Version: ab-2026-10-25 · Datum: 25 oktober 2026
mellan
Kunden – nedan kallad ”den personuppgiftsansvarige” –
den kund som anges i kundkontot eller i beställningen
och
Sat-iTec AB – nedan kallat ”personuppgiftsbiträdet” –
Sat-iTec AB
Simeå 8097, 82167 Vallsta, Sverige
Org.nr 559375-4335 · Momsreg.nr SE559375433501
Kontakt: guenther.loeb@sat-itec.se · Telefon +46 76 111 79 63
Dataskyddskontakt (koncernens dataskyddskontakt): Stefanie Löb · datenschutz@sat-itec.de
– gemensamt ”parterna” –
Personuppgiftsbiträdet tillhandahåller tjänster åt den personuppgiftsansvarige via plattformen ”ChatiTec” (GDPR-kompatibel AI-/LLM-plattform). Plattformen drivs tekniskt av personuppgiftsbiträdets koncernbolag Sat-iTec Systemhaus GmbH, i egenskap av underbiträde, i ett eget datacenter i Tyskland (EU) (se bilaga 2). Inom ramen för dessa tjänster behandlar personuppgiftsbiträdet personuppgifter för den personuppgiftsansvariges räkning och enligt dennes instruktioner. Detta avtal preciserar parternas dataskyddsrättsliga skyldigheter enligt art. 28 GDPR. Det gäller som komplement till huvudavtalet, dvs. Sat-iTec AB:s Allmänna villkor och den enskilda beställningen.
Information om den behandling av personuppgifter som Sat-iTec AB utför i egenskap av personuppgiftsansvarig (t.ex. kund- och kontouppgifter, fakturering) finns i integritetspolicyn.
(1) Föremålet för behandlingen är tillhandahållande och drift av plattformen ChatiTec, inklusive AI-/LLM-behandling av inmatat innehåll som överförs av den personuppgiftsansvarige eller dennes användare.
(2) Behandlingens art omfattar särskilt: insamling, registrering, lagring, läsning, användning, anonymisering/pseudonymisering (PII-tokenisering), överföring (till externa AI-leverantörer endast i anonymiserad form), radering och förstöring.
(3) Ändamålet med behandlingen är tillhandahållandet av de avtalade plattforms- och AI-tjänsterna.
(4) Kategorier av registrerade: särskilt den personuppgiftsansvariges klienter/patienter, deras företrädare och tredje parter, den personuppgiftsansvariges anställda och användare samt övriga personer som nämns i det inmatade innehållet.
(5) Kategorier av personuppgifter: grunduppgifter, kontaktuppgifter, innehållsdata i inmatningarna (promptar/dokument) samt i förekommande fall särskilda kategorier av personuppgifter enligt art. 9 GDPR (särskilt uppgifter om hälsa) och uppgifter som omfattas av den personuppgiftsansvariges lagstadgade eller yrkesetiska tystnadsplikt (se § 3.3).
(6) Varaktighet: Behandlingen sker under huvudavtalets löptid. Detta PUB-avtal upphör automatiskt när huvudavtalet upphör, utan att det påverkar kvarstående skyldigheter (särskilt § 3, § 9 och § 10).
(1) Personuppgiftsbiträdet behandlar personuppgifter endast på dokumenterade instruktioner från den personuppgiftsansvarige, inbegripet när det gäller överföringar till tredjeland, om inte personuppgiftsbiträdet är skyldigt att göra det enligt unionsrätten eller en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av (art. 28.3 a GDPR). I ett sådant fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida sådan information inte är förbjuden med hänvisning till ett viktigt allmänintresse enligt den rätten.
(2) Detta avtal, huvudavtalet och den personuppgiftsansvariges användning av plattformens funktioner och inställningar utgör den personuppgiftsansvariges dokumenterade instruktioner. Enskilda instruktioner lämnas skriftligen (e-post är tillräckligt); muntliga instruktioner ska utan onödigt dröjsmål bekräftas skriftligen.
(3) Personuppgiftsbiträdet ska omedelbart informera den personuppgiftsansvarige om det anser att en instruktion strider mot GDPR eller andra dataskyddsbestämmelser i unionsrätten eller medlemsstaternas nationella rätt (art. 28.3 andra stycket GDPR). Personuppgiftsbiträdet har rätt att skjuta upp genomförandet av den aktuella instruktionen till dess att den bekräftats eller ändrats av den personuppgiftsansvarige.
(1) Personuppgiftsbiträdet säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt (art. 28.3 b GDPR).
(2) Personuppgiftsbiträdet förpliktar den personal som anlitas – hos personuppgiftsbiträdet och hos dess underbiträden, särskilt Sat-iTec Systemhaus GmbH – genom skriftliga sekretessåtaganden att iaktta tystnad om personuppgifter och om allt innehåll som den personuppgiftsansvarige för in på plattformen. Åtkomst till innehåll sker endast i den utsträckning det är nödvändigt för att tillhandahålla tjänsterna (behovsprincipen).
