Personuppgiftsbiträdesavtal

Version 27 oktober 2026, rev. 8.

Personuppgiftsbiträdesavtal – Lina

Version 27 oktober 2026, rev. 8. Bilaga till Pilot- och abonnemangsvillkor för Lina. Kundspecifika uppgifter lämnas enligt 1.4.

---

1. Parter, kontakt och definitioner

1.1 Personuppgiftsansvarig ("Kunden"): det företag eller den enskilda firma som anges vid det elektroniska godkännandet (företagsnamn och organisationsnummer eller momsregistreringsnummer), se Pilot- och abonnemangsvillkoren 1.2.

1.2 Personuppgiftsbiträde ("Biträdet"): Amber Zaheer Khan, enskild firma, som bedriver verksamhet under namnet NexGenSynergy med varumärket Svarslina, momsreg.nr SE850406928001, Hagsätra Torg 21, 124 73 Bandhagen, info@svarslina.se.

1.3 Kontakt vid personuppgiftsincidenter och dataskyddsfrågor:

• Kunden: [namn, e-post, mobil]
• Biträdet: Amber Zaheer Khan, info@svarslina.se

1.4 Kundspecifika uppgifter och instruktioner. Kunden lämnar sina kontaktpersoner, sin adress, sin hälsningsfras, valet av sändningsväg för sammanfattningar och brådskande ärenden skriftligen (e-post eller formulär) före uppsättningen. Biträdet bekräftar dem per e-post. Uppgifterna är Kundens dokumenterade instruktioner enligt art. 28.3 a GDPR och ersätter hakparenteserna i bilagorna 1 och 4. Biträdet börjar inte behandla samtal förrän uppgifterna är bekräftade.

1.5 Definitioner

• GDPR: Europaparlamentets och rådets förordning (EU) 2016/679 (dataskyddsförordningen).
• IMY: Integritetsskyddsmyndigheten.
• Tjänsten: Biträdets AI-telefonsvarstjänst "Lina", som svarar i telefon i Kundens namn när Kunden vidarekopplar samtal till den, enligt Huvudavtalet. Lina är en AI och inte en människa.
• Huvudavtalet: "Pilot- och abonnemangsvillkor för Lina", eller den senare version som parterna har kommit överens om, inklusive den kostnadsfria testperioden på 1 vecka ("Testperioden", se avsnitt 12.3 och Bilaga 4).
• Underbiträde: en leverantör som Biträdet anlitar och som behandlar personuppgifter för Kundens räkning. Underbiträdena anges i Bilaga 3.
• ElevenLabs: det röst-AI-underbiträde som anges i Bilaga 3 A, med vilket Biträdet har avtal.
• Övriga begrepp (personuppgifter, behandling, personuppgiftsincident, överföring till tredjeland m.fl.) har samma betydelse som i GDPR.

1.6 Detta avtal är en bilaga till Huvudavtalet. Vid motstridighet gäller detta avtal i frågor om personuppgifter. Parterna är självständiga avtalsparter, och Biträdet utför Tjänsten med egen teknik och i egen verksamhet.

2. Ändamål och instruktioner

2.1 Biträdet behandlar personuppgifter för Kundens räkning enbart för att:

• svara i telefon i Kundens namn när samtal vidarekopplas till Lina,
• ta emot och dokumentera ärendet (vad som behöver göras, om det är brådskande, plats och kontaktuppgifter),
• skicka en sammanfattning till Kunden enligt Bilaga 1 när Biträdet har satt upp sändningsvägen,
• om personen som ringer själv säger att ärendet är brådskande: ta emot ett meddelande och, när Biträdet har satt upp det, notera att det är brådskande. Meddelandet lämnas till Kundens kontaktperson på det sätt som anges i Bilaga 1 (se 2.7),
• kvalitetsgranska och felsöka samtal i Kundens egen tjänst (uppgifterna används inte för andra kunder eller för Biträdets demo eller marknadsföring),
• räkna samtalsminuter för Testperioden och för fakturering (teknisk samtalsinformation, se avsnitt 3).

Lina ger inga råd och gör inga bedömningar, utom ett kort, fast säkerhetsråd som Kunden har godkänt. Om den som ringer nämner fara för liv eller hälsa, till exempel brand, gaslukt eller att någon har skadats, hänvisar Lina den som ringer till 112.

2.2 Instruktioner. Biträdet behandlar uppgifterna endast enligt Kundens dokumenterade instruktioner, inklusive i fråga om överföring till tredjeland, om inte unionsrätt eller nationell rätt som Biträdet omfattas av kräver något annat. I så fall informerar Biträdet Kunden om det rättsliga kravet innan behandlingen, om inte sådan rätt förbjuder det. Detta avtal och Huvudavtalet utgör Kundens instruktioner. Kunden kan ge ytterligare instruktioner skriftligt (e-post räcker). Biträdet sparar dem.

2.3 Instruktion som strider mot dataskyddsreglerna. Om Biträdet anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning informerar Biträdet Kunden omedelbart. Biträdet får då avvakta med att genomföra instruktionen tills Kunden har bekräftat, ändrat eller återkallat den.

2.4 AI-träning (instruktion och inställning). Kundens instruktion är att uppgifterna inte ska användas för att träna eller förbättra AI-modeller.

• Biträdet använder inte uppgifterna för det och tränar inga egna AI-modeller.
• Biträdet har valt bort modellträning hos ElevenLabs: i Biträdets konto är inställningen som väljer bort att kontots data används för träning av modeller aktiverad, kontrollerad 26 oktober 2026. Enligt ElevenLabs villkor gäller valet bara framåt. Biträdet behåller inställningen så länge detta avtal gäller.
• ElevenLabs villkor ger ElevenLabs vissa egna rättigheter att använda innehåll för att tillhandahålla och förbättra sina tjänster, och ElevenLabs underbiträdeslista anger att vissa leverantörer av språkmodeller kan använda data för forskning, utveckling och träning i den mån avtalet med kunden tillåter det (Bilaga 3 C). Biträdet åtar sig att inte instruera ElevenLabs att träna på uppgifterna, att behålla inställningen och att inte använda uppgifterna för eget bruk.
• Biträdet informerar Kunden om ElevenLabs villkor ändras på ett sätt som påverkar detta.

2.5 Information till uppringare och AI-transparens.

• Biträdet konfigurerar en hälsningsfras som i början av varje samtal säger att den som ringer talar med en AI, att samtalet spelas in och skrivs ut (transkriberas) och att det behandlas av tekniska leverantörer, även i USA. Det följer art. 50.1 i EU:s AI-förordning (förordning (EU) 2024/1689) och ElevenLabs krav på information till uppringare. Lina använder inget påhittat människonamn och låtsas aldrig vara en människa.
• Kunden godkänner hälsningsfrasens text innan Tjänsten startas, och även senare ändringar. Upplysningen om att det är en AI får inte tas bort.
• Förslag (byt [Företag] och [webbadress] mot Kundens uppgifter): "Hej, du har ringt [Företag]. Det här är Lina, en AI-assistent. Samtalet spelas in och skrivs ut, behandlas av våra tekniska leverantörer, även i USA, och sparas normalt i högst 7 dagar. Mer information finns på [Kundens webbadress]. [Om Kunden vill: en kort säkerhetsmening, t.ex. 'Är det fara för liv eller hälsa, ring 112.'] Vad kan jag hjälpa dig med?"
• Kunden är personuppgiftsansvarig och ansvarar för att ge sina uppringare information enligt art. 13 GDPR, t.ex. på den webbadress som nämns i hälsningsfrasen. Informationen ska bland annat säga att uppgifterna lagras i USA, vilka underbiträdena är (Bilaga 3) och att de normalt sparas i högst 7 dagar, med de förbehåll som anges i 4.1. Biträdet tillhandahåller underlag.

2.6 Kundens skyldigheter som personuppgiftsansvarig.

• Kunden ansvarar för att behandlingen har laglig grund, för att instruktionerna är lagliga, för informationen till uppringare (2.5) och för att inte instruera Biträdet att behandla känsliga uppgifter.
• ElevenLabs villkor lägger på Biträdet, som kund hos ElevenLabs, att se till att de registrerade har fått den information och, där lagen kräver det, lämnat det samtycke som behandlingen kräver, och att Biträdet har fått nödvändiga bemyndiganden från den personuppgiftsansvarige. Kunden bekräftar att Kunden ger sådan information (2.5) och att Kunden genom detta avtal bemyndigar Biträdet att ge ElevenLabs instruktioner enligt detta avtal och att anlita underbiträdena i Bilaga 3 (Bilaga 3 C).
• Kunden ansvarar för sin vidarekoppling och för att uppringare har en reservväg (t.ex. Kundens eget nummer) när Tjänsten inte svarar eller Testperiodens minuter är slut.

