Version 2026-10-07
Detta är ett personuppgiftsbiträdesavtal enligt GDPR artikel 28, med bilagor A–D och införlivat leverantörsregister. Det är inte en återgivning av kommissionens standardavtalsklausuler.
Detta avtal ingås mellan företagskunden som identifieras i den accepterade beställningen (”Kunden”), som personuppgiftsansvarig, och Sayman Hosseini Mehr, enskild näringsidkare, verksam under namnet Plint Systems, organisationsnummer 070113-4116, postadress KVARTETTGATAN 40 LGH 1101, 215 71 MALMÖ (”Plint”), som personuppgiftsbiträde. Beställningens partsuppgifter, behöriga acceptans och datum gäller även detta avtal.
Kundens anmälda kontaktperson företräder Kunden i löpande instruktioner inom sin behörighet. Dataskyddskontakt hos Plint är [email protected]. Parterna ska hålla varandra underrättade om relevanta kontaktändringar och säkerställa att viktiga meddelanden kan tas emot.
Kunden bestämmer ändamålen och de väsentliga medlen för behandlingen av sina slutkundsuppgifter. Plint bestämmer nödvändiga praktiska och tekniska arbetssätt inom lag, avtal och instruktioner. Rollerna följer den verkliga behandlingen; benämningar i avtalet ändrar inte lagens ansvarsfördelning.
GDPR avser förordning (EU) 2016/679. Begreppen personuppgift, behandling, registrerad, personuppgiftsincident, ansvarig och biträde har betydelsen i GDPR.
Kundpersonuppgifter är personuppgifter som Plint behandlar för Kundens räkning inom den beställda tjänsten. Underbiträde är en annan aktör som anlitas för del av denna behandling. En mottagare med egna självständiga ändamål är inte underbiträde för just den behandlingen.
Instruktion är Kundens dokumenterade anvisning om behandling, exempelvis i beställningen, detta avtal eller en behörigt lämnad komplettering. En teknisk inställning får inte tolkas som ett vidare tillstånd än den dokumenterade instruktionen medger.
Avtalet omfattar den behandling som beskrivs i bilagorna A–D för Kundens avtalade Plint-tjänst. Det gäller även supportåtkomst till Kundpersonuppgifter, felsökning och kontrollerad avveckling. Funktioner som inte ingår eller inte har aktiverats skapar inte en allmän rätt att behandla fler uppgifter.
Vid konflikt om dataskydd går detta avtal före allmänna villkor och kommersiella instruktioner. Tillämpliga obligatoriska standardavtalsklausuler för tredjelandsöverföring och tvingande lag har i sin tur företräde. Kommersiella villkor får inte begränsa skyldigheterna enligt artikel 28.
Plints egen administration av beställning, avtal, fakturering och kundkontakt behandlas separat enligt Plints integritetspolicy. Att en supportkontakt administreras för Plints egen kundrelation tillåter inte att innehållet i Kundens slutkundsärenden används för egna ändamål.
Plint får endast behandla Kundpersonuppgifter enligt dokumenterade instruktioner, inklusive instruktioner om överföring till tredjeland. Undantag gäller om unionsrätt eller medlemsstatsrätt som Plint omfattas av kräver behandlingen. Plint informerar då Kunden om kravet före behandlingen, om lagen inte förbjuder information av viktiga allmänintressen.
Beställningen, detta avtal, bilagorna och överenskommen funktion utgör grundinstruktion. Nya eller ändrade instruktioner dokumenteras med relevant omfattning och behörig avsändare. En instruktion utanför avtalad tjänst kan kräva överenskommelse om leverans, men Plint får inte utföra en otillåten behandling i väntan på sådan överenskommelse.
Kunden ansvarar för lagligt ursprung, rättsliga grunder, information till registrerade och nödvändiga samtycken. Plint ska följa instruerade val och spärrar samt bistå enligt detta avtal. Kundens ansvar befriar inte Plint från egna skyldigheter.
