Personuppgiftsbiträdesavtal

1. Hur det här avtalet tillämpas

Detta personuppgiftsbiträdesavtal (nedan ”avtalet”) utgör en del av användarvillkoren mellan ALK Innovations och kunden. Det gäller de personuppgifter som ALK Innovations behandlar för kundens räkning när det tillhandahåller tjänsten Trupeo, enligt beskrivningen i bilaga II. Orden kund och tjänst har den betydelse som de har i användarvillkoren.

Parterna

Kunden är personuppgiftsansvarig och ALK Innovations är dess personuppgiftsbiträde. I klausulerna nedan avser ”den personuppgiftsansvarige” kunden och ”personuppgiftsbiträdet” ALK Innovations.

Standardavtalsklausulerna

Delarna 2 till 4 återger, utan ändringar, de standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden som Europeiska kommissionen har antagit i genomförandebeslut (EU) 2021/915 av den 4 juni 2021 (nedan ”klausulerna”). Delarna 5 till 8 är deras bilagor I till IV. Där klausulerna lämnar ett val har parterna valt förordning (EU) 2016/679 (GDPR) och inte förordning (EU) 2018/1725, som bara gäller Europeiska unionens institutioner och organ, och, i klausul 7.7, det allmänna skriftliga tillståndet, med 30 dagars varsel. Den frivilliga klausul 5 används inte. Klausulernas officiella svenska text kallar ett underbiträde för underleverantör; i det här avtalet betyder de två orden samma sak.

Godkännande

Kunden godkänner detta avtal genom att godta användarvillkoren, utan att behöva underteckna det. För en kund som godtog användarvillkoren före den 24 oktober 2026 gäller detta avtal från det datumet. Det skapar skyldigheter endast för ALK Innovations och får därför verkan när det offentliggörs, utan det varsel som anges i artikel 21 i användarvillkoren. ALK Innovations tillhandahåller ett exemplar undertecknat för dess räkning till varje kund som begär det via kontaktformuläret.

Kundens dokumenterade instruktioner

Kundens instruktioner, i den mening som avses i klausul 7.1, är detta avtal, användarvillkoren och det som kundens användare gör i tjänsten och i dess inställningar: ansluta en e-postlåda, bjuda in eller ta bort en medlem, skriva mejl, fördela konversationer, lägga dem i ett område eller flytta dem till papperskorgen, exportera uppgifter, ansluta en assistent och så vidare.

Att ansluta en assistent som Claude eller ChatGPT till ett Trupeo-konto är en instruktion om att göra uppgifter tillgängliga för den assistenten, inom ramen för rättigheterna hos den användare som anslöt den. Det företag som driver assistenten ansvarar då för dess agerande enligt sina egna villkor: den är inte ett underbiträde till ALK Innovations.

Vad detta avtal inte omfattar

ALK Innovations är inte kundens personuppgiftsbiträde, utan självständigt personuppgiftsansvarig, för den behandling som det utför för sina egna ändamål: hantering av användarkonton, fakturering, tjänstens säkerhet, hantering av de förfrågningar som användare skickar till Trupeo-teamet, mätning av besök och produktanvändning samt hantering av kundrelationer. Den behandlingen beskrivs i integritetspolicyn, som reglerar den.

Ändringar och övriga bestämmelser

ALK Innovations håller bilagorna uppdaterade i takt med att tjänsten ändras, vilket klausul 2 tillåter. En ändring av förteckningen över underbiträden följer klausul 7.7: ägaren till varje e-postlåda informeras om den per e-post minst 30 dagar i förväg. Alla andra ändringar följer artikel 21 i användarvillkoren. Allt som detta avtal inte reglerar, inklusive tillämplig lag och behörig domstol, regleras av användarvillkoren; vid motstridighet ska klausulerna ha företräde enligt klausul 4.

2. Avsnitt I: allmänna bestämmelser

Klausul 1: Syfte och tillämpningsområde

(a) Syftet med dessa standardavtalsklausuler (klausulerna) är att säkerställa överensstämmelse med artikel 28.3 och 28.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

(b) De personuppgiftsansvariga och de personuppgiftsbiträden som anges i bilaga I har kommit överens om att tillämpa dessa klausuler för att säkerställa efterlevnaden av artikel 28.3 och 28.4 i förordning (EU) 2016/679 och/eller artikel 29.3 och 29.4 i förordning (EU) 2018/1725.