2.7 Brådskande ärenden.

• Vid brådskande ärenden tar Lina emot ett meddelande och, när Biträdet har satt upp det, noterar att det är brådskande. Det är den som ringer som avgör om ärendet är brådskande. Lina gör ingen egen bedömning. Meddelandet lämnas till Kunden enligt Bilaga 1. Biträdet garanterar inte att meddelandet läses eller besvaras inom viss tid, och Kunden ansvarar för att bevaka sina meddelanden.
• Lina kopplar inte vidare samtal till Kundens mobil eller till någon annan (se Pilot- och abonnemangsvillkoren 2.4).
• Kunden ansvarar för att kontaktpersonen vet att dennes kontaktuppgifter används för detta.

2.8 Bokning i Kundens kalender ingår först när Biträdet har aktiverat det för Kunden och bekräftat det per e-post. Bokning sker endast via Kundens eget konto hos Cal.com. Kunden ingår och ansvarar för avtalet med Cal.com, och Cal.com är därför inte Biträdets underbiträde. Om Kunden kopplar sin egen kalender (t.ex. Google eller Outlook) till Cal.com är det Kundens eget val och ansvar. Biträdet har ingen direkt åtkomst till den kalendern. På Kundens instruktion hämtar Biträdet lediga tider från Kundens Cal.com-konto och skickar dit bokningsuppgifter (till exempel namn, telefonnummer, adress och ärende). Kunden lämnar aldrig lösenord till Biträdet. Om en API-nyckel behövs skapar Kunden den i sitt Cal.com-konto och lämnar den enligt Biträdets anvisning, inte via webbformuläret. Biträdet använder nyckeln bara för Tjänsten och raderar den när avtalet upphör. Kunden kan när som helst återkalla den. Cal.com tillhandahålls av Cal.com, Inc. i USA. Kunden ansvarar för grunden för överföringen i sitt eget avtal med Cal.com.

2.9 Sms ingår i Tjänsten först när Biträdet har aktiverat sms för Kunden och bekräftat det per e-post. Det som sägs om sms i detta avtal och dess bilagor gäller från den bekräftelsen.

3. Kategorier av registrerade och personuppgifter

Föremål, art och ändamål: Lina tar emot telefonsamtal åt Kunden, antecknar ärendet och skickar en sammanfattning till Kunden när Biträdet har satt upp sändningsvägen (2.1). Behandlingen består av inspelning, transkribering, automatisk sammanfattning, lagring, överföring till Kunden, vid brådskande ärenden, när det är uppsatt, meddelande till Kundens kontaktperson, sms till uppringaren och till Kunden när sms har aktiverats (2.9), och radering.

Varaktighet: så länge Huvudavtalet gäller (inklusive Testperioden) och därefter enligt avsnitt 10.

Registrerade:

• personer som ringer Kunden (privatpersoner och företrädare för företag),
• tredje personer som nämns i samtal (t.ex. en hyresgäst, granne eller anhörig),
• Kundens kontaktperson som tar emot brådskande ärenden.

Personuppgifter:

• namn
• telefonnummer
• adress eller ort där jobbet ska utföras
• beskrivning av jobbet och om det är brådskande
• önskad tid för återuppringning eller besök
• samtalsinspelning (ljud, som även innehåller rösten) och transkribering (text)
• teknisk samtalsinformation (tid, längd, samtals-id)
• Kundens kontaktpersons kontaktuppgifter och namn, för brådskande ärenden (2.7)
• uppringarens mobilnummer, för sms-bekräftelse när sms har aktiverats (2.9)
• e-postadress, om uppringaren vill ha en bekräftelse på mejl, när bokning har aktiverats (2.8)

Känsliga uppgifter: ska inte behandlas. Lina frågar inte om hälsa, skador eller personnummer och tar inte med sådant i sammanfattningar. Lina tar inte emot portkoder, larmkoder eller uppgifter om nycklar. Om någon ändå säger sådant kommer det med i inspelningen och transkriberingen, som normalt raderas automatiskt efter 7 dagar (4.1). Tjänsten är inte avsedd för och ska inte användas för uppgifter som avses i art. 9 GDPR.

4. Lagringstid och radering

4.1 Inspelningar och transkriberingar: Varje samtal spelas in (ljud) och transkriberas (text) hos ElevenLabs (Bilaga 3), som lagrar uppgifterna i USA. Biträdet ställer in lagringen i ElevenLabs tjänst på 7 dagar innan Tjänsten startar för Kunden, och uppgifterna raderas därefter automatiskt ur ElevenLabs tjänst. 7 dagar är den längsta inställda lagringstiden i tjänsten.

• Förbehåll: Inställningen gäller lagringen i ElevenLabs tjänst. Kopior i ElevenLabs och dess underbiträdens säkerhetskopior och loggar raderas enligt deras ordinarie rutiner, vars tider Biträdet inte kan ange och som kan vara längre än 7 dagar (10.2 och Bilaga 3 C). Biträdet kan därför inte garantera att uppgifter inte finns kvar hos underbiträden efter 7 dagar.
• Inställningen kan bara ändras av Biträdet. Biträdet ändrar den inte till en längre tid utan att först informera Kunden.

4.2 Telefoni och sms:

• Den teleoperatör som förmedlar samtal till Tjänsten och sms från Tjänsten (Bilaga 3) behandlar trafikuppgifter som självständigt personuppgiftsansvarig enligt lagen (2022:482) om elektronisk kommunikation och är därför inte underbiträde för förmedlingen.
• Teleoperatörens egna lagringstider anges i Bilaga 1.
• Biträdet aktiverar ingen samtalsinspelning hos teleoperatören.
• I den mån teleoperatören lagrar uppgifter för Biträdets räkning utöver förmedlingen behandlas teleoperatören som underbiträde enligt avsnitt 5.

4.3 Sammanfattningar som skickas till Kunden finns därefter hos Kunden, som ansvarar för dem. Sammanfattningar och aviseringar skickas enligt Bilaga 1 när Biträdet har satt upp sändningsvägen, endast via de underbiträden som anges i Bilaga 3 A och inte via någon e-posttjänst som saknar personuppgiftsbiträdesavtal. Om sändningsvägen innebär att ytterligare en leverantör behandlar uppgifterna läggs den till i Bilaga 3 enligt 5.2 innan den används.

4.4 Lagringstider för övriga uppgifter anges i Bilaga 1.

5. Underbiträden

5.1 Allmänt förhandstillstånd (art. 28.2 GDPR). Kunden ger ett allmänt skriftligt förhandstillstånd till att Biträdet anlitar de underbiträden som anges i Bilaga 3, och till att Biträdet lägger till eller byter underbiträden enligt 5.2. Bilaga 3 uppdateras och skickas till Kunden.

5.2 Information och invändningsrätt.

• Underbiträden som Biträdet själv anlitar (Bilaga 3 A, dvs. ElevenLabs och Inleed): Biträdet informerar Kunden per e-post minst 30 dagar innan ett nytt underbiträde läggs till eller ett befintligt byts ut, med namn, vad underbiträdet används till, plats och överföringsgrund. Om ett byte måste ske snabbare (t.ex. för att ett underbiträde upphör med sin tjänst eller av säkerhetsskäl) informerar Biträdet Kunden så snart som möjligt och före bytet om det går.
• ElevenLabs egna underbiträden: ElevenLabs meddelar enligt sitt avtal ändringar genom att uppdatera sin publika underbiträdeslista (länk i Bilaga 3 A), med 30 dagars varsel. Biträdet bevakar listan minst en gång i månaden och informerar Kunden per e-post så snart Biträdet fått kännedom om en ändring som gäller Tjänsten. Eftersom Biträdet själv får sitt varsel genom listan kan Kundens tid före ändringen bli kortare än 30 dagar. Biträdet kan inte lova mer än vad ElevenLabs ger.
• Kunden kan invända mot ett nytt underbiträde av sakliga skäl inom 14 dagar från Biträdets information, eller inom kortare tid om ElevenLabs invändningsperiod löper ut tidigare. Biträdet kan inte garantera att ElevenLabs avstår från ändringen. Om parterna inte kommer överens, eller om ElevenLabs genomför ändringen trots invändningen, kan Kunden säga upp Huvudavtalet och detta avtal utan kostnad, och förbetald avgift för tiden efter upphörandet återbetalas.

5.3 Underbiträdesavtal och ansvar (art. 28.4 GDPR).

• Biträdet anlitar bara underbiträden som genom skriftligt avtal är bundna av dataskyddsskyldigheter som i allt väsentligt motsvarar dem i detta avtal, i synnerhet att ge tillräckliga garantier om lämpliga tekniska och organisatoriska åtgärder.
• Underbiträdena använder sina egna standardavtal. Dessa kan avvika från detta avtal, och ElevenLabs avtal kräver till exempel bara att dess underbiträden är bundna av villkor som är "i huvudsak lika skyddande". Kända skillnader mot detta avtal anges i Bilaga 3 C, och Kunden godkänner dem genom att godkänna avtalet elektroniskt.
• Om ett underbiträde inte fullgör sina dataskyddsskyldigheter ansvarar Biträdet gentemot Kunden för att skyldigheterna fullgörs, i enlighet med art. 28.4 GDPR. Ansvarsbegränsningen i avsnitt 11 gäller endast mellan parterna och i den mån tvingande lag tillåter.

