Personuppgiftsbiträdesavtal för Voqal AI-kundtjänst

Version 3.4. Gäller från och med 31 oktober 2026.

När vår AI-agent svarar i er telefon eller chatt behandlar vi uppgifter om era kunder åt er. Ni bestämmer varför, vi gör det åt er. Det här avtalet reglerar det, så som dataskyddsförordningen kräver. Det ingår i alla planer och ni godkänner det i samma steg som ni beställer tjänsten. Vill ni ha ett undertecknat exemplar skickar vi det.

Läs särskilt avsnitt 6 om säkerhet, avsnitt 7 om underbiträden och avsnitt 11 om lagringstider.

1. Parter

Personuppgiftsbiträde: Voqal AB, org.nr 559549-0425, Handelsmyntet 15, 414 81 Göteborg. Kontakt för dataskyddsfrågor: privacy@voqal.se. Nedan Voqal.

Personuppgiftsansvarig: det företag som anges i beställningen av tjänsten, eller i ett undertecknat avtal om tjänsten. Nedan Kunden.

Kundens kontakt för dataskyddsfrågor är den kontaktperson och den e-postadress som angavs i beställningen, tills Kunden meddelar en annan.

Detta avtal reglerar Voqals behandling av personuppgifter för Kundens räkning enligt artikel 28 i dataskyddsförordningen. Det är en del av avtalet om tjänsten, alltså Voqals allmänna villkor eller ett avtal som parterna undertecknat. Säger dokumenten olika saker har detta avtal företräde i frågor om personuppgifter.

2. Föremål och ändamål

Voqal tillhandahåller en AI-driven kundtjänst. Behandlingen omfattar:

• Besvarande av inkommande telefonsamtal till de nummer Kunden använder för tjänsten, med en röstagent som talar med den som ringer.
• Vidarekoppling av samtal till en mottagare som Kunden angett.
• Koppling av samtal direkt till ett nummer Kunden angett, utan att agenten svarar, när Kunden har valt att själv ta samtalen eller när agenten inte kan ta samtalet. Tjänsten registrerar då samtalet som underlag för minuträkningen.
• En röstdemo i webbläsaren, där en besökare kan tala med agenten.
• En chattwidget som Kunden kan bädda in på sin webbplats, där en besökare kan skriva till agenten.
• Registrering av ärenden och begäranden om återuppringning från kanalerna ovan, och avisering av dem till Kunden.
• Transkript av samtal och chattar, och en maskingenererad sammanfattning av telefonsamtal där den som ringer har sagt något och av samtal som lett till ett ärende.
• Ett gränssnitt där Kundens egna användare loggar in för att se och hantera ärendena, med sammanfattning och transkript, och för att se Kundens telefonsamtal med sammanfattning.

Följande ingår bara när Kunden och Voqal har avtalat det särskilt:

• Ljudinspelning av telefonsamtal.
• Registrering av bokningar, avbokningar och ändringar med bokningsnummer, och en bekräftelse med bokningens uppgifter med e-post till den adress Kunden anger.

Behandlingen pågår så länge avtalet om tjänsten gäller och avslutas enligt avsnitt 14. Den sker enbart för att leverera tjänsten. Voqal använder aldrig Kundens uppgifter för egen marknadsföring, egen prospektering eller för att träna modeller.

3. Kategorier av registrerade

Fysiska personer som kontaktar Kunden genom någon av tjänstens kanaler, alltså de som ringer Kundens nummer, provar röstdemon eller skriver i chattwidgeten.

Därutöver Kundens egna användare av tjänsten, vars inloggningsuppgifter behandlas för att tjänsten ska fungera.

4. Kategorier av personuppgifter

Om dem som kontaktar Kunden:

• Namn, när personen uppger det
• Telefonnummer, antingen det nummer personen ringer från eller det hon uppger
• E-postadress, när personen uppger den
• Fritext om vad ärendet gäller, alltså det personen själv berättar
• Röstljud under pågående samtal, som behandlas i realtid
• Transkript, alltså samtalets eller chattens text tur för tur, med tidsstämplar
• Chattmeddelanden i fritext
• IP-adress för besök i röstdemon och i chattwidgeten
• Tidsstämplar för samtal och meddelanden, samt samtalets längd
• För telefonsamtal: samtalets id hos telefonileverantören och om samtalet kopplades vidare, som underlag för minuträkningen
• En kort maskingenererad sammanfattning av samtalet, för telefonsamtal där den som ringer har sagt något och för samtal som lett till ett registrerat ärende
• När inspelning har avtalats: ljudinspelning av telefonsamtalet, med den som ringer och agenten i var sin kanal. Inspelningen omfattar tiden från att tjänsten svarar till att agenten lämnar samtalet, och alltså inte tiden efter en vidarekoppling
• När bokningsnummer har avtalats: bokningsnummer och de uppgifter bokningen innehåller, exempelvis kundnummer, namn på den som bokar, namn eller titel på den som tjänsten bokas för, datum, tid, plats och särskilda önskemål

