Bilaga 1 till villkoren

Personuppgiftsbiträdesavtal

Det här avtalet gäller när NaTelo AI behandlar personuppgifter om era kunder för er räkning — i AI-agentens mejl, ärenden och bokningar.

Version 1.3 · uppdaterad 2026-11-06 · träder i kraft den dag beställningar öppnar. Tidigare versioner: 1.2, 1.1, 1.0 (2026-11-05). Se versionshistoriken.

1. Parter och när avtalet gäller

Personuppgiftsansvarig är det företag som har beställt tjänsten, så som det anges i avtalsbekräftelsen.

Avtalet gäller bara företagskunder. En privatperson är normalt inte personuppgiftsansvarig för någon egen verksamhets kunduppgifter, och ett biträdesavtal skulle då sakna innebörd. Visar det sig att en kund som angett sig som privatperson ändå använder tjänsten i näringsverksamhet, gäller det här avtalet från den tidpunkten.

Avtalet gäller från det att ni beställer tjänsten och så länge NaTelo AI behandlar personuppgifter för er räkning. Det gäller före de allmänna villkoren och de särskilda villkoren för företag i frågor om behandling av personuppgifter.

Begrepp som personuppgift, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident har samma betydelse som i EU:s dataskyddsförordning (2016/679), nedan GDPR.

2. Föremål, varaktighet, art och ändamål

3. Vilka personuppgifter och vilka personer

Kategorier av registrerade

• Era kunder och andra personer som skriver till AI-agentens e-postadress.
• Er personal, i den mån de förekommer i ärenden, eskaleringar eller bokningar.
• När Instagram DM-agenten tas i bruk: personer som skriver till ert Instagram-konto.

Kategorier av personuppgifter

• Kontaktuppgifter: namn och e-postadress, och telefonnummer om personen själv anger det.
• Innehållet i meddelanden: det personen skriver, och de svar agenten skickar eller föreslår.
• Ärendeuppgifter: ärendetyp, angelägenhetsgrad, sammanfattning till personal, och om ärendet lämnats över.
• Bokningsuppgifter (AI Auto Booking): vald tjänst, datum och tid, bokningens identitet i kalendern, samt om den har flyttats eller avbokats.
• Tekniska uppgifter som uppstår i driften: tidpunkter, meddelande-id, konversations-id och felkoder.

Känsliga personuppgifter

Tjänsten är inte avsedd för särskilda kategorier av personuppgifter enligt artikel 9 i GDPR, till exempel hälsouppgifter, eller för uppgifter om lagöverträdelser. Ni ska inte instruera agenten att samla in eller hantera sådana uppgifter, och ni ska utforma era tjänstebeskrivningar och frågor så att era kunder inte uppmanas att lämna dem.

Vi kan inte hindra att en person på eget initiativ skriver en känslig uppgift i ett fritt mejl. Sådana uppgifter behandlas då som en del av meddelandet, raderas enligt § 13, och agenten är instruerad att lämna över ärendet till er personal i stället för att behandla frågan själv.

4. Våra instruktioner och era skyldigheter

Vi behandlar bara på era instruktioner

NaTelo AI behandlar personuppgifterna enbart enligt era dokumenterade instruktioner. Som dokumenterade instruktioner räknas:

• det här avtalet, de allmänna villkoren och företagsvillkoren,
• de uppgifter och inställningar ni lämnar i onboardingen,
• de inställningar ni gör i kundpanelen NaTelo AI Konto,
• och skriftliga instruktioner ni skickar till official@natelo.ai och som vi bekräftar.

Krävs en behandling av unionsrätten eller svensk rätt informerar vi er om det kravet innan behandlingen, om inte lagen förbjuder det.

Anser vi att en instruktion strider mot GDPR eller annan dataskyddslagstiftning informerar vi er utan onödigt dröjsmål. Vi får då avvakta med att utföra den delen av instruktionen tills frågan är löst.

Vi får inte överföra uppgifterna till någon annan personuppgiftsansvarigs ändamål och behandlar dem inte för egna ändamål.

Era skyldigheter

• Ni ansvarar för att det finns en rättslig grund för behandlingen och för att informera era kunder om den, inklusive att en AI-agent används i er kundkommunikation.
• Ni ansvarar för att de uppgifter och den information ni lämnar till tjänsten är korrekta och att ni får dela dem med oss.
• Ni ansvarar för vem hos er som har tillgång till kundpanelen och till agentens ärenden.
• Ni ansvarar för era egna inställningar, till exempel vilken e-postadress eskalerade ärenden skickas till.