5.4 Webbhotell och e-post.

• a) Biträdets webbplats, kontaktformulär och e-post hos Inleed innehåller inga uppgifter om Kundens uppringare (Bilaga 3 B).
• b) När sms har aktiverats för Kunden (2.9) tar ett skript hos Inleed emot uppgifter från ElevenLabs och, om bokning används, från Kundens eget Cal.com-konto (2.8) efter samtalet och skickar sms via 46elks. Namn, telefonnummer och meddelandetext sparas inte i filer, databaser, loggar eller säkerhetskopior. För att stoppa dubbletter och missbruk sparar skriptet bara pseudonymiserade kontrollvärden (nyckelbaserade hashvärden, utan läsbart nummer eller text) i högst 48 timmar, utanför den publika webbkatalogen. Kopior av kontrollvärdena kan finnas kvar i upp till sju dagar i Inleeds dagliga säkerhetskopior. Inleed är därför underbiträde för detta och anges i Bilaga 3 A.
• Om Biträdet vill låta sådana uppgifter passera eller lagras hos ett webbhotell får det ske först när webbhotellet har lagts till i Bilaga 3 enligt 5.2, med ett personuppgiftsbiträdesavtal enligt art. 28 GDPR och en giltig överföringsgrund enligt avsnitt 6.
• Kunden ombeds att inte skicka uppgifter om uppringare till Biträdets allmänna e-postadress. Begäranden från registrerade och incidentmeddelanden hanteras enligt avsnitt 8 och 9 och raderas ur Biträdets e-post när ärendet är avslutat.

6. Överföring till tredjeland

6.1 Överföring till land utanför EU/EES sker bara enligt Kundens instruktioner (2.2 och Bilaga 3) och med giltig grund enligt kapitel V GDPR. Kunden instruerar härmed Biträdet att överföra uppgifter till de underbiträden i USA som anges i Bilaga 3. Uppgifterna lagras i USA och inte enbart inom EU/EES. ElevenLabs får enligt sitt avtal bestämma var data lagras, och personal hos ElevenLabs och dess underbiträden utanför lagringsregionen kan få åtkomst (Bilaga 3 C). Inleed (Bilaga 3 A) behandlar uppgifterna i Sverige. Inleeds biträdesavtal tillåter överföring utanför EU/EES med giltig grund enligt kapitel V GDPR. Om Inleed meddelar att sådan överföring sker för Tjänsten informerar Biträdet Kunden enligt 5.2.

6.2 ElevenLabs avtalspart och överföringsgrund. Enligt ElevenLabs villkor för EES och personuppgiftsbiträdesavtal är Biträdets avtalspart Eleven Labs Inc., New York, USA. Överföringen till Eleven Labs Inc. sker med stöd av kommissionens beslut om adekvat skyddsnivå för EU-US Data Privacy Framework (genomförandebeslut (EU) 2023/1795, "DPF"), förutsatt att Eleven Labs Inc. är aktivt certifierat. DPF-certifieringen gäller bara Eleven Labs Inc. och inte andra bolag i ElevenLabs-koncernen (t.ex. Eleven Labs Poland sp. z o.o. eller Eleven Labs Ltd), som finns på ElevenLabs underbiträdeslista. Överföringar mellan ElevenLabs bolag och till ElevenLabs övriga underbiträden sker enligt ElevenLabs egna avtal och överföringsgrunder (Bilaga 3 C). Biträdet kontrollerar certifieringen i den officiella DPF-listan innan Tjänsten startar för en kund och därefter minst en gång per kvartal.

6.3 Reserv om DPF upphör. Om beslutet om adekvat skyddsnivå ogiltigförklaras, upphävs eller upphör att gälla, eller om Eleven Labs Inc:s certifiering upphör, ska Biträdet utan onödigt dröjsmål

• se till att överföringen i stället sker med stöd av EU-kommissionens standardavtalsklausuler (genomförandebeslut (EU) 2021/914). Enligt ElevenLabs personuppgiftsbiträdesavtal avsnitt 11 anses klausulerna ingå i avtalet med ElevenLabs som mottagare (Eleven Labs Inc., i ElevenLabs villkor definierad som avtalsparten) och Biträdet som exportör, och för ett biträde används modulen för överföring från biträde till underbiträde (modul 3), med de kompletterande åtgärder som krävs efter en dokumenterad bedömning av överföringen, eller
• avbryta överföringen,

och informera Kunden. Om ingen giltig överföringsgrund finns får Kunden säga upp Huvudavtalet och detta avtal utan kostnad.

6.4 Överföring till ett land utan beslut om adekvat skyddsnivå, inklusive åtkomst för drift och support från ett sådant land, sker endast med stöd av standardavtalsklausuler och en dokumenterad bedömning av överföringens konsekvenser enligt EDPB:s rekommendationer 01/2020.

7. Säkerhet och tystnadsplikt

7.1 Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder enligt art. 32 GDPR. Åtgärderna beskrivs i Bilaga 2 och är bland annat:

• åtkomst hos Biträdet bara för de personer som behöver den,
• administration av tjänsterna över krypterade anslutningar (HTTPS),
• dataminimering: Lina frågar bara efter det som behövs för ärendet,
• en lagringstid för samtal som ställs in på 7 dagar i ElevenLabs tjänst innan Tjänsten startar, med de förbehåll som anges i 4.1,
• Uppgifter om Kundens uppringare passerar Biträdets webbhotell bara i det skript som anges i 5.4 b och sparas inte där, utom pseudonymiserade kontrollvärden i högst 48 timmar, och kopior av dem i upp till sju dagar i Inleeds säkerhetskopior (5.4 b).

Underbiträdenas säkerhetsåtgärder beskrivs i deras egna dokument (Bilaga 3). ElevenLabs personuppgiftsbiträdesavtal hänvisar till en bilaga med tekniska och organisatoriska åtgärder (Annex II) som anger kategorier av åtgärder men inte närmare detaljer, och som ElevenLabs får uppdatera så länge den samlade säkerhetsnivån inte försämras väsentligt (Bilaga 3 C).

7.2 Biträdet iakttar tystnadsplikt om uppgifterna (art. 28.3 b GDPR), även efter att uppdraget har upphört. För närvarande är det bara Biträdet själv som har åtkomst till uppgifterna hos Biträdet. Om Biträdet ger någon annan åtkomst ska den personen först skriftligen åta sig tystnadsplikt.

7.3 Biträdet har inga externa säkerhetscertifieringar. Underbiträdenas certifieringar och rapporter finns hos dem (Bilaga 3).

8. Personuppgiftsincidenter

8.1 Biträdet meddelar Kunden utan onödigt dröjsmål och senast 24 timmar efter att Biträdet har fått kännedom om en personuppgiftsincident (art. 33.2 GDPR), via kontaktuppgifterna i 1.3.

• Biträdet har fått kännedom när Biträdet själv upptäcker incidenten eller får besked om den, även från ett underbiträde. Tiden räknas från den tidpunkten, inte från den tidpunkt då incidenten inträffade eller då ett underbiträde fick kännedom.
• Meddelandet ska ge Kunden möjlighet att hålla IMY:s frist på 72 timmar (art. 33.1).
• Detta är en skyldighet att meddela, inte en garanti för att incidenter inte inträffar eller för hur snabbt underbiträden upptäcker och rapporterar dem. ElevenLabs åtar sig bara att meddela "utan onödigt dröjsmål" efter att en incident har bekräftats (Bilaga 3 C). Biträdet har ingen jour och ingen skyldighet att bevaka tjänsten dygnet runt (11.6), men tiden gäller även helger från det Biträdet fått kännedom.

8.2 Meddelandet innehåller det som är känt om:

• vad som har hänt,
• vilka kategorier av uppgifter och ungefär hur många personer som berörs,
• troliga följder,
• vilka åtgärder som har vidtagits eller föreslås,
• kontaktperson hos Biträdet.

Information som inte finns tillgänglig direkt lämnas så snart den finns.

8.3 Biträdet hjälper Kunden så att Kunden kan anmäla incidenten till IMY när det krävs (art. 33) och informera de registrerade när det krävs (art. 34). Biträdet dokumenterar incidenten.

9. Bistånd, granskning och register

9.1 Biträdet hjälper Kunden, genom lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, att besvara begäranden från registrerade (t.ex. om tillgång, rättelse eller radering) enligt kapitel III GDPR (art. 28.3 e). Biträdet vidarebefordrar sådana begäranden till Kunden utan dröjsmål och besvarar dem inte själv utan Kundens instruktion.