(c) Dessa klausuler är tillämpliga på behandling av personuppgifter i enlighet med bilaga II.

(d) Bilagorna I till IV utgör en integrerad del av klausulerna.

(e) Dessa klausuler påverkar inte de skyldigheter som den personuppgiftsansvarige har enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

(f) Genom dessa klausuler säkerställs inte i sig att skyldigheterna i samband med internationella överföringar i enlighet med kapitel V i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 fullgörs.

Klausul 2: Klausulernas oföränderlighet

(a) Parterna förbinder sig att inte ändra klausulerna, förutom för att lägga till information i bilagorna eller uppdatera informationen i dem.

(b) Detta hindrar inte parterna från att inkludera de standardavtalsklausuler som fastställs i dessa klausuler i ett mer omfattande avtal eller att lägga till andra klausuler eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt strider mot klausulerna eller begränsar de registrerades grundläggande rättigheter eller friheter.

Klausul 3: Tolkning

(a) Om de begrepp som definieras i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 används i dessa klausuler ska dessa begrepp ha samma betydelse som i den förordningen.

(b) Dessa klausuler ska läsas och tolkas mot bakgrund av bestämmelserna i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725.

(c) Dessa klausuler ska inte tolkas så att de strider mot de rättigheter och skyldigheter som föreskrivs i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 eller påverkar de registrerades grundläggande rättigheter eller friheter.

Klausul 4: Hierarki

Om dessa klausuler strider mot bestämmelser i tillhörande avtal mellan parterna som gäller vid den tidpunkt då dessa klausuler avtalas eller ingås därefter, ska dessa klausuler ha företräde.

Klausul 5: Dockningsklausul (frivillig)

Denna frivilliga klausul används inte i det här avtalet.

3. Avsnitt II: parternas skyldigheter

Klausul 6: Beskrivning av behandlingen

Närmare uppgifter om behandlingen, särskilt kategorierna av personuppgifter och de ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning, anges i bilaga II.

Klausul 7: Parternas skyldigheter

7.1 Instruktioner

(a) Personuppgiftsbiträdet får endast behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av. I så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida detta inte är förbjudet med hänvisning till ett viktigt allmänintresse enligt denna rätt. Den personuppgiftsansvarige får även ge efterföljande instruktioner under hela den tid som personuppgifterna behandlas. Dessa instruktioner ska alltid dokumenteras.

(b) Personuppgiftsbiträdet ska omedelbart informera den personuppgiftsansvarige om personuppgiftsbiträdet anser att en instruktion från den personuppgiftsansvarige strider mot förordning (EU) 2016/679 eller förordning (EU) 2018/1725 eller mot unionens eller medlemsstaternas tillämpliga dataskyddsbestämmelser.

7.2 Ändamålsbegränsning

Personuppgiftsbiträdet får behandla personuppgifterna endast för det eller de specifika ändamål med behandlingen som anges i bilaga II, såvida det inte erhåller ytterligare instruktioner från den personuppgiftsansvarige.

7.3 Varaktigheten för behandlingen av personuppgifter

Behandling som utförs av personuppgiftsbiträdet får endast äga rum under den tid som anges i bilaga II.

7.4 Säkerhet i samband med behandlingen

(a) Personuppgiftsbiträdet ska åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga III för att säkerställa säkerheten för personuppgifterna. Detta omfattar att skydda uppgifterna mot säkerhetsincidenter som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömningen av lämplig säkerhetsnivå ska parterna ta vederbörlig hänsyn till den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerade.

(b) Personuppgiftsbiträdet ska bevilja sin personal tillgång till de personuppgifter som behandlas endast i den mån det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Personuppgiftsbiträdet ska säkerställa att personer med behörighet att behandla de erhållna personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

7.5 Känsliga uppgifter

Om behandlingen omfattar personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning eller uppgifter om fällande domar i brottmål och överträdelser (känsliga uppgifter), ska personuppgiftsbiträdet tillämpa särskilda begränsningar och/eller ytterligare skyddsåtgärder.

