Data Processing Agreement (DPA) – Q-Sales

Detta avtal (”DPA”) ingås mellan:

• Uppdragsgivaren: Kunden (”Kunden” eller ”Personuppgiftsansvarig”).
• Uppdragstagaren: QBIM AB, org.nr 556944-6981 (”QBIM” eller ”Personuppgiftsbiträde”).

Kunden och QBIM benämns gemensamt ”Parterna”.

Detta DPA reglerar QBIM:s behandling av personuppgifter för Kundens räkning i samband med användningen av Q-Sales (”Tjänsten”) och utgör ett personuppgiftsbiträdesavtal enligt artikel 28 GDPR.

Kunden är personuppgiftsansvarig för Kunddata som Kunden, dess användare eller anslutna system tillför eller genererar i Tjänsten. QBIM är personuppgiftsbiträde och får endast behandla sådana personuppgifter enligt Kundens dokumenterade instruktioner, detta DPA och tillämplig lag. Kundens användning, val av möten, konfiguration och aktivering av valfria integrationer utgör dokumenterade instruktioner inom ramen för Tjänstens avtalade funktionalitet.

Om QBIM enligt unionsrätt eller medlemsstatsrätt är skyldigt att behandla personuppgifter utöver Kundens instruktioner ska QBIM, om lagen medger det, informera Kunden innan sådan behandling sker.

QBIM ska utan onödigt dröjsmål informera Kunden om QBIM bedömer att en instruktion från Kunden strider mot GDPR eller annan tillämplig unions- eller medlemsstatsrättslig dataskyddslagstiftning.

QBIM behandlar personuppgifter för att tillhandahålla Q-Sales, inklusive mötesinspelning, transkribering, AI-baserad mötesanalys, mötesdokumentation, säljstöd och de integrationer som Kunden väljer att aktivera.

För ett möte som Kunden väljer att behandla utgör inspelning, transkribering och AI-baserad analys Tjänstens kärnflöde. Kunden väljer själv vilka möten som ska spelas in och behandlas. Kalender-, CRM- och telefoniintegrationer är valfria och kan lämnas oaktiverade eller stängas av. Q-Sales har ingen separat integration mot Kundens e-postbrevlåda; Tjänsten kan däremot skicka mötessammanfattningar via e-post som en leveransfunktion.

3.1 Kategorier av registrerade

• Kundens anställda och konsulter.
• Kundens kunder, leads och prospekt.
• Mötesdeltagare och kontaktpersoner hos kunder, leverantörer och andra affärspartners.
• Andra personer vars uppgifter Kunden väljer att behandla genom Tjänsten eller en aktiverad integration.

3.2 Kategorier av personuppgifter

• Namn, e-postadress, telefonnummer och andra kontaktuppgifter.
• Användar- och autentiseringsuppgifter, UID samt tekniska identifierare.
• Mötesmetadata, kalenderuppgifter och uppgifter om deltagande i möten.
• Ljud/röstdata under inspelning och transkribering. Röstdata används inte för biometrisk identifiering.
• Transkript, mötesanteckningar, sammanfattningar, beslut, aktiviteter, uppföljningspunkter och annat AI-genererat mötesinnehåll.
• Yrkesrelaterad, affärsrelaterad och annan information som uttrycks i möten eller överförs genom aktiverade integrationer.
• IP-adress, user agent, trafikmetadata, drift-, säkerhets- och åtkomstloggar.

Tjänsten utför inte automatiserade beslut som har rättslig eller på liknande sätt betydande effekt för registrerade enligt artikel 22 GDPR. Tjänsten är inte avsedd för biometrisk identifiering, känslodetektering eller motsvarande beteendeprofilering.

3.3 Lagringstid och gallring under avtalstiden

Personuppgifter i Tjänstens primära system lagras så länge Kunden använder Tjänsten och uppgifterna behövs för den funktion Kunden valt att använda, om Kunden inte raderar uppgifterna tidigare. Kunden kan radera enskilda möten och användare samt begära fullständig radering.

