PERSONUPPGIFTSBITRÄDESAVTAL

Bilaga till avtal om Alune ABs AI-tjänst för arbetsrättsliga frågor

Senast uppdaterad: 22.09.2026

1. Parter och avtalets omfattning

Detta personuppgiftsbiträdesavtal ("Biträdesavtalet") har ingåtts mellan:

• Kunden, i egenskap av personuppgiftsansvarig ("Kunden"), och
• Alune AB, org.nr 559601-2988, Sölvesborg, i egenskap av personuppgiftsbiträde ("Alune").

Biträdesavtalet ingås i enlighet med artikel 28 i EU:s allmänna dataskyddsförordning (EU) 2016/679 ("GDPR"). Parterna ska var för sig följa tillämplig dataskyddslagstiftning vid behandlingen av personuppgifter.

Biträdesavtalet utgör en integrerad del av det användarvillkorsavtal ("Huvudavtalet") som reglerar Kundens användning av Alunes AI-baserade tjänst för arbetsrättsliga frågor ("Tjänsten"). Vid motstridighet mellan Biträdesavtalet och Huvudavtalet i frågor som rör behandling av personuppgifter ska Biträdesavtalet ha företräde.

Följande bilagor har bifogats till detta Biträdesavtal och utgör en integrerad del av Biträdesavtalet:

• Bilaga: Instruktioner.
• Bilaga: Godkända Underbiträden.
• Bilaga: Säkerhetsåtgärder.

2. Definitioner

I detta Biträdesavtal används definitioner enligt GDPR, såsom "personuppgifter", "behandling", "registrerad", "personuppgiftsansvarig" och "personuppgiftsbiträde". Dessa begrepp har samma innebörd som i artikel 4 i GDPR.

3. Syfte och bakgrund

Alune behandlar personuppgifter för Kundens räkning i samband med att Kunden och dess användare använder Tjänsten, bland annat när frågor eller bilagor skickas in via chattfunktionen och när dokument (t.ex. kollektivavtal eller policyer) laddas upp för att användas som underlag i Tjänsten. Detta Biträdesavtal reglerar sådan behandling i enlighet med artikel 28 GDPR. Behandlingens föremål, varaktighet, art och ändamål samt de typer av personuppgifter och kategorier av registrerade som behandlingen omfattar anges närmare i Bilaga 1: Instruktioner. Behandling av användarkonton och inloggning, där Alune är personuppgiftsansvarig, regleras i Alunes integritetsmeddelande och omfattas inte av detta Biträdesavtal.

Tjänsten bearbetar med hjälp av AI-driven teknik det innehåll som Kunden själv väljer att mata in. Alune behandlar personuppgifterna endast för att tillhandahålla Tjänsten och i enlighet med Kundens dokumenterade instruktioner. Alune granskar, kuraterar eller kontrollerar inte innehållet i förväg och identifierar inte heller om innehållet innehåller personuppgifter eller känsliga personuppgifter innan det bearbetas.

4. Roller och ansvarsfördelning enligt GDPR

Kunden, i egenskap av personuppgiftsansvarig, bestämmer ensam ändamål och medel för den behandling som sker genom Kundens användning av Tjänsten, inklusive vilket innehåll som matas in. Alune, i egenskap av personuppgiftsbiträde, behandlar personuppgifter som omfattas av detta Biträdesavtal uteslutande på uppdrag av och enligt instruktion från Kunden.

Kunden ansvarar särskilt för att:

• det finns laglig grund för all behandling av personuppgifter som sker via Tjänsten och att de registrerade får den information som krävs enligt tillämplig dataskyddslagstiftning,
• allt innehåll som matas in i Tjänsten får behandlas av Kunden och delas med Alune,
• endast sådana personuppgifter delas som är förenliga med detta Biträdesavtal och avsnitt 6 nedan,
• skyldigheter gentemot registrerade fullgörs, inklusive information, radering och övriga rättigheter enligt kapitel III GDPR,
• bedöma om Tjänsten, med hänsyn till dess funktion och de begränsningar som anges i detta Biträdesavtal, är lämplig för den aktuella behandlingen,
• de instruktioner som lämnas till Alune är lagenliga, korrekta och tillräckliga för behandlingen,
• utan onödigt dröjsmål informera Alune om en instruktion ändras eller behöver kompletteras, och
• utan onödigt dröjsmål informera Alune om sådana förfrågningar från registrerade, tillsynsmyndigheter eller andra tredje parter som Alune behöver känna till för att kunna fullgöra sina skyldigheter enligt detta Biträdesavtal.

