Särskilda villkor för Blendow-Noxtua

Här hittar du de särskilda villkor som gäller för AI-tjänsten Blendow-Noxtua. Villkoren gäller tillsammans med Blendow Group AB:s allmänna villkor, orderformulär eller orderbekräftelse samt, i förekommande fall, personuppgiftsbiträdesavtal.

Ladda ner villkoren som pdf här.

Villkor Blendow-Noxtua

Version 2026-08-01

1. Parter och avtalets ingående

1.1 Dessa köpvillkor (”Villkoren”) gäller för tillhandahållandet av AI-tjänsten Blendow-Noxtua (”Tjänsten”) av Blendow Group AB, org.nr 556744-7858 (”Leverantören”), till den kund/användare som tecknar abonnemang på Tjänsten (”Kunden”).

1.2 Avtalet mellan Leverantören och Kunden (”Avtalet”) består av dessa Villkor, Blendow Group AB:s allmänna villkor (”de Allmänna villkoren”), det orderformulär eller den orderbekräftelse som parterna har ingått (”Orderformuläret”) samt, i förekommande fall, det personuppgiftsbiträdesavtal som avses i punkt 8.1 (”Personuppgiftsbiträdesavtalet”), vilket som utgångspunkt utgör en integrerad del av Avtalet men som parterna i det enskilda fallet kan komma överens om ska undertecknas separat som en fristående bilaga.

Vid eventuell motstridighet mellan Avtalets ingående handlingar gäller följande företrädesordning: (1) Orderformuläret, (2) dessa Villkor, och (3) de Allmänna villkoren.

1.3 Tjänsten tillhandahålls i samarbete med Noxtua, Große Hamburger Str. 17, 10115 Berlin, Tyskland (”Noxtua”), som ansvarar för den tekniska driften av den underliggande AI-infrastrukturen. Leverantören är Kundens enda kontaktpunkt och bär ansvar gentemot Kunden för Tjänstens tillhandahållande.

1.4 Avtalet ingås när Kunden accepterar dessa Villkor i samband med digital beställning eller undertecknar Orderformuläret.

2. Definitioner

”Användare” avser de individer hos Kunden som erhåller individuella licenser och åtkomst till Tjänsten.

”Användarlicens” avser den personliga, icke-överlåtbara licens som tilldelas varje Användare i enlighet med punkt 4.2.

”Avtalet” har den betydelse som anges i punkt 1.2.

”Betafunktioner” har den betydelse som anges i punkt 9.9.1.

”Feedback” har den betydelse som anges i punkt 10.5.

”Force majeure-händelse” har den betydelse som anges i punkt 18.1.

”Förstärkta anspråk” har den betydelse som anges i punkt 16.4.

”Immateriella rättigheter” avser alla immateriella och industriella rättigheter, innefattande patent, varumärken, handelsnamn, servicemärken, domännamn, mönsterskydd, upphovsrätt, närstående rättigheter, databasrättigheter, konfidentiellt kunnande, företagshemligheter och liknande rättigheter giltiga mot tredje part, oavsett om de är registrerade eller inte, innefattande ansökningar om registrering av sådana rättigheter, vilka kan skyddas var som helst i världen.

”Indata” avser data, programvara, dokument, tredjepartstjänster och annat innehåll (inklusive promptar) som Kunden eller dess Användare laddar upp, lagrar eller på annat sätt tillför Tjänsten.

”Konfidentiell information” har den betydelse som anges i de Allmänna villkoren.

”Kunden” har den betydelse som anges i punkt 1.1.

”Kunddata” avser all data som Kunden eller dess Användare tillför eller genererar inom ramen för användningen av Tjänsten, innefattande Kundinnehåll samt kontouppgifter och konfigurationsdata.

”Kundinnehåll” avser Indata och Utdata gemensamt.

”Kundkontot” avser det administrativt hanterade konto som Kunden förfogar över inom Tjänsten och som möjliggör tilldelning och hantering av individuella Användarlicenser.

”Leverantören” har den betydelse som anges i punkt 1.1.

”Mänsklig granskning” avser den självständiga granskning och verifiering av Utdata som ska utföras av en juridiskt utbildad och fackkunnig person i enlighet med punkt 3.2.

”Noxtua” har den betydelse som anges i punkt 1.3.

”Närstående bolag” avser bolag som direkt eller indirekt kontrolleras av, kontrollerar eller står under gemensam kontroll med Kunden.

”Orderformuläret” har den betydelse som anges i punkt 1.2.

”Personuppgiftsbiträdesavtalet” har den betydelse som anges i punkt 8.1.

”Tjänsten” avser AI-tjänsten Blendow-Noxtua, vilken tillhandahålls av Leverantören i enlighet med Avtalet.

”Utdata” avser de AI-genererade resultat, svar, sammanfattningar, utkast och övrigt innehåll som Tjänsten genererar på grundval av Indata.

”VRGA” avser Sveriges advokatsamfunds Vägledande regler om god advokatsed, inklusive ändringar och tillägg därtill.

3. Tjänstebeskrivning

3.1 Blendow-Noxtua är en juridisk AI-tjänst avsedd att stödja juridiskt utbildad personal vid advokatbyråer och juridiska verksamheter i deras yrkesutövning. Tjänsten erbjuder, bland annat, funktioner för juridisk informationssökning och analys, granskning och sammanfattning av uppladdade dokument, assistans vid upprättande av utkast till juridiska texter och inlagor, samt dialogbaserade interaktioner avseende rättsliga frågeställningar.

3.2 Tjänsten är ett stödjande verktyg och utgör inte juridisk rådgivning i den mening som avses i tillämplig lagstiftning. Tjänsten ersätter inte Användarens eller Kundens professionella bedömning, och Kundens rådgivningsansvar gäller fullt ut oavsett om ett råd helt eller delvis grundar sig på Utdata genererade av Tjänsten.

Det ankommer alltid på Kunden och dess Användare att självständigt granska, verifiera och ansvara för de Utdata som Tjänsten genererar, dvs mänsklig granskning. Utdata ska alltid granskas och verifieras av en juridiskt utbildad och fackkunnig person innan de inkorporeras i rådgivning, inlagor, utkast eller inges till domstolar eller myndigheter. Kunden ansvarar för att löpande utvärdera riktigheten och kvaliteten hos Tjänstens Utdata.

3.3 Tjänsten tillhandahålls via ett webbaserat gränssnitt och/eller sådana andra åtkomstmetoder som anges i Orderformuläret.

3.4 Leverantören kan fastställa kvoter och volymbegränsningar för användning av Tjänsten, såsom begränsningar av antalet frågor, dokumentuppladdningar eller användning av specifika funktioner per Användare och tidsperiod. Sådana begränsningar framgår av Orderformuläret eller av Tjänstens tekniska dokumentation och kan komma att justeras av Leverantören med skriftligt meddelande till Kunden. Om en Användare överskrider fastställd kvot äger Leverantören rätt att tillfälligt begränsa den Användarens tillgång för resterande del av det aktuella tidsintervallet.

4. Användarkonton och åtkomst

4.1 Kunden utser administratörer som ansvarar för att administrera Kundkontot och tilldela individuella licenser till Kunden slutanvändare (”Användare”). Antalet Användare framgår av Orderformuläret.

4.2 Varje Användare erhåller en personlig, icke-överlåtbar “Användarlicens”. Licenser får inte delas, överlåtas eller på annat sätt nyttjas av fler än en fysisk person. Kunden får tilldela om en licens från en Användare till en annan Användare enbart i de fall den ursprunglige Användaren lämnat Kundens organisation eller av annan varaktig anledning inte längre ska ha tillgång till Tjänsten. Användarlicenser får inte fördelas på tillfällig, roterande eller annan återkommande basis.

4.3 Kunden ansvarar för att alla Användare som ges åtkomst till Tjänsten är lämpliga för sådan åtkomst och för att säkerställa att åtkomstuppgifter skyddas mot obehörig åtkomst. Kunden ska omgående underrätta Leverantören vid misstänkt eller bekräftad obehörig åtkomst eller användning av Tjänsten.

4.4 Kunden ansvarar för sina Användares användning av Tjänsten och för att dessa iakttar dessa Villkor.

4.5 Om Tjänsten är konfigurerad för åtkomst via Kundens centraliserade identitetslösning (t.ex. Microsoft Entra ID/Azure AD) ansvarar Kunden för att hantera skapande, avaktivering och behörighetstilldelning för Användare i enlighet med Kundens egna identitetsstyrningspolicyer. Det är Kundens ansvar att säkerställa att en Användares åtkomst till Tjänsten omedelbart upphör vid anställningens eller uppdragets slut. Leverantören ansvarar inte för obehörig åtkomst som beror på att Kunden underlåtit att avaktivera en Användares behörighet i rätt tid.

