PRIVACY POLICY

Senast uppdaterad: 09/03/2026

Vilka vi är

Denna integritetspolicy beskriver hur Siesta AI s.r.o., med säte på:

Bruselská 266/14, Vinohrady, 120 00 Prag 2, Tjeckien

Organisationsnummer (IČO): 23855312

("Siesta AI", "vi", "oss" eller "vår")

behandlar personuppgifter i samband med:

• vår webbplats tillgänglig på https://siesta.ai

• vår Software-as-a-Service-plattform ("Plattformen")

• och relaterade tjänster.

Siesta AI s.r.o. är ett bolag bildat enligt tjeckisk lagstiftning.

Kontaktuppgifter

Om du har frågor om denna integritetspolicy eller behandlingen av dina personuppgifter kan du kontakta oss på:

E-post: info@siesta.ai

Postadress:

Siesta AI s.r.o.

Bruselská 266/14

120 00 Prag 2

Tjeckien

GDPR-kontakt

För frågor specifikt relaterade till dataskydd och utövandet av dina rättigheter enligt den allmänna dataskyddsförordningen (EU) 2016/679 ("GDPR") kan du kontakta:

Jan Mudroch

E-post: info@siesta.ai

Siesta AI har inte utsett ett dataskyddsombud (DPO), då detta inte krävs enligt tillämplig lagstiftning. Vi har dock utsett en person ansvarig för efterlevnad av dataskydd.

Denna policys omfattning

För att säkerställa transparens och enkelhet upprätthåller Siesta AI denna enda integritetspolicy som täcker alla interaktioner med våra tjänster. Vi skiljer mellan uppgifter som samlas in via vår offentliga webbplats (där vi agerar som personuppgiftsansvarig), administrativa uppgifter som krävs för plattformsåtkomst och fakturering (där vi agerar som personuppgiftsansvarig) och det faktiska innehållet som behandlas inom vår AI-plattform (där vi enbart agerar som personuppgiftsbiträde). Denna struktur säkerställer att både tillfälliga webbplatsbesökare och företagets plattformsanvändare exakt förstår hur deras uppgifter hanteras och vem som ansvarar för deras skydd.

Denna policy är strukturerad i tre huvudkategorier:

Webbplatsdata

Detta omfattar personuppgifter som samlas in när:

• du besöker vår webbplats,

• du använder kontaktformulär,

• du prenumererar på kommunikation,

• du interagerar med cookies eller analysverktyg.

I detta sammanhang agerar Siesta AI som personuppgiftsansvarig.

Plattformens kontodata

Detta omfattar personuppgifter som behandlas när:

• en organisation skapar ett konto,

• användare registreras inom en arbetsyta,

• fakturering och prenumerationshantering sker,

• systemloggar och teknisk metadata genereras.

I detta sammanhang agerar Siesta AI som personuppgiftsansvarig för konto- och administrativa uppgifter.

Kundinnehåll

Detta omfattar personuppgifter som finns i:

• dokument uppladdade till Plattformen,

• chattprompter och AI-interaktioner,

• mötesinspelningar och transkriptioner,

• indexerade kunskapsbaser,

• vektorinbäddningar härledda från sådant innehåll.

I detta sammanhang:

• agerar Kunden (organisationen) som personuppgiftsansvarig,

• agerar Siesta AI enbart som personuppgiftsbiträde, och behandlar sådana uppgifter uteslutande baserat på dokumenterade instruktioner från Kunden och i enlighet med tillämpligt personuppgiftsbiträdesavtal (DPA).

Vi använder inte Kundinnehåll för modellträning eller våra egna oberoende ändamål.

När vi agerar som personuppgiftsbiträde

I samband med organisationskunders användning av Plattformen behandlar Siesta AI vissa personuppgifter uteslutande för Kundens räkning och på Kundens instruktion.

I detta sammanhang:

• agerar Kunden som personuppgiftsansvarig, och

• agerar Siesta AI uteslutande som personuppgiftsbiträde enligt Artikel 4(8) i GDPR.

Vår behandling av sådana uppgifter regleras av tillämpligt personuppgiftsbiträdesavtal (DPA) mellan Siesta AI och Kunden.

Kategorier av uppgifter som behandlas som biträde

Vid tillhandahållande av Plattformen kan vi behandla personuppgifter som finns i:

Kundinnehåll

Detta omfattar alla uppgifter som laddats upp, överförts eller på annat sätt gjorts tillgängliga på Plattformen av eller för Kundens räkning, inklusive:

• dokument (PDF, DOCX, XLSX, TXT, CSV),

• kunskapsbasinnehåll,

• wikisidor,

• ärenden,

• databasposter,

• intern företagsdokumentation.