Kunden bekräftar att de tekniska och organisatoriska säkerhetsåtgärder som Alune åtar sig att vidta och som anges i Bilaga: Säkerhetsåtgärder är lämpliga med hänsyn till den behandling som omfattas av Biträdesavtalet och att Alune därmed lämnar tillräckliga garantier i enlighet med artikel 28.1 GDPR.

5. Instruktioner och behandlingens omfattning

Alune får endast behandla personuppgifter enligt dokumenterade instruktioner från Kunden. Kundens användning av Tjänsten, varje fråga, chattbilaga, uppladdat dokument eller annat innehåll som matas in, utgör i sig en instruktion enligt artikel 28.3.a GDPR. Alune ska ta emot och bearbeta innehållet, vidarebefordra det till de godkända underbiträden som anges i Bilaga 2: Underbiträden för AI-baserad bearbetning och/eller lagring, samt generera och återge svar. Uppgifter om behandlingens art, ändamål, varaktighet samt kategorier av registrerade och personuppgifter framgår i övrigt av Bilaga 1: Instruktioner.

Om Alune enligt unionsrätten eller nationell rätt är skyldig att behandla personuppgifter på annat sätt än enligt Kundens instruktioner, ska Alune informera Kunden om det rättsliga kravet innan behandlingen genomförs, om sådan information inte är förbjuden enligt lag.

Om Alune anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning ska Alune utan dröjsmål informera Kunden om detta. Alune har rätt, men ingen skyldighet, att avstå från att utföra en instruktion som Alune bedömer vara olaglig. Alune får tillfälligt avbryta den berörda behandlingen i avvaktan på Kundens förtydligande eller ändrade instruktion.

6. Känsliga personuppgifter och Kundens ansvar för innehåll

Kunden förbinder sig att, i den mån det är möjligt, undvika att mata in särskilt integritetskänsliga personuppgifter, såsom personnummer, samt särskilda kategorier av personuppgifter (även kallade känsliga personuppgifter) enligt artikel 9 GDPR, exempelvis uppgifter om hälsa eller fackligt medlemskap, personuppgifter som rör lagöverträdelser enligt artikel 10 GDPR eller annan information som är särskilt skyddsvärd i Tjänsten (chatt, bilagor och uppladdade dokument), om inte Kunden själv har säkerställt en giltig laglig grund och vidtagit de ytterligare skyddsåtgärder som kan krävas för sådan behandling.

Alune informerar Kunden, både i användarvillkoren och detta Biträdesavtal om att sådana uppgifter bör undvikas. Sådan information utgör vägledning och fritar inte Kunden från ansvaret enligt detta avsnitt.

Om Kunden ändå matar in uppgifter i strid med detta avsnitt sker detta på Kundens eget ansvar. Kunden ska hålla Alune skadeslöst för anspråk, sanktioner eller kostnader som uppstår till följd av att sådana uppgifter matats in i strid med detta avsnitt, i den utsträckning det är förenligt med tvingande rätt. Detta avsnitt begränsar inte Alunes egna skyldigheter enligt artikel 28 GDPR eller Alunes ansvar för att i övrigt behandla de personuppgifter som faktiskt matas in på ett säkert sätt i enlighet med detta Biträdesavtal.

7. Biträdets skyldigheter

Alune ska:

• endast behandla personuppgifterna för de ändamål och i den utsträckning som krävs för att tillhandahålla Tjänsten och i enlighet med Kundens instruktioner, inklusive vid överföring av personuppgifter till ett tredjeland eller en internationell organisation,
• säkerställa att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt, och att sekretesskyldigheten gäller även efter att deras behörighet eller detta Biträdesavtal har upphört,
• vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder i enlighet med artikel 32 GDPR, anpassade efter Tjänstens nuvarande utvecklingsstadium som pilot, se Bilaga 3: Säkerhetsåtgärder,
• i den utsträckning det är möjligt, bistå Kunden med lämpliga åtgärder för att uppfylla skyldigheten att svara på begäran om utövande av registrerades rättigheter enligt kapitel III GDPR, samt utan onödigt dröjsmål informera Kunden om en sådan begäran som Alune mottar,
• bistå Kunden med att säkerställa att skyldigheterna enligt artiklarna 32–36 GDPR fullgörs, med beaktande av behandlingens art och den information Alune har tillgång till,
• enligt Kundens val återlämna eller radera personuppgifterna i enlighet med avsnitt 9 och Bilaga 1: Instruktioner, samt radera befintliga kopior, om inte lag kräver fortsatt lagring, samt
• ge Kunden tillgång till den information som krävs för att visa att skyldigheterna enligt artikel 28 GDPR fullgjorts, enligt avsnitt 12.