9.2 Granskning (art. 28.3 h).

• Biträdet ger Kunden all information som behövs för att visa att detta avtal och art. 28 GDPR följs.
• Kunden får granska efterlevnaden högst en gång per år, efter 30 dagars skriftligt varsel, och står för sina egna kostnader.
• Granskningen görs först genom ett skriftligt frågeformulär. Om svaren inte räcker har Kunden rätt till granskning, inklusive inspektion, av Kunden eller av en utsedd oberoende granskare med tystnadsplikt. Biträdet medverkar.
• Granskning som en tillsynsmyndighet begär eller som behövs efter en personuppgiftsincident hos Biträdet omfattas inte av begränsningen till en gång per år.
• Granskning hos underbiträden sker enligt deras villkor (Bilaga 3 C). ElevenLabs lämnar bara en tredjepartsrapport och tillåter ytterligare granskning endast i begränsad omfattning.

9.3 Biträdet hjälper Kunden, med hänsyn till behandlingens art och den information Biträdet har, att fullgöra Kundens skyldigheter enligt art. 32 till 36 GDPR (säkerhet, incidentanmälan, information till registrerade, konsekvensbedömning och förhandssamråd med IMY).

9.4 Biträdet för ett register över behandling som utförs för Kundens räkning enligt art. 30.2 GDPR.

10. Avtalets slut

10.1 När Huvudavtalet upphör (eller Testperioden avslutas utan fortsättning) gäller följande:

• Biträdet kopplar bort Tjänsten. Kunden tar själv bort sin vidarekoppling.
• Biträdet raderar eller återlämnar, enligt Kundens val, alla personuppgifter som behandlats för Kundens räkning, inklusive inspelningar och transkriberingar som ännu inte raderats automatiskt, och raderar befintliga kopior som Biträdet kan nå. Det sker senast inom 30 dagar, om inte unionsrätt eller nationell rätt kräver att uppgifterna lagras.
• Om Kunden inte har gjort något val inom 14 dagar raderas uppgifterna.
• Återlämning sker som export i ett vanligt filformat (t.ex. CSV eller PDF för sammanfattningar).
• Biträdet bekräftar raderingen skriftligt på begäran.

10.2 Säkerhetskopior. Biträdet tar inga egna säkerhetskopior av uppgifter om Kundens uppringare. Kopior i underbiträdenas säkerhetskopior raderas enligt underbiträdenas ordinarie rutiner, vars tider Biträdet inte kan ange, och omfattas under tiden av deras skyldigheter om sekretess och säkerhet (Bilaga 3 C). Trafikuppgifter hos teleoperatören hanteras enligt 4.2.

10.3 Undantag från 10.1: Radering sker inte av uppgifter om Kunden i fakturor, avtal och betalningar som Biträdet sparar som självständigt personuppgiftsansvarig i 7 år enligt bokföringslagen (1999:1078). Uppringares personuppgifter omfattas inte av undantaget.

11. Ansvar

11.1 Gemensamt ansvarstak. Biträdets sammanlagda ansvar enligt detta avtal och Huvudavtalet är ett gemensamt tak för båda avtalen. Det är begränsat till det högre av (a) de avgifter exkl. moms som Kunden har betalat för Tjänsten under de 12 månader som närmast föregått den händelse som orsakade skadan och (b) 5 000 kr. Under Testperioden är taket alltså 5 000 kr.

11.2 Indirekt skada. Biträdet ansvarar inte för indirekt skada eller förlust, utebliven vinst, missade jobb eller bokningar eller förlorad data, utom när förlusten av data beror på att Biträdet brutit mot avsnitt 4, 7, 8 eller 10.

11.3 Undantag. Begränsningarna i 11.1 och 11.2 gäller inte om skadan har orsakats uppsåtligen eller genom grov vårdslöshet.

11.4 Kundens ansvar. Kunden ansvarar för

• sina instruktioner, inklusive godkänd hälsningsfras och informationen till uppringare (2.5, 2.6),
• hur Kunden använder sammanfattningar, t.ex. att kontrollera uppgifter och att ringa upp i tid,
• sin vidarekoppling och reservväg (2.6) och att kontaktpersonen för brådskande ärenden kan nås (2.7).

11.5 Driftstörningar och force majeure. Biträdet ansvarar inte för avbrott eller störningar som beror på underbiträden eller på leverantörer av telefoni, röst-AI, molntjänster eller webbhotell, eller på force majeure (t.ex. strömavbrott, störningar i allmänna tele- eller datanät, myndighetsbeslut eller andra omständigheter utanför Biträdets kontroll). Detta påverkar inte Biträdets ansvar enligt 5.3 för att underbiträden fullgör sina dataskyddsskyldigheter.

11.6 Ingen SLA och inga resultatlöften. Tjänsten tillhandahålls utan garanterade svarstider, utan jour och utan garanterad svarsfrekvens eller tillgänglighet (ingen SLA). Biträdet lämnar inga löften eller garantier om resultat, t.ex. antal jobb, bokningar eller besvarade samtal. Lina är en AI och kan missförstå eller anteckna fel.

11.7 Sanktionsavgifter och skadestånd till registrerade. Varje part bär själv sanktionsavgifter som påförs den. Fördelning enligt art. 82.5 GDPR avser endast skadestånd till registrerade och därmed sammanhängande rimliga kostnader. Sådant skadestånd fördelas mellan parterna efter vars och ens ansvar för skadan.

11.8 Registrerade och myndigheter. Ansvaret gentemot registrerade enligt art. 82 GDPR och sanktionsavgifter enligt art. 83 GDPR påverkas inte av detta avtal. Begränsningarna i 11.1 och 11.2 gäller endast mellan parterna.

11.9 Tvingande lag. Begränsningarna i detta avsnitt gäller i den utsträckning tvingande lag tillåter. De begränsar inte Biträdets skyldigheter enligt art. 28 GDPR eller annan tvingande dataskyddslagstiftning.

11.10 Inga garantier eller skadeslöshetsåtaganden. Utöver vad som uttryckligen anges i avtalet lämnar Biträdet inga garantier eller utfästelser. Avtalet innebär inget åtagande att hålla Kunden skadeslös och inget ansvar för att ersätta skada i större omfattning än vad som följer av lag, med de begränsningar som anges i detta avsnitt.

12. Giltighet, testperiod, tillämplig lag och tvister

12.1 Avtalet ska godkännas elektroniskt innan Testperioden startar. Det gäller när Biträdet har bekräftat godkännandet per e-post enligt Pilot- och abonnemangsvillkoren 12.3 ("Godkännandet är mottaget"), och så länge Biträdet behandlar personuppgifter för Kundens räkning. Biträdet behandlar inga personuppgifter för Kunden före det.

12.2 Svensk lag gäller. Tvister avgörs av allmän domstol med Stockholms tingsrätt som första instans.

12.3 Testperioden. Testperioden är kostnadsfri i 1 vecka (7 dagar) och omfattar högst 100 samtalsminuter. När sms har aktiverats (2.9) ingår högst 25 sms i Testperioden. Kunden informeras om begränsningen före start. Närmare information finns i Bilaga 4. Detta avtal gäller även under Testperioden.

12.4 Språk. Avtalet finns på svenska och engelska. Den engelska versionen är en översättning för information. Vid skillnader mellan versionerna gäller den svenska versionen.

Godkännande: Detta avtal godkänns elektroniskt. Det gäller när Biträdet har bekräftat godkännandet enligt Pilot- och abonnemangsvillkoren 12.3.

---

Bilaga 1. Kundens val, sändningsvägar och lagringstider

Fylls i per kund före start:

• Brådskande ärenden (2.1, 2.7): Meddelande där det noteras att ärendet är brådskande, till Kundens kontaktperson (2.7), när Biträdet har satt upp det. Kontaktperson: Kundens val, enligt 1.4.
• Sändningsväg för sammanfattningar och brådskande meddelanden (4.3): E-post till den e-postadress Kunden anger enligt 1.4, samma väg som sammanfattningen. Sändningsvägen sätts upp av Biträdet före start. Leverantören som skickar e-posten anges här och i Bilaga 3 A innan den används: [leverantör, fylls i före start]. Sms, när det har aktiverats enligt 2.9: en bekräftelse till uppringaren när en tid har bokats (företagsnamn, dag och tid, uppringarens nummer vid återuppringning) och meddelanden till Kundens mobilnummer om nya ärenden, brådskande samtal och avbrutna samtal (uppringarens namn och nummer och en kort beskrivning av ärendet, utan hälsouppgifter). Sms förmedlas av 46elks AB som teleoperatör och självständigt personuppgiftsansvarig (4.2 och Bilaga 3 B). Biträdet ber 46elks att inte spara meddelandetexten. Andra vägar ingår inte.

Trafikuppgifter för sms hos 46elks hanteras enligt 46elks villkor och LEK (2022:482), se Bilaga 3 B.

Bilaga 2. Tekniska och organisatoriska säkerhetsåtgärder hos Biträdet (art. 32)

Åtkomst och tystnadsplikt

• Endast Amber Zaheer Khan har åtkomst till Kundens uppgifter hos Biträdet. Om fler får åtkomst får de bara den åtkomst de behöver, åtar sig först skriftligen tystnadsplikt och förlorar åtkomsten när den inte längre behövs.
• Biträdet administrerar tjänsterna hos underbiträdena över krypterade anslutningar (HTTPS).