5. Sekretess

NaTelo AI drivs som enskild firma. Alla fysiska personer som arbetar under vår ledning och som får tillgång till personuppgifterna — i dag innehavaren, och i framtiden anställda eller anlitade konsulter — omfattas av sekretess, antingen genom lag eller genom ett skriftligt sekretessåtagande. Sekretessen gäller även efter att uppdraget eller avtalet har upphört.

Åtkomsten är begränsad till vad som behövs för att leverera och felsöka tjänsten. Vi läser inte innehållet i era kunders meddelanden rutinmässigt. Åtkomst sker när ni ber oss om hjälp, när det behövs för att utreda ett fel eller en säkerhetsincident, eller när lagen kräver det.

6. Säkerhetsåtgärder

NaTelo AI vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR. De åtgärder som är genomförda i dag:

Åtgärderna kan ändras över tid. En ändring får inte innebära en väsentligt lägre skyddsnivå än den som gällde när avtalet ingicks.

7. Underbiträden

Ni ger NaTelo AI ett allmänt skriftligt förhandsgodkännande att anlita underbiträden. Vid beställningen godkänner ni de underbiträden som anges nedan.

Nya och utbytta underbiträden

• Vi meddelar er skriftligen minst 30 dagar innan vi lägger till eller byter ut ett underbiträde som behandlar era kunders uppgifter.
• Ni kan invända mot ändringen inom den tiden, med sakliga dataskyddsskäl. Kan vi inte hitta en rimlig lösning får ni säga upp avtalet utan kostnad med verkan senast den dag ändringen träder i kraft, och utan att behöva iaktta uppsägningstiden.
• Vi ingår ett skriftligt avtal med varje underbiträde som ålägger det minst samma skyldigheter som de i det här avtalet, och vi ansvarar gentemot er för underbiträdets behandling som för vår egen.

8. Överföring utanför EU/EES

Vissa underbiträden är internationella företag och kan behandla uppgifter utanför EU/EES. En sådan överföring sker bara när den har stöd i kapitel V i GDPR — genom EU-kommissionens beslut om adekvat skyddsnivå, genom EU-kommissionens standardavtalsklausuler, eller genom en annan giltig mekanism — tillsammans med de kompletterande skyddsåtgärder som behövs.

Ni kan begära en sammanställning av vilka mekanismer som används, och en kopia av underlaget i den utsträckning vi får lämna ut det, genom att mejla official@natelo.ai.

9. Hjälp med de registrerades rättigheter

Era kunder vänder sig till er med sina rättigheter enligt GDPR, eftersom ni är personuppgiftsansvariga.

• Vi hjälper er med lämpliga tekniska och organisatoriska åtgärder så att ni kan uppfylla er skyldighet att svara — rätt till tillgång, rättelse, radering, begränsning, invändning och dataportabilitet.
• Vänder sig en registrerad direkt till oss svarar vi inte i sak. Vi bekräftar att begäran tagits emot och vidarebefordrar den till er utan onödigt dröjsmål, normalt inom 5 arbetsdagar.
• Vi svarar på er begäran om hjälp utan onödigt dröjsmål, normalt inom 10 arbetsdagar, så att ni hinner svara inom GDPR:s tidsfrist på en månad.
• Rimlig hjälp ingår i abonnemanget. För återkommande eller omfattande arbete utöver det kan vi ta betalt enligt löpande räkning, efter att ha meddelat er i förväg.

Uppgifter som Google eller Meta behandlar i sina egna system raderar vi inte åt er — där gäller respektive leverantörs rutiner.

10. Personuppgiftsincidenter

• Vi informerar er utan onödigt dröjsmål, och senast inom 24 timmar från det att vi fått kännedom om en personuppgiftsincident som rör uppgifter vi behandlar för er räkning.
• Beskedet innehåller det vi vet: incidentens art, vilka kategorier av uppgifter och ungefär hur många registrerade som berörs, sannolika följder, och vilka åtgärder vi har vidtagit eller föreslår. Saknas uppgifter lämnar vi dem i omgångar.
• Vi bistår er med den information ni behöver för en anmälan till Integritetsskyddsmyndigheten och för information till de registrerade.
• Det är ni som anmäler incidenten till tillsynsmyndigheten och, när det krävs, informerar de registrerade. Vi gör det inte åt er, eftersom ni är personuppgiftsansvariga.
• Vi dokumenterar incidenter som rör er behandling och lämnar dokumentationen på begäran.