Sådant innehåll kan omfatta personuppgifter avseende anställda, kunder, entreprenörer eller andra personer.

Prompter och AI-interaktioner

Vi behandlar:

• chattinmatning inskickad av användare,

• instruktioner till AI-assistenter,

• kontextuella förfrågningar,

• konversationshistorik.

Dessa prompter kan innehålla personuppgifter som angetts av användare.

Uppladdade filer och anslutna datakällor

När Plattformen är integrerad med externa system (t.ex. samarbetsverktyg, dokumentarkiv, databaser) kan vi behandla:

• synkroniserade filer,

• mötestranskriptioner och -inspelningar,

• CRM-data,

• intern kommunikation.

Behandlingen utförs uteslutande i syfte att möjliggöra sökning, hämtning och AI-assisterade arbetsflöden.

Inbäddningar och vektoriserade data

Som en del av Retrieval-Augmented Generation (RAG) och semantisk sökfunktionalitet kan textdata omvandlas till:

• vektorinbäddningar,

• indexerade representationer lagrade i en vektordatabas.

Även om inbäddningar inte är direkt läsbara för människor, representerar de härledda former av de ursprungliga uppgifterna och behandlas därför som personuppgifter där det är tillämpligt.

Behandlingens art och ändamål

Vi behandlar Kundinnehåll uteslutande i syfte att:

• tillhandahålla Plattformen och dess funktioner,

• möjliggöra AI-assisterade svar,

• indexera och hämta relevant innehåll,

• upprätthålla plattformens säkerhet och stabilitet.

Vi:

• bestämmer inte ändamålen med behandlingen av Kundinnehåll,

• använder inte Kundinnehåll för våra egna kommersiella ändamål,

• säljer eller licensierar inte Kundinnehåll,

• använder inte Kundinnehåll för att träna grundläggande AI-modeller.

Rättslig grund för behandling (biträdeskontext)

När Siesta AI agerar som personuppgiftsbiträde fastställer den inte självständigt den rättsliga grunden för behandling.

Den tillämpliga rättsliga grunden för behandling av personuppgifter i Kundinnehåll fastställs av Kunden som personuppgiftsansvarig.

Beroende på Kundens specifika användningsfall kan den rättsliga grunden omfatta:

• Artikel 6(1)(b) GDPR – Fullgörande av avtal

• Artikel 6(1)(c) GDPR – Rättslig förpliktelse

• Artikel 6(1)(f) GDPR – Berättigat intresse

• Artikel 6(1)(a) GDPR – Samtycke

Kunden är ensam ansvarig för:

• att identifiera och dokumentera den lämpliga rättsliga grunden,

• att säkerställa transparens gentemot de registrerade,

• att efterleva alla tillämpliga dataskyddslagar.

Behandling enligt dokumenterade instruktioner

Siesta AI behandlar Kundinnehåll uteslutande:

• i enlighet med Kundens dokumenterade instruktioner,

• enligt vad som fastställts i tillämpligt tjänsteavtal,

• i enlighet med personuppgiftsbiträdesavtalet (DPA).

Vi genomför lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen uppfyller kraven i GDPR.

Underbiträden

För att tillhandahålla Plattformen kan vi anlita underbiträden, inklusive:

• leverantörer av molninfrastruktur,

• leverantörer av AI-modeller,

• lagrings- och databastjänster,

• leverantörer av säkerhetsövervakning.

Vi anlitar underbiträden uteslutande på grundval av skriftliga avtal som kräver:

• GDPR-kompatibel behandling,

• sekretessförpliktelser,

• genomförande av lämpliga tekniska och organisatoriska åtgärder,

• efterlevnad av krav för internationella dataöverföringar.

Alla underbiträden är bundna av avtalsmässiga förpliktelser som ger dataskyddsgarantier likvärdiga med de i vårt DPA.

En uppdaterad förteckning över underbiträden finns tillgänglig på: https://siesta.ai/trust/subprocessors

Internationella dataöverföringar

När underbiträden är etablerade utanför Europeiska ekonomiska samarbetsområdet (EES) säkerställer vi att lämpliga skyddsåtgärder finns på plats, inklusive:

• standardavtalsklausuler (SCC),

• eller andra lagligt erkända överföringsmekanismer.

När kunder självständigt konfigurerar integrationer med tredjepartsleverantörer av AI förblir Kunden som personuppgiftsansvarig ansvarig för att bedöma lagenligheten av sådana överföringar.

När vi agerar som personuppgiftsansvarig

I följande fall fastställer Siesta AI ändamålen och medlen för behandling av personuppgifter och agerar därför som personuppgiftsansvarig enligt GDPR.