5. Advokatsamfundets regler och god advokatsed

5.1 Tjänsten är utformad för att användas i enlighet med Sveriges advokatsamfunds regler om god advokatsed, innefattande de Vägledande reglerna om god advokatsed (VRGA), Advokatsamfundets Allmänna råd rörande användning av generativa AI-modeller i advokatverksamhet (antagna av styrelsen juni 2024), samt Advokatsamfundets övriga vägledningar om användning av generativ AI i advokatverksamhet, i den mån dessa är tillämpliga.

5.2 Kunden och dess Användare ansvarar för att användning av Tjänsten sker i enlighet med gällande rätt och god advokatsed, däribland de krav på tystnadsplikt, diskretionsplikt och sekretess som gäller för advokater och andra aktörer inom advokatverksamhet.

5.3 Kunden är medveten om att rådgivningsansvaret gäller fullt ut oavsett graden av AI-stöd i ett råd. Se vidare punkt 3.2 avseende krav på mänsklig granskning av Utdata.

5.4 Kunden bör anta och implementera interna riktlinjer för användning av Tjänsten, i enlighet med Advokatsamfundets vägledning om generativ AI, och säkerställa att Kundens personal ges adekvat utbildning om Tjänstens funktioner, begränsningar och risker.

5.5 Tjänsten är inte avsedd att användas för att självständigt eller slutgiltigt avgöra konkreta rättsliga eller faktiska frågeställningar och utgör inte ett substitut för advokatens professionella prövning. Tjänsten får enbart användas som ett stödjande hjälpmedel för juridiskt utbildad personal.

5.6 EU:s förordning om artificiell intelligens (AI-akten, EU 2024/1689) är tillämplig på parternas användning av Tjänsten. Parterna är överens om följande ansvarsfördelning:

(a) Kunden är driftsättare (deployer) i AI-aktens mening och ansvarar för att Tjänsten används i enlighet med AI-aktens krav på driftsättare, innefattande kravet i artikel 4 på att säkerställa att personer som använder Tjänsten har tillräcklig AI-kompetens.

(b) Leverantören ska ge Kunden den information och det stöd som är nödvändigt för att Kunden ska kunna fullgöra sina skyldigheter som driftsättare, innefattande relevant teknisk dokumentation.

(c) Leverantören ska dokumentera sin bedömning av Tjänstens riskklassificering i enlighet med artikel 6(4) AI-akten och på Kundens begäran tillhandahålla denna dokumentation.

Leverantören ska därutöver utan onödigt dröjsmål skriftligen underrätta Kunden om väsentliga förändringar i Tjänstens riskklassificering.

5.7 Tjänsten får inte användas i sammanhang eller på sätt som medför att Tjänsten klassificeras som ett högrisk-AI-system i enlighet med AI-akten (EU 2024/1689). Om Kunden avser att använda Tjänsten i ett sammanhang som kan ge upphov till en sådan klassificering, åligger det Kunden att dessförinnan inhämta Leverantörens skriftliga godkännande.

6. Tystnadsplikt och skydd av klientinformation

6.1 Leverantören garanterar att Noxtua iakttar sekretess avseende all klientinformation och alla klienthemligheter som Kunden eller dess Användare tillgängliggör för Tjänsten, i enlighet med de krav som följer av advokatetiska regler och tillämplig rätt, innefattande det skydd för yrkeshemligheter som gäller för advokater. Leverantören ansvarar för Noxtuas handlingar och underlåtenheter i detta avseende som om de vore Leverantörens egna.

6.2 Leverantören garanterar att Noxtua inte använder Indata (innefattande promptar och uppladdade dokument) eller Utdata från Kundens användning för att träna, finjustera eller på annat sätt förbättra den underliggande AI-modellen eller andra AI-modeller. Leverantören garanterar att klientinformation som tillförs Tjänsten av Kunden eller dess Användare uteslutande används för att generera Utdata till Kunden inom ramen för Tjänsten.

6.3 Leverantören ska inte ge obehöriga tillgång till klientinformation eller andra konfidentiella uppgifter som tillförs Tjänsten av Kunden. Leverantören ska genom avtal med Noxtua och övriga underleverantörer som kan få kännedom om sådana uppgifter kräva att dessa åläggs sekretessförpliktelser motsvarande de som gäller för Leverantören enligt Avtalet. Leverantören ansvarar gentemot Kunden för Noxtuas och andra underleverantörers handlingar och underlåtenheter i detta avseende såsom för egna handlingar. Leverantören ska omedelbart avbryta samarbetet med en underleverantör om det inte kan säkerställas att denna uppfyller de ålagda sekretessförpliktelserna.

6.4 Leverantörens åtaganden enligt denna punkt 6 inskränker inte Kundens eget ansvar för att bedöma lämpligheten av att tillföra viss klientinformation till Tjänsten och för att inhämta erforderligt samtycke från klienter i de fall detta krävs enligt tillämpliga advokatetiska regler. Leverantören ska på Kundens begäran bistå Kunden med den information och dokumentation som är nödvändig för att Kunden ska kunna göra denna bedömning, innefattande information om Tjänstens tekniska arkitektur, dataflöden, underliggande AI-modeller och tillämpade säkerhetsåtgärder.

7. Datasäkerhet och teknisk infrastruktur

7.1 Tjänsten drivs av Noxtua med ett ändamålsspecifikt säkerhetsupplägg anpassat för högreglerade branscher och befattningshavare med sekretessplikt, såsom advokater. Noxtua är certifierat enligt BSI C5, ISO 27001, ISO 9001, ISO 27017, ISO 27018 och ISO 42001.

7.2 All kommunikation och all databehandling inom Tjänsten sker med fullständig kryptering, bland annat genom Trusted Execution Environments (TEE) med konfidentiell datorbehandling. Indata och Utdata lagras inte i Tjänstens infrastruktur utanför arbetsminnet och är inte tillgängliga i klartext ens för Leverantören eller Noxtua.

7.3 Data som Kunden tillför Tjänsten:

(a) görs inte tillgänglig för andra kunder,
(b) används inte för träning eller förbättring av AI-modeller, se vidare punkt 6.2 och 10.4,
(c) kan inte ses i klartext av Leverantören eller Noxtua, och
(d) kan inte nås av tredje part, utom vad som krävs av tillämplig lag eller behörig myndighet.

7.4 All databehandling inom Tjänsten sker uteslutande på säkra servrar hos europeiska partners, i nuläget Open Telekom Cloud (Deutsche Telekom AG), IONOS SE och T-Systems Schweiz AG. Samtliga molntjänstpartners är certifierade i enlighet med gällande europeiska informationssäkerhetsstandarder. Tjänsten har ingen koppling till amerikanska molntjänstleverantörer. All databehandling sker inom Europeiska unionen, EES eller Schweiz.

7.5 Granskningsrättighet: Kunden, Advokatsamfundet samt behöriga tillsynsmyndigheter äger rätt att verifiera att Leverantören och Noxtua uppfyller sina åtaganden enligt Avtalet och tillämplig rätt. Leverantören ska på Kundens skriftliga begäran tillhandahålla relevanta revisionsrapporter och certifieringsintyg, såsom aktuella ISO 27001-, BSI C5- och SOC 2-rapporter, inom trettio (30) dagar från begäran.

Om Kunden önskar genomföra en oberoende revision av Leverantörens säkerhetsåtgärder, ska parterna överenskomma om villkoren för en sådan revision, innefattande skälig förhandsavisering om minst trettio (30) dagar och krav på att revisorn undertecknar ett sekretessavtal. Kostnaderna för en sådan revision bärs av Kunden.

8. Personuppgifter och dataskydd

8.1 Vid tillhandahållande av Tjänsten kommer Leverantören, i egenskap av personuppgiftsbiträde, att behandla personuppgifter som ingår i Kundens Indata på uppdrag av Kunden. Noxtua agerar underbiträde till Leverantören och är inte Kundens direkta avtalspart i dataskyddshänseende.

Behandlingen sker i enlighet med det personuppgiftsbiträdesavtal (”Personuppgiftsbiträdesavtalet”) som utgör en bilaga till Avtalet. Personuppgiftsbiträdesavtalet utgör som utgångspunkt en integrerad del av Avtalet och ingås genom att Kunden accepterar dessa Villkor i samband med köp av Tjänsten. Om Kunden i det enskilda fallet kräver det, kan parterna i stället komma överens om att Personuppgiftsbiträdesavtalet ska undertecknas separat som en fristående bilaga.

8.2 Kunden är personuppgiftsansvarig för den personuppgiftsbehandling som sker inom ramen för Kundens användning av Tjänsten och ansvarar för att sådan behandling är förenlig med EU:s dataskyddsförordning (GDPR) och annan tillämplig dataskyddslagstiftning, innefattande att rättslig grund för behandlingen föreligger och att erforderliga avtal med Leverantören är på plats.

8.3 Ingen underleverantör som Leverantören anlitar inom ramen för Personuppgiftsbiträdesavtalet, med undantag för molnlagringstjänstleverantörer, ska lagra eller för mänsklig granskning logga Kundens Indata, Utdata eller konfidentiell information.

