Personuppgiftsbiträdesavtal

Senast uppdaterad 22 september 2026

Avtalet gäller mellan företaget som använder Lanthea (den personuppgiftsansvarige) och Fly by wire AB (org.nr 559316-3313), som tillhandahåller tjänsten (personuppgiftsbiträdet). Det är en del av användarvillkoren och uppfyller artikel 28 i dataskyddsförordningen (GDPR).

1. Föremål, varaktighet och ändamål

Biträdet behandlar personuppgifter för den ansvariges räkning för att tillhandahålla tjänsten: för att lagra och ordna den ansvariges underlag, läsa dokument och mail med AI, svara på frågor från den ansvariges medlemmar och skicka de mejl som tjänsten skickar. Behandlingen pågår så länge den ansvarige använder tjänsten.

2. Personuppgifterna och de registrerade

• Medlemmar och inbjudna: namn, e-postadresser, roller och vem som gjorde vad i tjänsten.
• Den ansvariges kunder och leverantörer och deras kontaktpersoner: namn och kontaktuppgifter i fakturor och kvitton.
• Personer som nämns på kvitton, som deltagare vid representation och personer som har betalat privat.
• Resor: adresser, sträckor, syften och, när de registreras med iOS-appen, GPS-rutter.
• Mail i anslutna brevlådor: avsändare, ämne och början av texten i varje nytt meddelande, och de bifogade dokumenten i mail som läggs in som kvitton.
• Frågor och svar i medlemmarnas konversationer med agenten.

Tjänsten är inte avsedd för känsliga personuppgifter, som hälsouppgifter, och den ansvarige bör inte lägga in sådana.

3. Instruktioner

Biträdet behandlar personuppgifterna bara enligt den ansvariges dokumenterade instruktioner: detta avtal, användarvillkoren och det som den ansvariges medlemmar gör i tjänsten. Om unionsrätten eller svensk rätt kräver annan behandling informerar biträdet den ansvarige först, om inte lagen förbjuder det. Biträdet meddelar den ansvarige om det anser att en instruktion strider mot dataskyddsförordningen.

4. Tystnadsplikt

Alla hos biträdet som kan nå personuppgifterna är bundna av tystnadsplikt.

5. Säkerhet

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen. Bland dem: tjänsten och dess uppgifter driftas i Sverige; trafiken till tjänsten är krypterad; åtkomstnycklar och applösenord krypteras i vila med en nyckel som förvaras utanför databasen; inloggningskoder och sessionsnycklar sparas bara som fingeravtryck; och varje medlem når bara det som dess roll tillåter.

6. Underbiträden

Den ansvarige ger biträdet ett allmänt tillstånd att anlita underbiträden. De som anlitas i dag listas på sidan Underbiträden. Biträdet meddelar den ansvariges ägare minst 30 dagar innan ett underbiträde läggs till eller byts ut, och den ansvarige kan invända på skälig grund; om ingen lösning hittas får den ansvarige säga upp avtalet. Biträdet binder varje underbiträde vid samma dataskyddsskyldigheter som i detta avtal och ansvarar för det.

7. Överföring utanför EU och EES

Personuppgifter överförs till ett land utanför EU och EES bara med de skyddsåtgärder som anges i kapitel V i dataskyddsförordningen, som ett beslut om adekvat skyddsnivå såsom EU–US Data Privacy Framework, eller Europeiska kommissionens standardavtalsklausuler.

8. Stöd

Så långt det kan hjälper biträdet den ansvarige att besvara begäranden från de registrerade, och med säkerhet, konsekvensbedömningar och förhandssamråd enligt artiklarna 32–36 i dataskyddsförordningen.

9. Personuppgiftsincidenter

Biträdet underrättar den ansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident, med det som är känt om den, så att den ansvarige kan uppfylla sina skyldigheter enligt artiklarna 33 och 34 i dataskyddsförordningen.

10. När behandlingen upphör

När den ansvariges ägare tar bort företaget i tjänsten, eller avtalet upphör, raderar biträdet personuppgifterna, om inte unionsrätten eller svensk rätt kräver att de sparas. Fram till dess kan den ansvarige exportera sitt underlag från tjänsten.

11. Granskning

Biträdet ger den information som behövs för att visa att det uppfyller avtalet, och tillåter granskning av den ansvarige eller en revisor som den utser, med skäligt varsel och på den ansvariges bekostnad.

12. Ansvar, tillämplig lag och meddelanden

Ansvaret följer användarvillkoren och artikel 82 i dataskyddsförordningen. Svensk lag gäller, och tvister avgörs av svensk allmän domstol. Meddelanden enligt avtalet: support@lanthea.ai.