Lagring och radering

• Inspelningar (ljud) och transkriberingar raderas automatiskt efter 7 dagar genom lagringsinställningen i ElevenLabs tjänst, med förbehållen i 4.1 och 10.2.
• Dataminimering: Lina frågar bara efter det som behövs för ärendet och frågar inte om hälsa, personnummer eller portkoder.
• Sammanfattningar och andra uppgifter om uppringare skickas inte via eller lagras i någon e-posttjänst som saknar personuppgiftsbiträdesavtal, och vidarebefordras inte från Biträdets allmänna e-postadress.
• Uppgifter om Kundens uppringare passerar Biträdets webbhotell bara i det skript som anges i 5.4 b och sparas inte där, utom pseudonymiserade kontrollvärden i högst 48 timmar, och kopior av dem i upp till sju dagar i Inleeds säkerhetskopior (5.4 b).
• Biträdet tar inga egna säkerhetskopior av uppgifter om Kundens uppringare (10.2).

Incidentrutin

• Misstänkta incidenter dokumenteras direkt (vad, när, vilka uppgifter).
• Begränsande åtgärder vidtas, t.ex. att byta lösenord eller nycklar och stänga av vidarekoppling eller agent.
• Kunden meddelas enligt avsnitt 8 (utan onödigt dröjsmål och senast 24 timmar efter kännedom).
• Efteråt utvärderas incidenten och rutinerna uppdateras.

Leverantörer

• Bara underbiträden enligt Bilaga 3 används, med avtal och giltig överföringsgrund.
• ElevenLabs inställning för att välja bort modellträning är aktiverad, kontrollerad 26 oktober 2026 (2.4). Biträdet kontrollerar den när Tjänsten sätts upp för en ny kund och när ElevenLabs ändrar sina villkor.
• DPF-certifieringen för Eleven Labs Inc. kontrolleras enligt 6.2.

Bilaga 3. Underbiträden och andra leverantörer

Version: 27 oktober 2026, rev. 8. Listan uppdateras enligt avsnitt 5.

A. Underbiträden

B. Leverantörer som inte är underbiträden för Kundens uppringares uppgifter

C. Kända skillnader mot detta avtal i underbiträdets standardvillkor (ElevenLabs)

Kunden godkänner dessa skillnader genom att godkänna avtalet elektroniskt (5.3). Källor: ElevenLabs personuppgiftsbiträdesavtal (https://elevenlabs.io/dpa, uppdaterat 8 april 2026, "DPA"), ElevenLabs villkor för EES (https://elevenlabs.io/terms-of-use-eu, uppdaterade 9 oktober 2026), ElevenLabs bilaga om tekniska och organisatoriska åtgärder (Annex II, https://compliance.elevenlabs.io) och ElevenLabs underbiträdeslista (https://compliance.elevenlabs.io).

Bilaga 4. Information om Testperioden

• Testperioden är gratis i 1 vecka, utan kort. I Testperioden ingår högst 100 samtalsminuter. När sms har aktiverats (2.9) ingår högst 25 sms i Testperioden. Gränsen gäller hela Testperioden på 1 vecka, inte per vecka eller per månad. Minuterna räknas enligt Pilot- och abonnemangsvillkoren 5.2.
• Minuterna räknas som samtalstid per sekund (från att Lina svarar tills samtalet avslutas), samlat för alla samtal som kopplas till Lina. Samtal kortare än 10 sekunder räknas inte. Under Testperioden summeras sekunderna för hela Testperioden mot gränsen på 100 minuter. Efter Testperioden summeras sekunderna och avrundas uppåt till hela minuter en gång per kalendermånad.
• Biträdet kan varna Kunden per e-post, men garanterar inte någon varning. Kunden ansvarar själv för att följa hur många minuter som använts.
• När 100 minuter är nådda får Biträdet stänga av Tjänsten tills Kunden väljer en betald plan. Kunden ska ta bort sin vidarekoppling eller se till att samtal annars når Kunden, så att inga samtal går förlorade.
• Minuträkningen bygger på samtalsloggar hos ElevenLabs och kan avvika något (några minuter). Den är ingen garanti.
• Under Testperioden gäller detta biträdesavtal i sin helhet. Efter Testperioden gäller priserna i Huvudavtalet (Start 995 kr per månad inklusive 200 minuter, Pro 2 495 kr per månad inklusive 600 minuter, 3 kr per extra minut, alla priser exkl. moms).
• Ingen SLA, ingen jour och inga garantier gäller under Testperioden eller efter den (11.6).

Version 27 October 2026, rev. 8.

Data Processing Agreement – Lina

Version 27 October 2026, rev. 8. Appendix to the Pilot and Subscription Terms for Lina. Customer-specific details are provided under 1.4.

Language: This English version is a translation for information. If the two versions differ, the Swedish version prevails (clause 12.4).

---

1. Parties, contacts and definitions

1.1 Controller ("Customer"): the company or sole trader named in the electronic acceptance (company name and organisation number or VAT registration number), see the Pilot and Subscription Terms 1.2.

1.2 Processor ("Processor"): Amber Zaheer Khan, sole trader (enskild firma), trading as NexGenSynergy under the brand Svarslina, VAT no. SE850406928001, Hagsätra Torg 21, 124 73 Bandhagen, Sweden, info@svarslina.se.

1.3 Contacts for personal data breaches and data protection questions:

• Customer: [name, e-mail, mobile]
• Processor: Amber Zaheer Khan, info@svarslina.se

1.4 Customer-specific details and instructions. The Customer provides its contact persons, its address, its greeting phrase, its choice of delivery route for summaries and urgent matters in writing (by e-mail or form) before set-up. The Processor confirms them by e-mail. The details are the Customer's documented instructions under Art. 28(3)(a) GDPR and replace the square brackets in Annexes 1 and 4. The Processor does not start processing calls until the details are confirmed.

1.5 Definitions

• GDPR: Regulation (EU) 2016/679 of the European Parliament and of the Council (General Data Protection Regulation).
• IMY: the Swedish Authority for Privacy Protection (Integritetsskyddsmyndigheten).
• Service: the Processor's AI phone answering service "Lina", which answers the phone in the Customer's name when the Customer forwards calls to it, under the Main Agreement. Lina is an AI and not a human.
• Main Agreement: the "Pilot and Subscription Terms for Lina", or any later version agreed by the parties, including the free 1-week trial period (the "Trial Period", see clause 12.3 and Annex 4).
• Sub-processor: a supplier engaged by the Processor that processes personal data on the Customer's behalf. Sub-processors are listed in Annex 3.
• ElevenLabs: the voice-AI sub-processor listed in Annex 3 A, with which the Processor has an agreement.
• Other terms (personal data, processing, personal data breach, transfer to a third country, etc.) have the meaning given in the GDPR.

1.6 This agreement is an appendix to the Main Agreement. In case of conflict, this agreement prevails on personal data matters. The parties are independent contracting parties, and the Processor provides the Service with its own technology and in its own business.

2. Purposes and instructions

2.1 The Processor processes personal data on the Customer's behalf solely to:

• answer the phone in the Customer's name when calls are forwarded to Lina,
• receive and document the matter (what needs to be done, whether it is urgent, location and contact details),
• send a summary to the Customer as set out in Annex 1 once the Processor has set up the delivery route,
• if the caller themselves says the matter is urgent: take a message and, once the Processor has set it up, note that it is urgent. The message is passed to the Customer's contact person in the way set out in Annex 1 (see 2.7),
• quality-check and troubleshoot calls in the Customer's own service (the data is not used for other customers or for the Processor's demo or marketing),
• count call minutes for the Trial Period and for invoicing (technical call information, see section 3).

Lina gives no advice and makes no assessments, except one short, fixed safety tip that the Customer has approved. If the caller mentions danger to life or health, for example fire, a smell of gas or that someone has been injured, Lina refers the caller to 112.

2.2 Instructions. The Processor processes the data only on the Customer's documented instructions, including with regard to transfers to third countries, unless Union or national law to which the Processor is subject requires otherwise. In that case the Processor informs the Customer of the legal requirement before the processing, unless that law prohibits it. This agreement and the Main Agreement are the Customer's instructions. The Customer may give further instructions in writing (e-mail is enough). The Processor keeps them.

2.3 Instruction that infringes data protection rules. If the Processor considers that an instruction infringes the GDPR or other data protection law, the Processor informs the Customer immediately. The Processor may then suspend carrying out the instruction until the Customer has confirmed, amended or withdrawn it.

2.4 AI training (instruction and setting). The Customer's instruction is that the data must not be used to train or improve AI models.