8.4 Eftersom Noxtua agerar i egenskap av underbiträde till Leverantören behöver Kunden normalt inte ingå ett separat biträdesavtal direkt med Noxtua. Om Noxtua i ett specifikt fall anses behandla personuppgifter i egenskap av självständig personuppgiftsansvarig, ska Kunden och Noxtua utan dröjsmål ingå ett separat biträdesavtal för den behandlingen.

8.5 Leverantören ska utan onödigt dröjsmål, och så snart som möjligt inom 48 timmar efter att Leverantören eller Noxtua fått kännedom om en personuppgiftsincident, underrätta Kunden om incidenten. Underrättelsen ska innehålla tillgänglig information om incidentens art, vilka typer av personuppgifter som berörs (t.ex. namn, kontaktuppgifter, finansiell information eller andra känsliga uppgifter) och det uppskattade antalet berörda registrerade, troliga konsekvenser samt vidtagna eller planerade åtgärder för att hantera incidenten.

Leverantören ska löpande komplettera informationen när ytterligare uppgifter blivit tillgängliga, så att Kunden kan fullgöra sin anmälningsskyldighet till Integritetsskyddsmyndigheten inom 72 timmar i enlighet med GDPR.

8.6 Leverantören behandlar, i egenskap av självständig personuppgiftsansvarig, kontakt- och fakturauppgifter avseende Kundens kontaktpersoner (såsom namn, titel, e-postadress och telefonnummer) för egna ändamål, bland annat för avtalsadministration och kundkommunikation. Sådan behandling sker inom EU/EES och regleras av Leverantörens integritetsskyddspolicy, tillgänglig på Leverantörens webbplats. För frågor om dataskydd: dataskydd@blendow.se.

9. Licens och nyttjanderätt

9.1 Leverantören beviljar Kunden, under förutsättning att dessa Villkor iakttas, en begränsad, icke-exklusiv, icke-överlåtbar och fullt återkallelig nyttjanderätt till Tjänsten under avtalstiden, för det antal Användare som anges i Orderformuläret och för Kundens interna affärsmässiga ändamål.

9.2 Kunden får inte:

(a) använda Tjänsten på ett sätt som kränker tredje parts rättigheter,
(b) vidareupplåta, sälja eller på annat sätt överlåta nyttjanderätten till Tjänsten,
(c) försöka bakåtkompilera eller härleda källkoden till Tjänsten,
(d) modifiera, anpassa eller skapa härledda verk av Tjänsten,
(e) använda automatiserade eller programmatiska metoder för att extrahera data eller Utdata från Tjänsten,
(f) använda Tjänsten för att bygga en produkt eller tjänst som konkurrerar med Tjänsten,
(g) använda Tjänsten från jurisdiktioner som är föremål för internationella sanktioner, eller
(h) tillföra Tjänsten genetiska eller biometriska personuppgifter eller betalkortsuppgifter.

9.3 Om Leverantören har rimliga skäl att misstänka att Kunden eller en Användare har brutit mot punkt 9.2, ska Leverantören underrätta Kunden skriftligen och begära att Kunden omedelbart vidtar rättelse. Leverantören äger rätt att, efter skriftligt meddelande, tillfälligt stänga av Kundens eller den berörde Användarens tillgång till Tjänsten om:

(i) överträdelsen medför en omedelbar risk för skada för Leverantören,
(ii) Kunden inte följer underrättelsen inom den i meddelandet angivna skäliga tidsfristen, eller
(iii) överträdelsen inte är möjlig att avhjälpa.

Om Kunden inte vidtar erforderliga åtgärder inom tio (10) affärsdagar efter en sådan avstängning, äger Leverantören rätt att säga upp Avtalet med omedelbar verkan.

9.4 Kunden och dess Användare får inte manipulera eller försöka manipulera, påverka eller extrahera information från Tjänsten, bland annat genom promptmanipulering (prompt injection), kringgåendeattacker, bakåtkonstruktion (reverse engineering) av modellen, begränsningsneutralisering (abliteration) eller medlemskapsinferensattacker (membership inference attacks).

9.5 I den mån Kunden är föremål för den amerikanska hälsovårdslagstiftningen HIPAA (Health Insurance Portability and Accountability Act) ska Kunden inte behandla, överföra eller tillgängliggöra skyddad hälsoinformation (Protected Health Information) via Tjänsten utan att parterna dessförinnan ingått ett separat Business Associate Addendum. Kunder som inte är föremål för HIPAA berörs inte av denna bestämmelse.

9.6 Närstående bolag

9.6.1 Licensens omfattning enligt punkt 9.1 inkluderar rätten för Kundens “närstående bolag” att använda Tjänsten, i den mån detta framgår av Orderformuläret.

9.6.2 Kunden ansvarar för sina närstående bolags användning av Tjänsten i enlighet med Avtalet såsom om de vore Kunden. De ansvarsbegränsningar som anges i punkterna 16.2–16.4 gäller sammanlagt för Kunden och samtliga närstående bolag.

9.7 Tjänsten får inte användas för automatiserad vidareinmatning i andra system och Utdata får inte automatiserat infogas i externa processer utan manuell kontroll av Användaren.

9.8 Tredjepartsinnehåll

9.8.1 Kunden ansvarar för att säkerställa att uppladdning eller inmatning av innehåll från tredjepartsdatabaser eller tredjepartstjänster (såsom juridiska informationsdatabaser, kommentarsverk och liknande) i Tjänsten är tillåten enligt de licensvillkor eller avtalsvillkor som gäller för sådant tredjepartsinnehåll. Kunden ska inte mata in sådant innehåll i Tjänsten om det är förbjudet eller begränsat enligt tillämpliga tredjepartsvillkor.

9.8.2 Leverantören ansvarar inte för Kundens eventuella brott mot tredjepartsvillkor till följd av att Kunden matar in tredjepartsinnehåll i Tjänsten. Kunden åtar sig att hålla Leverantören skadeslös från anspråk från tredjepartsleverantörer som härrör från sådan användning.

9.9 Betafunktioner

9.9.1 Denna punkt reglerar Kundens användning av tjänster, funktioner eller funktionalitet som Leverantören erbjuder på förhandsvisnings-, beta- eller förhandsåtkomst (”Betafunktioner”). Betafunktioner är frivilliga och Kunden är inte skyldig att använda dem.

9.9.2 Betafunktioner tillhandahålls i befintligt skick avseende tillgänglighet och funktionalitet. Leverantören gör inga utfästelser eller garantier avseende tillgängligheten, tillförlitligheten, fullständigheten eller prestandan hos Betafunktioner. Kunden är medveten om att Betafunktioner kan innehålla fel, inte fungera som avsett och vara föremål för avbrott eller försämrad prestanda. Leverantörens åtaganden avseende Konfidentiell information, informationssäkerhet, personuppgifter och skydd av Kunddata gäller Betafunktioner i samma utsträckning som övrig del av Tjänsten.

9.9.3 Vardera parts sammanlagda ansvar under Avtalet avseende eller hänförligt till Betafunktioner ska inte överstiga 25 000 euro, med undantag för:

(i) anspråk som utgör Förstärkta anspråk enligt punkt 16.4, eller
(ii) ansvar som till följd av tillämplig lag inte kan begränsas.

9.9.4 Leverantören äger rätt att efter eget gottfinnande när som helst ändra, begränsa eller avveckla en Betafunktion, med eller utan föregående meddelande, utan att detta medför skadeståndsskyldighet gentemot Kunden.

9.10 Förbud mot automatiserade beslut med rättsverkningar

9.10.1 Tjänsten får inte användas för att fatta beslut som enbart grundar sig på automatiserad behandling – inklusive profilering – och som får rättsliga följder för en registrerad eller på liknande sätt påverkar den registrerade på ett betydande sätt. Utdata från Tjänsten får inte användas utan meningsfull mänsklig granskning och professionell bedömning. Kunden ansvarar för att säkerställa att Tjänsten inte används för sådana ändamål och att Användare är informerade om detta förbud.

10. Kundens indata och immateriella rättigheter

10.1 Leverantören och dess dotterbolag eller licensgivare äger alla rättigheter, inklusive immateriella rättigheter, till Tjänsten. Ingenting i Avtalet ska anses innebära en överlåtelse av sådana rättigheter, utöver vad som uttryckligen anges i detta.

10.2 Kunden äger alla rättigheter till sin Indata. I den mån Leverantören förvärvar några rättigheter till Indata, överlåter Leverantören härmed oåterkalleligen sådana rättigheter till Kunden.

10.3 Kunden beviljar Leverantören en begränsad, icke-exklusiv nyttjanderätt att använda, lagra, behandla och reproducera Indata i den mån det är nödvändigt för att tillhandahålla Tjänsten i enlighet med Avtalet.

10.4 Leverantören kommer inte att använda Kundens konfidentiella information eller Indata för att träna eller finjustera AI-modeller, och Leverantören ska heller inte tillåta sina underleverantörer att göra detta.

10.5 Eventuell feedback, kommentarer och förslag till förbättringar som Kunden lämnar avseende Tjänsten (”Feedback”) kan Leverantören använda utan begränsning eller betalning av ersättning. Inga immateriella rättigheter till Indata övergår till Leverantören till följd av att Feedback lämnas.