7.6 Dokumentation och efterlevnad

(a) Parterna ska kunna visa att dessa klausuler följs.

(b) Personuppgiftsbiträdet ska skyndsamt och på lämpligt sätt hantera förfrågningar från den personuppgiftsansvarige om behandlingen av uppgifter i enlighet med dessa klausuler.

(c) Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som behövs för att påvisa efterlevnad av de skyldigheter som fastställs i dessa klausuler och härrör direkt från förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet även tillåta och bidra till granskningar av den behandling som omfattas av dessa klausuler, med rimliga intervall eller om det finns tecken på bristande efterlevnad. Vid beslut om översyn eller granskning får den personuppgiftsansvarige ta hänsyn till relevanta certifieringar som personuppgiftsbiträdet innehar.

(d) Den personuppgiftsansvarige kan välja att själv utföra granskningen eller bemyndiga en oberoende revisor. Granskningar får även omfatta inspektioner i personuppgiftsbiträdets lokaler eller fysiska anläggningar och ska vid behov utföras med rimligt varsel.

(e) Parterna ska på begäran göra den information som avses i denna klausul, inklusive resultaten av eventuella granskningar, tillgänglig för den (de) behöriga tillsynsmyndigheten(-erna).

7.7 Användning av underleverantörer

(a) Personuppgiftsbiträdet har erhållit ett allmänt tillstånd från den personuppgiftsansvarige att anlita underleverantörer från en överenskommen förteckning. Personuppgiftsbiträdet ska skriftligen informera den personuppgiftsansvarige om eventuella planerade ändringar av förteckningen genom att underleverantörer läggs till eller ersätts minst 30 dagar i förväg, så att den personuppgiftsansvarige får tillräckligt med tid för att kunna invända mot sådana ändringar innan den eller de berörda underleverantörerna anlitas. Personuppgiftsbiträdet ska tillhandahålla den personuppgiftsansvarige den information som krävs för att denne ska kunna utöva sin rätt att göra invändningar.

(b) Om personuppgiftsbiträdet anlitar en underleverantör för att utföra en specifik behandling (för den personuppgiftsansvariges räkning) ska personuppgiftsbiträdet göra detta genom ett avtal som i sak ålägger underleverantören samma skyldigheter i fråga om uppgiftsskydd som de som personuppgiftsbiträdet åläggs i enlighet med dessa klausuler. Personuppgiftsbiträdet ska se till att underleverantören uppfyller de skyldigheter som personuppgiftsbiträdet omfattas av enligt dessa klausuler och förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

(c) På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet tillhandahålla den personuppgiftsansvarige en kopia av ett sådant underleverantörsavtal och eventuella senare ändringar. I den mån det är nödvändigt för att skydda affärshemligheter eller annan konfidentiell information, inbegripet personuppgifter, får personuppgiftsbiträdet redigera avtalstexten innan kopian delas.

(d) Personuppgiftsbiträdet ska fortsatt vara fullt ut ansvarig gentemot den personuppgiftsansvarige för att underleverantören fullgör sina skyldigheter i enlighet med sitt avtal med personuppgiftsbiträdet. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige om underleverantören underlåter att uppfylla sina skyldigheter enligt avtalet.

(e) Personuppgiftsbiträdet och underleverantören ska avtala om en klausul om tredjepartsberättigande, enligt vilken den personuppgiftsansvarige, om personuppgiftsbiträdet har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd, ska ha rätt att säga upp underleverantörsavtalet och instruera underleverantören att radera eller återlämna personuppgifterna.

7.8 Internationella överföringar

(a) Personuppgiftsbiträdet får endast överföra uppgifter till ett tredjeland eller en internationell organisation på grundval av dokumenterade instruktioner från den personuppgiftsansvarige eller för att uppfylla ett särskilt krav enligt unionsrätten eller en medlemsstats lagstiftning som personuppgiftsbiträdet omfattas av, och överföringen ska genomföras i enlighet med kapitel V i förordning (EU) 2016/679 eller förordning (EU) 2018/1725.