8. Underbiträden

Kunden ger Alune genom detta Biträdesavtal ett allmänt skriftligt förhandstillstånd att anlita andra personuppgiftsbiträden (nedan kallade "Underbiträden") för att utföra en specifik behandling på Kundens vägnar. Av Kunden på förhand godkända Underbiträden förtecknas i Bilaga: Godkända Underbiträden.

Om Alune anlitar ett Underbiträde för att utföra en specifik behandling på Kundens vägnar ska samma dataskyddsskyldigheter som fastställs i detta Biträdesavtal åläggas Underbiträdet genom ett avtal eller en annan rättsakt enligt unionsrätten eller medlemsstaternas lagstiftning. Underbiträdet ska även särskilt tillhandahålla tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i GDPR.

Om Underbiträdet inte fullgör sina skyldigheter i fråga om dataskydd, ska Alune förbli fullt ansvarig gentemot Kunden för fullgörandet av Underbiträdets skyldigheter.

Alune ska informera Kunden i förväg om varje planerad ändring, tillägg eller ersättning av Underbiträde och ge Kunden möjlighet att skriftligen invända mot ändringen. Kan Parterna inte enas har Kunden rätt att säga upp den del av Tjänsten som berörs.

9. Överföring till tredje land

Om Alune eller ett av Alune anlitat Underbiträde överför personuppgifter till, eller gör personuppgifter tillgängliga från, ett land utanför EU/EES, ska sådan överföring ske i enlighet med kapitel V i GDPR och endast om en giltig överföringsmekanism föreligger, såsom beslut om adekvat skyddsnivå, EU standardavtalsklausuler eller bindande företagsbestämmelser.

Alune ska på begäran tillhandahålla Kunden information om tillämplig överföringsmekanism för de tredjelandsöverföringar som sker inom ramen för Biträdesavtalet.

10. Lagring och radering

Inskickade chattfrågor och tillhörande AI-genererade svar lagras inte i Alunes databas. De behandlas för att generera ett svar och finns därefter kvar endast i användarens webbläsarsession tills användaren lämnar chatten eller stänger fliken. Tillfälliga filer som bifogas i en chatt lagras i Azure Blob för extrahering och bearbetning och raderas därefter, utan onödigt dröjsmål. Uppladdade kollektivavtal, policyer och motsvarande dokument, inklusive den text som indexeras för sökning i Tjänsten, lagras tills Kunden tar bort dem i Tjänsten eller tills de återlämnas eller raderas enligt stycket nedan. Alune får därutöver spara anonymiserad eller aggregerad användningsstatistik (som inte medger identifiering av enskilda registrerade) under längre tid, i syfte att utvärdera och förbättra Tjänsten i enlighet med Huvudavtalet. Sådan statistik ska inte innehålla personuppgifter och omfattas därför inte av detta Biträdesavtal.

Vid Huvudavtalets upphörande, eller tidigare på Kundens begäran, ska Alune enligt Kundens val, återlämna eller radera de personuppgifter som behandlas för Kundens räkning. Det omfattar särskilt uppladdade dokument (kollektivavtal och policyer), tillhörande sökindex samt eventuella tillfälliga chattbilagor som inte raderats automatiskt. Alune ska även radera befintliga kopior, om fortsatt lagring inte krävs enligt tillämplig lag.

11. Personuppgiftsincidenter

Alune ska utan onödigt dröjsmål efter att Alune fått kännedom om en personuppgiftsincident som rör personuppgifter som behandlas enligt detta Biträdesavtal, skriftligen via e-post underrätta Kunden. Underrättelsen ska, i den mån informationen finns tillgänglig, innehålla en beskrivning av incidentens art, de kategorier och det ungefärliga antal registrerade och personuppgifter eller personuppgiftsposter som berörs, samt de sannolika konsekvenserna av incidenten och de åtgärder Alune vidtagit eller föreslår för att begränsa konsekvenserna. Underrättelsen ska även innehålla kontaktuppgifter till den kontaktpunkt hos Alune där ytterligare information om incidenten kan erhållas.

