TILLÄGG TILL DATABEHANDLING

Senast uppdaterad 9 april 2026

Detta tillägg till databehandling ("DPA") kompletterar APIANTs användarvillkor ("Avtalet") mellan Apiant, Inc. ("APIANT", "vi", "oss" eller "vår") och kunden ("Kunden", "du" eller "din") och reglerar behandlingen av personuppgifter av APIANT för Kundens räkning i samband med Tjänsterna, inklusive data som behandlas via Kundens MCP-serverinfrastruktur (Model Context Protocol).

Detta DPA gäller i den utsträckning APIANT behandlar personuppgifter för Kundens räkning i egenskap av databehandlare (eller tjänsteleverantör, i enlighet med amerikanska delstaters integritetslagar). I händelse av en konflikt mellan detta DPA och Avtalet ska detta DPA ha företräde med avseende på behandling av personuppgifter.

1. Definitioner

"Personuppgifter" avser all information som rör en identifierad eller identifierbar fysisk person som behandlas av APIANT för Kundens räkning genom Tjänsterna.

"Bearbetning" avser varje åtgärd som utförs på personuppgifter, inklusive insamling, registrering, organisering, lagring, bearbetning, hämtning, konsultation, användning, utlämnande, sammankoppling, begränsning, radering eller förstöring.

"Underbiträde" avser varje tredje part som APIANT anlitar för att behandla personuppgifter för Kundens räkning.

"Dataskyddslagar" avser alla tillämpliga lagar och förordningar som rör dataskydd och dataskydd, inklusive EU:s allmänna dataskyddsförordning (GDPR), Storbritanniens GDPR, California Consumer Privacy Act (CCPA) i dess ändrade lydelse enligt California Privacy Rights Act (CPRA), Virginia Consumer Data Protection Act (VCDPA) och alla andra tillämpliga amerikanska delstaters integritetslagar.

"MCP-serverinfrastruktur" avser den/de MCP-kompatibla servrar som Kunden distribuerar på Kundens dedikerade APIANT-infrastruktur (inklusive Kundens egna domännamn), genom vilka Kundens slutanvändare kan interagera med Plattformen via tredjeparts AI-plattformar.

2. Omfattning och roller

2.1 Beträffande Personuppgifter som behandlas via Tjänsterna är Kunden personuppgiftsansvarig (eller företaget, beroende på vad som är tillämpligt) och APIANT är personuppgiftsbehandlare (eller tjänsteleverantör, beroende på vad som är tillämpligt).

2.2 APIANT behandlar personuppgifter enbart för och i enlighet med kundens dokumenterade instruktioner. Kundens användning av tjänsterna, inklusive konfiguration av automatiseringar och data som behandlas via kundens MCP-serverinfrastruktur, utgör dokumenterade instruktioner i enlighet med detta dataskyddsavtal.

2.3 APIANT ska inte behandla Personuppgifter för något annat ändamål än att tillhandahålla Tjänsterna, såvida det inte krävs enligt tillämplig lag. I sådant fall ska APIANT informera Kunden om det rättsliga kravet före behandling, såvida inte lagen förbjuder sådan underrättelse.

3. Kategorier av behandlade uppgifter

3.1 Plattformstjänster

När Kunden använder Plattformen direkt kan APIANT komma att behandla följande kategorier av Personuppgifter enligt Kundens konfiguration:

Kontaktinformation (namn, e-postadresser, telefonnummer)
Kontouppgifter och autentiseringstokens
Affärsdata som överförs mellan tredjepartsapplikationer
Alla andra uppgifter som kunden väljer att behandla via plattformen

3.2 MCP-serverinfrastruktur

När data behandlas via kundens MCP-serverinfrastruktur kan APIANT (som den underliggande plattformsleverantören) behandla:

Autentiseringsuppgifter (såsom OAuth 2.0-tokens) som används för att verifiera identitet och auktorisera åtkomst till kundens MCP-server
Parametrar för verktygsanrop: de strukturerade indata som överförs av en AI-plattform till kundens MCP-server för att utföra begärda åtgärder
Svar på verktygsanrop: resultaten som returneras av kundens MCP-server till AI-plattformen

APIANT gör inte ta emot eller bearbeta den fullständiga texten från slutanvändarkonversationer med AI-plattformar. Endast de strukturerade verktygsanropsdata som krävs för att utföra den begärda åtgärden bearbetas på kundens APIANT-drivna server.