(b) Den personuppgiftsansvarige samtycker till att, om personuppgiftsbiträdet anlitar en underleverantör i enlighet med klausul 7.7 för att utföra specifik behandling (för den personuppgiftsansvariges räkning) och denna behandling omfattar en överföring av personuppgifter i den mening som avses i kapitel V i förordning (EU) 2016/679, personuppgiftsbiträdet och underleverantören kan säkerställa att kapitel V i förordning (EU) 2016/679 efterlevs genom att använda standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 46.2 i förordning (EU) 2016/679, förutsatt att villkoren för att använda dessa standardavtalsklausuler är uppfyllda.

Klausul 8: Stöd till den personuppgiftsansvarige

(a) Personuppgiftsbiträdet ska utan dröjsmål underrätta den personuppgiftsansvarige om varje begäran som erhållits från den registrerade. Personuppgiftsbiträdet ska inte själv besvara begäran, såvida inte den personuppgiftsansvarige har godkänt detta.

(b) Personuppgiftsbiträdet ska hjälpa den personuppgiftsansvarige att fullgöra sin skyldighet att besvara framställningar från registrerade för att utöva sina rättigheter, med hänsyn till behandlingens art. Personuppgiftsbiträdet ska följa den personuppgiftsansvariges instruktioner när det fullgör sina skyldigheter i enlighet med leden a och b.

(c) Utöver personuppgiftsbiträdets skyldighet att bistå den personuppgiftsansvarige enligt klausul 8 b ska personuppgiftsbiträdet dessutom bistå den personuppgiftsansvarige med att säkerställa att följande skyldigheter fullgörs, med beaktande av uppgiftsbehandlingens art och den information som personuppgiftsbiträdet har att tillgå:

(1) Skyldigheten att utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter (en konsekvensbedömning avseende dataskydd) om en typ av behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.

(2) Skyldigheten att samråda med den (de) behöriga tillsynsmyndigheten(-erna) före behandling om en konsekvensbedömning avseende dataskydd visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.

(3) Skyldigheten att säkerställa att personuppgifterna är korrekta och uppdaterade genom att utan dröjsmål informera den personuppgiftsansvarige om personuppgiftsbiträdet får kännedom om att de personuppgifter som behandlas är felaktiga eller har blivit föråldrade.

(4) Skyldigheterna i artikel 32 i förordning (EU) 2016/679.

(d) Parterna ska i bilaga III ange de lämpliga tekniska och organisatoriska åtgärder genom vilka personuppgiftsbiträdet ska bistå den personuppgiftsansvarige vid tillämpningen av denna klausul samt räckvidden och omfattningen av det bistånd som krävs.

Klausul 9: Anmälan av personuppgiftsincidenter

Vid en personuppgiftsincident ska personuppgiftsbiträdet samarbeta med och bistå den personuppgiftsansvarige för att denne ska kunna fullgöra sina skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679 eller artiklarna 34 och 35 i förordning (EU) 2018/1725, i tillämpliga fall, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

9.1 Personuppgiftsincidenter som rör uppgifter som behandlas av den personuppgiftsansvarige

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av den personuppgiftsansvarige ska personuppgiftsbiträdet bistå den personuppgiftsansvarige med att

(a) anmäla personuppgiftsincidenten till den (de) behöriga tillsynsmyndigheten(-erna), utan onödigt dröjsmål efter det att den personuppgiftsansvarige har fått kännedom om den, i förekommande fall/(med undantag för om det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter),

(b) erhålla följande information som, i enlighet med artikel 33.3 i förordning (EU) 2016/679, ska anges i den personuppgiftsansvariges anmälan, och åtminstone ska omfatta

(1) personuppgifternas art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,

(2) de sannolika konsekvenserna av personuppgiftsincidenten,

(3) de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

(c) uppfylla, i enlighet med artikel 34 i förordning (EU) 2016/679, skyldigheten att utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten, om den sannolikt kommer att medföra en hög risk för fysiska personers rättigheter och friheter.

