardavtalsklausuler i Cloudflares personuppgiftsbiträdesavtal.

Gladia SAS · Frankrike

Roll	Transkriberar ljud i molnet, ger livetext och skiljer talarna åt. Vi ber Gladia radera ljudet och texten när texten har sparats hos oss.
Data	Ljudet från möten och dikteringar, och texten som kommer tillbaka.
Var	Livetext: EU. Hela filer: vi väljer ingen region när filen skickas, och Gladias personuppgiftsbiträdesavtal tillåter behandling i Europa och USA. Gladia använder själv Amazon Web Services (USA), Modal Labs (EU och USA) och Gladia Inc. (USA).
Grund för överföring	Vid behandling utanför EU/EES: EU:s standardavtalsklausuler eller EU–US Data Privacy Framework, enligt Gladias personuppgiftsbiträdesavtal.

Microsoft (Azure OpenAI) · USA

Roll	Text-AI i molnet: protokoll, chatt, insikter, uppgifter och städning av diktering.
Data	Transkriberingen, anteckningarna och frågorna som skickas till språkmodellen, och svaret.
Var	Sverige, och i övrigt inom EU. Microsoft kan i Sverige lagra innehåll som deras missbruksövervakning har flaggat, och låta behöriga anställda inom EES läsa det.
Grund för överföring	Behandlas inom EU. EU–US Data Privacy Framework och EU:s standardavtalsklausuler i Microsofts personuppgiftsbiträdesavtal.

Plus Five Five, Inc. (Resend) · USA

Roll	Skickar e-post från Sayable: inloggning, inbjudningar till team och meddelanden om kontot.
Data	E-postadressen och innehållet i e-postmeddelandet, till exempel en inloggningslänk, teamets namn och vem som bjöd in.
Var	Skickas från Irland (EU). Resend uppger att den huvudsakliga behandlingen sker i USA.
Grund för överföring	EU–US Data Privacy Framework och EU:s standardavtalsklausuler.

Apple Inc. (Apple Push Notification service) · USA

Roll	Levererar aviseringar till iPhone-appen.
Data	En aviseringsnyckel för telefonen, och texten i aviseringen: att ett protokoll är klart, eller namnet på Macen som spelar in. Mötets titel bara om du själv har slagit på ”Visa mötestitel i aviseringar”.
Var	USA. Kan en avisering inte levereras direkt kan Apple hålla den senaste i upp till 30 dagar.
Grund för överföring	Överföringen bygger på Apples egna villkor: Apple Inc. ingår inte i EU–US Data Privacy Framework, och Apples utvecklarvillkor (Apple Developer Program License Agreement), som gäller för aviseringstjänsten, innehåller varken personuppgiftsbiträdesavtal eller EU:s standardavtalsklausuler. Apple skriver att företagets egna överföringar från EES bygger på standardavtalsklausuler. Vi har inget eget överföringsavtal med Apple och skickar därför så lite som möjligt i aviseringarna.

Microsoft (Microsoft 365) · USA

Roll	E-posten till hei@sayable.no, och kalendern och Teams-mötet när du bokar en genomgång med oss.
Data	Det du skriver till oss, med bilagor, och namn och e-postadress.
Var	EU/EES.
Grund för överföring	Behandlas inom EU/EES. EU–US Data Privacy Framework och EU:s standardavtalsklausuler i Microsofts personuppgiftsbiträdesavtal.

Varaktighet

Railway, Cloudflare, Resend och Microsoft 365: så länge avtalet löper, och tills uppgifterna har raderats.
Gladia: tills vi har raderat jobbet, normalt när texten har sparats, annars inom ett dygn genom den dagliga rensningen.
Microsoft (Azure OpenAI): förfrågan behandlas och lagras inte, utom innehåll som missbruksövervakningen flaggar.
Apple: tills aviseringen har levererats. Kan den inte levereras direkt kan Apple hålla den senaste aviseringen i upp till 30 dagar.

Inte underleverantörer

Stripe, App Store och Google Play: betalningen. Där är A-JOB AS, Apple eller Google själva personuppgiftsansvariga.
Hugging Face och GitHub: modellerna som körs på enheten laddas ner därifrån. Inget ljud, ingen text och ingen kontoinformation skickas dit.
OpenAI, xAI och Gladia med egna API-nycklar: en medlem som själv äger en Sayable Lokal-licens kan använda egna nycklar. Då går ljud eller text direkt till leverantören enligt medlemmens eget avtal, utan att gå via oss. Kunden kan inte spärra detta i dag.
Google Analytics, Google Ads och Meta: gäller bara webbplatsen sayable.no, med samtycke.

Läs också integritetspolicyn, villkoren och hur vi skyddar tjänsten. Frågor skickar du till hei@sayable.no.

Personuppgiftsbiträdesavtal för Sayable Team