10.6 Leverantören får samla in och använda aggregerade och anonymiserade drifts- och användningsdata för att utveckla och förbättra Tjänsten, förutsatt att sådan data inte kan hänföras till Kunden eller dess Användare och inte innefattar Indata eller Utdata.

11. AI-specifika begränsningar och kundens ansvar

11.1 Kunden är medveten om att AI och maskininlärning är snabbt föränderliga tekniker och att användning av Tjänsten i vissa situationer kan ge upphov till Utdata som är ofullständiga, felaktiga eller missvisande. Tjänsten kan bland annat generera text som framstår som välformulerad men innehåller faktafel, hänvisa till rättsfall eller lagrum som inte existerar (s.k. hallucinationer, dvs. AI-genererat innehåll som framstår som faktuellt korrekt men saknar verklighetsgrund), eller leverera varierande svar vid likartad Indata.

11.2 Krav på mänsklig granskning och Kundens ansvar för att utvärdera Tjänstens Utdata framgår av punkt 3.2.

11.3 Kunden ansvarar för att säkerställa att den Indata som tillförs Tjänsten, inklusive uppladdade dokument, är lagenlig och inte kränker tredje parts rättigheter.

11.4 Kunden är medveten om att Utdata som uteslutande skapats av Tjänsten i dagsläget inte kan anses ha upphovsrättsligt skydd. Kunden ansvarar självständigt för att säkerställa att all vidareanvändning av Utdata sker i enlighet med tillämplig lag.

11.5 Kunden ska instruera och övervaka sina Användare i fråga om ansvarsfull och fackmässig användning av Tjänsten, inklusive kravet på kritisk granskning av Utdata.

11.6 Kunden och dess Användare får inte mata in personuppgifter i Tjänsten i större utsträckning än vad som är oundgängligen nödvändigt för det aktuella ärendet. I den mån uppladdade dokument innehåller personuppgifter ansvarar Kunden för att relevant rättslig grund föreligger och att behandlingen i övrigt är förenlig med tillämplig dataskyddslagstiftning.

12. Avgifter och betalning

12.1 För avgifter, betalningsvillkor, dröjsmålsränta, prisjusteringar och övriga betalningsrelaterade frågor gäller punkt 7 (Pris och betalning) i Blendow Group AB:s Allmänna villkor, om inte annat framgår av Orderformuläret.

12.2 Kunden har möjlighet att köpa ytterligare Användarlicenser under pågående avtalsperiod. Sådana ytterligare licenser faktureras särskilt och avser den återstående delen av den löpande avtalsperioden (pro rata). Om en Användares licens avregistreras under avtalsperioden äger Kunden rätt att överföra den avregistrerade licensen till en annan Användare för den återstående perioden. Kunden har inte rätt till någon kreditering till följd av avregistrerad användaråtkomst.

13. Avtalstid och uppsägning

13.1 För avtalstid, bindningstid, automatisk förlängning och uppsägning gäller de Allmänna villkoren, om inte annat framgår av Orderformuläret.

13.2 Endera part äger rätt att säga upp Avtalet i förtid vid väsentligt avtalsbrott, förutsatt att parten som begår avtalsbrottet ges trettio (30) dagars skriftlig underrättelse om avtalsbrottet och detta inte avhjälps inom denna frist. Om avtalsbrottet är av sådan allvarlig karaktär att det inte kan avhjälpas, eller om avhjälpande inte sker inom fristen, äger den drabbade parten därutöver rätt att häva Avtalet med omedelbar verkan och kräva ersättning för den skada som uppstått till följd av avtalsbrottet. Endera part äger vidare rätt att säga upp Avtalet om den andra parten träder i likvidation, försätts i konkurs, ställer in sina betalningar eller i övrigt hamnar på obestånd.

13.3 Om Kunden säger upp Avtalet till följd av Leverantörens väsentliga avtalsbrott ska Kunden ha rätt till återbetalning av förskottsbetalda avgifter avseende perioden efter det effektiva uppsägningsdatumet.

13.4 Vid Avtalets upphörande, oavsett anledning, upphör samtliga nyttjanderätter till Tjänsten att gälla. Med beaktande av att Indata och Utdata enligt punkt 7.2 inte lagras i Tjänstens infrastruktur utanför arbetsminnet, ska Kunden ha rätt att under trettio (30) dagar från Avtalets upphörande begära ut sådan Kunddata som, trots vad som anges i punkt 7.2, ändå lagrats i Tjänsten (t.ex. kontouppgifter eller konfigurationsdata), om och i den mån sådan lagring ägt rum. Leverantören ska härefter säkert radera kvarvarande Kunddata i enlighet med vedertagna branschstandarder för datadestruktion, om inte annat krävs av tillämplig lag. På Kundens skriftliga begäran ska Leverantören tillhandahålla skriftlig bekräftelse på att radering har skett.

13.5 Leverantören ska, på Kundens skriftliga begäran inom trettio (30) dagar från Avtalets upphörande, bistå Kunden med att exportera sådan Kunddata som Leverantören eller Noxtua har lagrat, såsom kontouppgifter, konfigurationsdata och eventuellt sparade konversationer, i ett allmänt läsbart format i mån av teknisk möjlighet. Leverantören ansvarar inte för förlust av data som härrör ur att Kunden underlåtit att begära uttag inom nämnda frist. Det är Kundens ansvar att säkerställa att Utdata som önskas bevaras lagras säkert i Kundens egna system.

13.6 Om parterna skriftligen avtalat om en kostnadsfri provperiod gäller följande:

(a) Provperioden inleds på det datum som anges i Orderformuläret och löper under den där angivna perioden.
(b) Leverantören ska påminna Kunden om den stående uppsägningsfristen senast tio (10) affärsdagar före provperiodens utgång.
(c) Om Kunden inte skriftligen säger upp Tjänsten senast fem (5) affärsdagar före provperiodens utgång, övergår Avtalet automatiskt till ett betalabonnemang på de villkor som anges i Orderformuläret.

14. Konfidentialitet

14.1 För sekretess och konfidentialitet gäller de Allmänna villkoren, med följande produktspecifika tillägg.

14.2 Utöver vad som framgår av de Allmänna villkoren ska sekretessåtagandet avseende Indata, Utdata och annan klientinformation gälla utan tidsbegränsning.

15. Garantier och tillgänglighet

15.1 Leverantören garanterar under avtalstiden att Tjänsten i väsentlig mån överensstämmer med de specifikationer som Leverantören tillhandahållit och att Tjänsten utförs på ett professionellt sätt i enlighet med allmänt vedertagna branschstandarder.

15.2 Leverantören ska eftersträva att hålla Tjänsten tillgänglig dygnet runt, alla dagar i veckan, med undantag för avbrott för service och underhåll. Leverantören ska sträva efter att hålla Tjänstens tillgänglighet till minst 98 % per kalenderår. Planerade underhållsarbeten ska i möjligaste mån förläggas till tider med lägst belastning, och Kunden ska i förväg underrättas om sådana avbrott.

15.3 Leverantören garanterar att Tjänsten, såvitt Leverantören känner till, inte gör intrång i tredje parts immateriella rättigheter och att Tjänstens tillhandahållande sker i enlighet med tillämplig lagstiftning.

15.4 Utöver vad som framgår av punkterna 15.1–15.3 tillhandahålls Tjänsten i befintligt skick. Leverantören frånsäger sig, i den mån detta är tillåtet enligt tillämplig lag, alla övriga garantier, inklusive underförstådda garantier om lämplighet för ett visst ändamål och säljbarhet.

15.5 Leverantören äger rätt att när som helst ersätta, uppdatera eller på annat sätt modifiera den underliggande stora språkmodellen (LLM) som används i Tjänsten utan föregående meddelande till Kunden. Vid en sådan förändring ska Leverantören säkerställa att minst samma säkerhetsnivå upprätthålls som gällde vid tidpunkten för Avtalets ingående, i enlighet med Avtalets bestämmelser inklusive Personuppgiftsbiträdesavtalet.

16. Ansvar och ansvarsbegränsning

16.1 Ingen part ska under Avtalet vara ansvarig gentemot den andra parten för indirekta skador, följdskador, utebliven vinst, förlorad affärsmöjlighet eller kostnader för ersättningstjänster, ens om parten har underrättats om möjligheten till sådana skador.

16.2 Vardera parts sammanlagda ansvar under Avtalet, utöver vad gäller:

(a) Kundens betalningsskyldigheter,
(b) parternas skyldighet att utge skadeersättning enligt punkt 17 (“Skadeersättning”), och
(c) ansvar som till följd av tillämplig lag inte kan begränsas,

ska inte överstiga de sammanlagda avgifter som Kunden betalat eller ska betala under de tolv (12) månader som föregår den händelse som gav upphov till anspråket.

16.3 Begränsningen i punkt 16.2 gäller inte vid parts grova vårdslöshet eller uppsåtliga handlande, och inskränker inte heller rätten till ersättning för personskada.