Om Kundens egna användare:

• Namn och e-postadress för inloggning
• Uppgift om vilken roll användaren har i tjänsten och vilken kund användaren hör till
• För den användare som slagit på notiser: prenumerationens adress hos webbläsarens pushtjänst, de två krypteringsnycklar som hör till den, samt den text webbläsaren uppger om enheten, exempelvis operativsystem och webbläsarversion

Samt: uppgifter som den som kontaktar Kunden själv väljer att berätta för agenten eller skriva i chatten. Agenten är instruerad att hålla sig till Kundens verksamhet, men Voqal kan inte hindra att en person berättar mer än ärendet kräver, och granskar inte innehållet i ärendetexterna.

5. Förbud mot särskilda kategorier och mot rekryteringsanvändning

5.1 Tjänsten får inte användas för verksamhet där behandling av uppgifter enligt artikel 9, bland annat uppgifter om hälsa, facklig tillhörighet, etniskt ursprung, religiös övertygelse och sexuell läggning, är en förutsedd del av samtalen. Det träffar bland annat vård, tandvård, psykologi, socialtjänst och juridisk rådgivning i enskilda ärenden.

5.2 Skälet är inte att sådan behandling skulle vara omöjlig, utan att den kräver en konsekvensbedömning enligt artikel 35, en särskild rättslig grund enligt artikel 9.2 och tekniska åtgärder som inte ingår i tjänsten. Vill Kunden använda tjänsten i en sådan verksamhet ska det avtalas särskilt och föregås av en konsekvensbedömning.

5.3 Tjänsten får inte användas för att screena, bedöma eller sortera arbetssökande eller kandidater. Rekryteringsurval är dessutom klassat som högrisk enligt bilaga III punkt 4 a till EU:s AI-förordning.

5.4 Voqal granskar inte innehållet i samtal eller ärenden. Bryter Kunden mot detta avsnitt ansvarar Kunden för följderna, och Voqal får säga upp avtalet om tjänsten enligt det avtalets regler.

6. Säkerhetsåtgärder

6.1 Voqal vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i dataskyddsförordningen, med hänsyn till behandlingens art och riskerna för de registrerade. Bland dem:

• Personuppgifterna lagras inom EU, med de undantag som anges i avsnitt 7.
• Tjänstens trafik över internet, HTTP och WebSocket, krypteras med TLS. Samtalets väg genom det allmänna telefonnätet fram till telefonileverantören ligger utanför Voqals kontroll.
• Åtkomst till gränssnittet kräver inloggning, och behörigheten kontrolleras för varje administrativ funktion. Kundens användare kommer bara åt den egna Kundens uppgifter.
• Nycklar och lösenord förvaras skilda från programkoden.
• Röstljud behandlas i realtid och sparas inte, om inte inspelning avtalats. Inspelningar lagras inom EU utan publik åtkomst.
• Databasen säkerhetskopieras dagligen.
• Uppgifterna gallras automatiskt enligt avsnitt 11.
• AI-behandlingen sker inom EU, och leverantören får enligt avtal inte använda Kundens uppgifter för att träna modeller.

6.2 En utförlig beskrivning av säkerhetsåtgärderna, och av vad som inte ingår, lämnas till Kunden på begäran. Kunden ska behandla den konfidentiellt och får använda den bara för sin egen bedömning av tjänsten. Kunden får lämna den till tillsynsmyndighet och till egna revisorer och rådgivare som har tystnadsplikt.

6.3 Åtgärderna ses över när tjänsten ändras. De får ändras så länge skyddsnivån inte sänks, se 18.4.

7. Underbiträden

7.1 Kunden godkänner genom detta avtal att Voqal anlitar underbiträdena i tabellen nedan.

7.2 Ska ett underbiträde tillkomma eller bytas ut meddelar Voqal det med e-post till Kundens kontakt för dataskyddsfrågor och på denna sida, minst 30 dagar innan underbiträdet börjar behandla uppgifter för Kunden. Kunden kan invända inom de 30 dagarna. Kan invändningen inte tillgodoses får Kunden säga upp avtalet om tjänsten, eller den berörda delen av det, med omedelbar verkan, och Voqal betalar tillbaka avgiften för den betalda tid som återstår.

7.3 Voqal ålägger varje underbiträde skyldigheter som motsvarar detta avtal och ansvarar fullt ut gentemot Kunden för underbiträdets behandling.

7.4 Voqal använder också driftverktyg som inte behandlar personuppgifter om dem som kontaktar Kunden. De är inte underbiträden enligt detta avtal.