Webbplatsdata

När du besöker vår webbplats (https://siesta.ai) kan vi behandla vissa personuppgifter.

Datakategorier och rättslig grund

Serverloggar och IP-adresser

Vid åtkomst till vår webbplats behandlar våra servrar automatiskt:

• IP-adress

• datum och tid för begäran

• webbläsartyp och -version

• operativsystem

• hänvisande URL

• begärda sidor

Ändamål:

• säkerställa webbplatsens säkerhet

• förhindra missbruk och bedrägeri

• upprätthålla systemstabilitet

• diagnostisera tekniska problem

Rättslig grund:

Artikel 6(1)(f) GDPR – Berättigat intresse (säkerställa vår webbplats säkerhet, stabilitet och integritet)

Loggdata lagras under en begränsad period som är nödvändig för säkerhets- och driftsändamål.

Kontaktformulär och direkt kommunikation

När du skickar in ett kontaktformulär eller kontaktar oss via e-post behandlar vi:

• förnamn

• efternamn

• e-postadress

• företagsnamn (om angivet)

• innehållet i ditt meddelande

Ändamål:

• besvara förfrågningar

• föravtalskommunikation

• affärskommunikation

Rättslig grund:

• Artikel 6(1)(b) GDPR – Fullgörande av avtal eller föravtalsåtgärder

• Artikel 6(1)(f) GDPR – Berättigat intresse (besvara affärsförfrågningar)

Vi lagrar dessa uppgifter under den period som krävs för att hantera din förfrågan och upp till tre (3) år därefter, såvida inte ett avtalsförhållande upprättas.

Cookies

Vår webbplats använder cookies och liknande spårningstekniker.

Cookies kan klassificeras som:

• strikt nödvändiga (väsentliga) cookies,

• analytiska cookies,

• preferenscookies.

Strikt nödvändiga cookies krävs för webbplatsens funktion och säkerhet och behandlas på grundval av berättigat intresse.

Analytiska cookies används endast när erforderligt samtycke har lämnats via vår cookie-banner. Du kan när som helst återkalla ditt samtycke till icke-väsentliga cookies via cookie-inställningarna.

Rättslig grund:

• Väsentliga cookies – Artikel 6(1)(f) GDPR – Berättigat intresse

• Analytiska cookies – Artikel 6(1)(a) GDPR – Samtycke

Detaljerad information om:

• de typer av cookies som används och deras ändamål,

• lagringsperioder,

• och hur du hanterar ditt samtycke

finns tillgänglig i vår separata cookiepolicy på: https://siesta.ai/trust

Analysverktyg

När analysverktyg används (t.ex. verktyg för övervakning av webbplatsens prestanda) behandlar vi:

• pseudonymiserade identifierare

• användningsdata

• interaktionsdata

Ändamål:

• förbättra webbplatsens funktionalitet

• prestandaoptimering

• förstå aggregerade användningstrender

Rättslig grund:

Artikel 6(1)(a) GDPR – Samtycke (när det krävs enligt tillämplig lagstiftning)

Analysdata behandlas i pseudonymiserad form och används inte för att identifiera enskilda besökare.

Plattformens kontodata

När en organisation registrerar sig på Plattformen behandlar vi vissa personuppgifter relaterade till kontohantering och tjänsteleverans.

I detta sammanhang agerar Siesta AI som personuppgiftsansvarig för konto- och administrativa uppgifter.

Datakategorier och rättslig grund

Kontoregistreringsdata

Vi behandlar:

• namn

• e-postadress

• organisationstillhörighet

• roll inom organisationen (t.ex. Administratör, Användare)

Ändamål:

• skapande och hantering av användarkonton

• autentisering av användare

• tillhandahållande av åtkomst till Plattformen

• prenumerationshantering

Rättslig grund:

Artikel 6(1)(b) GDPR – Fullgörande av avtal

Fakturerings- och prenumerationsdata

Vi behandlar:

• faktureringskontaktuppgifter

• företagsidentifikationsdata

• faktureringsinformation

• betalningsstatus

Ändamål:

• fakturering och betalningshantering

• efterlevnad av bokförings- och skatteskyldigheter

Rättslig grund:

• Artikel 6(1)(b) GDPR – Fullgörande av avtal

• Artikel 6(1)(c) GDPR – Rättslig förpliktelse (bokförings- och skattelagar)

Faktureringsdata lagras under den period som krävs enligt tillämpliga bokföringsregler (vanligtvis tio (10) år).