(3) Om den personuppgiftsansvarige omfattas av lagstadgad eller yrkesetisk tystnadsplikt (t.ex. advokater, hälso- och sjukvårdspersonal eller revisorer) ansvarar den personuppgiftsansvarige själv för att bedöma om, och på vilka villkor, användningen av plattformen och de underbiträden som anges i bilaga 2 är förenlig med dessa skyldigheter, och för att vid behov välja lämpliga inställningar (t.ex. användning av enbart lokala modeller). Personuppgiftsbiträdet tillhandahåller på begäran den information som behövs för denna bedömning. Sekretessåtagandena enligt (1) och (2) gäller även för sådant innehåll.
(4) Dessa skyldigheter kvarstår även efter avtalets upphörande.
(1) Personuppgiftsbiträdet vidtar de tekniska och organisatoriska åtgärder som krävs enligt art. 32 GDPR för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. De vidtagna åtgärderna beskrivs i bilaga 1 (Tekniska och organisatoriska åtgärder), som utgör en del av detta avtal. Åtgärderna genomförs av personuppgiftsbiträdet tillsammans med dess underbiträde Sat-iTec Systemhaus GmbH, som driver plattformen i Tyskland.
(2) De tekniska och organisatoriska åtgärderna är föremål för den tekniska utvecklingen. Personuppgiftsbiträdet har rätt att vidareutveckla dem, förutsatt att den avtalade skyddsnivån inte underskrids. Väsentliga ändringar ska meddelas den personuppgiftsansvarige.
(1) Den personuppgiftsansvarige ger personuppgiftsbiträdet ett allmänt skriftligt förhandstillstånd att anlita andra personuppgiftsbiträden (underbiträden) (art. 28.2 GDPR). De underbiträden som anlitas vid tidpunkten för avtalets ingående anges uttömmande i bilaga 2 (Förteckning över underbiträden). Den personuppgiftsansvarige godkänner särskilt att drift, hosting och support av plattformen utförs av koncernbolaget Sat-iTec Systemhaus GmbH, Tyskland.
(2) Personuppgiftsbiträdet ska i god tid i förväg och skriftligen (e-post är tillräckligt) informera den personuppgiftsansvarige om planerade förändringar avseende tillägg eller ersättning av underbiträden. Den personuppgiftsansvarige kan inom 14 dagar från meddelandet invända mot förändringen av ett sakligt dataskyddsrättsligt skäl (art. 28.2 GDPR).
(3) Personuppgiftsbiträdet ålägger genom avtal varje underbiträde samma skyldigheter i fråga om dataskydd som fastställs i detta avtal (art. 28.4 GDPR), särskilt att ge tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder. Om underbiträdet inte fullgör sina skyldigheter i fråga om dataskydd ska personuppgiftsbiträdet vara fullt ansvarigt gentemot den personuppgiftsansvarige för utförandet av underbiträdets skyldigheter.
(4) Överföring till externa AI-leverantörer (underbiträden) sker uteslutande i anonymiserad form (PII-tokenisering, påtvingad som standard). Vid användning av enbart lokala modeller anlitas inga externa AI-leverantörer.
(5) Överföring av personuppgifter till ett tredjeland (utanför EU/EES) sker endast om villkoren i kapitel V GDPR är uppfyllda. Den aktuella överföringsgrunden för respektive underbiträde anges i bilaga 2.
(1) Med beaktande av behandlingens art bistår personuppgiftsbiträdet den personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder med att fullgöra dennes skyldighet att svara på begäran om utövande av de registrerades rättigheter (art. 12–23 GDPR; art. 28.3 e GDPR).
(2) Med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå bistår personuppgiftsbiträdet den personuppgiftsansvarige med att se till att skyldigheterna enligt art. 32–36 GDPR fullgörs (säkerhet i samband med behandlingen, anmälan av personuppgiftsincidenter, konsekvensbedömning avseende dataskydd, förhandssamråd; art. 28.3 f GDPR).
(3) Om en registrerad vänder sig direkt till personuppgiftsbiträdet ska detta utan onödigt dröjsmål vidarebefordra ärendet till den personuppgiftsansvarige.
(1) Personuppgiftsbiträdet ska skriftligen underrätta den personuppgiftsansvarige om varje personuppgiftsincident som kommit till dess kännedom utan onödigt dröjsmål, dock senast inom 24 timmar efter att ha fått vetskap om den (art. 33.2 GDPR).
(2) Anmälan ska, i den mån de finns tillgängliga, innehålla minst de uppgifter som anges i art. 33.3 GDPR (incidentens art, kategorier av och ungefärligt antal registrerade och registerposter som berörs, sannolika konsekvenser, vidtagna/föreslagna åtgärder, kontaktpunkt). Uppgifter som inte är tillgängliga vid första anmälan lämnas i omgångar utan onödigt dröjsmål.