4. Datalagring och radering

4.1 APIANT lagrar Personuppgifter som behandlas genom Tjänsterna under Avtalets giltighetstid, såvida inte Kunden begär tidigare radering.

4.2 Specifikt för data som behandlas via MCP Server Infrastructure:

Autentiseringstokens lagras i minnet under hela sessionen och sparas inte efter frånkoppling.
Verktygssamtalloggar (parametrar och svar) kan behållas i upp till nittio (90) dagar för felsökning och driftändamål, varefter de automatiskt rensas bort.
Inga användarprofiler är byggda från MCP-interaktionsdata.

4.3 Inom trettio (30) dagar efter avtalets utgång eller uppsägning ska APIANT radera eller återlämna alla personuppgifter som APIANT innehar eller kontrollerar, förutom i den utsträckning lagring krävs enligt tillämplig lag.

4.4 Kunden kan när som helst begära radering av personuppgifter genom att kontakta privacy@apiant.comAPIANT ska efterkomma sådana begäranden inom trettio (30) dagar, med förbehåll för eventuella rättsliga lagringsskyldigheter.

5. Ingen utbildning om kunddata

APIANT gör inte använda personuppgifter, användardata, parametrar för verktygsanrop, svar på verktygsanrop eller annan kunddata för att träna modeller för artificiell intelligens, maskininlärningsmodeller eller någon form av automatiserat beslutssystem. Detta gäller all data som behandlas via plattformen, MCP-serverinfrastrukturen och alla andra komponenter i tjänsterna.

6. Underbiträden

6.1 Kunden godkänner att APIANT anlitar följande underbiträden för att bistå i tillhandahållandet av Tjänsterna:

Underbiträde	Ändamål	Plats
Amazon Web Services (AWS)	Molninfrastruktur och hosting	Förenta staterna
Återkommande	Fakturering och betalningshantering	Förenta staterna
Google (Google Analytics)	Webbplatsanalys	Förenta staterna
HubSpot	Kundrelationshantering och kommunikation	Förenta staterna
Smartlook	Sessionsinspelning och UX-analys (endast webbplats, inte plattformsdata)	EU (Tjeckien)
Splunk	Övervakning och loggning av plattformens prestanda	Förenta staterna

6.2 APIANT ska meddela Kunden om eventuella planerade ändringar av Underbiträden genom att uppdatera detta DPA. Kunden kan invända mot ett nytt Underbiträde genom att kontakta legal@apiant.com inom trettio (30) dagar efter anmälan.

6.3 APIANT ska ingå skriftliga avtal med varje underbiträde som ålägger dataskyddsskyldigheter som inte är mindre skyddande än de som anges i detta dataskyddsavtal.

7. Säkerhetsåtgärder

APIANT implementerar och upprätthåller lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter, inklusive:

Kryptering under överföring: All data som överförs till och från APIANTs servrar, inklusive MCP-serverkommunikation, krypteras med HTTPS/TLS.
Kryptering i vila: Personuppgifter som lagras på APIANTs infrastruktur krypteras i vila med hjälp av branschstandardkryptering.
Åtkomstkontroller: Åtkomst till personuppgifter är begränsad till behörig personal på basis av behovet av att få tillgång till dessa.
Autentisering: Plattformen kräver autentiserad åtkomst. MCP-serverinfrastrukturen kräver OAuth 2.0 eller motsvarande autentisering.
Övervakning: APIANT övervakar sina system för säkerhetsincidenter och obehörig åtkomst.
Händelserespons: APIANT upprätthåller en process för incidenthantering och ska meddela Kunden utan onödigt dröjsmål (och under alla omständigheter inom 72 timmar) efter att ha blivit medveten om ett personuppgiftsincident.
Infrastruktur: Plattformen är baserad på Amazon Web Services (AWS) infrastruktur, som upprätthåller SOC 2, ISO 27001 och andra branschcertifieringar.