Identifierbara slutkundsuppgifter får inte användas för Plints egen AI-modellträning, generisk tredjepartsträning, orelaterad egen benchmarking eller marknadsföring. Pseudonymisering, aggregering eller borttagna namn är inte automatiskt anonymisering. Framtagning av anonym information är i sig behandling som måste rymmas inom instruktionerna. Först när verklig anonymisering uppnåtts kan uppgifterna användas utanför GDPR:s personuppgiftsregler.
Inbyggda AI-funktioner får endast behandla nödvändiga uppgifter inom Kundens köpta funktion och instruktion, med förenlig leverantörskedja och verifierad konfiguration. Leverantörens allmänna standardvillkor ger inte Plint rätt att vidarebefordra bredare instruktioner än Kunden lämnat.
Plint ska säkerställa att personer med tillgång till Kundpersonuppgifter omfattas av avtalad eller lagstadgad tystnadsplikt. De får behandla uppgifter endast enligt behöriga instruktioner, om inte lag kräver annat.
Åtkomst ska begränsas till vad uppdraget kräver och omprövas när ansvar eller uppdrag förändras. Kunduppgifter ska inte användas i privata arbetsytor eller kopieras till en ny leverantör utan stöd i instruktion och tillämplig leverantörshantering. Sekretessen består efter att personens uppdrag eller detta avtal har upphört.
Plint ska vidta samtliga åtgärder som krävs enligt artikel 32. Säkerhetsnivån ska vara lämplig utifrån teknikens ståndpunkt, kostnader, behandlingens art, omfattning, sammanhang och ändamål samt riskernas sannolikhet och allvar för människor.
Bedömningen ska omfatta skydd mot obehörig åtkomst, röjande, förlust, ändring och förstöring. Där det är lämpligt ingår pseudonymisering och kryptering, förmåga att upprätthålla konfidentialitet, integritet, tillgänglighet och motståndskraft, återställning vid incident samt regelbunden prövning av åtgärdernas effektivitet.
Bilaga C anger säkerhetsåtaganden och den avgränsade omfattningen av dokumenterat underlag. Plint får inte behandla produktionsuppgifter i en funktion innan nödvändiga skydd för den funktionen finns. En avtalsbeskrivning är inte bevis på installerad säkerhet.
Plint ska upprätthålla skyddet under paus och avveckling. Ändringar får inte sänka säkerheten under vad behandlingens risk kräver. Plint ska kunna förklara väsentliga åtgärder och relevanta begränsningar för Kunden utan att röja andra kunders data eller oskyddade hemligheter.
Kunden lämnar genom detta avtal ett generellt skriftligt förhandstillstånd att anlita underbiträden för de funktioner som beskrivs i PLINT UNDERBITRÄDEN & EXTERNA DATAPARTER v0.1, avsnitt A. Registret är en del av detta avtal och ska, tillsammans med avtalet och bilagorna, göras tillgängligt i sparbar form före acceptans. Accepterad register- och avtalsversion ska bevaras med beställningen. Det generella tillståndet är inte ett tillstånd för obegränsade ändamål eller oidentifierade behandlingar.
Plint ska ingå bindande avtal som ålägger underbiträdet samma relevanta dataskyddsskyldigheter som här, med tillräckliga garantier för lämpliga åtgärder. Plint förblir fullt ansvarigt gentemot Kunden för underbiträdets fullgörande av dessa skyldigheter enligt artikel 28.4.
Plint informerar Kunden före planerat tillägg eller byte och eftersträvar minst 30 dagars framförhållning där det är praktiskt möjligt. Beskedet ska ange aktör, funktion och relevant dataskyddsinformation. Enbart en tyst ändring av en webblista ersätter inte sådan information. Vid nödvändigt kortare varsel ska skälet förklaras och verklig möjlighet att invända kvarstå.