• The Processor does not use the data for that and trains no AI models of its own.
• The Processor has opted out of model training at ElevenLabs: in the Processor's account, the setting that opts the account's data out of use for model training is enabled, checked 26 October 2026. Under ElevenLabs' terms, the opt-out applies only going forward. The Processor keeps the setting for as long as this agreement applies.
• ElevenLabs' terms give ElevenLabs certain rights of its own to use content to provide and improve its services, and ElevenLabs' sub-processor list states that certain language-model providers may use data for research, development and training to the extent permitted under the agreement with the customer (Annex 3 C). The Processor undertakes not to instruct ElevenLabs to train on the data, to keep the setting, and not to use the data for its own purposes.
• The Processor informs the Customer if ElevenLabs' terms change in a way that affects this.

2.5 Information to callers and AI transparency.

• The Processor configures a greeting that at the start of every call says that the caller is speaking with an AI, that the call is recorded and transcribed (converted to text), and that it is processed by technical suppliers, including in the USA. This follows Art. 50(1) of the EU AI Act (Regulation (EU) 2024/1689) and ElevenLabs' requirement to inform callers. Lina uses no made-up human name and never pretends to be a human.
• The Customer approves the wording of the greeting before the Service starts, and any later changes. The statement that it is an AI must not be removed.
• Suggestion (replace [Company] and [web address] with the Customer's details): "Hello, you have called [Company]. This is Lina, an AI assistant. The call is recorded and transcribed, processed by our technical suppliers, including in the USA, and is normally kept for at most 7 days. More information is available at [Customer's web address]. [If the Customer wants: a short safety sentence, e.g. 'If there is danger to life or health, call 112.'] How can I help you?"
• The Customer is the controller and is responsible for giving its callers information under Art. 13 GDPR, e.g. at the web address mentioned in the greeting. The information must say, among other things, that the data is stored in the USA, who the sub-processors are (Annex 3), and that it is normally kept for at most 7 days, subject to the reservations in 4.1. The Processor provides material for this.

2.6 The Customer's obligations as controller.

• The Customer is responsible for having a lawful basis for the processing, for the instructions being lawful, for the information to callers (2.5), and for not instructing the Processor to process sensitive data.
• ElevenLabs' terms require the Processor, as ElevenLabs' customer, to ensure that data subjects have received the notice and, where required by law, given the consent that the processing requires, and that the Processor has obtained the necessary authorisations from the controller. The Customer confirms that the Customer provides such information (2.5) and, through this agreement, authorises the Processor to give instructions to ElevenLabs in accordance with this agreement and to engage the sub-processors in Annex 3 (Annex 3 C).
• The Customer is responsible for its call forwarding and for callers having a fallback route (e.g. the Customer's own number) when the Service does not answer or the Trial Period minutes have run out.

2.7 Urgent matters.

• For urgent matters Lina takes a message and, once the Processor has set it up, notes that it is urgent. It is the caller who decides whether the matter is urgent. Lina makes no assessment of its own. The message is passed to the Customer as set out in Annex 1. The Processor does not guarantee that the message is read or answered within any set time, and the Customer is responsible for monitoring its messages.
• Lina does not transfer calls to the Customer's mobile or to anyone else (see the Pilot and Subscription Terms 2.4).
• The Customer is responsible for the contact person knowing that their contact details are used for this.

2.8 Booking in the Customer's calendar is part of the Service only once the Processor has activated it for the Customer and confirmed this by email. Booking takes place only through the Customer's own Cal.com account. The Customer enters into, and is responsible for, the agreement with Cal.com, so Cal.com is not the Processor's sub-processor. If the Customer connects its own calendar (e.g. Google or Outlook) to Cal.com, that is the Customer's own choice and responsibility. The Processor has no direct access to that calendar. On the Customer's instruction, the Processor fetches available times from the Customer's Cal.com account and sends booking details there (for example name, phone number, address and matter). The Customer never gives the Processor any password. If an API key is needed, the Customer creates it in its Cal.com account and provides it as the Processor instructs, not through the web form. The Processor uses the key only for the Service and deletes it when the agreement ends. The Customer can revoke it at any time. Cal.com is provided by Cal.com, Inc. in the USA. The Customer is responsible for the transfer basis in its own agreement with Cal.com.

2.9 SMS are part of the Service only once the Processor has activated SMS for the Customer and confirmed this by email. What this agreement and its annexes say about SMS applies from that confirmation.

3. Categories of data subjects and personal data

Subject matter, nature and purpose: Lina receives phone calls for the Customer, notes the matter and sends a summary to the Customer once the Processor has set up the delivery route (2.1). The processing consists of recording, transcription, automatic summarisation, storage, transfer to the Customer, for urgent matters, once set up, a message to the Customer's contact person, SMS to the caller and to the Customer once SMS have been activated (2.9), and deletion.

Duration: as long as the Main Agreement applies (including the Trial Period) and thereafter in accordance with section 10.

Data subjects:

• persons who call the Customer (private individuals and company representatives),
• third parties mentioned in calls (e.g. a tenant, neighbour or relative),
• the Customer's contact person who receives urgent matters.

Personal data:

• name
• telephone number
• address or place where the job is to be carried out
• description of the job and whether it is urgent
• desired time for call-back or visit
• call recording (audio, which also contains the voice) and transcript (text)
• technical call information (time, length, call ID)
• the Customer's contact person's contact details and name, for urgent matters (2.7)
• the caller's mobile number, for SMS confirmation once SMS have been activated (2.9)
• email address, if the caller wants an email confirmation, once booking has been activated (2.8)

Sensitive data: must not be processed. Lina does not ask about health, injuries or personal identity numbers and does not include such information in summaries. Lina does not take door codes, alarm codes or information about keys. If someone says such things anyway, they end up in the recording and transcript, which are normally deleted automatically after 7 days (4.1). The Service is not intended for, and must not be used for, data covered by Art. 9 GDPR.

4. Retention and deletion

4.1 Recordings and transcripts: Every call is recorded (audio) and transcribed (text) at ElevenLabs (Annex 3), which stores the data in the USA. The Processor sets retention in ElevenLabs' service to 7 days before the Service starts for the Customer, and the data is thereafter deleted automatically from ElevenLabs' service. 7 days is the longest retention period set in the service.

• Reservation: The setting applies to storage in ElevenLabs' service. Copies in the backups and logs of ElevenLabs and its sub-processors are deleted according to their ordinary routines, whose timings the Processor cannot state and which may be longer than 7 days (10.2 and Annex 3 C). The Processor therefore cannot guarantee that data does not remain with sub-processors after 7 days.
• Only the Processor can change the setting. The Processor does not change it to a longer period without first informing the Customer.

4.2 Telephony and SMS:

• The telephony operator that carries calls to the Service and SMS from the Service (Annex 3) processes traffic data as an independent controller under the Swedish Electronic Communications Act (2022:482) and is therefore not a sub-processor for the transmission.
• The operator's own retention periods are stated in Annex 1.
• The Processor does not activate call recording at the telephony operator.
• To the extent the operator stores data on the Processor's behalf beyond the transmission, the operator is treated as a sub-processor under section 5.

4.3 Summaries sent to the Customer are thereafter held by the Customer, who is responsible for them. Summaries and notifications are sent as set out in Annex 1 once the Processor has set up the delivery route, only via the sub-processors listed in Annex 3 A and not via any e-mail service that lacks a data processing agreement. If the route means that a further supplier processes the data, that supplier is added to Annex 3 under 5.2 before it is used.

4.4 Retention periods for other data are stated in Annex 1.

5. Sub-processors

5.1 General prior authorisation (Art. 28(2) GDPR). The Customer gives general written prior authorisation for the Processor to engage the sub-processors listed in Annex 3, and to add or replace sub-processors under 5.2. Annex 3 is updated and sent to the Customer.

5.2 Notice and right to object.

• Sub-processors the Processor engages itself (Annex 3 A, i.e. ElevenLabs and Inleed): the Processor informs the Customer by e-mail at least 30 days before a new sub-processor is added or an existing one is replaced, stating name, what the sub-processor is used for, location and transfer basis. If a change must happen faster (e.g. because a sub-processor ceases its service or for security reasons), the Processor informs the Customer as soon as possible and before the change if possible.
• ElevenLabs' own sub-processors: under its agreement ElevenLabs announces changes by updating its public sub-processor list (link in Annex 3 A), with 30 days' notice. The Processor checks the list at least once a month and informs the Customer by e-mail as soon as the Processor becomes aware of a change that concerns the Service. Because the Processor itself receives its notice through the list, the Customer's time before the change may be shorter than 30 days. The Processor cannot promise more than ElevenLabs gives.
• The Customer may object to a new sub-processor on reasonable grounds within 14 days of the Processor's information, or within a shorter time if ElevenLabs' objection period expires earlier. The Processor cannot guarantee that ElevenLabs refrains from the change. If the parties do not agree, or if ElevenLabs implements the change despite the objection, the Customer may terminate the Main Agreement and this agreement at no cost, and prepaid fees for the period after termination are refunded.