Säkerhets- och revisionsloggar

Vi behandlar tekniska och säkerhetsdata, inklusive:

• IP-adress som använts för åtkomst till Plattformen

• inloggningstidsstämplar

• aktivitetsloggar

• revisionsspår

Ändamål:

• säkerställa plattformens säkerhet

• detektering av obehörig åtkomst

• efterlevnad av säkerhets- och compliancekrav

Rättslig grund:

Artikel 6(1)(f) GDPR – Berättigat intresse (skydda integriteten och säkerheten för våra tjänster)

Säkerhetsloggar lagras under en begränsad period (vanligtvis 6–12 månader), om inte förlängd lagring krävs av juridiska eller säkerhetsmässiga skäl.

Telemetri och metadata om tjänstanvändning

Vi kan behandla begränsad teknisk metadata relaterad till plattformsanvändning, såsom:

• systemprestandamätningar

• felloggar

• tokenanvändningsstatistik

• funktionsanvändningsfrekvens

Dessa data inkluderar inte Kundinnehåll.

Ändamål:

• förbättring av plattformens prestanda

• säkerställande av tjänsttillgänglighet

• produktutveckling

• kapacitetsplanering

Rättslig grund:

Artikel 6(1)(f) GDPR – Berättigat intresse (förbättring och underhåll av tjänster)

Telemetridata behandlas i aggregerad eller pseudonymiserad form där det är möjligt.

Datalagring

Vi lagrar personuppgifter endast så länge som det är nödvändigt för att uppfylla de ändamål för vilka de samlades in, för att efterleva rättsliga förpliktelser, för att lösa tvister och för att verkställa våra avtal.

Lagringsperioderna varierar beroende på datatyp och vår roll (personuppgiftsansvarig eller personuppgiftsbiträde).

Lagring som personuppgiftsansvarig

Webbplatsdata

Serverloggar (inklusive IP-adresser)
Lagras under en begränsad period för säkerhets- och driftsändamål, vanligtvis inte mer än 6 månader, om inte förlängd lagring krävs för säkerhetsutredningar.

Kontaktformulärsinlämningar och affärskommunikation
Lagras under den period som krävs för att hantera förfrågan och upp till 3 år därefter, såvida inte ett avtalsförhållande upprättas.

Analysdata
Lagras i pseudonymiserad eller aggregerad form under den period som krävs för att analysera och förbättra webbplatsens prestanda, vanligtvis inte mer än 24 månader, beroende på verktygskonfiguration och samtyckeinställningar.

Plattformens kontodata

Kontoregistreringsdata (namn, e-post, roll, organisationstillhörighet)
Lagras under avtalsförhållandets varaktighet och upp till 3 år efter dess upphörande, om inte förlängd lagring krävs av juridiska skäl eller för tvistlösning.

Faktureringsdata
Lagras i 10 år i enlighet med tillämpliga bokförings- och skatteregler.

Säkerhets- och revisionsloggar
Lagras 6 till 12 månader, om inte förlängd lagring krävs för säkerhetsutredningar, rättsliga förfaranden eller complianceändamål.

Telemetri och metadata om tjänstanvändning
Lagras för drifts- och produktförbättringsändamål, vanligtvis inte mer än 12 månader, och behandlas i aggregerad eller pseudonymiserad form där det är möjligt.

Lagring som personuppgiftsbiträde

Vid behandling av Kundinnehåll för Kundens räkning regleras lagring i första hand av Kundens instruktioner och tillämpligt DPA.

Kundinnehåll

Kundinnehåll (inklusive dokument, prompter, transkriptioner, anslutna data och inbäddningar) lagras:

• under Kundens aktiva prenumerationsperiod, och

• raderas efter avtalets upphörande.

Om inte annat skriftligen avtalats raderas Kundinnehåll permanent inom 30 dagar efter avtalsförhållandets upphörande.

Säkerhetskopior

Kundinnehåll kan kvarstå i krypterade systemsäkerhetskopior under en begränsad period efter radering.

Säkerhetskopior lagras i upp till 30 ytterligare dagar, varefter de automatiskt skrivs över eller permanent raderas.

Säkerhetskopieringsdata behandlas inte aktivt och är endast tillgängliga för katastrofåterställningsändamål.

Inbäddningar och härledda data

Vektorinbäddningar och indexerade representationer härledda från Kundinnehåll raderas i enlighet med raderingen av det underliggande Kundinnehållet. Radering inkluderar borttagning från aktiva databaser och tillhörande index.

Lagstadgade lagringsskyldigheter

Vi kan lagra vissa uppgifter utöver ovan nämnda perioder när det är nödvändigt:

• för att efterleva rättsliga förpliktelser,

• för att framställa, utöva eller försvara rättsliga anspråk,

• för att uppfylla regulatoriska eller compliancekrav.