Kunden får invända på sakliga dataskyddsgrunder. Parterna ska söka en rimlig lösning, exempelvis annat upplägg, kompletterande skydd eller undantag för berörd behandling. Invändningen ger inte ett ovillkorligt veto över Plints övriga verksamhet. Om en lagenlig och rimlig lösning inte finns får berörd tjänst avslutas före den invända behandlingen; dataåterlämning och skydd ska säkerställas.
Även faktiska vidareunderbiträden ska omfattas av fungerande kedja och ändringshantering. 46elks behandlas per aktivitet enligt registret; om en aktivitet utgör underbiträdesbehandling ska artikel 28-kraven uppfyllas innan den används.
Plint får endast överföra eller göra Kundpersonuppgifter åtkomliga utanför EU/EES enligt Kundens dokumenterade instruktion och tillämpligt stöd enligt GDPR kapitel V. Aktuell mottagare, behandling och överföringsväg ska vara kända.
Ett adekvansbeslut kan användas när det omfattar den verkliga mottagaren och behandlingen. När standardavtalsklausuler används ska rätt moduler, bilagor och erforderliga bedömningar och kompletterande skydd finnas. DPF gäller bara inom sin faktiska och giltiga omfattning. Plint ska följa upp förändringar som påverkar stödet.
Plint lämnar på begäran relevant information och kopia av tillämpliga skyddsåtgärder. Nödvändig maskering av andra kunders uppgifter och säkerhetshemligheter får ske, men får inte hindra Kundens möjlighet att bedöma behandlingen. Om lagligt stöd saknas ska den berörda överföringen stoppas eller ändras; en allmän leverantörshänvisning räcker inte.
Med hänsyn till behandlingens art ska Plint genom lämpliga tekniska och organisatoriska åtgärder, så långt möjligt, bistå Kunden att fullgöra skyldigheterna enligt GDPR kapitel III. Det omfattar relevant sökning, tillgång, rättelse, radering, begränsning och dataportabilitet samt hantering av invändningar och återkallade samtycken.
En begäran som Plint får direkt om Kundpersonuppgifter vidarebefordras utan onödigt dröjsmål till Kunden. Plint besvarar inte begäran i sak utan instruktion, utom när lag kräver det. Identitetskontroll och utlämnande ska vara proportionerliga och hindra att fel person får tillgång.
Plint ska ge hjälp i sådan tid att Kunden kan uppfylla tillämpliga tidsfrister. Om uppgifter inte kan hittas, ändras eller raderas direkt ska Plint redovisa hindret och bistå med en lagenlig lösning. Mottagningsbekräftelse eller påbörjat arbete får inte beskrivas som slutförd radering.
Plint ska med beaktande av behandlingens art och tillgänglig information bistå Kunden med skyldigheterna enligt artiklarna 32–36. Det omfattar säkerhetsbedömning, personuppgiftsincidenter, konsekvensbedömning avseende dataskydd och förhandssamråd när detta krävs.
Plint tillhandahåller relevant beskrivning av funktion, dataflöde, mottagare och åtgärder. Kunden ansvarar för sina verksamhetsspecifika risker och beslut, men Plint får inte undanhålla kända begränsningar som påverkar dem. Parterna ska samarbeta sakligt vid frågor från behörig tillsynsmyndighet.
Plint ska underrätta Kunden utan onödigt dröjsmål efter att Plint fått vetskap om en personuppgiftsincident som påverkar Kundpersonuppgifter. Plint ska inte vänta på en fullständig utredning, slutligt ansvar eller komplett leverantörsrapport innan första nödvändiga underrättelsen lämnas.
Underrättelsen ska, i den mån information finns, beskriva incidentens art, berörda kategorier och ungefärligt antal personer och uppgiftsposter, kontaktväg, sannolika konsekvenser samt vidtagna eller föreslagna begränsnings- och avhjälpande åtgärder. Saknade fakta anges som osäkra och kompletteras stegvis när de verifierats.