11. Konsekvensbedömning och förhandssamråd

Behöver ni göra en konsekvensbedömning avseende dataskydd eller ett förhandssamråd med tillsynsmyndigheten hjälper vi er med den information om behandlingen som vi har och som ni rimligen behöver — hur tjänsten fungerar, vilka uppgifter som behandlas, vilka underbiträden som anlitas och vilka säkerhetsåtgärder som är genomförda.

12. Granskning och dokumentation

• Vi ger er den information som behövs för att visa att skyldigheterna i artikel 28 i GDPR följs. Begäran skickas skriftligen till official@natelo.ai, och vi svarar normalt inom 20 arbetsdagar.
• Ni har rätt att granska vår behandling, eller låta en oberoende granskare som ni utser göra det. En granskning ska aviseras minst 30 dagar i förväg, ske under normal arbetstid, inte oskäligt störa verksamheten och högst en gång per år — utöver vad en tillsynsmyndighet kräver eller vad som föranleds av en konstaterad incident.
• Granskaren ska omfattas av sekretess. Ni står för era egna kostnader. Vi kan ta betalt för vår egen tid vid en granskning som går utöver vad som behövs för att uppfylla artikel 28.
• Vi får uppfylla granskningsrätten genom att lämna aktuell dokumentation, till exempel en säkerhetsbeskrivning eller en rapport från en oberoende granskning, när den svarar på era frågor.

13. Radering och återlämnande vid avslut

• När avtalet upphör raderar vi, eller återlämnar till er, de personuppgifter vi behandlar för er räkning. Ni väljer vilket genom att meddela oss inom 30 dagar från avslutet.
• Meddelar ni inget raderar vi uppgifterna. Raderingen påbörjas 30 dagar efter att abonnemanget upphörde, så att ni hinner begära ut dem enligt § 17 i de allmänna villkoren.
• Befintliga kopior raderas, utom där unionsrätten eller svensk rätt kräver att uppgifterna sparas. Sparas något av det skälet talar vi om vad och varför, och uppgifterna behandlas då bara för det ändamålet.
• Bokningar som redan ligger i er Google Kalender raderas inte av oss. De tillhör er och ligger kvar hos er.
• Uppgifter kan finnas kvar en begränsad tid i säkerhetskopior och i leverantörers driftloggar innan de roteras ut. De är skyddade av samma säkerhetsåtgärder och behandlas inte aktivt.

14. Ansvar

Parternas ansvar enligt dataskyddsförordningen följer av artikel 82 och av förordningens övriga regler. Beloppsbegränsningen i § 6 i företagsvillkoren gäller inte ansvar som inte får begränsas enligt tvingande dataskyddslagstiftning.

I förhållandet mellan parterna gäller i övrigt att var och en bär ansvaret för den del av behandlingen som man själv svarar för: ni för den rättsliga grunden, informationen till era kunder och era egna instruktioner och inställningar, och vi för att följa instruktionerna och de åtgärder som anges i det här avtalet.

15. Ändringar av avtalet

• Vi kan ändra avtalet när lagstiftning, tillsynspraxis eller tjänstens utformning kräver det. Den senaste versionen finns alltid på den här sidan, med versionsnummer och datum.
• Väsentliga ändringar meddelas skriftligen minst 30 dagar innan de börjar gälla. Ni kan då säga upp avtalet utan kostnad med verkan senast den dag ändringen träder i kraft, och utan att behöva iaktta uppsägningstiden.
• Ändringar i förteckningen över underbiträden hanteras enligt § 7.

16. Övrigt och tillämplig lag

• Avtalet är Bilaga 3 till NaTelo AI:s allmänna villkor och upphör samtidigt som dem, med undantag för de skyldigheter som enligt sin natur gäller även därefter — sekretess och radering.
• Vid motstridighet gäller det här avtalet före de allmänna villkoren i frågor om behandling av personuppgifter.
• Svensk lag gäller. Tvister avgörs enligt § 10 i företagsvillkoren.

17. Versionshistorik

Avtalet har ännu inte tillämpats på någon beställning, eftersom beställningar inte har öppnat.