16.4 Begränsningen i punkt 16.2 ska inte gälla vid parts brott mot sekretessförpliktelserna i punkt 14 eller Personuppgiftsbiträdesavtalet (”Förstärkta anspråk”). Vardera parts sammanlagda ansvar avseende Förstärkta anspråk ska inte överstiga det dubbla av de avgifter som Kunden betalat eller ska betala under de tolv (12) månader som föregår den händelse som gav upphov till anspråket.

16.5 Krav på skadestånd ska för att vara giltiga anmälas till den andra parten senast tolv (12) månader från den tidpunkt den skadelidande parten fick kännedom om, eller borde ha fått kännedom om, den händelse som grundar anspråket, dock aldrig senare än tolv (12) månader efter Avtalets upphörande.

17. Skadeersättning

17.1 Leverantören åtar sig att försvara Kunden mot skadeståndskrav från tredje part som påstår att Kundens användning av Tjänsten, i enlighet med Avtalet, innebär intrång i tredje parts immateriella rättigheter, och att ersätta Kunden för faktiskt utdömda skadestånd, kostnader och rimliga ombudskostnader.

17.2 Kunden åtar sig att försvara Leverantören mot skadeståndskrav från tredje part som härrör från Kundens Indata eller Kundens användning av Tjänsten i strid med Avtalet, och att ersätta Leverantören för faktiskt utdömda skadestånd, kostnader och rimliga ombudskostnader.

17.3 Den part som mottar ett anspråk (”Ersättningsberättigad part”) ska utan dröjsmål meddela den andra parten (”Ersättningsskyldig part”) skriftligen om anspråket, ge den Ersättningsskyldiga parten ensam kontroll över försvaret och förlikning, förutsatt att förlikning inte sker utan att den Ersättningsberättigade parten helt friskrivs från ansvar, och ge den Ersättningsskyldiga parten all rimlig assistans i samband med försvaret.

18. Force majeure

18.1 För force majeure gäller de Allmänna villkoren.

19. Övriga bestämmelser

19.1 Uppdragsförhållande: Avtalet skapar inte ett bolagsrättsligt förhållande, samriskföretag, konsortium eller agenturförhållande mellan parterna. Parterna är självständiga i förhållande till varandra.

19.2 Meddelanden: Om annat inte anges i Avtalet ska meddelanden lämnas skriftligen och anses ha nått mottagaren vid personlig delgivning, den andra affärsdagen efter att de postats, eller på avsändningsdagen om de sänts via e-post.

19.3 Avstående: Ingen parts underlåtenhet att göra gällande en rättighet ska anses innebära ett avstående från rättigheten. Ett avstående kräver skriftlig form.

19.4 Ogiltighet: Om en bestämmelse i Avtalet befinns ogiltig ska Avtalets övriga bestämmelser bibehålla sin giltighet. Ogiltiga bestämmelser ska i möjligaste mån tolkas om för att motsvara parternas avsikt.

19.5 Överlåtelse: För överlåtelse av Avtalet gäller punkt 16 (Överlåtelse av avtal) i Blendow Group AB:s Allmänna villkor.

19.6 Underleverantörer: Leverantören äger rätt att, med förbehåll för sekretessbestämmelserna i punkt 14 (“Konfidentialitet”) och Personuppgiftsbiträdesavtalet, anlita underleverantörer för tillhandahållandet av Tjänsten. Leverantören ansvarar för underleverantörers handlingar och underlåtenheter som om de vore Leverantörens egna.

Om Leverantören eller Noxtua avser att byta eller lägga till en underleverantör som behandlar Kundens data eller klientinformation – särskilt molntjänstleverantörer som avses i punkt 7.4 – ska Leverantören underrätta Kunden skriftligen med minst trettio (30) dagars varsel. Om bytet utgör en väsentlig förändring av Tjänstens säkerhetsprofil eller databehandlingsvillkor äger Kunden rätt att inom trettio (30) dagar från underrättelsen skriftligen invända, och parterna ska då överenskomma om en lösning. Om parterna inte kan komma överens äger Kunden rätt att säga upp Avtalet med trettio (30) dagars varsel utan skadeståndsskyldighet.

19.7 Marknadsföring: För Leverantörens rätt att använda Kundens företagsnamn och logotyp som referens i marknadsförings- och PR-material gäller de Allmänna villkoren.

19.8 Ändringar av Villkoren: Ändringar av dessa Villkor regleras i de Allmänna villkoren. Leverantören äger dock inte ändra dessa Villkor på ett sätt som inskränker Leverantörens åtaganden avseende Konfidentiell information, Indata eller säkerhet utan Kundens skriftliga samtycke.

19.9 Hela Avtalet: Avtalet utgör den fullständiga regleringen mellan parterna avseende dess föremål och ersätter alla tidigare avtal, överenskommelser och löften, skriftliga eller muntliga, avseende detsamma. Vid eventuell motstridighet mellan Avtalets ingående handlingar gäller den företrädesordning som anges i punkt 1.2.

19.10 Support: Leverantören tillhandahåller support avseende Tjänsten under Leverantörens normala kontorstider. Kontaktuppgifter till support anges på Leverantörens webbplats. Leverantören strävar efter att besvara supportförfrågningar inom tre (3) affärsdagar. Om en förfrågan kräver ytterligare utredning ska Kunden underrättas inom tre (3) affärsdagar med en uppskattning av när svar kan lämnas.

19.11 Väsentlig funktionsförändring: Borttagande av väsentliga funktioner i Tjänsten ska behandlas som en ändring av dessa Villkor och regleras i enlighet med punkt 19.8, inklusive Kundens rätt att invända och, om parterna inte når överenskommelse, att säga upp Avtalet utan vite.

19.12 Kundens tekniska ansvar: Kunden ansvarar för att på egen bekostnad anskaffa och underhålla den mjuk-och hårdvara, de systemkonfigurationer och den internetuppkoppling som krävs för att använda Tjänsten. Leverantören ansvarar inte för problem som beror på Kundens tekniska infrastruktur, anslutningsbrister eller inkompatibla klientmiljöer.

20. Tillämplig lag och tvistlösning

20.1 För tillämplig lag och tvistlösning gäller de Allmänna villkoren.

Personuppgiftsbiträdesavtal – Blendow-Noxtua

1. PARTER
1.1 Detta personuppgiftsbiträdesavtal (“Biträdesavtal”) utgör en integrerad del av villkoren för Blendow-Noxtua. Biträdesavtalet ingås genom att Personuppgiftsansvarig accepterar Villkoren i samband med köp av tjänsten, och anses då ingånget samma dag som Villkoren accepteras. Parterna kan i det enskilda fallet komma överens om annat, till exempel att Biträdesavtalet i stället ska undertecknas separat.
Biträdesavtalet har ingåtts mellan följande parter:
Blendow Group AB, org. nr. 556744-7858, med adressen Humlegårdsgatan 14, 114 46 Stockholm (“Personuppgiftsbiträde”) och
Kunden enligt Villkoren för Blendow-Noxtua, med org. nr. och adress enligt tillämpligt Orderformulär (“Personuppgiftsansvarig”),
var för sig benämnda ”Part” och tillsammans ”Parterna”.

2. BAKGRUND OCH SYFTE
2.1 Personuppgiftsansvarig är Kunden enligt Villkoren för Blendow-Noxtua. Personuppgiftsbiträdet tillhandahåller Tjänsten till Personuppgiftsansvarigs anställda i enlighet med tillämpligt Orderformulär.
2.2 Personuppgiftsbiträde bedriver verksamhet inom juridisk kompetensförsörjning inom vilken behandling av Personuppgifter sker.
2.3 Behandlingen enligt detta Biträdesavtal består i att Personuppgiftsbiträdet tillhandahåller AI-tjänsten Blendow-Noxtua till Personuppgiftsansvarigs anställda, varvid behandling av Personuppgifter sker.
Behandlingen och dess syfte framgår i detalj av instruktionen till detta Biträdesavtal, Bilaga 1.
2.4 Parterna har överenskommit att i detta Biträdesavtal reglera Personuppgiftsbiträdets behandling av Personuppgifter.