Plint dokumenterar relevant förlopp och bistår med underlag för Kundens bedömning av anmälan till tillsynsmyndighet och information till registrerade. Kunden ansvarar för dessa beslut som personuppgiftsansvarig. Ingen bestämmelse här skjuter upp Kundens egna lagstadgade skyldigheter eller förutsätter att Kunden alltid får vetskap först genom Plint.
Plint ska vidta skäliga åtgärder inom sitt ansvar för att begränsa incidenten och återställa säker behandling. En första underrättelse är inte i sig ett medgivande om skadeståndsansvar. Ingen absolut timfrist eller garanterad återställningstid avtalas här.
Plint ska göra all information tillgänglig som behövs för att visa att artikel 28 följs och tillåta samt bidra till revisioner, inklusive inspektioner, som Kunden eller en av Kunden utsedd granskare utför.
Dokumentation och befintligt verifierbart underlag används först när det ger tillräcklig insyn. Om det inte räcker ska relevant ytterligare granskning kunna genomföras. Parterna samordnar rimligt varsel, omfattning, tid och sekretess så att säkerhet och andra kunders rättigheter skyddas.
Rutinerna får inte göra revisionsrätten illusorisk eller hindra skyndsam kontroll vid konkret incident, misstänkt brist eller myndighetskrav. En granskare ska vara lämplig och omfattas av sekretess. Eventuella skäliga kostnader för särskilda extra insatser ska klarläggas i förväg och får inte användas för att hindra lagstadgad kontroll eller rättelse av Plints brist.
Konstaterade avvikelser ska dokumenteras och åtgärdas efter risk. En allmän leverantörscertifiering ersätter inte underlag om den faktiska behandling som Kunden behöver bedöma.
Efter tjänstens slut får Kunden välja återlämning eller radering av Kundpersonuppgifter. Plint ska radera befintliga kopior efter återlämning, om inte unionsrätt eller medlemsstatsrätt kräver fortsatt lagring. Kunden erbjuds export enligt allmänna villkoren utan vanlig flyttavgift och utan att obetalda fakturor används som påtryckning.
Ordinarie drift upphör vid tjänstens slut. Ett begränsat exportutrymme hålls tillgängligt genom minst 30 kalenderdagars hämtningsfönster där det är tillämpligt. Produktionskopior av biträdesdata ska återlämnas och därefter raderas, eller raderas direkt enligt Kundens val, senast vid utgången av dag 30. Tidigare radering görs på dokumenterad instruktion med klarlagd följd för återstående export.
Vid tjänstens slut stoppas aktiva SMS-, review-, marketing-, AI-response- och AI Chat-flöden och pågående sekvenser suppressas. På begäran omfattar exporten exportbara Contacts/Cases i CSV och Kundens texter/bilder enligt allmänna villkor. Plints GBP manager-åtkomst och andra obehövliga accesser tas bort; webbplats/DNS och säker telefonirestore samordnas innan kontaktväg stängs. Återbetalning och abonnemangsavslut följer allmänna villkor och ändrar inte skyddet för kvarvarande uppgifter.
Rutinen samordnas så att ett utlovat hämtningsfönster inte upphör i förtid. Om tvingande rätt kräver längre tillgång eller lagring gäller den framför rutinen; kvarvarande data avskiljs och används bara för det nödvändiga ändamålet. Säkerhetskopior följer bilaga D och får inte bli ett sätt att fortsätta vanlig behandling.
Plint ska på begäran bekräfta vidtagna åtgärder, berörda kopior och eventuella lagliga eller tekniska begränsningar. Plints egen bokföringsskyldighet motiverar inte generell lagring av Kundens slutkundsregister. Även underbiträdens relevanta kopior ska omfattas av avvecklingen.
Plint ska omedelbart informera Kunden om Plint anser att en instruktion strider mot GDPR eller andra unions- eller medlemsstatsbestämmelser om dataskydd. Berörd behandling ska hållas stoppad medan en otillåten eller oklar instruktion klarläggs, utan att oberoende säker behandling stoppas i onödan.