Operativa säkerhetskopior har en rullande teknisk retention om 7 dagar. Vid avtalets upphörande gäller de särskilda tidsfristerna i punkt 9. Temporära arbetskopior används endast för den tekniska behandling som krävs för Tjänsten och rensas enligt tillämpliga drift- och livscykelrutiner. Övergripande dataflöden och retention framgår av Bilaga 1.

3.4 Begränsning av användning och modellträning

QBIM får inte använda Kunddata för egna ändamål såsom marknadsföring, profilering, produktutveckling, statistik eller träning av AI-modeller. Produkt- och kvalitetsutveckling får ske på anonymiserad eller aggregerad information som inte utgör personuppgifter. AI-leverantörer anlitas som underbiträden för att utföra den behandling som behövs för Tjänstens funktioner. QBIM gör ingen utfästelse om Zero Data Retention (ZDR) om inte detta uttryckligen har verifierats och avtalats för aktuell leverantör och konfiguration.

QBIM ska med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR. Nedanstående sammanfattar de säkerhetsåtgärder som tillämpas för Tjänsten och ska läsas tillsammans med Bilaga 2.

4.1 Kryptering och nyckelhantering

• Lagrad Kunddata i Tjänstens primära lagringsmiljö krypteras i vila med AES-256 eller motsvarande leverantörshanterad kryptering.
• Särskilt känsliga integrationsuppgifter skyddas även genom kompletterande applikationskryptering. Krypteringsnycklar hanteras genom leverantörernas säkerhetsmekanismer och behörighetsstyrda nyckelhanteringssystem.
• QBIM tillämpar krypterad transport för internetexponerade webb- och API-flöden samt primära lagringstjänster. TLS 1.2 eller högre används för dessa flöden där protokollet är tillämpligt. QBIM arbetar riskbaserat med transportskydd även för övriga interna och externa dataflöden.
• Inspelningar som lagras lokalt på Kundens enhet omfattas av enhetens och operativsystemets lagrings- och åtkomstskydd.

4.2 Behörighet, administrativ åtkomst och sekretess

QBIM tillämpar rollbaserad behörighetsstyrning och principen om minsta privilegium. En begränsad grupp behöriga utvecklings- och driftansvariga samt nödvändiga serviceidentiteter har teknisk produktionsåtkomst när detta krävs för drift, support, säkerhet, backup eller driftsättning.

QBIM-personal får endast ta del av Kunddata när det är nödvändigt för begärd support och felsökning, återställning av drift, säkerhetsarbete eller andra uttryckliga instruktioner från Kunden. Åtkomsten ska begränsas till vad som behövs för uppgiften och utföras av behörig personal som omfattas av sekretessåtagande.

MFA används för centrala interaktiva administrativa åtkomstvägar. Andra administrativa åtkomstvägar och icke-interaktiva serviceidentiteter skyddas genom rollbaserad behörighetsstyrning, separata behörighetsuppgifter och plattformsspecifika säkerhetskontroller.

4.3 Kundisolering (tenant isolation)

Q-Sales använder kundisolering i flera lager. Kunddata separeras genom separata kundmiljöer och datalager där det är lämpligt samt genom autentiserade tenantbaserade åtkomstkontroller i gemensamma tjänster.

Kundisoleringen verifieras genom applikationstester, kodgranskning, hotmodellering och behörighetskontroller i samband med förändringar.

4.4 Loggning, sårbarhetshantering och patchning

Åtkomst- och säkerhetsloggning används för drift, felsökning, incidenthantering och säkerhetsuppföljning och tillämpas utifrån respektive systems funktion, risk och behandlingsändamål. Loggningens omfattning och retention kan därför variera mellan olika system och åtkomstvägar. Operativa driftloggar har normalt 14 dagars retention och plattforms- och säkerhetsloggar kan sparas längre.