7.5 Stripe är inte underbiträde enligt detta avtal. Stripe hanterar Kundens betalning och kort. Det är uppgifter om Kunden själv, som Voqal behandlar som personuppgiftsansvarig enligt integritetspolicyn på voqal.se/integritetspolicy. Stripe tar inte del av uppgifter om dem som ringer eller chattar.

7.6 Överföring till tredje land. Uppgifterna behandlas inom EU, utom där tabellen anger annat. Supabase och Google har verksamhet utanför EU, och åtkomst från tredje land för drift och support kan därför inte uteslutas. Sådana överföringar regleras av EU-kommissionens standardavtalsklausuler eller motsvarande skyddsåtgärder i respektive leverantörs personuppgiftsbiträdesavtal.

7.7 Inloggning med Google och Microsoft. Loggar en av Kundens användare in med sitt Google- eller Microsoft-konto begär tjänsten enbart namn och e-postadress, ingen behörighet att läsa e-post, kalender, filer eller kataloginformation. Google respektive Microsoft bestämmer själva över sin identitetstjänst och är i det ledet inte Voqals underbiträden. Kundens förhållande till dem regleras av Kundens eget avtal med dem. Namn och e-postadress behandlas därefter av Voqal med Supabase som underbiträde. Kundens administratör kan när som helst återkalla tjänstens åtkomst.

8. Ansvarsfördelning för rättslig grund och information

8.1 Kunden ansvarar som personuppgiftsansvarig för att ha en rättslig grund för behandlingen av uppgifter om dem som kontaktar Kunden, normalt fullgörande av avtal enligt artikel 6.1 b eller berättigat intresse enligt artikel 6.1 f, och för att kunna visa den bedömningen.

8.2 Kunden ansvarar för att informera dem som kontaktar Kunden enligt artikel 13. Voqal tillhandahåller de tekniska funktionerna för det, däribland att agenten säger att den är en AI-assistent i sin hälsning, och att chattwidgeten kan länka till Kundens egen information om personuppgiftsbehandling.

8.3 Kunden ansvarar för innehållet i den informationssida som länken pekar på och för att sidan anger Kunden som personuppgiftsansvarig. Voqals egen integritetspolicy kan aldrig fullgöra Kundens informationsplikt.

8.4 Voqal tillhandahåller verktygen men kan inte garantera att Kunden använder dem lagenligt.

8.5 Röstagenten säger att den är en AI-assistent i öppningshälsningen. Det är utformat för att uppfylla artikel 50.1 i EU:s AI-förordning. Kunden kan inte instruera Voqal att ta bort den upplysningen.

8.6 Inspelning slås på bara när Kunden och Voqal avtalat det. Kunden ansvarar för rättslig grund för inspelningen, för att ändamålet är det som anges i upplysningen och i Kundens information enligt artikel 13, och för att inspelningen är förenlig med Kundens egna avtal. Upplysningen i samtalet är inte den fullständiga information artikel 13 kräver. Inspelningarna används bara för att Kunden ska kunna gå igenom samtalen och för Voqals felsökning och förbättring av agenten för Kundens räkning, aldrig för att träna språkmodeller.

9. Instruktioner

9.1 Voqal behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Instruktionerna är detta avtal, avtalet om tjänsten, beställningen, de inställningar och åtgärder Kunden själv gör i tjänstens gränssnitt, och det Kunden lämnar till Voqal för att sätta upp agenten, däribland öppettider, vidarekopplingsnummer, adress för aviseringar och underlag om verksamheten. Detta gäller även överföring till tredje land. Kräver EU-rätt eller svensk rätt annan behandling informerar Voqal Kunden om det innan behandlingen sker, om inte lagen förbjuder det.

9.2 Kunden ansvarar för innehållet i det underlag om verksamheten som Kunden lämnar. Underlaget skickas till språkmodellen som en del av agentens instruktion. Personuppgifter ska inte läggas i underlaget.

9.3 Anser Voqal att en instruktion från Kunden strider mot dataskyddsförordningen eller annan dataskyddslagstiftning informerar Voqal Kunden omedelbart.

10. Registrerades rättigheter

Voqal hjälper Kunden att besvara begäranden från registrerade. Tjänsten stödjer:

• Utdrag av de ärenden och samtalsloggar som rör en viss person, sökt på telefonnummer eller e-postadress.
• Rättelse av uppgifter i ett ärende.
• Radering av enskilt ärende.
• Export i maskinläsbart format.

Voqal besvarar en begäran från Kunden inom 10 arbetsdagar. Riktas en begäran direkt till Voqal skickas den vidare till Kunden utan onödigt dröjsmål, och Voqal besvarar den inte i sak.

