Datum: 25 oktober 2026 · Version: ab-2026-10-25
Personuppgiftsbiträde: Sat-iTec AB, Simeå 8097, 82167 Vallsta, Sverige (org.nr 559375-4335)
Plattform: ChatiTec
Innan innehåll överförs till externa AI-leverantörer anonymiseras personuppgifter och yrkeshemligheter automatiskt (PII-tokenisering). Denna anonymisering är obligatorisk som standard (PII_FORCE_FOR_EXTERNAL=true). Till de externa AI-underbiträden som anges i avsnitt 3 överförs därmed uteslutande anonymiserat innehåll utan identifierande personuppgifter i klartext. Återkoppling av platshållarna är endast möjlig lokalt (Fernet-krypterad) på plattformens infrastruktur i Tyskland, som drivs av Sat-iTec Systemhaus GmbH (avsnitt 2).
Överföringsfritt alternativ: Vid användning av rent lokala modeller (Ollama/vLLM) anlitas inga externa AI-underbiträden; innehållet behandlas då uteslutande inom EU/EES och ingen överföring till tredjeland äger rum.
| Nr | Underbiträde | Ändamål med behandlingen | Behandlade uppgifter | Plats | Grund för överföring |
|---|---|---|---|---|---|
| 1 | Sat-iTec Systemhaus GmbH, Heisinger Straße 21, 87437 Kempten, Tyskland – koncernbolag till Sat-iTec AB | Drift av plattformen ChatiTec; hosting i eget datacenter i Tyskland (EU) (inkl. housing och fysisk drift av datacentret); säkerhetskopiering; support | Samtliga uppgifter som behandlas på plattformen (kontouppgifter och innehållsdata, i lagrat skick krypterade på applikationsnivå) | Tyskland (EU) | Inom EU/EES – ingen överföring till tredjeland; avtal enligt artikel 28.4 GDPR |
| Nr | Underbiträde | Ändamål med behandlingen | Behandlade uppgifter | Plats / tredjeland | Grund för överföring (kapitel V GDPR) |
|---|---|---|---|---|---|
| 2 | OpenAI OpenAI Ireland Ltd. (för kunder inom EES) | AI-/LLM-inferens (behandling av anonymiserade indata, generering av svar) | Uteslutande anonymiserat innehåll | USA | Standardavtalsklausuler (SCC) enligt artikel 46 GDPR och/eller EU–US Data Privacy Framework (artikel 45 GDPR), i den mån certifiering finns |
| 3 | Anthropic Anthropic Ireland, Limited (för kunder inom EES) | AI-/LLM-inferens (behandling av anonymiserade indata, generering av svar) | Uteslutande anonymiserat innehåll | USA | Standardavtalsklausuler (SCC) enligt artikel 46 GDPR och/eller EU–US Data Privacy Framework (artikel 45 GDPR), i den mån certifiering finns |
| 4 | Google (Gemini) Google Ireland Ltd. | AI-/LLM-inferens (behandling av anonymiserade indata, generering av svar) | Uteslutande anonymiserat innehåll | USA | Standardavtalsklausuler (SCC) enligt artikel 46 GDPR och/eller EU–US Data Privacy Framework (artikel 45 GDPR), i den mån certifiering finns |
Anmärkning om grunden för överföring: Avgörande är den vid varje tidpunkt gällande avtalsgrunden för den aktuella leverantören. För amerikanska leverantörer kommer i första hand EU:s standardavtalsklausuler enligt genomförandebeslut (EU) 2021/914 i fråga; om leverantören är certifierad enligt EU–US Data Privacy Framework och ett beslut om adekvat skyddsnivå är tillämpligt kan även detta åberopas. Uppgifternas aktualitet ska kontrolleras regelbundet.
| Leverantör | Status | Skäl |
|---|---|---|
| DeepSeek | AVAKTIVERAD som standard | Tredjelands-/riskbedömning Kina; kan inte användas utan en uttrycklig, separat riskbedömning och aktivering |
| Nr | Leverantör | Ändamål | Plats | Grund för överföring |
|---|---|---|---|---|
| 5 | Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland | Hantering av betalningar för avgiftsbelagda abonnemang | Irland (EU); överföring till Stripe, Inc. (USA) möjlig | Stripe agerar vid betalningshanteringen som självständig personuppgiftsansvarig; inga innehållsdata. Överföring till tredjeland på grundval av EU–US Data Privacy Framework respektive EU:s standardavtalsklausuler |
| 6 | Internet Security Research Group (Let's Encrypt), San Francisco, USA | Utfärdande av TLS-certifikat (inga innehållsdata) | USA | Ingen behandling av personuppgifter i innehållsdata; endast teknisk domänvalidering |
Ändringar i denna förteckning (anlitande/byte av underbiträden) meddelas den personuppgiftsansvarige i god tid i förväg skriftligen (e-post är tillräckligt) i enlighet med § 5 i personuppgiftsbiträdesavtalet; den personuppgiftsansvarige har den rätt att invända som föreskrivs där. De tekniska och organisatoriska åtgärderna beskrivs i bilaga 1.
Datum: 25 oktober 2026 · Version: ab-2026-10-25