9.2 Personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet ska personuppgiftsbiträdet underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter det att personuppgiftsbiträdet har fått kännedom om incidenten. En sådan anmälan ska åtminstone innehålla

(a) en beskrivning av incidentens art (inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade och uppgiftsposter som berörs),

(b) uppgifter från en kontaktpunkt där mer information om personuppgiftsincidenten kan erhållas,

(c) de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslagits för att åtgärda incidenten, inbegripet åtgärder för att mildra dess potentiella negativa effekter.

Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

Parterna ska i bilaga III ange alla andra uppgifter som personuppgiftsbiträdet ska tillhandahålla när denne bistår den personuppgiftsansvarige vid fullgörandet av den personuppgiftsansvariges skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679.

4. Avsnitt III: slutbestämmelser

Klausul 10: Bristande efterlevnad av klausulerna och uppsägning

(a) Utan att det påverkar tillämpningen av bestämmelserna i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 får den personuppgiftsansvarige, om personuppgiftsbiträdet inte fullgör sina skyldigheter enligt dessa klausuler, instruera personuppgiftsbiträdet att avbryta behandlingen av personuppgifter till dess att denne uppfyller dessa klausuler eller avtalet sägs upp. Personuppgiftsbiträdet ska omedelbart underrätta den personuppgiftsansvarige om denne av något skäl inte kan följa dessa klausuler.

(b) Den personuppgiftsansvarige ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter i enlighet med dessa klausuler om

(1) personuppgiftsbiträdets behandling av personuppgifter har avbrutits av den personuppgiftsansvarige i enlighet med led a och om efterlevnaden av dessa klausuler inte återställs inom rimlig tid och i alla händelser inom en månad efter det att behandlingen avbrutits,

(2) personuppgiftsbiträdet allvarligt eller ihållande åsidosätter dessa klausuler eller sina skyldigheter enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725,

(3) personuppgiftsbiträdet underlåter att följa ett bindande beslut från en behörig domstol eller den (de) behöriga tillsynsmyndigheten(-erna) som rör dennes skyldigheter i enlighet med dessa klausuler eller förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

(c) Personuppgiftsbiträdet ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter enligt dessa klausuler, om den personuppgiftsansvarige, efter att ha informerats av personuppgiftsbiträdet om att dennes instruktioner strider mot tillämpliga rättsliga krav i enlighet med klausul 7.1 b, insisterar på att instruktionerna följs.

(d) Efter uppsägningen av avtalet ska personuppgiftsbiträdet, beroende på vad den personuppgiftsansvarige väljer, radera alla personuppgifter som behandlats för den personuppgiftsansvariges räkning och intyga för den personuppgiftsansvarige att detta är utfört, eller återlämna alla personuppgifter till den personuppgiftsansvarige och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt. Till dess att uppgifterna raderas eller återlämnas ska personuppgiftsbiträdet säkerställa efterlevnaden av dessa klausuler.

5. Bilaga I: förteckning över parter

Personuppgiftsansvarig

Namn: kunden, det vill säga den organisation som har tecknat tjänsten, så som den anges i sitt Trupeo-konto och i sina faktureringsuppgifter.

Adress: den adress som anges i kundens faktureringsuppgifter.

Kontaktpersonens namn, befattning och kontaktuppgifter: ägaren till varje e-postlåda som kunden har anslutit, på e-postadressen till ägarens Trupeo-konto. En kund som har utsett ett dataskyddsombud kan lämna ombudets uppgifter via kontaktformuläret.

Underskrift och anslutningsdatum: det datum då kunden godtog användarvillkoren eller, för en kund som hade godtagit dem tidigare, den 24 oktober 2026.

Personuppgiftsbiträde

Namn: ALK Innovations, en SASU med ett aktiekapital på 1 000 €, registrerad i RCS Nantes under nummer 983 856 642.

Adress: 31 avenue des Korrigans, 44300 Nantes, Frankrike.

Kontaktpersonens namn, befattning och kontaktuppgifter: Quentin Georget, ordförande (President) för ALK Innovations och dess kontaktpunkt för skydd av personuppgifter, via kontaktformuläret (genom att välja ”GDPR-begäran”) eller per post till adressen ovan. ALK Innovations har inte utsett något dataskyddsombud.

Underskrift och anslutningsdatum: offentliggörandet av detta avtal, den 24 oktober 2026.