5.3 Sub-processor agreements and liability (Art. 28(4) GDPR).

• The Processor engages only sub-processors that are bound by written agreement to data protection obligations that in all material respects correspond to those in this agreement, in particular to provide sufficient guarantees of appropriate technical and organisational measures.
• Sub-processors use their own standard agreements. These may deviate from this agreement, and ElevenLabs' agreement requires, for example, only that its sub-processors are bound by terms that are "substantially as protective". Known differences from this agreement are stated in Annex 3 C, and the Customer accepts them by accepting this agreement electronically.
• If a sub-processor fails to fulfil its data protection obligations, the Processor remains liable to the Customer for the fulfilment of those obligations, in accordance with Art. 28(4) GDPR. The limitation of liability in section 11 applies only between the parties and to the extent mandatory law permits.

5.4 Web host and e-mail.

• a) The Processor's website, contact form and email at Inleed contain no data about the Customer's callers (Annex 3 B).
• b) Once SMS have been activated for the Customer (2.9), a script at Inleed receives data from ElevenLabs and, if booking is used, from the Customer's own Cal.com account (2.8) after the call and sends SMS via 46elks. Names, phone numbers and message text are not saved in files, databases, logs or backups. To stop duplicates and misuse, the script keeps only pseudonymised check values (keyed hash values, with no readable number or text) for at most 48 hours, outside the public web folder. Copies of the check values may remain for up to seven days in Inleed's daily backups. Inleed is therefore a sub-processor for this and is listed in Annex 3 A.
• If the Processor wants to let such data pass through or be stored at a web host, this may happen only once the web host has been added to Annex 3 under 5.2, with a data processing agreement under Art. 28 GDPR and a valid transfer basis under section 6.
• The Customer is asked not to send caller data to the Processor's general e-mail address. Requests from data subjects and breach notices are handled under sections 8 and 9 and deleted from the Processor's e-mail when the matter is closed.

6. Transfers to third countries

6.1 Transfers to countries outside the EU/EEA take place only on the Customer's instructions (2.2 and Annex 3) and with a valid basis under Chapter V GDPR. The Customer hereby instructs the Processor to transfer data to the sub-processors in the USA listed in Annex 3. The data is stored in the USA and not solely within the EU/EEA. Under its agreement ElevenLabs may decide where data is stored, and personnel of ElevenLabs and its sub-processors outside the storage region may have access (Annex 3 C). Inleed (Annex 3 A) processes the data in Sweden. Inleed's data processing agreement allows transfers outside the EU/EEA with a valid basis under Chapter V GDPR. If Inleed says that such a transfer takes place for the Service, the Processor informs the Customer under 5.2.

6.2 ElevenLabs' contracting entity and transfer basis. Under ElevenLabs' terms for the EEA and its data processing agreement, the Processor's contracting party is Eleven Labs Inc., New York, USA. The transfer to Eleven Labs Inc. takes place on the basis of the Commission's adequacy decision for the EU-US Data Privacy Framework (Implementing Decision (EU) 2023/1795, "DPF"), provided that Eleven Labs Inc. is actively certified. The DPF certification covers only Eleven Labs Inc. and not other companies in the ElevenLabs group (e.g. Eleven Labs Poland sp. z o.o. or Eleven Labs Ltd), which appear on ElevenLabs' sub-processor list. Transfers between ElevenLabs companies and to ElevenLabs' other sub-processors take place under ElevenLabs' own agreements and transfer bases (Annex 3 C). The Processor checks the certification in the official DPF list before the Service starts for a customer and thereafter at least once per quarter.

6.3 Fallback if the DPF ceases. If the adequacy decision is invalidated, repealed or ceases to apply, or if Eleven Labs Inc.'s certification lapses, the Processor shall without undue delay

• ensure that the transfer instead takes place on the basis of the European Commission's Standard Contractual Clauses (Implementing Decision (EU) 2021/914). Under section 11 of ElevenLabs' data processing agreement the clauses are deemed to be part of the agreement with ElevenLabs as importer (Eleven Labs Inc., defined in ElevenLabs' terms as the contracting party) and the Processor as exporter, and for a processor the module for transfers from processor to sub-processor (Module 3) is used, with the supplementary measures required after a documented assessment of the transfer, or
• suspend the transfer,

and inform the Customer. If no valid transfer basis exists, the Customer may terminate the Main Agreement and this agreement at no cost.

6.4 Transfer to a country without an adequacy decision, including access for operations and support from such a country, takes place only on the basis of standard contractual clauses and a documented assessment of the consequences of the transfer under EDPB Recommendations 01/2020.

7. Security and confidentiality

7.1 The Processor takes appropriate technical and organisational measures under Art. 32 GDPR. The measures are described in Annex 2 and include:

• access at the Processor only for the persons who need it,
• administration of the services over encrypted connections (HTTPS),
• data minimisation: Lina asks only for what the matter needs,
• a retention period for calls that is set to 7 days in ElevenLabs' service before the Service starts, with the reservations in 4.1,
• Data about the Customer's callers passes the Processor's web host only in the script described in 5.4 b and is not saved there, except pseudonymised check values for at most 48 hours, and copies of them for up to seven days in Inleed's backups (5.4 b).

The sub-processors' security measures are described in their own documents (Annex 3). ElevenLabs' data processing agreement refers to an annex of technical and organisational measures (Annex II) that states categories of measures but not further detail, and that ElevenLabs may update as long as the overall level of security is not materially degraded (Annex 3 C).

7.2 The Processor observes confidentiality regarding the data (Art. 28(3)(b) GDPR), also after the assignment has ended. At present only the Processor personally has access to the data at the Processor. If the Processor gives anyone else access, that person must first undertake confidentiality in writing.

7.3 The Processor has no external security certifications. The sub-processors' certifications and reports are held by them (Annex 3).

8. Personal data breaches

8.1 The Processor notifies the Customer without undue delay and no later than 24 hours after the Processor becomes aware of a personal data breach (Art. 33(2) GDPR), using the contact details in 1.3.

• The Processor becomes aware when the Processor itself discovers the breach or is informed of it, including by a sub-processor. The time runs from that moment, not from when the breach occurred or when a sub-processor became aware.
• The notice should enable the Customer to meet IMY's 72-hour deadline (Art. 33(1)).
• This is an obligation to notify, not a guarantee that breaches do not occur or of how quickly sub-processors detect and report them. ElevenLabs only undertakes to notify "without undue delay" after a breach has been confirmed (Annex 3 C). The Processor has no on-call duty and no obligation to monitor the Service around the clock (11.6), but the time applies also on weekends from when the Processor became aware.

8.2 The notice contains what is known about:

• what has happened,
• the categories of data and approximately how many persons are affected,
• likely consequences,
• the measures taken or proposed,
• the Processor's contact person.

Information that is not immediately available is provided as soon as it is.

8.3 The Processor assists the Customer so that the Customer can notify the breach to IMY when required (Art. 33) and inform data subjects when required (Art. 34). The Processor documents the breach.

9. Assistance, audit and records

9.1 The Processor assists the Customer, by appropriate technical and organisational measures and insofar as possible, in responding to requests from data subjects (e.g. access, rectification or erasure) under Chapter III GDPR (Art. 28(3)(e)). The Processor forwards such requests to the Customer without delay and does not respond to them itself without the Customer's instruction.

9.2 Audit (Art. 28(3)(h)).

• The Processor provides the Customer with all information necessary to demonstrate compliance with this agreement and Art. 28 GDPR.
• The Customer may audit compliance at most once a year, on 30 days' written notice, and bears its own costs.
• The audit is done first by a written questionnaire. If the answers are not sufficient, the Customer has the right to an audit, including inspection, by the Customer or an appointed independent auditor bound by confidentiality. The Processor cooperates.
• An audit requested by a supervisory authority or needed after a personal data breach at the Processor is not subject to the once-a-year limit.
• Audits of sub-processors take place under their terms (Annex 3 C). ElevenLabs provides only a third-party report and permits further audits only to a limited extent.

9.3 The Processor assists the Customer, taking into account the nature of the processing and the information available to the Processor, in meeting the Customer's obligations under Arts. 32 to 36 GDPR (security, breach notification, information to data subjects, impact assessment and prior consultation with IMY).

9.4 The Processor keeps a record of processing carried out on the Customer's behalf under Art. 30(2) GDPR.

10. End of the agreement

10.1 When the Main Agreement ends (or the Trial Period ends without continuation), the following applies:

• The Processor disconnects the Service. The Customer removes its own call forwarding.
• The Processor deletes or returns, at the Customer's choice, all personal data processed on the Customer's behalf, including recordings and transcripts not yet automatically deleted, and deletes existing copies that the Processor can reach. This happens within 30 days at the latest, unless Union or national law requires the data to be stored.
• If the Customer has made no choice within 14 days, the data is deleted.
• Return is made as an export in a common file format (e.g. CSV or PDF for summaries).
• The Processor confirms the deletion in writing on request.