(3) Anmälan till behörig tillsynsmyndighet (art. 33 GDPR) och i förekommande fall information till de registrerade (art. 34 GDPR) åligger den personuppgiftsansvarige. Personuppgiftsbiträdet bistår denne härvid i skälig omfattning.
(1) Personuppgiftsbiträdet ger den personuppgiftsansvarige tillgång till all information som krävs för att visa att de skyldigheter som fastställs i art. 28 GDPR har fullgjorts (art. 28.3 h GDPR).
(2) Personuppgiftsbiträdet möjliggör och bidrar till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller av en annan granskare som bemyndigats av den personuppgiftsansvarige. Bevis kan även lämnas genom lämpliga certifieringar, aktuella intyg eller revisionsrapporter från erkända organ. Inspektioner som avser datacentret och driften i Tyskland genomförs i samordning med underbiträdet Sat-iTec Systemhaus GmbH.
(3) Kontroller på plats sker efter avisering i god tid (minst 14 dagar i förväg), under normal kontorstid, utan att störa verksamheten och med iakttagande av sekretess- och säkerhetsintressen samt tredje parters rättigheter (särskilt andra kunders rättigheter och sekretessintressen). Kostnaderna för en kontroll som initierats av den personuppgiftsansvarige bärs – om inte annat avtalats – av den personuppgiftsansvarige, såvida det inte fastställs att personuppgiftsbiträdet har brutit mot detta avtal eller mot GDPR.
(4) Behörig tillsynsmyndighet för personuppgiftsbiträdet är Integritetsskyddsmyndigheten (IMY). Personuppgiftsbiträdet samarbetar på begäran med tillsynsmyndigheten (art. 31 GDPR) och informerar den personuppgiftsansvarige utan onödigt dröjsmål om tillsynsåtgärder som avser behandlingen enligt detta avtal, i den mån det är tillåtet.
(1) Efter det att tillhandahållandet av behandlingstjänsterna har avslutats ska personuppgiftsbiträdet, beroende på vad den personuppgiftsansvarige väljer, radera alla personuppgifter eller återlämna dem och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt (art. 28.3 g GDPR). Detta gäller även hos underbiträdena.
(2) Återlämnandet sker i ett vanligt förekommande, maskinläsbart format (t.ex. JSON, Markdown eller PDF). Raderingen bekräftas på begäran skriftligen.
(3) Lokalt lagrade, Fernet-krypterade kopplingsdata från PII-tokeniseringen förstörs också i samband med raderingen.
(1) För parternas ansvar gentemot registrerade gäller art. 82 GDPR. I övrigt gäller ansvarsbestämmelserna i Sat-iTec AB:s Allmänna villkor, i den mån dessa är förenliga med tvingande dataskyddsrätt.
(2) Den personuppgiftsansvarige ansvarar för att behandlingen är laglig och för att de registrerades rättigheter tillvaratas. I förhållandet mellan parterna ska vardera parten hålla den andra skadeslös för anspråk som grundar sig på en överträdelse som den förstnämnda parten ansvarar för.
(1) Rangordning: Vid motstridigheter mellan detta PUB-avtal och Sat-iTec AB:s Allmänna villkor har detta PUB-avtal (inklusive bilagor) företräde i frågor som rör behandling av personuppgifter; i övriga frågor har Allmänna villkor företräde. Mellan detta avtal och dess bilagor har avtalets huvudtext företräde, med undantag för bilagornas specifika uppgifter om åtgärder och underbiträden.
(2) Ändringar och tillägg till detta avtal ska göras skriftligen (e-post är tillräckligt). Bilaga 1 och bilaga 2 kan uppdateras i enlighet med § 4.2 respektive § 5.2.
(3) Om en bestämmelse är ogiltig påverkas inte giltigheten av övriga bestämmelser. Parterna ska ersätta den ogiltiga bestämmelsen med en giltig bestämmelse som så långt möjligt motsvarar dess syfte.
(4) Tillämplig lag: Svensk lag ska tillämpas på detta avtal, med undantag för dess lagvalsregler. GDPR gäller direkt.
(5) Tvister: Tvister med anledning av detta avtal avgörs genom skiljeförfarande enligt skiljeklausulen i Allmänna villkor (§ 12).
(6) Språk: Detta avtal finns på svenska och engelska. Den svenska versionen är bindande; den engelska versionen är en översättning. Vid avvikelser har den svenska versionen företräde.
(7) Bilagor:
Avtalets ingående: Detta avtal ingås i elektroniskt format (art. 28.9 GDPR) genom att den personuppgiftsansvarige uttryckligen godkänner det vid registrering eller beställning; tidpunkt och version för godkännandet loggas. Någon separat underskrift krävs inte. På begäran tillhandahåller Sat-iTec AB en version undertecknad av båda parter.
Version: ab-2026-10-25 · Datum: 25 oktober 2026