Parterna ska dokumentera en lagenlig lösning. Om sådan inte kan nås får den berörda tjänsten avslutas. Ingen instruktion innebär att Plint måste agera i strid med sina egna skyldigheter.
Allmänna villkor reglerar parternas kommersiella ansvar där lagen tillåter. Deras ansvarstak utgår från betalda tjänsteavgifter under de tolv månader som omedelbart föregår den skadegrundande händelsen, eller faktisk kortare avtalsrelation, med där angivna undantag.
Begränsningar får inte inskränka registrerades rättigheter enligt artikel 82, tvingande offentligrättsligt ansvar eller andra tvingande dataskyddskrav. Undantagen för uppsåt och grov vårdslöshet gäller även här. Artikel 28.4 om Plints ansvar för underbiträdens fullgörande kvarstår. Avtalet ger ingen garanti om en klausuls bedömning i ett enskilt rättsfall.
Avtalet gäller från accepterad beställning när behandling för Kundens räkning blir aktuell och så länge Plint eller dess underbiträden behandlar Kundpersonuppgifter. Sekretess och nödvändiga skydds-, revisions- och raderingsskyldigheter består för kvarvarande uppgifter efter att den kommersiella tjänsten upphört.
Ändrade instruktioner eller bilagor ska dokumenteras. Uppdaterade leverantörsvillkor utökar inte automatiskt Kundens ändamål eller Plints instruktioner. En nödvändig ändring som inte kan genomföras lagenligt hanteras som ett faktiskt leveransproblem. Svensk lag och behörig svensk allmän domstol gäller enligt allmänna villkor, utan inskränkning av registrerades eller myndigheters rättigheter.
DelAvtalad beskrivningFöremålKundens köpta hanterade digitala tjänst, Recover/Base, och nödvändig supportVaraktighetAvtalstiden samt kontrollerad återlämning/radering enligt §13 och bilaga DArtInsamling/import, normalisering/deduplicering, registrering, strukturering, lagring, läsning, överföring, kommunikation, AI-generering och publicering av avtalade omdömessvar, ärendehantering, rättelse, begränsning och raderingÄndamålHantera Kundens verkliga förfrågningar och servicekommunikation, avtalade omdömesfunktioner samt individuellt aktiverad AI Chat, AI Review Response, Legacy Review DBR, Customer Lifecycle Marketing och Owner Seasonal Campaigns; skydda och felsöka denna behandlingRegistreradeKundens prospekt, slutkunder, personer som kontaktar Kunden och relevant personal/kontaktpersoner inom funktionenKontakt och innehållNamn, telefon, e-post när lämnad, förfrågan/meddelande, ort eller adress när lämnad, formulär- och chattinnehållKommunikationSamtals-/missat-samtalsmetadata, inbound/outbound SMS, svar/STOPP, leveransresultat och nödvändigt meddelandesammanhang; ingen generell instruktion om samtalsinspelningÄrenden och valÄrende- och statusuppgifter, Service SMS Opt-Out och Marketing SMS Opt-Out, relevant permission-/samtyckesunderlag, källa, tid, informationsversion, omfattning och verifieringsreferens enligt bilaga BOmdömesfunktionNeutrala review-förfrågningar och validerade länkklick; vid AI Review Response även publicerad Google-review, betyg, visningsnamn, konfigurerad bot/routing, prompt/SOP, genererat och publicerat svarAI ChatKontakt-/meddelandedata och förfrågningsinnehåll; Kundens godkända företagsinformation, FAQ och kunskapsmaterial i den mån de innehåller personuppgifter; konfiguration och nödvändig historik för den avtalade funktionenLegacy och kampanjerImporterade