3. DEFINTIONER
3.1 Samtliga nedanstående begrepp ska ha följande innebörd:
Behandling
En åtgärd eller kombination av åtgärder beträffande Personuppgifter eller uppsättningar av Personuppgifter, oberoende av om de utförs automatiserat eller inte, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.
Dataskyddsregler
Vid var tid gällande lagar och förordningar som reglerar Parternas behandling av Personuppgifter.
Identifierbar fysisk person
En person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.
Personuppgift/-er
Varje upplysning som avser en identifierad eller identifierbar fysisk person, nedan kallad en registrerad.
Personuppgiftsansvarig
Kunden enligt Villkoren för Blendow-Noxtua, som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av Personuppgifter.
Personuppgiftsbiträde
Blendow Group AB som behandlar Personuppgifter för den Personuppgiftsansvariges räkning.
Personuppgiftsincident
Avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de Personuppgifter som överförts, lagrats eller på annat sätt behandlas.
Indata
Avser data, programvara, dokument, tredjepartstjänster och annat innehåll (inklusive promptar) som Kunden eller dess Användare laddar upp, lagrar eller på annat sätt tillför Tjänsten.
Tjänsten
Den AI-tjänst (Blendow-Noxtua) som Personuppgiftsbiträdet tillhandahåller till Personuppgiftsansvarigs anställda.
Utdata
Avser de AI-genererade resultat, svar, sammanfattningar, utkast och övrigt innehåll som Tjänsten genererar på grundval av Indata.
Underbiträde
Avser sådant Personuppgiftsbiträde som anlitas av det Personuppgiftsbiträde som är Part i detta Biträdesavtal och som behandlar Personuppgifter för Personuppgiftsansvarigs räkning.

4. PERSONUPPGIFTSANSVARIGS ANSVAR
4.1 Personuppgiftsansvarig ska säkerställa att behandlingen av Personuppgifter är laglig enligt Dataskyddsregler.
4.2 Personuppgiftsansvarig får endast tillhandahålla Personuppgiftsbiträdet sådana Personuppgifter som är nödvändiga för ändamålet med behandlingen.
4.3 Personuppgiftsansvarig ska tillhandhålla Personuppgiftsbiträdet dokumenterade instruktioner och övriga anvisningar avseende ändamålet, omfattningen, arten och varaktigheten av behandlingen samt kategorier av registrerade i den utsträckning som är nödvändig för att Personuppgiftsbiträdet ska kunna uppfylla sina skyldigheter enligt detta Biträdesavtal och Dataskyddsregler.

5. PERSONUPPGIFTSBITRÄDETS BEHANDLING AV PERSONUPPGIFTER OCH BITRÄDE TILL PERSONUPPGIFTSANSVARIG
5.1 De Personuppgifter som Personuppgiftsbiträdet har åtkomst till får endast behandlas i enlighet med detta Biträdesavtal och Dataskyddsregler.
5.2 Personuppgiftsbiträdet får endast behandla Personuppgifter i enlighet med Personuppgiftsansvarigs instruktioner i bilaga 1 samt i enlighet med kompletterande instruktioner såvida inte Personuppgiftsbiträdet är skyldig enligt lag eller författning att behandla Personuppgifterna för annat ändamål eller på annat sätt. Har Personuppgiftsansvarig lämnat ofullständiga eller felaktiga instruktioner ska Personuppgiftsbiträdet omgående påtala detta för Personuppgiftsansvarig.
5.3 Personuppgiftsbiträdet ska utan oskäligt dröjsmål underrätta Personuppgiftsansvarig när denne anser att en behandling strider mot Dataskyddsregler eller annan tillämplig lag och därefter invänta Personuppgiftsansvarigs anvisningar. Vad som anges ovan gäller endast om Personuppgiftsbiträdet inte är förhindrad att på andra grunder lämna sådan underrättelse.
5.4 Personuppgiftsbiträdet ska utan oskäligt dröjsmål, dock senast 30 dagar från Personuppgiftsansvarigs begäran, ge denne tillgång till Personuppgifterna som Personuppgiftsbiträdet behandlar samt genomföra en begärd ändring, radering, begränsning eller överföring av nämnda Personuppgifter. Har Personuppgiftsansvarig raderat, eller anvisat Personuppgiftsbiträdet om radering, ska den senare vidta sådana åtgärder som krävs för att Personuppgiften inte ska kunna återskapas.
5.5 Personuppgiftsbiträdet ska upprätthålla ett register över all personuppgiftsbehandling som sker på uppdrag av Personuppgiftsansvarig, samt att på Personuppgiftsansvarigs eller behörig tillsynsmyndighets uttryckliga begäran överlämna ett läsbart registerutdrag omfattandes, till ett minimum, uppgifter om:
a) namn och kontaktuppgifter till Personuppgiftsbiträdet och dess företrädare, kontaktpersoner samt dataskyddsombud,
b) namn och kontaktuppgifter till Underbiträden och dess företrädare, kontaktpersoner samt dataskyddsombud,
c) den behandling som utförs av Personuppgiftsbiträdet för Personuppgiftsansvarigs räkning, typen av Personuppgifter som behandlas och i förekommande fall särskilda kategorier av Personuppgifter,
d) i förevarande fall vid överföring av Personuppgifter till tredje land, det tredje land där data behandlas samt vilka adekvata skyddsåtgärder som vidtagits, och
e) en allmän beskrivning av vilka tekniska och organisatoriska åtgärder som vidtagits för att upprätthålla en lämplig skyddsnivå.
5.6 Personuppgiftsbiträdet ska på Personuppgiftsansvarigs förfrågan bistå denne att fullgöra sina skyldigheter enligt Dataskyddsregler, såsom utförandet av konsekvensbedömningar avseende dataskydd, utformningen av lämpliga tekniska och organisatoriska åtgärder för inbyggt dataskydd, förhandssamråd med behörig tillsynsmyndighet samt medverka till utredning av inträffade Personuppgiftsincidenter. Såvida Parterna inte kommit överens om annat ska sådant bistånd som avses i detta stycke inte ge Personuppgiftsbiträdet rätt till särskild ersättning.
5.7 Personuppgiftsbiträdet ska utan oskäligt dröjsmål underrätta Personuppgiftsansvarig om denne kontaktas av behörig tillsynsmyndighet, någon registrerad eller annan tredje part i syfte att få tillgång till Personuppgifter som Personuppgiftsbiträdet, eller i förekommande fall ett Underbiträde, behandlar.
5.8 Personuppgiftsbiträdet ska skriftligen och senast 30 dagar innan en väsentlig förändring av behandlingsförfarandet, däribland tekniska och organisatoriska ändringar som kan påverka skyddet av Personuppgifterna och Personuppgiftsbiträdets efterlevnad av Dataskyddsregler, informera Personuppgiftsansvarig. Innan sådana ändringar genomförs ska Personuppgiftsansvarig lämna sitt samtycke, vilket inte skäligen ska förvägras.
5.9 Personuppgiftsbiträdet ska inte, och ska säkerställa att Underbiträden inte, använda Personuppgifter, Indata eller Utdata som Personuppgiftsansvarig eller dess användare tillför Tjänsten för att träna, finjustera, förbättra eller på annat sätt utveckla den underliggande AI-modellen eller andra AI-modeller. Personuppgifterna får uteslutande behandlas i syfte att tillhandahålla Tjänsten i enlighet med detta Biträdesavtal.

6. TEKNISK OCH ORGANISATORISK KAPACITET OCH FÖRMÅGA
6.1 Personuppgiftsbiträdet garanterar att denne besitter nödvändig teknisk och organisatorisk kapacitet och förmåga, inbegripet tekniska lösningar, kompetens, ekonomiska och personella resurser, rutiner och metoder, att fullgöra sina skyldigheter enligt detta Biträdesavtal och Dataskyddsregler. Underbiträdet ansvarar för den tekniska driften av Tjänstens underliggande AI-infrastruktur, är certifierat enligt BSI C5, ISO 27001, ISO 9001, ISO 27017, ISO 27018 och ISO 42001.
Om någon av dessa certifieringar eller motsvarande upphör att gälla eller väsentligt förändras ska Personuppgiftsbiträdet utan oskäligt dröjsmål skriftligen underrätta Personuppgiftsansvarig om detta. Om certifieringarna inte upprätthålls äger Personuppgiftsansvarig rätt att säga upp detta Biträdesavtal med omedelbar verkan.
6.2 Personuppgiftsbiträdet ska på Personuppgiftsansvarigs begäran kunna visa att de skyldigheter som framgår av detta Biträdesavtal och Dataskyddsregler uppfylls genom att tillhandahålla relevant dokumentation, hänvisa till relevant och godkänd uppförandekod eller certifiering, möjliggöra och bidra till granskningar och inspektioner och/eller tillhandahålla Personuppgiftsansvarig andra adekvata underlag.
6.3 Personuppgiftsbiträdet ska på Personuppgiftsansvarigs begäran, utan oskäligt dröjsmål ge denne, eller en oberoende tredjeman som denne anlitat, tillgång till sådana upplysningar och handlingar som är nödvändiga för att Personuppgiftsansvarig ska kunna utöva en effektiv kontroll av Personuppgiftsbiträdets åtgärder enligt detta Biträdesavtal och Dataskyddsregler.
På Personuppgiftsansvarigs skriftliga begäran ska Personuppgiftsbiträdet tillhandahålla relevanta revisionsrapporter och certifieringsintyg, såsom aktuella ISO 27001-, BSI C5- och SOC 2-rapporter, inom trettio (30) dagar från begäran.
Om Personuppgiftsansvarig önskar genomföra en oberoende revision av Personuppgiftsbiträdets säkerhetsåtgärder, ska Parterna överenskomma om villkoren för en sådan revision, inbegripet skälig förhandsavisering om minst trettio (30) dagar och krav på att revisorn undertecknar ett sekretessavtal. Kostnaderna för en sådan revision bärs av Personuppgiftsansvarig.
Personuppgiftsbiträdet är dock endast skyldigt att bevilja Personuppgiftsansvarig, eller oberoende tredjeman som denne anlitat, tillgång till lokaler och utrustning för inspektion om det kan ske utan säkerhets- eller integritetsrisker eller om sådana inspektioner är nödvändiga för att fullgöra en rättslig förpliktelse.

