Biträdesavtalet.

Detta avtal ingås mellan dig som använder Notacta i din yrkesutövning (»den Ansvarige» — personuppgiftsansvarig) och Deklaro AB, Stockholm, org.nr 559574-4847 (»Biträdet» — personuppgiftsbiträde). Avtalet godkänns i tjänsten vid första inloggningen; godkännandet registreras med version och tidpunkt.

Biträdet behandlar de uppgifter den Ansvarige tillför en session: ljudinspelningar, transkript och journalutkast. Uppgifterna rör den Ansvariges klienter och utgör hälsouppgifter enligt artikel 9 GDPR. Ändamålet är uteslutande att framställa transkript och journalutkast åt den Ansvarige. Behandlingen pågår tills sessionen avslutas eller slängs av den Ansvarige, dock längst den lagringstid den Ansvarige valt i tjänsten — 7 till 90 dagar, förvalt 30 — då den rensas automatiskt.

Biträdet behandlar uppgifterna endast enligt den Ansvariges dokumenterade instruktioner, vilka utgörs av användningen av tjänstens funktioner. Biträdet behandlar aldrig uppgifterna för egna ändamål och använder dem aldrig — och låter aldrig någon annan använda dem — för att träna modeller. Anser Biträdet att en instruktion strider mot GDPR informeras den Ansvarige utan dröjsmål.

Biträdet vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR, däribland kryptering av uppgifter under överföring och i vila, åtkomstkontroll och systematisk åtskillnad mellan innehåll och metadata: Biträdets operatörer kan aldrig ta del av sessionsinnehåll, endast metadata som status och tidpunkter. Allt sessionsinnehåll — ljudinspelning, transkript, journalutkast och rubrik — krypteras därutöver med nycklar som är unika för sessionen och som förstörs oåterkalleligt när sessionen raderas. Nyckeln som låser upp innehållet i databasen förvaras åtskild från databasen; en kopia av databasen är oläsbar utan den.

Personer som utför arbete under Biträdets ledning och har åtkomst till personuppgifter omfattas av sekretessåtagande och behandlar uppgifterna endast enligt detta avtal.

Den Ansvarige godkänner de underbiträden som anges i integritetspolicyns mottagarlista. Sessionsinnehåll behandlas endast inom EU; underbiträden som behandlar sessionsinnehåll lagrar det aldrig. Planerade förändringar av listan meddelas via e-post innan de börjar gälla, med möjlighet för den Ansvarige att invända genom att avsluta sitt konto. Biträdet ansvarar fullt ut för underbiträdenas behandling.

Biträdet bistår den Ansvarige, i den mån det är möjligt med hänsyn till behandlingens art, med att besvara begäranden från registrerade enligt kapitel III GDPR samt med skyldigheterna enligt artiklarna 32–36. Begäranden som rör sessionsinnehåll hanteras av den Ansvarige; Biträdet vidarebefordrar utan dröjsmål sådana begäranden som felaktigt inkommit till Biträdet.

Biträdet underrättar den Ansvarige utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör uppgifter under detta avtal, med den information som behövs för den Ansvariges anmälningsskyldighet.

Uppgifterna raderas oåterkalleligt när den Ansvarige avslutar eller slänger en session, och senast när den Ansvariges valda lagringstid — högst 90 dagar — löpt ut, genom automatisk rensning. En förkortad lagringstid gäller även redan påbörjade sessioner. Vid kontoradering förstörs samtliga öppna sessioner omedelbart. Raderingen verkställs omedelbart i tjänstens system; kopior i krypterade säkerhetskopior upphör senast inom sju dagar. Sessionens unika krypteringsnyckel förstörs vid raderingen, varvid varje kvarvarande kopia av ljudinspelningen är oläsbar. Ingen lagring av sessionsinnehåll sker hos underbiträden.

Biträdet ger den Ansvarige tillgång till den information som krävs för att visa att skyldigheterna enligt artikel 28 GDPR fullgörs. Förfrågningar ställs till support@notacta.se.

Den Ansvarige ansvarar för att det finns rättslig grund för behandlingen av klienternas uppgifter, inbegripet kraven för hälsouppgifter i artikel 9 GDPR, samt för att informationsskyldigheten gentemot de registrerade fullgörs enligt det regelverk som gäller för den Ansvariges yrkesutövning.

Detta är version 2026-06-08 av avtalet. Vid en ny version får den Ansvarige ta ställning till den vid nästa inloggning innan tjänsten kan användas vidare. Avtalet gäller så länge den Ansvarige har ett konto och upphör när kontot raderas, varvid radering enligt § 9 har fullbordats.