Senast uppdaterad 2026-09-24
Personuppgiftsbiträdesavtal
Version 2026-09-24
Parter
Personuppgiftsansvarig: det företag som anges när avtalet godkänns ("Kunden").
Personuppgiftsbiträde: Dugg Studios AB, org.nr 559591-2162, Kärnvedsgatan 57, 431 51 Mölndal, som säljer tjänsten under namnet Novagent ("Novagent"). Kontaktperson: Jonas Granér, info@novagent.se.
Avtalet är en del av Novagents tjänsteavtal och ingås elektroniskt samtidigt med det.
1. Bakgrund och syfte
Kunden använder Novagents tjänst för automatiserad hantering av telefonsamtal, beställningar och bokningar ("Tjänsten"). Novagent behandlar då personuppgifter för Kundens räkning. Detta avtal reglerar behandlingen enligt EU:s dataskyddsförordning (GDPR) artikel 28.
2. Behandlingen
| Aspekt | Beskrivning |
|---|---|
| Föremål | Mottagning av telefonsamtal, omvandling till strukturerad beställning eller bokning, vidareförmedling till Kunden samt lagring av tillhörande data |
| Varaktighet | Tjänsteavtalets löptid samt lagringstiderna i punkt 7 |
| Syfte | Att Kundens gäster kan beställa och boka via telefon utan att Kunden behöver bemanna telefonen |
| Behandlingens art | Automatiserad insamling, lagring, vidareförmedling och radering |
| Typer av personuppgifter | Telefonnummer, namn, beställnings- och bokningsinnehåll, eventuell leveransadress, samtalsljud i realtid (lagras inte hos Novagent), samtalstranskript |
| Registrerade | Kundens gäster som ringer för att beställa eller boka |
3. Instruktioner
Novagent behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Grundinstruktionen är att leverera Tjänsten enligt tjänsteavtalet. Ytterligare instruktioner ges skriftligen till info@novagent.se.
4. Sekretess
Novagent ser till att alla som har åtkomst till personuppgifterna omfattas av lagstadgad eller avtalad tystnadsplikt.
5. Säkerhet (artikel 32)
Novagent har bland annat följande tekniska och organisatoriska skyddsåtgärder:
- TLS-kryptering för all extern trafik
- Krypterad databas hos leverantör inom EU (Supabase, Frankfurt)
- Åtkomst till driftservrar endast med SSH-nycklar
- Tvåfaktorsinloggning hos leverantörer där det erbjuds
- Loggning av åtkomst till driftsystem
- Brandvägg på driftserver, endast nödvändiga portar öppna
- Automatiska säkerhetsuppdateringar av operativsystemet
- Övervakning med larm vid driftavbrott
6. Underbiträden
Kunden godkänner följande underbiträden genom att godkänna detta avtal:
| Underbiträde | Roll | Behandlingsort | Överföring |
|---|---|---|---|
| 46elks AB | Telefoni och SMS | Sverige | Inom EU |
| ElevenLabs Inc. | Taligenkänning, samtals-AI och talsyntes | USA | EU–U.S. Data Privacy Framework samt standardavtalsklausuler (SCC) |
| Supabase Inc. | Order- och bokningsdatabas | EU (Frankfurt) | SCC för eventuell supportåtkomst från tredjeland |
| Resend | E-post med beställningar och bokningar | EU, viss behandling i USA | EU–U.S. Data Privacy Framework samt SCC |
| UpCloud Oy | Serverdrift | Finland (Helsingfors) | Inom EU |
Novagent meddelar Kunden via e-post minst 14 dagar innan ett underbiträde tillkommer eller byts ut. Invänder Kunden på saklig grund och ingen lösning nås får Kunden säga upp avtalet att upphöra omedelbart. Novagent ansvarar gentemot Kunden för underbiträdenas behandling.
7. Lagringstid och radering
| Datatyp | Lagringstid |
|---|---|
| Samtalstranskript och analys | 90 dagar |
| Beställningar och bokningar (drift) | 24 månader |
| Uppgifter som ingår i fakturaunderlag | 7 år (bokföringslagen) |
| Samtalsljud | Sparas inte hos Novagent. ElevenLabs lagrar enligt sin egen policy. |
| Misslyckade orderleveranser | Högst 30 dagar efter manuell hantering |
När tjänsteavtalet upphör raderar eller återlämnar Novagent personuppgifterna inom 30 dagar, om inte Kunden begär kortare tid eller lag kräver längre lagring.
8. De registrerades rättigheter
Kunden besvarar i första hand de registrerades begäranden (tillgång, rättelse, radering, dataportabilitet, invändning). Novagent hjälper Kunden och svarar på Kundens förfrågningar inom 14 dagar.
9. Personuppgiftsincidenter (artikel 33)
Novagent meddelar Kunden utan onödigt dröjsmål, senast 24 timmar efter att en personuppgiftsincident upptäckts. Meddelandet innehåller en beskrivning av incidenten, berörda kategorier och omfattning, vidtagna åtgärder och kontaktperson.
10. Överföring till tredjeland
Realtidsbearbetning av röst sker hos ElevenLabs Inc. i USA. Överföringen sker med stöd av EU–U.S. Data Privacy Framework, där ElevenLabs är certifierat, och kompletteras med EU-kommissionens standardavtalsklausuler.
11. Granskning (artikel 28.3 h)
Kunden får efter skriftlig begäran och med 30 dagars varsel ta del av Novagents dokumentation om skyddsåtgärderna. Vid skälig misstanke om avtalsbrott får Kunden efter samråd genomföra en granskning på Novagents bekostnad.
12. Ansvar
Ansvarsbegränsningen i tjänsteavtalet gäller även detta avtal, utom där tvingande lag föreskriver annat.
13. Avtalstid
Avtalet gäller så länge tjänsteavtalet gäller och därefter tills alla personuppgifter raderats eller återlämnats enligt punkt 7.
14. Tillämplig lag och tvist
Svensk lag gäller. Tvister avgörs av allmän domstol med Göteborgs tingsrätt som första instans.