Uppgifter i en fritt formulerad ärendetext kan behöva rättas eller raderas manuellt, eftersom de inte ligger i ett eget fält. Transkript och inspelningar har ingen egen sökfunktion i gränssnittet. Rör en begäran dem tar Voqal fram eller raderar dem manuellt, så länge de finns kvar enligt avsnitt 11.

11. Lagringstider

Gallringen av ärenden och samtalsloggar, och borttagningen av uppringarens nummer ur underlaget för minuträkning, körs i databasen varje dygn. Gallringen av transkript körs av serverprocessen varje morgon. Raderingen av inspelningar görs av en livscykelregel i lagringen och är oberoende av serverprocessen.

12. Tystnadsplikt och bistånd

12.1 Voqal säkerställer att varje person som behandlar personuppgifter för Kundens räkning har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

12.2 Voqal bistår Kunden, med hänsyn till behandlingens art och den information Voqal har tillgång till, vid konsekvensbedömning enligt artikel 35 och vid förhandssamråd med Integritetsskyddsmyndigheten enligt artikel 36, och med att uppfylla Kundens skyldigheter enligt artiklarna 32 till 34.

13. Personuppgiftsincident

Voqal underrättar Kunden utan onödigt dröjsmål, normalt inom 24 timmar och senast inom 48 timmar från att en incident upptäckts. Underrättelsen går med e-post till Kundens kontakt för dataskyddsfrågor och beskriver vad som hänt, vilka kategorier och ungefär hur många registrerade som berörs, sannolika konsekvenser och vidtagna åtgärder. Kunden ansvarar för anmälan till Integritetsskyddsmyndigheten.

Kontakt vid incident: privacy@voqal.se.

14. Radering när avtalet upphör

Voqal raderar eller lämnar tillbaka, efter Kundens val, samtliga personuppgifter som behandlats för Kundens räkning inom 30 dagar från att avtalet om tjänsten upphört. Har Kunden inte meddelat sitt val inom den tiden raderas uppgifterna. Export i maskinläsbart format kan begäras när som helst under avtalstiden.

Voqal får behålla uppgifter om EU-rätt eller svensk rätt kräver fortsatt lagring, och informerar då Kunden om vilka uppgifter det gäller och på vilken grund.

15. Granskning

Kunden har rätt att en gång per år begära dokumentation som visar att Voqal uppfyller detta avtal. Granskning på plats, av Kunden eller av en revisor Kunden utser, sker efter överenskommelse med minst 14 dagars varsel och bekostas av Kunden.

16. Ansvar, tillämplig lag och tvist

Parterna ansvarar för skador enligt artikel 82 i dataskyddsförordningen och enligt den ansvarsbegränsning som följer av avtalet om tjänsten. Begränsningen påverkar inte den rätt till ersättning som en registrerad har enligt artikel 82.

Svensk lag gäller för detta avtal. Tvist avgörs av allmän domstol med Göteborgs tingsrätt som första instans.

Tillsynsmyndighet: Integritetsskyddsmyndigheten, Box 8114, 104 20 Stockholm, imy.se.

17. Hur avtalet ingås

17.1 Avtalet ingås i elektronisk form, enligt artikel 28.9 i dataskyddsförordningen, när Kunden godkänner det i beställningen på voqal.se. Den som godkänner intygar att hen har rätt att ingå avtal för Kundens räkning.

17.2 Voqal sparar vilken version som godkändes, när, av vem, för vilket organisationsnummer och från vilken IP-adress. Kunden kan få ett utdrag ur det på begäran.

17.3 Avtalet finns som PDF på denna sida, så att det kan sparas och skrivas ut innan det godkänns. Voqal sparar den version Kunden har godkänt så länge avtalet gäller och därefter så länge det behövs för att visa vad som avtalats. Den lämnas ut på begäran.

17.4 Vill Kunden ha ett undertecknat exemplar skickar Voqal ett, med samma innehåll som den version Kunden godkänt.

17.5 Har Kunden och Voqal undertecknat ett personuppgiftsbiträdesavtal om tjänsten gäller det i stället för detta.

18. Ändringar av avtalet

18.1 Ändringar av underbiträden görs enligt avsnitt 7.2.

18.2 Andra ändringar meddelar Voqal med e-post till Kundens kontakt för dataskyddsfrågor minst 30 dagar innan de börjar gälla för Kunden, och den nya versionen publiceras på denna sida. Vill Kunden inte godta ändringen kan Kunden säga upp avtalet om tjänsten innan den börjar gälla.

18.3 Ändringar som krävs av lag eller myndighet, eller som bara stärker skyddet för uppgifterna, får gälla tidigare.

18.4 Voqal kan inte genom en ändring minska skyddet för de uppgifter som redan behandlas för Kunden utan att Kunden haft möjlighet att säga upp enligt 18.2.