7. SEKRETESS OCH SÄKERHET
7.1 Personuppgiftsbiträdet ska genom lämpliga tekniska och organisatoriska åtgärder begränsa tillgången till Personuppgifterna och endast ge behörighet till sådan personal som behöver ha tillgång till Personuppgifterna för att fullgöra sina åtaganden enligt detta Biträdesavtal, samt se till att sådan personal har erforderlig utbildning och i tillräcklig mån har instruerats att hantera Personuppgifterna på ett ändamålsenligt och säkert sätt.
7.2 Personuppgiftsbiträdet ska ha ett behörighetskontrollsystem som förhindrar obehörig behandling av personuppgifter eller obehörig åtkomst till personuppgifter. Personuppgiftsbiträdet ska använda ett loggsystem som möjliggör att behandling av personuppgifter kan spåras och ska även tillse loggarna har ett adekvat säkerhetsskydd.
7.3 Personuppgiftsbiträdet ska behandla Personuppgifter med sekretess. De personer som har behörighet att behandla Personuppgifterna hos Personuppgiftsbiträdet och Underbiträdet ska vara omfattade av sekretessåtagande och ha upplysts om de skyldigheter som föreligger enligt detta Biträdesavtal.

8. PERSONUPPGIFTSINCIDENTER
8.1 Personuppgiftsbiträdet ska utan oskäligt dröjsmål, och så snart som möjligt inom 48 timmar från att det kommit till Personuppgiftsbiträdets eller Noxtuas kännedom, underrätta Personuppgiftsansvarig om förekomsten av eller risken för en Personuppgiftsincident.
En sådan underrättelse ska innehålla all nödvändig och tillgänglig information som Personuppgiftsansvarig behöver för att kunna vidta lämpliga förebyggande åtgärder och motåtgärder samt uppfylla sina skyldigheter avseende anmälan av Personuppgiftsincident till behörig tillsynsmyndighet, inbegripet Integritetsskyddsmyndigheten, vars 72-timmarsfrist för anmälan ska beaktas.
8.2 Vid inträffad eller befarad Personuppgiftsincident ska Personuppgiftsbiträdet rapportera till Personuppgiftsansvarigs kontaktperson enligt kontaktuppgifter i tillämpligt Orderformulär.
8.3 Personuppgiftsbiträdets anmälan av en Personuppgiftsincident till Personuppgiftsansvarig ska åtminstone omfatta följande om inte tillämplig Dataskyddslagstiftning ställer krav på ytterligare uppgifter:
a) En beskrivning av Personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs.
b) Förmedla namnet på och kontaktuppgifterna till Personuppgiftsbiträdets dataskyddsombud och kontaktuppgifter till övriga personer som kan bistå med information om Personuppgiftsincidenten.
c) Beskriva de sannolika konsekvenserna av Personuppgiftsincidenten.
d) Beskriva de åtgärder som Personuppgiftsbiträdet har vidtagit eller föreslår för att åtgärda Personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.
8.4 Personuppgiftsbiträdet ska dokumentera alla Personuppgiftsincidenter, inbegripet omständigheterna kring Personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits. Dokumentationen ska göra det möjligt för Personuppgiftsansvarig och aktuell tillsynsmyndighet att kontrollera efterlevnaden av punkt 8.

9. ANLITANDE AV UNDERBITRÄDE
9.1 Personuppgiftsbiträdet får inte utan att lämna information till den Personuppgiftsansvarige ge i uppdrag till ett Underbiträde att behandla Personuppgifter. Den Personuppgiftsansvarige har rätt att på saklig grund motsätta sig att Personuppgiftsbiträdet ger i uppdrag till ett Underbiträde att behandla den Personuppgiftsansvariges Personuppgifter. Ett Underbiträdes behandling av Personuppgifter sker på Personuppgiftsbiträdets risk och medför inga ändringar i den ansvarsfördelning som gäller mellan Parterna i detta Biträdesavtal.
9.2 Om Personuppgiftsbiträdet anlitar Underbiträde i enlighet med detta avtal ska det ske i enlighet med ett skriftligt avtal som ålägger Underbiträdet samma skyldigheter som Personuppgiftsbiträdet i enlighet med detta Biträdesavtal. Om Underbiträdet inte uppfyller sina skyldigheter med avseende på Personuppgifter i enlighet med ett sådant skriftligt avtal så har Personuppgiftsbiträdet fullt ansvar för Underbiträdets skyldigheter i enlighet med ett sådant avtal.
9.3 Personuppgiftsbiträdet ska ha en förteckning över Personuppgiftsbiträdets avtal med Underbiträden avseende Personuppgifter som har överförts av den Personuppgiftsansvarige till Personuppgiftsbiträdet. Denna förteckning ska göras tillgänglig för den Personuppgiftsansvarige efter förfrågan. Vid detta Biträdesavtals tecknande anlitade Underbiträden framgår av instruktionen, Bilaga 1.
9.4 Om Personuppgiftsbiträdet anlitar ett Underbiträde ska Personuppgiftsbiträdet med lämpliga åtgärder säkerställa att Underbiträdet uppfyller alla tillämpliga bestämmelser om skydd för Personuppgifter.
9.5 Avser Personuppgiftsbiträdet att byta ut ett befintligt Underbiträde mot ett annat Underbiträde ska Personuppgiftsbiträdet senast 30 dagar innan byte sker informera Personuppgiftsansvarig om sina avsikter så att Personuppgiftsansvarig har möjlighet att invända mot en sådan förändring.
Motsätter sig den Personuppgiftsansvarige med angivande av sakliga skäl ett utbyte av ett Underbiträde eller återkallar denne sitt tidigare medgivande om användning av ett Underbiträde har Personuppgiftsansvarig rätt att säga upp detta Biträdesavtal och andra ingångna avtal som berör behandling av Personuppgifter till upphörande inom 30 dagar eller då avtalet mellan Personuppgiftsbiträdet och det befintliga Underbiträdet upphör att gälla.
Under uppsägningstiden får överföring av Personuppgifter till det nya Underbiträdet inte ske. Om parterna inte kan överenskomma om en lösning äger Personuppgiftsansvarig rätt att säga upp Biträdesavtalet med trettio (30) dagars varsel utan skadeståndsskyldighet, varvid Personuppgiftsbiträdet ska återbetala förutbetalda avgifter avseende återstående period.

10. ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJE LAND
10.1 Personuppgiftsbiträdet behandlar Personuppgifter uteslutande på servrar belägna inom Europeiska unionen (”EU”), Europeiska ekonomiska samarbetsområdet (”EES”) eller Schweiz, hos certifierade europeiska molnpartner.
Personuppgiftsbiträdet har inte rätt att, utan den Personuppgiftsansvariges skriftliga samtycke, överföra Personuppgifter till tredje land utanför EU, EES eller Schweiz, för Schweiz gäller EU-kommissionens beslut om adekvat skyddsnivå, såvida inte denna behandling krävs enligt tillämplig lagstiftning, och i så fall ska Personuppgiftsbiträdet informera den Personuppgiftsansvarige om det rättsliga kravet innan denna typ av behandling sker.
Genom godkännandet av detta avtal samt dess bilaga samtycker den Personuppgiftsansvarige till den databehandling som beskrivs i Bilaga 1.
10.2 I fall där Personuppgiftsbiträdet i samband med behandlingen överför Personuppgifter till tredje land utanför EU eller EES eller till ett land som av EU-kommissionen inte anses uppfylla en adekvat skyddsnivå i förhållande till Dataskyddsregler och det inte finns bindande företagsbestämmelser godkända av Tillsynsmyndigheten i enlighet med art. 47 i GDPR, ska Parterna ingå ett tilläggsavtal baserat på Standardavtalsklausuler för tredje landsöverföring som beslutats av EU-kommissionen, samt säkerställa att överföringen omfattas av ytterligare skyddsåtgärder enligt Dataskyddsregler, till exempel tekniska, kontraktuella och organisatoriska.
10.3 I fall där Personuppgiftsbiträdet anlitat ett Underbiträde med innebörden att Personuppgifter överförs till tredje land utanför EU eller EES eller till ett land som av EU-kommissionen inte anses uppfylla en adekvat skyddsnivå i förhållande till Dataskyddsregler och det inte finns bindande företagsbestämmelser godkända av Tillsynsmyndigheten i enlighet med art. 47 i GDPR, ska Personuppgiftsbiträdet och Underbiträdet ingå ett tilläggsavtal baserad på Standardavtalsklausuler samt säkerställa att överföringen omfattas av ytterligare skyddsåtgärder enligt Dataskyddsregler, till exempel tekniska, kontraktuella och organisatoriska.
I förekommande fall ska Personuppgiftsbiträdet tillhandahålla Personuppgiftsansvarige en underskriven kopia av ett sådant tilläggsavtal.
10.4 Personuppgiftsbiträdet ska utan onödigt dröjsmål skriftligen informera Personuppgiftsansvarig om någon av de förhållanden som anges i denna punkt 10 förändras på något sätt.

