Data Processing Agreement

Data Processing Agreement

Version 2026-05-20

Detta Data Processing Agreement (”DPA”) kompletterar Master Subscription Agreement mellan Trueings och din organisation. Det behandlar hur personuppgifter behandlas när din organisation deltar i Trueings B2B2C-kanal.

1. Roller och ansvar

Dina anställda är de registrerade vars personuppgifter flödar genom Trueings. Du (organisationen) är köpare av licenspoolen; Trueings är personuppgiftsansvarig för anställdas kontodata och feedbackinnehåll; dina anställda är även personuppgiftsansvariga för sina egna konton och de personer de bjuder in att svara.

Din organisation har inte åtkomst till anställdas feedbackinnehåll. Detta DPA bekräftar den gränsen skriftligt.

2. Vad vi behandlar för dina anställdas räkning

• Kontodata: varje inlösande anställds valda konto-e-post, visningsnamn, land, yrke samt referensen för arbetsgivartillhörighet (arbetsmejl + arbetsgivarens visningsnamn, licensbundet aktivt fönster).
• Feedbackinnehåll: samtalsintervjuturer från respondenter som den anställde bjuder in, lagrade som råa utskrifter i upp till 30 dagar efter syntes, sedan automatiskt rensade.
• Syntetiserad utdata: den anonymiserade, konfidentialitetsfiltrerade rapporten som endast är åtkomlig för den anställde.

3. Konfidentialitetsgräns

Din organisation tar endast emot aggregerade, innehållsblinda mätvärden (inlösengrad, slutförandegrad, NPS för verktygsnöjdhet när det väl samlas in). Din organisation kommer inte att försöka identifiera vilken anställd som löste in vilken licens, inte härleda feedbackinnehåll från engagemangsdata, och inte tvinga anställda att dela sina rapporter.

4. Underbiträden

Vi använder följande underbiträden. Listan speglar leverantörer som aktivt används; väsentliga ändringar meddelas med minst trettio dagars varsel.

• Supabase: hanterad Postgres och lösenordsfri autentisering. EU-region.
• Anthropic: inferens med stora språkmodeller. US-baserad; överföringar täckta av standardavtalsklausuler. Ett avtal om noll lagring gäller för trafik från vår organisation, så innehåll behålls inte utöver inferens och används inte för träning.
• Resend: leverans av transaktionsmejl. EU-region.
• Stripe: betalningshantering för betalda planer. Vi lagrar inte kortuppgifter.

5. Lagring

• Råa samtalsutskrifter: raderas automatiskt trettio dagar efter att varje anställds rapport färdigställts.
• Syntetiserade rapporter: sparas under den anställdes kontos livstid (vilket överlever att de lämnar din organisation).
• Licensposter: sparas under din organisations kontos livstid plus en lagstadgad arkiveringsperiod för fakturering.

6. Gränsöverskridande överföringar

Data behandlas primärt i Europeiska unionen. Överföringar till underbiträden utanför EU (för närvarande: Anthropic, USA) täcks av standardavtalsklausuler och minimeras till vad tjänsten kräver (endast LLM-inferens; inga identifierande data flödar med).

7. Säkerhetsåtgärder

Vi upprätthåller tekniska och organisatoriska åtgärder som är förenliga med uppgifternas känslighet, inklusive radnivåsäkerhet på personuppgifter, lagring krypterad under överföring + i vila, åtkomstkontroller enligt principen om lägsta behörighet, och en granskad operatörsyta för all åtkomst över tenantgränser.

8. Registrerades rättigheter

Anställda kan utöva sina GDPR-rättigheter (åtkomst, rättelse, radering, dataportabilitet) direkt från sin Trueings-översikt eller genom att mejla privacy@trueings.com. Din organisation är inte inblandad i dessa förfrågningar, i enlighet med konfidentialitetsgränsen ovan.

9. Löptid och uppsägning

Detta DPA gäller så länge MSA gäller OCH så länge Trueings behåller några personuppgifter som behandlas för dina anställdas räkning. Uppsägning utlöser de lagringstidslinjer som anges ovan.

10. Kontakt

Motsignerad DPA, meddelanden om underbiträden, säkerhetsformulär: teams@trueings.com. Registrerade- (anställd-) förfrågningar: privacy@trueings.com.