Om all information inte är tillgänglig vid tidpunkten för den första underrättelsen, får informationen lämnas i omgångar utan ytterligare onödigt dröjsmål.

Kunden ansvarar för eventuell anmälan av incidenten till tillsynsmyndighet och underrättelse till registrerade enligt artikel 33–34 GDPR. Alune ska på begäran bistå med den information som rimligen krävs för detta.

12. Granskning och revision

Alune ska på begäran tillhandahålla all information som krävs för att visa att Alune fullgör sina skyldigheter enligt detta Biträdesavtal och artikel 28 GDPR. Kunden har rätt att själv, eller genom en av Kunden bemyndigad oberoende revisor, granska den behandling som Alune utför för Kundens räkning i den utsträckning som krävs enligt GDPR.

Alune ska även tillåta behörig tillsynsmyndighet att genomföra sådana granskningar som krävs enligt tillämplig dataskyddslagstiftning.

Kunden har rätt att, högst en gång per kalenderår om inte särskild anledning föreligger (t.ex. efter en personuppgiftsincident) och efter minst tio (10) arbetsdagars skriftlig begäran i förväg, begära sådan information eller genomföra en granskning. Med hänsyn till Tjänstens omfattning som pilot fullgörs revisionsrätten i första hand genom skriftlig information och, om Parterna kommer överens om det, ett gemensamt avstämningsmöte. Granskning på plats får genomföras när skriftlig information och avstämningsmöte inte är tillräckliga för att Kunden ska kunna utöva sin rätt enligt GDPR.

Granskningen ska begränsas till den behandling som Alune utför för Kundens räkning enligt detta Biträdesavtal och genomföras på ett sätt som skäligen begränsar störningar i Alunes verksamhet. Granskningen får inte innebära att företagshemligheter, säkerhetsinformation eller andra kunders personuppgifter röjs i strid med tillämplig lag eller att säkerheten i Tjänsten äventyras.

Granskning på plats hos Alune ska föregås av samråd mellan Parterna om tidpunkt, omfattning och praktiskt genomförande och ske på Kundens bekostnad. Kunden ansvarar även för kostnaderna för den revisor som Kunden anlitar.

13. Ansvar

Alunes sammanlagda ansvar gentemot Kunden enligt detta Biträdesavtal omfattas av samma ansvarsbegränsning om totalt 10 000 kronor, i den utsträckning en sådan begränsning är förenlig med tvingande bestämmelser i GDPR. Begränsningen gäller inte vid uppsåt eller grov vårdslöshet, eller Alunes skyldighet att medverka till radering eller återlämnande av personuppgifter enligt avsnitt 9.

Vid ersättning för skada som en registrerad har lidit till följd av överträdelse av detta Biträdesavtal eller tillämplig dataskyddslagstiftning ska artikel 82 GDPR tillämpas.

En administrativ sanktionsavgift enligt artikel 83 GDPR ska bäras av den Part som avgiften påförs. Om en Part, i den utsträckning det är förenligt med tillämplig lag, ådrar sig kostnad eller skada till följd av den andra Partens överträdelse av detta Biträdesavtal eller tillämplig dataskyddslagstiftning, ska den överträdande Parten ersätta den andra Parten i enlighet med detta avsnitt 13.

Alune ansvarar inte för skador, administrativa sanktionsavgifter eller anspråk som uppstår till följd av innehåll eller instruktioner som Kunden har matat in eller lämnat i strid med detta Biträdesavtal, se särskilt avsnitt 6. Ingenting i detta avsnitt begränsar en registrerads rätt att rikta krav direkt mot Kunden eller Alune enligt artikel 82 GDPR, eller inskränker någon Parts eget, direkta ansvar gentemot tillsynsmyndighet enligt tvingande dataskyddsrätt.

14. Avtalstid

Detta Biträdesavtal gäller under Huvudavtalets giltighetstid och därefter så länge Alune behandlar personuppgifter för Kundens räkning, inklusive för att fullgöra skyldigheter avseende radering, återlämning eller annan avslutande hantering enligt detta Biträdesavtal.

15. Tillämplig lag och tvist

Svensk rätt ska tillämpas på detta Biträdesavtal. Tvist som uppstår med anledning av Biträdesavtalet ska slutligt avgöras av allmän domstol med Alunes hemvist som forum, i enlighet med Huvudavtalet.