verkliga kundrelationer och, för Legacy, verifierat datum/underlag för relevant genomfört jobb/köp inom högst 365 dagar; listans ursprung, normalisering/deduplicering, eligibility och bevisunderlag, segment, batch/kampanj, innehåll, datum/giltighet, send-resultat och relevant promotional reply-context; endast nödvändiga uppgifterLeverantörsbehandlingHighLevel för CRM, importer, workflow/timing/content och aktiverad Conversation AI/Reviews AI; Cloudflare/Worker för kundrouting, autentiserad handoff, spärrar/cooldown/dedup och send gate; 46elks för telefoni/SMS; Google för publicerade reviews. Roller och faktiska överföringar enligt införlivat register.TeknikNödvändiga tekniska identifierare, händelse- och loggreferenser, felunderlag och åtkomstrelaterade uppgifterKänsliga uppgifterEfterfrågas inte avsiktligt. Fritext kan innehålla dem; minimera, begränsa och hantera enligt instruktion och tillämplig lag. Ingen generell behörighet för behandling enligt artikel 9 eller 10 skapas.Kundens rättigheter och skyldigheterGe och ändra lagenliga instruktioner, välja återlämning/radering, få information och granska; fastställa lagliga grunder, informera registrerade och säkerställa riktiga uppgifter
Behandla endast nödvändiga uppgifter för köpta funktioner, i rätt kundmiljö och enligt behöriga instruktioner. Samordna Kontakt och ärende utan att utvidga ändamål. Testuppgifter får inte presenteras som verkligt kundutfall. Var och en av AI_CHAT, AI_REVIEW_RESPONSE, LEGACY_REVIEW_REACTIVATION, CUSTOMER_LIFECYCLE_MARKETING och OWNER_SEASONAL_CAMPAIGNS aktiveras separat efter avtalad setup och relevant QA. Alla fem OFF lämnar befintlig Base oförändrad.
Service och Base-review. Service-SMS ska vara relevanta svar på kontakt och fria från reklam. Base-review efter verkligt JOB_COMPLETED och befintlig OWNER_SMS-ingång behåller Marketing SMS Opt-Out-modellen; Marketing SMS Opt-Out = TRUE stoppar alla T1/T2/T3. Den görs inte om till strict ELIGIBLE/UNKNOWN. Kunden ska hantera rättslig grund, kontaktkanalens krav och korrekt information. Första SMS och Owner Action Link skapar inget retroaktivt insamlings- eller samtyckesbevis. Förfrågningar ska vara neutrala: ingen betygsstyrd selektion, belöning för positiv review eller påtryckning om ändrat omdöme.
Legacy Review Reactivation (Review DBR). Kunden lämnar endast verifierade tidigare verkliga kunder där ett faktiskt jobb/köp genomförts, med sanningsenligt ursprung, relevant verifierat jobb-/köpdatum och ändamålsspecifikt eligibility-underlag. Högst 365 dagar får ha gått sedan det relevanta jobbet/köpet i kundrelationen; äldre relevanta jobb/köp eller osäkert underlag får inte användas för utskick. Gamla leads/prospekt som aldrig blivit kunder omfattas inte. 365 dagar är Plints interna freshness/risk-policy och ger ingen automatisk rätt till SMS. Tillämpliga permission- och kommunikationsregler ska medge varje utskick; befintliga kontroller och STOPP/opt-out enligt nedan gäller fullt ut.
Förfrågan ska vara neutral och frivillig, med tydlig avsändare och enkelt nej/STOPP. Ingen press, önskat betyg, specifika sökord, rating-gating, urval av enbart nöjda kunder eller incitament såsom rabatt eller belöning för omdöme tillåts. Befintlig review-serie används; importen får inte registreras som ett nytt utfört jobb eller en återvunnen affär.