6. Bilaga II: beskrivning av behandlingen

Kategorier av registrerade vars personuppgifter behandlas

• Kundens användare: medlemmarna i var och en av dess delade e-postlådor och de personer som har bjudits in till en sådan.
• Kundens korrespondenter: avsändarna och mottagarna av mejlen i dess anslutna e-postlådor och alla som nämns i mejlen eller i deras bilagor.
• Personerna i varje e-postlådas adressbok, inklusive de kontakter som hålls uppdaterade i både Trupeo och Google Kontakter eller Outlook.

Beroende på kundens verksamhet kan dessa personer omfatta minderåriga, särskilt hos en utbildningsinstitution.

Kategorier av personuppgifter som behandlas

• Mejl: mejlen i varje ansluten e-postlåda (ämne, innehåll, avsändare, mottagare, datum, bilagor, etiketter och mappar) samt de mejl som kundens användare skriver och skickar via tjänsten.
• Anslutningen till varje e-postlåda: dess adress och det som Trupeo ansluter till den med (den åtkomst som Google eller Microsoft har beviljat, eller inloggningsuppgifterna för IMAP och SMTP).
• Det som teamet skriver och gör i Trupeo: anteckningar för teamet, fördelning av konversationer, status, etiketter, områden, signaturer och historiken över dessa åtgärder med den medlem som utförde var och en.
• Adressboken: de adresser som läses ur mejlen med det namn som varje mejl anger, antal och datum för utbyten, det som teamet lägger till (namn, företag, befattning, telefonnummer, anteckning), kontaktgrupper och, där det är aktiverat, de kontakter som utbyts med Google Kontakter eller Outlook.
• Medlemmarna så som de andra i teamet ser dem: namn, e-postadress och profilbild.

Känsliga uppgifter som behandlas (i tillämpliga fall) och tillämpade begränsningar eller skyddsåtgärder

ALK Innovations varken efterfrågar eller söker efter känsliga uppgifter, men mejl kan innehålla sådana, liksom allt som en korrespondent skriver. De skyddas som all e-post, med dessa begränsningar:

• strikt ändamålsbegränsning: mejl behandlas bara för att tillhandahålla tjänsten, aldrig för reklam och aldrig för att träna modeller för artificiell intelligens;
• texten i mejlen och bilagorna krypteras med en nyckel som är särskild för varje e-postlåda (bilaga III);
• bara de medlemmar som kunden ger tillgång till en e-postlåda ser den, inom de områden som kunden anger;
• ingen på ALK Innovations läser mejl, utom på kundens uttryckliga begäran för att hantera en begäran om hjälp, när det är nödvändigt av säkerhetsskäl, till exempel för att utreda missbruk, eller för att fullgöra en rättslig förpliktelse, och varje gång Trupeo-teamet öppnar ett konto registreras det (bilaga III).

Behandlingens art

Att hämta mejlen från kundens e-posttjänst (via Gmail API, Microsoft Graph eller IMAP och SMTP), lagra, ordna och visa dem för medlemmarna, söka i dem, skicka mejl för kundens räkning, hos e-posttjänsten genomföra de åtgärder som medlemmarna vidtar i Trupeo (markera som läst, arkivera, flytta till papperskorgen, markera som skräppost), hålla adressboken uppdaterad i både Trupeo och Google Kontakter eller Outlook där funktionen är aktiverad, avisera medlemmarna (i appen, per e-post och på deras enheter), exportera uppgifter på kundens begäran och radera dem.

Ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning

Att tillhandahålla kunden den tjänst som beskrivs i användarvillkoren: en delad e-postlåda där kundens team läser och besvarar mejlen, fördelar dem och följer konversationerna i dess anslutna e-postlådor. Och, enbart för den tjänsten: att titta i kundens e-postlådor när kunden ber om det för att besvara en av dess begäranden om hjälp, och att hålla tjänsten säker.