QBIM genomför återkommande beroende-, konfigurations- och sårbarhetskontroller samt hanterar identifierade fynd genom ordinarie prioriterings- och patchprocess. Infrastruktur- och plattformsuppdateringar genomförs löpande och produktionsreleaser planeras, testas och driftsätts kontrollerat.

4.5 Extern säkerhetsgranskning

QBIM genomför löpande externa säkerhetskontroller genom en specialiserad extern säkerhetstjänst för återkommande scanning av extern attackyta och identifiering av säkerhetssårbarheter. Identifierade fynd hanteras inom ramen för QBIM:s säkerhets-, prioriterings- och patchprocesser.

QBIM:s säkerhetsarbete kompletteras med löpande externa säkerhetskontroller. Aktuell information om certifieringar och andra externa säkerhetsgranskningar kan tillhandahållas på begäran i den omfattning som är relevant för Kundens bedömning.

Kunden lämnar genom detta DPA ett generellt förhandstillstånd för QBIM att anlita de underbiträden som anges i Bilaga 1. QBIM ansvarar för att underbiträden genom skriftliga avtal åläggs dataskyddsskyldigheter som i relevanta delar motsvarar de skyldigheter som följer av detta DPA och artikel 28 GDPR.

Bilaga 1 utgör den fullständiga underbiträdeslista som QBIM använder för behandling av Kunddata per versionsdatumet. QBIM ska informera Kunden skriftligen minst 30 dagar innan ett nytt underbiträde läggs till eller en väsentlig förändring av behandlingen sker. Kunden får invända på saklig dataskyddsgrund. Om Parterna inte kan lösa en välgrundad invändning får Kunden säga upp den berörda delen av Tjänsten.

När personuppgifter överförs till eller görs tillgängliga från land utanför EU/EES ska QBIM säkerställa att en giltig överföringsmekanism enligt GDPR kapitel V används. Om EU-kommissionen har beslutat att mottagarlandet, den relevanta sektorn eller den mottagande organisationen säkerställer en adekvat skyddsnivå enligt artikel 45 GDPR, får överföringen baseras på sådant adekvansbeslut, däribland EU-US Data Privacy Framework (DPF) för amerikanska organisationer som omfattas av beslutet. I andra fall används, där tillämpligt, EU-kommissionens standardavtalsklausuler (SCC) enligt artikel 46 GDPR tillsammans med relevanta kompletterande tekniska och organisatoriska skyddsåtgärder.

QBIM har genomfört och dokumenterat en Transfer Impact Assessment (TIA) av de identifierade internationella överföringarna och de överföringsmekanismer som används. Bedömningen ses över minst årligen och tidigare vid väsentliga förändringar av underbiträden, dataflöden, behandlingsregioner, överföringsmekanismer eller relevant lagstiftning. QBIM kan på Kundens begäran tillhandahålla relevant information om genomförd TIA och dess slutsatser, med beaktande av säkerhets-, sekretess- och affärshemlighetsintressen.

QBIM ska, med hänsyn till behandlingens art och i den mån det är möjligt, bistå Kunden genom lämpliga tekniska och organisatoriska åtgärder för att Kunden ska kunna fullgöra sina skyldigheter avseende registrerades rättigheter, inklusive tillgång, rättelse, radering, begränsning, invändning och dataportabilitet.

QBIM ska på begäran tillhandahålla den information om Tjänstens behandling som Kunden skäligen behöver för att bedöma rättslig grund, nödvändighet och proportionalitet samt för att genomföra en konsekvensbedömning (DPIA) enligt artikel 35 GDPR.