10.2 Backups. The Processor makes no backups of its own of data about the Customer's callers. Copies in the sub-processors' backups are deleted according to the sub-processors' ordinary routines, whose timings the Processor cannot state, and are in the meantime covered by their confidentiality and security obligations (Annex 3 C). Traffic data at the telephony operator is handled under 4.2.

10.3 Exception to 10.1: Deletion does not apply to data about the Customer in invoices, contracts and payments that the Processor keeps as an independent controller for 7 years under the Swedish Accounting Act (1999:1078). Callers' personal data is not covered by the exception.

11. Liability

11.1 Joint liability cap. The Processor's total liability under this agreement and the Main Agreement is one joint cap for both agreements. It is limited to the higher of (a) the fees excl. VAT that the Customer has paid for the Service during the 12 months immediately preceding the event that caused the damage and (b) 5 000 SEK. During the Trial Period the cap is thus 5 000 SEK.

11.2 Indirect loss. The Processor is not liable for indirect damage or loss, loss of profit, missed jobs or bookings, or loss of data, except where the loss of data results from the Processor's breach of section 4, 7, 8 or 10.

11.3 Exception. The limitations in 11.1 and 11.2 do not apply if the damage was caused intentionally or by gross negligence.

11.4 The Customer's responsibility. The Customer is responsible for

• its instructions, including the approved greeting and the information to callers (2.5, 2.6),
• how the Customer uses summaries, e.g. checking the information and calling back in time,
• its call forwarding and fallback route (2.6) and for the contact person for urgent matters being reachable (2.7).

11.5 Disruptions and force majeure. The Processor is not liable for interruptions or disruptions caused by sub-processors or by suppliers of telephony, voice AI, cloud services or web hosting, or by force majeure (e.g. power failure, disruption of public telecom or data networks, government decisions or other circumstances beyond the Processor's control). This does not affect the Processor's responsibility under 5.3 for sub-processors fulfilling their data protection obligations.

11.6 No SLA and no promises of results. The Service is provided without guaranteed response times, without on-call and without guaranteed answer rate or availability (no SLA). The Processor gives no promises or guarantees of results, e.g. number of jobs, bookings or answered calls. Lina is an AI and may misunderstand or note things incorrectly.

11.7 Administrative fines and damages to data subjects. Each party bears administrative fines imposed on it. Allocation under Art. 82(5) GDPR concerns only damages to data subjects and reasonable related costs. Such damages are apportioned between the parties according to each party's responsibility for the damage.

11.8 Data subjects and authorities. Liability towards data subjects under Art. 82 GDPR and administrative fines under Art. 83 GDPR are not affected by this agreement. The limitations in 11.1 and 11.2 apply only between the parties.

11.9 Mandatory law. The limitations in this section apply to the extent mandatory law permits. They do not limit the Processor's obligations under Art. 28 GDPR or other mandatory data protection law.

11.10 No warranties or indemnities. Except as expressly stated in the agreement, the Processor gives no warranties or representations. The agreement involves no undertaking to indemnify the Customer and no liability to compensate loss to a greater extent than follows from law, subject to the limitations in this section.

12. Validity, trial period, governing law and disputes

12.1 The agreement must be accepted electronically before the Trial Period starts. It applies once the Processor has confirmed the acceptance by email under the Pilot and Subscription Terms 12.3 ("Acceptance received"), and for as long as the Processor processes personal data on the Customer's behalf. The Processor does not process any personal data for the Customer before that.

12.2 Swedish law applies. Disputes are decided by the general courts with the Stockholm District Court as first instance.

12.3 Trial Period. The Trial Period is free for 1 week (7 days) and includes at most 100 call minutes. Once SMS have been activated (2.9), the Trial Period includes at most 25 SMS. The Customer is informed of the limit before the start. Further information is in Annex 4. This agreement applies also during the Trial Period.

12.4 Language. The agreement exists in Swedish and English. The English version is a translation for information. If the versions differ, the Swedish version prevails.

Acceptance: This agreement is accepted electronically. It applies once the Processor has confirmed the acceptance under the Pilot and Subscription Terms 12.3.

---

Annex 1. Customer's choices, delivery routes and retention periods

To be filled in per customer before start:

• Urgent matters (2.1, 2.7): Message noting that the matter is urgent, to the Customer's contact person (2.7), once the Processor has set it up. Contact person: Customer's choice, under 1.4.
• Delivery route for summaries and urgent messages (4.3): Email to the address the Customer gives under 1.4, the same route as the summary. The Processor sets up the route before the start. The supplier that sends the email is named here and in Annex 3 A before it is used: [supplier, to be filled in before the start]. SMS, once activated under 2.9: a confirmation to the caller when a time has been booked (business name, day and time, the caller's number for callbacks) and messages to the Customer's mobile number about new enquiries, urgent calls and ended calls (the caller's name and number and a short description of the matter, without health details). SMS are transmitted by 46elks AB as telecom operator and independent controller (4.2 and Annex 3 B). The Processor asks 46elks not to store the message text. Other routes are not included.

Traffic data for SMS at 46elks is handled under 46elks' terms and the Electronic Communications Act (2022:482), see Annex 3 B.

Annex 2. Technical and organisational security measures at the Processor (Art. 32)

Access and confidentiality

• Only Amber Zaheer Khan has access to the Customer's data at the Processor. If more people get access, they get only the access they need, first undertake confidentiality in writing, and lose access when it is no longer needed.
• The Processor administers the services at the sub-processors over encrypted connections (HTTPS).

Storage and deletion

• Recordings (audio) and transcripts are deleted automatically after 7 days through the retention setting in ElevenLabs' service, with the reservations in 4.1 and 10.2.
• Data minimisation: Lina asks only for what the matter needs and does not ask about health, personal identity numbers or door codes.
• Summaries and other data about callers are not sent via or stored in any e-mail service that lacks a data processing agreement, and are not forwarded from the Processor's general e-mail address.
• Data about the Customer's callers passes the Processor's web host only in the script described in 5.4 b and is not saved there, except pseudonymised check values for at most 48 hours, and copies of them for up to seven days in Inleed's backups (5.4 b).
• The Processor makes no backups of its own of data about the Customer's callers (10.2).

Incident routine

• Suspected incidents are documented immediately (what, when, which data).
• Mitigating measures are taken, e.g. changing passwords or keys and switching off call forwarding or the agent.
• The Customer is notified under section 8 (without undue delay and no later than 24 hours after awareness).
• Afterwards the incident is evaluated and routines are updated.

Suppliers

• Only sub-processors under Annex 3 are used, with agreements and a valid transfer basis.
• ElevenLabs' setting to opt out of model training is enabled, checked 26 October 2026 (2.4). The Processor checks it when the Service is set up for a new customer and when ElevenLabs changes its terms.
• The DPF certification of Eleven Labs Inc. is checked under 6.2.

Annex 3. Sub-processors and other suppliers

Version: 27 October 2026, rev. 8. The list is updated under section 5.

A. Sub-processors

B. Suppliers that are not sub-processors for the Customer's callers' data

C. Known differences from this agreement in the sub-processor's standard terms (ElevenLabs)

The Customer accepts these differences by accepting the agreement electronically (5.3). Sources: ElevenLabs' data processing agreement (https://elevenlabs.io/dpa, updated 8 April 2026, "DPA"), ElevenLabs' terms for the EEA (https://elevenlabs.io/terms-of-use-eu, updated 9 October 2026), ElevenLabs' annex on technical and organisational measures (Annex II, https://compliance.elevenlabs.io) and ElevenLabs' sub-processor list (https://compliance.elevenlabs.io).

Annex 4. Information about the Trial Period

• The Trial Period is free for 1 week, no card needed. The Trial Period includes at most 100 call minutes. Once SMS have been activated (2.9), the Trial Period includes at most 25 SMS. The limit applies to the whole 1-week Trial Period, not per month. Minutes are counted as set out in the Pilot and Subscription Terms 5.2.
• Minutes are counted as call time per second (from when Lina answers until the call ends), in total for all calls forwarded to Lina. Calls shorter than 10 seconds are not counted. During the Trial Period, the seconds are added up for the whole Trial Period towards the 100-minute cap. After the Trial Period, the seconds are added up and rounded up to whole minutes once per calendar month.
• The Processor may warn the Customer by email, but does not guarantee a warning. The Customer is itself responsible for keeping track of how many minutes have been used.
• When 100 minutes are reached the Processor may switch off the Service until the Customer chooses a paid plan. The Customer must remove its call forwarding or make sure calls otherwise reach the Customer, so that no calls are lost.
• The minute count is based on call logs at ElevenLabs and may deviate slightly (a few minutes). It is not a guarantee.
• During the Trial Period this data processing agreement applies in full. After the Trial Period the prices in the Main Agreement apply (Start 995 SEK/mo excl. VAT including 200 minutes, Pro 2 495 SEK/mo excl. VAT including 600 minutes, 3 SEK/min excl. VAT for extra minutes).
• No SLA, no on-call and no guarantees apply during the Trial Period or after it (11.6).