8. Den registrerades rättigheter

8.1 APIANT ska bistå Kunden med att uppfylla den registrerades förfrågningar enligt tillämpliga dataskyddslagar, inklusive begäranden om åtkomst, rättelse, radering, begränsning, portabilitet och invändning mot behandling.

8.2 Om APIANT tar emot en begäran direkt från en registrerad angående Personuppgifter som behandlas för Kundens räkning, ska APIANT omedelbart omdirigera den registrerade till Kunden och underrätta Kunden om begäran, såvida det inte är förbjudet enligt lag.

8.3 APIANT ska ge Kunden rimligt samarbete och bistånd för att svara på den registrerades förfrågningar, med hänsyn till Behandlingens art.

9. Internationella dataöverföringar

9.1 APIANTs primära infrastruktur finns i USA. Genom att använda Tjänsterna godkänner Kunden överföring av Personuppgifter till USA.

9.2 I den utsträckning en överföring av personuppgifter från Europeiska ekonomiska samarbetsområdet (EES), Storbritannien eller Schweiz till USA utgör en begränsad överföring enligt tillämplig dataskyddslag, ska sådan överföring omfattas av de standardavtalsklausuler som antagits av Europeiska kommissionen (modul två: Personuppgiftsansvarig till personuppgiftsbiträde), vilka härmed införlivas genom hänvisning.

9.3 Kunden kan begära en kopia av tillämplig överföringsmekanism genom att kontakta legal@apiant.com.

10. CCPA och efterlevnad av amerikanska delstaters integritetslagar

10.1 I den utsträckning APIANT behandlar personuppgifter i enlighet med CCPA eller andra amerikanska delstaters integritetslagar, agerar APIANT som en "tjänsteleverantör" (enligt definitionen i CCPA) eller motsvarande roll enligt tillämplig delstatslag.

10.2 APIANT ska inte sälja eller dela (enligt definitionen i CCPA) personuppgifter som mottagits från kunden.

10.3 APIANT ska inte lagra, använda eller lämna ut personuppgifter för något annat ändamål än att tillhandahålla Tjänsterna, inklusive något annat kommersiellt ändamål än att tillhandahålla Tjänsterna.

10.4 APIANT ska inte kombinera personuppgifter som mottagits från kunden med personuppgifter som mottagits från andra källor, förutom i den utsträckning som tillåts enligt tillämplig lag för att tillhandahålla tjänsterna.

10.5 APIANT intygar att de förstår och kommer att följa de begränsningar som anges i detta avsnitt 10.

11. Revisioner

11.1 APIANT ska, på rimlig begäran och högst en gång per tolv (12) månadersperiod, tillhandahålla Kunden information som är nödvändig för att visa efterlevnad av detta DPA.

11.2 Kunden kan genomföra en granskning av APIANTs databehandlingsaktiviteter, eller utse en kvalificerad tredjepartsrevisor för att göra det, med trettio (30) dagars skriftligt varsel. Sådana granskningar ska genomföras under normal kontorstid och får inte oskäligt störa APIANTs verksamhet. Kunden ska bära kostnaderna för en sådan granskning.

12. Avtalsperiod och uppsägning

Detta DPA ska förbli i kraft under avtalets giltighetstid. APIANTs skyldigheter enligt detta DPA med avseende på personuppgifter i dess besittning eller kontroll ska fortsätta att gälla efter att avtalet upphört att gälla tills alla personuppgifter har raderats eller återlämnats i enlighet med avsnitt 4.

13. Kontakt

För frågor eller förfrågningar gällande detta dataskyddsavtal, vänligen kontakta:

Apiant, Inc.
196 W Ashland St, Doylestown
Doylestown, PA 18901
Förenta staterna

E-post: privacy@apiant.com
Rättslig: legal@apiant.com