Lifecycle och Seasonal. Endast verifierade gamla/befintliga och marketing-eligible kunder får återkommande relevant kommunikation, ungefär månadsvis, eller en specifik ägarbeställd kampanj. GHL äger workflow/timing/content; Seasonal beställs med segment, erbjudande, copy, datum och expiry. Kunden ansvarar för sanningsenliga erbjudanden, priser, villkor, lagligt innehåll och relevant mottagargrupp; Plints egna skyldigheter kvarstår. Båda går via MARKETING_SEND → Worker-kontroll av permission/STOPP/cooldown/dedup → SMS_SEND_GATE → 46elks, med samma promotional cooldown och hard cap. Review T1/T2/T3 är separat och blockeras inte av marketing-cooldown.
Strict eligibility. För Legacy Review DBR, Lifecycle och Seasonal gäller ELIGIBLE / BLOCKED / UNKNOWN. UNKNOWN innebär inget automatiskt utskick. Eligibility kontrolleras vid handoff och inför varje relevant utskick; Marketing SMS Opt-Out = TRUE vinner alltid. En tag, import eller kundattestering är inte ensam bevis eller ansvarsfrihet för Plint. Relevant evidens ska knyta person, ändamål, källa, tid, information och sammanhang till det tillåtna utskicket. Ett marketing-samtycke på webben ska vara separat, frivilligt och initialt okryssat, utan att villkora offert-/kontaktförfrågan. Review-medgivande får inte återanvändas som kampanjmedgivande.
STOPP och re-consent. STOPP behandlas före annan svarshantering. Efter review/marketing sätts Marketing SMS Opt-Out = TRUE utan automatisk ändring av Service SMS Opt-Out. Efter service eller vid saknat, inaktuellt eller tvetydigt meddelandesammanhang sätts båda spärrarna TRUE. Nytt Case, vanligt svar, JA, START/JOIN, formulär, import, technical restore eller nytt/ändrat nummer återställer inte spärrar. Återaktivering kräver verifierat explicit scope-specifikt underlag, kontrollerad manuell operatörsgranskning och journalförd ändring endast av verifierat scope. Underlaget ska ange client/contact, beviljat val och omfattning, källa, tid, informationsversion/sammanhang, evidensreferens och ansvarig operatör/åtgärd. Ingen automatisk självbetjäningsåterställning införs.
Marketing replies. Endast explicit CTA-keyword som säkert hör till ett faktiskt promotional marketing-SMS får skapa MARKETING_REPLY, Stage NEW. Vanligt svar relayas/loggas till rätt ägare utan nytt Case. STOPP gäller först; AI ska inte avgöra Case creation.
AI Chat. Aktiverad GHL Conversation AI identifieras tydligt som AI och använder verifierad, godkänd företagsinformation, tjänster, områden, FAQ och kunskapsmaterial. Den får hantera kontakt-/meddelandedata för svar och riktig inquiry via befintlig CHAT → Worker → Case NEW, inte skapa ett Case för varje meddelande. AI Chat-fel ska isoleras från övrig Base.
AI Review Response. Aktiverad GHL Reviews AI får automatiskt svara på publicerade Google-reviews av alla ratings, inklusive negativa. Flera konfigurerade bots kan användas för olika reviewtyper med skilda prompts, SOP:er, tonalitet och regler. Rätt review → rätt bot → rätt prompt/SOP → genererat svar → automatisk publicering. Varje bot, routing och prompt, svenska svar, företagsfakta och faktisk publicering ska QA-testas före aktivering. Ingen generell Plint-approval för negativa eller 1–4★ krävs. Funktionen är helt separat från review-request, T1/T2/T3, JOB_COMPLETED och Case-state.
AI behandlar bara uppgifter inom §4:s instruktion och en förenlig, faktiskt kontrollerad leverantörskedja; ingen rätt till generisk modellträning skapas. AI-röst, recording och transcription ingår inte genom dessa instruktioner. Ingen ny databasstruktur, pipeline eller parallell motor beslutas genom avtalet.
Bilagan anger dokumenterade arbetssätt, begränsningen i tillgängligt tekniskt underlag och Plints skyldighet att upprätthålla nödvändiga skydd. Den utgör ingen certifiering av hela produkten.