Behandlingens varaktighet

Under avtalets löptid. När ett abonnemang upphör tas den berörda e-postlådan och dess uppgifter bort vid slutet av den betalda perioden, eller 14 dagar efter uppsägningen om det infaller senare, om inte kunden dessförinnan återupptar abonnemanget (artikel 6 i användarvillkoren). När en e-postlåda kopplas från tas de mejl och bilagor som lagrats för den bort. När uppgifterna väl har tagits bort försvinner de ur databasens säkerhetskopior inom högst 35 dagar, och de tidigare kopior som sparas i objektlagringen inom 60 dagar efter att de skrevs. Inget tas bort hos kundens e-posttjänst när avtalet upphör: mejlen och kontakterna finns kvar där.

För behandling som utförs av personuppgiftsbiträden (eller underleverantörer), ange även föremålet för behandlingen, behandlingens art och dess varaktighet

Se bilaga IV. Varje underbiträde behandlar uppgifterna så länge personuppgiftsbiträdet anlitar det för den behandlingen, utom det som enligt bilaga IV sparas längre av något av dem.

7. Bilaga III: tekniska och organisatoriska åtgärder

Detta är de åtgärder som gällde den 24 oktober 2026. På säkerhetssidan beskrivs de med sina begränsningar och datum.

Kryptering av personuppgifter

• Microsoft Azure krypterar databasen och fillagringen.
• Trupeo krypterar dessutom vissa uppgifter självt (AES-256-GCM): sedan den 10 juli 2026 texten i mejlen och bilagorna, med en nyckel för varje e-postlåda, och e-postlådans inloggningsuppgifter, med en nyckel för tjänsten. De hemligheter som dessa nycklar härleds från förvaras i Azure Key Vault, åtskilda från lagringen: det räcker inte att kopiera en fil ur lagringen för att kunna läsa den.
• Ett mejls ämne, dess adresser, dess förhandsvisning och det som teamet skriver i Trupeo krypteras enbart av Azure.

Skydd av uppgifter under överföring

• Webbplatsen och appen levereras enbart över HTTPS. Trupeos anslutningar till Google och Microsoft är krypterade.
• Dess anslutningar till en IMAP- eller SMTP-server är krypterade när servern erbjuder det. Trupeo vägrar inte en server som inte gör det: det är kunden som väljer sin server.

Identifiering och behörighet för användare

• Varje medlem loggar in med sitt eget konto, med lösenord eller med sitt Google- eller Microsoft-konto. Ett konto med lösenord kan aktivera tvåstegsverifiering: en kod från en autentiseringsapp, med tio reservkoder.
• En e-postlåda delas bara med de personer som dess ägare bjuder in. Ägaren kan begränsa en medlem till de konversationer som ligger i vissa områden. En medlem som tas bort från en e-postlåda förlorar genast tillgången till den.
• Varje konto visar sina inloggade sessioner, så att användaren kan känna igen sina enheter.

Åtkomst för ALK Innovations personal

• Ingen på ALK Innovations läser mejl, utom i de fall som anges i bilaga II.
• Varje gång en person i Trupeo-teamet öppnar ett konto registreras det, med datum, och visas för kontots användare i dennes inställningar. Om registreringen misslyckas förs öppnandet ändå in i tjänstens loggar.
• För Gmail har Trupeo aldrig beviljats behörighet att permanent radera ett mejl.

Fysisk säkerhet på platser där uppgifter behandlas

• Trupeo körs på Microsoft Azure: databasen, applikationsservrarna samt lagrade mejlinnehåll och bilagor finns i Frankrike (Azure-regionen France Central). Datacentralernas fysiska säkerhet är Microsofts ansvar.

Tillgänglighet och återställning

• Databasen säkerhetskopieras varje dag och säkerhetskopiorna sparas i upp till 35 dagar.
• Återställning har övats: den 3 september 2026 lästes och dekrypterades en återställd databas med den riktiga nyckeln.

Regelbunden testning och utvärdering

• Ett oberoende laboratorium, TAC Security, auktoriserat av App Defense Alliance, har bedömt Trupeo inom Googles CASA-program: godkänt på nivå AL1 sedan den 11 september 2026, i 20 kontrollgrupper. Bedömningen förnyas varje år.
• Vem som helst kan rapportera en säkerhetsbrist via rapporteringssidan, enligt en offentliggjord policy.