QBIM ska göra tillgänglig den information som krävs för att visa efterlevnad av artikel 28 GDPR. Revision ska i första hand ske genom granskning av tillgänglig dokumentation och säkerhetsunderlag. Om detta inte är tillräckligt ska QBIM, med skälig framförhållning, möjliggöra och bidra till en revision eller inspektion som Kunden eller en oberoende revisor genomför. Sådan revision får normalt ske högst en gång per tolvmånadersperiod, om inte ytterligare revision krävs på grund av en personuppgiftsincident, bindande myndighetskrav eller annan konkret och sakligt grundad omständighet. Revision ska genomföras under ordinarie arbetstid och på ett sätt som minimerar störningar och inte äventyrar Tjänstens säkerhet, andra kunders information eller QBIM:s affärshemligheter. Kunden svarar för sina egna revisionskostnader. Skäligt stöd som krävs enligt artikel 28 GDPR ingår; arbete som går utöver detta kan debiteras enligt separat överenskommelse.

Kunden ansvarar som personuppgiftsansvarig för att det finns tillämplig rättslig grund för inspelning, transkribering och övrig behandling samt för att registrerade får den information som krävs enligt GDPR och annan tillämplig lag.

Vid digitala möten där Q-Sales mötesbot används visas Q-Sales som en deltagare i mötet. Botens synlighet utgör en teknisk transparenssignal men ska inte i sig betraktas som samtycke eller ersätta Kundens informationsskyldighet. QBIM rekommenderar att användaren uttryckligen informerar övriga mötesdeltagare om att mötet kommer att spelas in och/eller transkriberas innan behandlingen påbörjas.

Vid fysiska möten eller annan inspelning där ingen Q-Sales-bot eller motsvarande teknisk indikator är synlig är det särskilt viktigt att Kunden själv informerar deltagarna innan inspelningen påbörjas.

Rekommenderad standardinformation som Kunden kan använda och anpassa: ”Vi använder Q-Sales för att spela in och transkribera detta möte för dokumentation och uppföljning. Den organisation som bjudit in till mötet är personuppgiftsansvarig för behandlingen. Kontakta mötesorganisatören för mer information om behandlingen och dina rättigheter.”

Vid en personuppgiftsincident som påverkar personuppgifter som QBIM behandlar för Kundens räkning ska QBIM underrätta Kunden utan onödigt dröjsmål och senast inom 24 timmar efter att QBIM fått kännedom om incidenten.

Den första underrättelsen ska, i den utsträckning informationen då är tillgänglig, innehålla:

• en beskrivning av incidentens art,
• vilka system, datakategorier och kategorier av registrerade som kan vara berörda,
• kända eller sannolika konsekvenser,
• vidtagna eller planerade begränsnings- och korrigeringsåtgärder, och
• kontaktuppgifter till QBIM för fortsatt incidenthantering.

Om all relevant information inte finns tillgänglig vid den första underrättelsen får den lämnas successivt utan onödigt dröjsmål. Incidentkontakt är support@qbim.se.

QBIM:s incidentprocess omfattar identifiering och initial begränsning, bedömning av omfattning och berörda kunder, tekniska och organisatoriska åtgärder, kundkommunikation, dokumentation samt efterföljande orsaksanalys och korrigerande åtgärder.

Vid avtalets upphörande ska QBIM, enligt Kundens val, radera eller återlämna de personuppgifter som behandlats för Kundens räkning inom ramen för Tjänsten och därefter radera befintliga kopior, om inte fortsatt lagring krävs enligt tillämplig unionsrätt eller medlemsstatsrätt.

På Kundens begäran återlämnar QBIM de personuppgifter som kvarstår vid avtalets upphörande i befintligt och tekniskt tillgängligt standardformat. Text- och strukturerade data återlämnas normalt i CSV eller annat befintligt exportformat. Ljudfiler som fortfarande finns lagrade vid återlämningstillfället återlämnas i befintligt tekniskt format, i den mån de omfattas av Kundens begäran.