UnderlagVad som kan sägasAccepterad teknisk grund B7Journalföring, beständighet, återuppspelning/avstämning och stopp av efterföljande effekter vid journalfel har dokumenterad acceptans inom avgränsad grundfunktion. Detta bevisar inte full kundisolering eller hela produktionssystemet.Dokumenterad support-/incidentrutinIdentifiera rätt kund; begränsa påverkan; använd säker reservväg; åtgärda; verifiera; informera relevant part. Känsliga/oklara frågor eskaleras till ansvarig Plint-person.Dokumenterad återställningsrutinMinsta lämpliga reparation först; kontroll av kund, version, konfiguration och aktuell data före återställning; full ombyggnad sist. Dokumenterad rutin är inte bevis på genomförd kundspecifik återställningsövning.Dokumenterad informationshanteringBegär inte lösenord i vanliga supportmeddelanden. Begränsa incidentanteckningar och skärmbilder. Visa inte framgång innan åtgärden är kontrollerad.LeverantörsåtgärderHighLevel och Cloudflare beskriver säkerhetsåtgärder i sina DPA-bilagor. Leverantörens beskrivning ersätter inte kontroll av vilka skydd Plints valda tjänst och konfiguration faktiskt ärver.
Plint ska dokumentera och kunna visa de faktiskt tillämpade skydden för åtkomst och autentisering, sekretessåtaganden, kundisolering, hemligheter, loggning, säker överföring/lagring, incidentkontakt, backup/restore och radering, inklusive berörda leverantörers faktiska rotation. Inga ytterligare certifieringar, tekniska versioner eller verifieringsresultat utfästs här. Nödvändiga kontroller för den berörda funktionen ska vara genomförda innan produktionsuppgifter behandlas.
Uppgifter/fasRegelAktiv biträdesbehandlingEndast så länge tjänstens ändamål och Kundens lagenliga instruktioner kräver; minimera råa SMS, payloads och felsökningskopiorFeature-dataImporter, permission-evidens, kampanj-/reply-context och AI-underlag omfattas av samma ändamålsbegränsning och avveckling. Behåll bara vad respektive aktiv funktion och lagenlig instruktion kräver; feature-data får inte bli Plints egen kundlista eller generell träningsdata.Ärendenas nödvändiga skyddBehåll minsta nödvändiga operativa spärrar och avstämningsuppgifter under aktuell behandling; en rutinmässig loggrensning får inte orsaka dubbla utskick eller upphäva opt-outTjänstens slutNormal drift upphör; kontrollerat hämtningsfönster om minst 30 kalenderdagar där tillämpligt; återlämning/radering av produktionskopior senast vid utgången av dag 30 enligt §13DriftloggarMålsättning högst 90 dagar där det räcker; ingen automatisk förlängning av biträdesbehandling efter avslutSäkerhets-/materiella incidentloggarUpp till 12 månader vid faktisk nödvändighet; längre endast vid pågående utredning eller rättsligt anspråk, med rätt roll och lagligt stöd klarlagtSäkerhetskopiorDokumenterad leverantörsrotation; avskilda från aktiv användning. Ingen garanti om omedelbar radering ur oföränderliga kopior. Endast legitim återställning och återtillämpning av relevanta raderingar/spärrar.LagkravEndast data som lagen faktiskt kräver bevaras, med begränsat ändamål och skydd; Plints bokföringsbehov motiverar inte bevarande av alla slutkundsuppgifterPlints egen administrationSeparat controllerbehandling enligt Plints integritetspolicy; ingen bakväg för att behålla Kundpersonuppgifter för andra ändamål
Den instruerade återlämnings-/raderingsfristen är styrande för biträdesdata. Längre logg- eller backupperioder är inte generella undantag för aktiv produktion. Kundens eventuella lagkrav på egna kopior hanteras genom export och egen fortsatt laglig lagring.
Rättslig kontrollreferens: GDPR, särskilt artiklarna 28 och 32–36. Leverantörsdokument länkas i det separata registret.