Loggning av händelser

• Varje konversation behåller historiken över vad som gjorts i den, av vem och när.
• Varje gång Trupeo-teamet öppnar ett konto, och varje begäran om dataexport med datum och den IP-adress den kom från, registreras.
• Tekniska loggar sparas för säkerheten och för att upptäcka incidenter.

Uppgiftsminimering och begränsad lagring

• Trupeo lagrar innehållet i ett mottaget mejl först från det att någon öppnar det; e-posttjänsten har originalet. Det som teamet skriver i Trupeo, inklusive utkast och skickade mejl, lagras när det skrivs.
• Lagringstiderna är de som anges i bilaga II. När en e-postlåda tas bort rensas också de filer som lagrats för den, och en exportfil tas bort sju dagar efter att den blev klar.

Dataportabilitet och radering

• Ägaren till en e-postlåda kan exportera dess uppgifter från dess inställningar, som strukturerade, maskinläsbara uppgifter: e-postlådan och dess inställningar, dess medlemmar, varje konversation och mejl med avsändare, mottagare, ämne och datum, anteckningarna för teamet, adressboken, aktivitetshistoriken och listan över bilagor. Om rutan ”Ta med mejlens innehåll och de bilagor som Trupeo lagrar” kryssas i tillkommer det mejlinnehåll som Trupeo har, dekrypterat, utkasten och de lagrade bilagefilerna; innehållet i ett mejl som ingen har öppnat i Trupeo ingår inte, och e-posttjänsten har originalet.
• Ägaren till en e-postlåda kan ta bort den från dess inställningar, vilket raderar allt som lagrats för den, och varje användare kan ta bort sitt eget konto från sina.
• När en borttagen e-postlådas lagrade filer har rensats får var och en av dess ägare ett mejl som intygar borttagningen, med dess datum och det datum då de säkerhetskopior av databasen och tidigare versioner i fillagringen som fortfarande innehåller delar av den är borta. Mottagaradressen och språket i mejlet sparas bara tills det har skickats.

Stöd till den personuppgiftsansvarige (klausulerna 8 och 9)

• Begäranden från registrerade: kunden kan själv besvara de flesta med export- och raderingsverktygen ovan. För allt som de inte omfattar kan kunden be ALK Innovations om stöd via kontaktformuläret (genom att välja ”GDPR-begäran”), och ALK Innovations svarar inom högst 30 dagar.
• Personuppgiftsincident: ALK Innovations underrättar ägaren till varje berörd e-postlåda per e-post, med de uppgifter som anges i klausul 9.2. Kontaktpunkten för mer information är den som anges i bilaga I.
• Konsekvensbedömningar och förhandssamråd: på begäran tillhandahåller ALK Innovations den information det har om behandlingen, inklusive detta avtal, säkerhetssidan och resultatet av dess CASA-bedömning.

8. Bilaga IV: förteckning över underbiträden

Kunden godkänner underbiträdena nedan, som utgör den överenskomna förteckningen enligt klausul 7.7 a. ALK Innovations informerar ägaren till varje e-postlåda per e-post minst 30 dagar innan ett underbiträde läggs till i förteckningen eller ersätts.

Microsoft France SAS och Amazon Web Services EMEA SARL behandlar uppgifterna i Europeiska unionen. Amazon SES sparar på en spärrlista de adresser vars mejl har studsat permanent eller som har anmält ett mejl som skräppost, för att inte skriva till dem igen, och den listan finns kvar efter avtalets slut. Överföringen till Google LLC grundar sig på de skyddsåtgärder som beskrivs i integritetspolicyn, i enlighet med klausul 7.8.

Vilka som inte är underbiträden

• Google, Microsoft och kundens andra e-posttjänster har redan kundens e-postlåda, enligt kundens eget avtal med dem: Trupeo ansluter till dem enligt kundens instruktioner.
• De tjänster som levererar aviseringar till en medlems enhet är de som hör till den webbläsare medlemmen använder (Google, Mozilla, Apple eller Microsoft): det är webbläsaren som väljer dem, inte ALK Innovations. De tar emot adressen till enhetens prenumeration och innehåll som är krypterat från avsändare till mottagare, vilket de inte kan läsa.
• Det företag som driver en assistent som en användare ansluter till sitt konto ansvarar för dess agerande, enligt del 1.