11. ANSVAR GENTEMOT TREDJE PART
11.1 Om någon av Parterna bryter mot Dataskyddsregler och den Part som inte brutit mot några Dataskyddsregler måste betala ersättning till tredje part för sådant brott mot Dataskyddsregler, inklusive någon registrerad eller någon myndighet, så ska den Part som brutit mot Dataskyddsregler ensam bära kostnaden.

12. KONTAKTPERSONER
12.1 Parterna ska informera varandra om vem som är utsedd till ansvarig kontaktperson med avseende på behandling av Personuppgifter och korrekt kontaktinformation till denne.
12.2 Kontaktpersonen har inte någon generell rätt att acceptera förändringar av Biträdesavtalet, då det kräver särskild auktorisation eller fullmakt från respektive Parts firmatecknare.

13. UNDERRÄTTELSER
13.1 Alla underrättelser enligt detta Biträdesavtal ska ske skriftligen, ställda till följande kontaktpersoner hos respektive Part.
13.2 För Personuppgiftsansvarig: enligt kontaktuppgifter i tillämpligt Orderformulär.
13.3 För Personuppgiftsbiträdet:
Simon Norrman, Head of Development
E-post: simon.norrman@blendow.se
Telefon: 08-509 333 00

14. MEDDELANDEN
14.1 Meddelanden som avser detta Biträdesavtal ska ske genom bud, rekommenderat brev eller e-post till Parternas i avtalet angivna eller senare ändrade adresser.
14.2 Meddelandet ska anses ha kommit mottagaren tillhanda:
a) om avlämnat med bud: vid överlämnandet,
b) om avsänt med rekommenderat brev: tre (3) dagar efter avlämnande för postbefordran, eller
c) om skickat via e-post vid leverans om samma meddelande också skickas samma dag med vanlig post.
14.3 Adressändring ska meddelas Part på sätt som föreskrivs i punkt 14.1 och 14.2.

15. GILTIGHET
15.1 Detta Biträdesavtal är giltigt så länge som Personuppgiftsbiträdets behandling av Personuppgifter på uppdrag av den Personuppgiftsansvarige pågår. Parterna kan dock överenskomma om att detta Biträdesavtal ska ersättas av ett annat personuppgiftsbiträdesavtal.
15.2 Personuppgiftsbiträdet ska vid avslutad behandling, med beaktande av att Indata och Utdata inte lagras i Tjänstens infrastruktur utanför arbetsminnet, ge Personuppgiftsansvarig möjlighet att inom 30 dagar från avtalets upphörande begära ut sådan Kunddata, till exempel kontouppgifter eller konfigurationsdata, som ändå kan ha lagrats.
Personuppgiftsbiträdet ska därefter säkert radera kvarvarande Personuppgifter från sådana system som använts vid behandlingen, såvida inte detta är oförenligt med då gällande lag. På Personuppgiftsansvarigs skriftliga begäran ska Personuppgiftsbiträdet tillhandahålla skriftlig bekräftelse på att radering skett.

16. TILLÄMPLIG LAG OCH TVIST
16.1 Detta Biträdesavtal ska tolkas och tillämpas i enlighet med svensk lag. Tvister till följd av tolkningen och tillämpningen av detta Biträdesavtal ska prövas vid svensk allmän domstol, med Stockholms tingsrätt som första instans.

Om Biträdesavtalet inte ingås genom accept av villkoren enligt punkt 1.1 utan undertecknas separat, signeras det digitalt.

BILAGA TILL PERSONUPPGIFTSBITRÄDESAVTALET

INSTRUKTIONER
Dessa instruktioner utgör en integrerad del av Biträdesavtalet och ska följas av Personuppgiftsbiträdet vid utförande av personuppgiftsbehandlingen såvida inte annat uttryckligen anges i Biträdesavtalet. Genom undertecknande av Biträdesavtalet har Personuppgiftsbiträdet bekräftat innebörden av dessa instruktioner. Alla ändringar och tillägg till dessa instruktioner ska vara skriftliga för att gälla.

Generell instruktion

Ändamål med behandlingen
PUB tillhandahåller AI-tjänsten Blendow-Noxtua till PUA:s anställda. PUB behandlar personuppgifter för att kunna administrera användarkonton på plattformen. Noxtua, som agerar Underbiträde till PUB, ansvarar för den tekniska driften av tjänstens underliggande AI-infrastruktur.

Kategorier av personuppgifter
Namn och e-post.

Kategorier av registrerade
Anställda hos PUA.

Behandlingar och behandlingens karaktär
Administrering av användarkonton. Indata och Utdata lagras inte i Tjänstens infrastruktur utanför arbetsminnet och är inte tillgängliga i klartext för PUB eller Noxtua.

Behandlingens varaktighet
Så länge som kundrelationen består och upp till två år därefter.

Tekniska eller organisatoriska säkerhetsåtgärder
Som framgår av Personuppgiftsbiträdesavtalet, PUB-avtalet, är PUB skyldig att med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.
Oaktat PUB:s ansvar enligt ovan och vad som följer av PUB-avtalet samt Dataskyddsregler, ska PUB:s tekniska och organisatoriska säkerhetsåtgärder omfatta följande:

Fysisk åtkomstkontroll
Noxtuas datacenter är ISO 27001-certifierat avseende fysisk åtkomstkontroll. Tillträde till behörighetszoner där behandlingen sker är begränsat till särskilt kvalificerad och behörig personal genom personligt utfärdade nycklar/passerkort, och all åtkomst loggas. Besökare registreras vid ankomst, ges tillträde endast till särskilt anvisade och övervakade områden samt övervakas under hela vistelsen. Anläggningen är därutöver utrustad med larmsystem som komplement till dessa åtgärder.

Åtkomstkontroll avseende IT-system
Åtkomst till tjänsten kräver inloggning med personliga användarnamn och lösenord alternativt BankID. Endast de personer som behöver det för att kunna fullgöra sitt uppdrag ges access/inloggning i systemet.

Åtkomstkontroll avseende personuppgifter
Via användarbehörighet regleras vilka som får tillgång till de personuppgifter som krävs för att personen ska kunna utföra uppdraget.

Intrångsskydd
All överföring mellan Tjänsten och användarens enhet sker krypterat (TLS/HTTPS).
Lagringsregler
Personuppgifter skall vara möjliga att gallra såväl under som efter avtalstiden när användningen inte längre är nödvändig för det ursprungliga ändamålet.
Under avtalstiden: Så snart som PUA initierat gallring anonymiseras samtliga transaktioner avseende gallrade uppgifter.

Kryptering och pseudonymisering
All data innehållande personuppgifter skall krypteras vid överföring och överförs bara till godkända destinationer.

Säkerhetskopiering
Personuppgifterna skall regelbundet säkerhetskopieras. Kopiorna lagras skyddade så att personuppgifterna kan återskapas efter en störning.

Kontinuitetsplanering och katastrofberedskap
Den föreslagna lösningen är designad för hög tillgänglighet och kontinuitet. Tjänsten är tillgänglig även utan central IT-miljö.
Vid en större katastrof i den centrala IT-miljön bör en total återställning kunna ske inom 3 arbetsdagar.

Implementerade säkerhetsföreskrifter
Säkerhetsföreskrifterna skall följa PUB:s normala rutiner gällande personuppgifter.

Funktioner och rutiner för incidentrapportering
I händelse av att en personuppgiftsincident har äventyrat säkerheten eller sekretessen för personuppgifterna ska detta rapporteras till den avtalade kontaktpersonen hos Personuppgiftsansvarig.
Meddelandet ska innehålla:

• Incidentens art och omfattning

Sannolika konsekvenser

Vidtagna åtgärder

PUA ansvarar därefter själv för att informera den registrerade om incidenten.

Underbiträden
Personuppgiftsbiträdet har vid ingåendet av Biträdesavtalet anlitat eller kommer att anlita följande Underbiträden för att fullfölja sina åtaganden i Biträdesavtalet:

Noxtua
Adress: Große Hamburger Str. 17, 10115 Berlin, Tyskland.

Syfte för behandling av personuppgifter: Teknisk drift av tjänstens underliggande AI-infrastruktur.

Behandlar personuppgifter: förnamn, efternamn och e-postadress, anställda hos Personuppgiftsansvarig.
Behandling sker i enlighet med ingånget personuppgiftsbiträdesavtal. Noxtua är certifierat enligt BSI C5, ISO 27001, ISO 9001, ISO 27017, ISO 27018 och ISO 42001. All databehandling sker inom EU/EES eller Schweiz.