Återlämning enligt föregående stycke avser befintliga data i befintligt standardformat. Arbete avseende särskild strukturering, konvertering, migrering, sammanställning eller annat kundanpassat format eller migreringsstöd kan debiteras enligt QBIM:s vid var tid gällande konsultarvode efter överenskommelse med Kunden.

Om Kunden väljer radering, eller efter att begärd återlämning har genomförts, initierar QBIM radering av Kundens data. Den praktiska tidpunkten samordnas vid behov med Kunden för att möjliggöra återlämning, men personuppgifter i Tjänstens primära system ska raderas senast 30 dagar efter avtalets upphörande, om inte fortsatt lagring krävs enligt tillämplig lag.

QBIM ansvarar för att personuppgifter som behandlas för Kundens räkning även raderas hos relevanta underbiträden i enlighet med detta DPA och respektive underbiträdes tillämpliga raderings- och retentionprocesser.

Säkerhetskopior omfattas av motsvarande sekretess- och säkerhetskrav och raderas successivt inom högst 90 dagar efter avtalets upphörande. Under denna period används backupkopior endast för återställnings- och kontinuitetsändamål och återförs inte till aktiv behandling annat än när det är nödvändigt för återställning. På Kundens begäran kan QBIM efter genomförd radering lämna en skriftlig bekräftelse på att raderingsprocessen har slutförts i enlighet med detta DPA.

Parternas ansvar för skada som orsakas genom behandling i strid med GDPR ska bedömas och fördelas enligt artikel 82 GDPR och tillämplig dataskyddslagstiftning. Sanktionsavgifter bärs av den part som påförs sådan avgift, utan att detta påverkar eventuell regressrätt enligt lag eller avtal.

Om en Part får kännedom om en omständighet som kan leda till skada för den andra Parten ska den utan onödigt dröjsmål informera motparten och skäligen medverka till att förebygga och begränsa skadan. I den mån huvudavtalet innehåller ansvarsbegränsningar påverkar dessa inte registrerades rättigheter enligt GDPR eller sådan ansvarsfördelning som inte får avtalas bort enligt lag.

Om inte tvingande lag föreskriver annat omfattas Parternas inbördes ansvar enligt detta DPA av de ansvarsbegränsningar och ansvarsundantag som följer av huvudavtalet. Detta begränsar inte registrerades rättigheter enligt GDPR eller ansvar som enligt tvingande lag inte får begränsas.

Detta DPA gäller så länge QBIM behandlar personuppgifter för Kundens räkning inom ramen för Tjänsten. Vid konflikt mellan detta DPA och huvudavtalet ska detta DPA ha företräde i frågor som avser behandling av personuppgifter för Kundens räkning.

Ändringar av detta DPA ska ske skriftligen. Uppdateringar av den fullständiga underbiträdeslistan hanteras enligt punkt 5 och kräver inte separat undertecknande om Kunden inte invänder enligt den processen.

DPA:t regleras av svensk lag. Tvist ska hanteras enligt tvistlösningsbestämmelsen i huvudavtalet, eller, om sådan bestämmelse saknas, av svensk allmän domstol.

Bilagan utgör QBIM:s fullständiga underbiträdesförteckning och dataflödesbeskrivning per 2026-09-10.

Microsoft Azure tillhandahålls inom ramen för Microsofts Products and Services Data Protection Addendum. Primär hostingregion för Kunddata är Sweden Central, Sverige.

Detta DPA kan undertecknas separat eller införlivas i Parternas huvudavtal. Genom undertecknande eller annan uttrycklig accept av detta DPA bekräftar Parterna att de tagit del av och accepterat villkoren.

Vill du ha DPA:t undertecknat separat? Kontakta support@qbim.se och ange organisationsnummer och kontaktperson, så skickar vi dokumentet för signering.

QBIM AB, org.nr 556944-6981, Västra Torggatan 18, 652 24 Karlstad, Sverige. E-post: support@qbim.se. Telefon: +46 (0)54 87 07 25.