När lagring krävs enligt lag begränsas behandlingen till dessa ändamål.

Internationella dataöverföringar

Siesta AI behandlar personuppgifter huvudsakligen inom Europeiska ekonomiska samarbetsområdet (EES).

Vi förbinder oss att säkerställa att alla överföringar av personuppgifter utanför EES sker i enlighet med Kapitel V i GDPR.

Primär hostingplats – Azure EU

Som standard hostas Plattformen på Microsoft Azure-infrastruktur inom Europeiska unionen.

Det innebär att:

• Kundinnehåll lagras i EU-datacenter,

• databaser och lagringstjänster är belägna i EU,

• kryptering tillämpas både vid överföring (TLS 1.2+) och i vila (AES-256).

För SaaS-distributioner är EU-regionen standardkonfigurationen.

För privata eller kundhostade distributioner kan uppgifter förbli helt inom kundens kontrollerade infrastruktur.

Överföringar utanför EES

Under begränsade omständigheter kan personuppgifter överföras utanför EES, inklusive när:

• underbiträden verkar från jurisdiktioner utanför EES,

• AI-modellleverantörer är etablerade utanför EU,

• kunder konfigurerar integrationer med tredjepartstjänster utanför EU.

När sådana överföringar sker säkerställer Siesta AI att lämpliga skyddsåtgärder genomförs i enlighet med Artikel 46 i GDPR.

Dessa skyddsåtgärder kan omfatta:

• standardavtalsklausuler (SCC) antagna av Europeiska kommissionen,

• stöd på ett beslut om adekvat skyddsnivå från Europeiska kommissionen,

• kompletterande tekniska och organisatoriska åtgärder, där det krävs.

AI-modellleverantörer

Plattformen kan vara integrerad med tredjepartsleverantörer av AI-modeller.

När sådana leverantörer behandlar personuppgifter utanför EES:

• är behandlingen föremål för avtalsmässiga skyddsåtgärder,

• inklusive standardavtalsklausuler (SCC) eller likvärdiga överföringsmekanismer.

Siesta AI säkerställer att när vi agerar som personuppgiftsbiträde regleras överföringar av vårt DPA och tillhörande skyddsåtgärder.

När en kund självständigt konfigurerar eller aktiverar integrationer med externa AI-leverantörer förblir kunden som personuppgiftsansvarig ansvarig för att bedöma lagenligheten av sådana överföringar.

Riskbedömningar av överföringar

När tillämplig lagstiftning kräver det genomför Siesta AI konsekvensbedömningar av överföringar för att utvärdera:

• det rättsliga ramverket i destinationslandet,

• risken för statlig åtkomst,

• tillräckligheten av avtalsmässiga skyddsåtgärder.

Där det krävs genomförs ytterligare skyddsåtgärder för att minska identifierade risker.

Registrerades rättigheter

Personer vars personuppgifter vi behandlar har följande rättigheter enligt GDPR, med förbehåll för tillämpliga rättsliga begränsningar.

Förfrågningar kan skickas till: info@siesta.ai

Vi svarar utan onödigt dröjsmål och under alla omständigheter inom en (1) månad från mottagandet av förfrågan, om inte en förlängning är tillåten enligt tillämplig lagstiftning.

Rätt till tillgång

Du har rätt att få bekräftelse på om vi behandlar dina personuppgifter och, i förekommande fall, tillgång till dem, inklusive information om:

• behandlingens ändamål,

• kategorier av personuppgifter,

• mottagare eller kategorier av mottagare,

• lagringsperioder,

• dina rättigheter enligt GDPR.

Rätt till rättelse

Du har rätt att begära rättelse av felaktiga personuppgifter och komplettering av ofullständiga personuppgifter.

Rätt till radering ("rätten att bli bortglömd")

Du har rätt att begära radering av dina personuppgifter när:

• uppgifterna inte längre behövs för de ändamål för vilka de samlades in,

• du återkallar ditt samtycke (om behandlingen grundar sig på samtycke),

• uppgifterna har behandlats olagligt,

• radering krävs för att uppfylla en rättslig förpliktelse.

Denna rätt är föremål för lagstadgade lagringsskyldigheter och andra lagliga undantag.

Rätt till begränsning av behandling

Du kan begära begränsning av behandling när:

• du bestrider uppgifternas riktighet,

• behandlingen är olaglig men du motsätter dig radering,

• vi inte längre behöver uppgifterna, men du behöver dem för rättsliga anspråk.

Rätt till dataportabilitet

När behandling grundar sig på avtal eller samtycke och utförs med automatiserade medel har du rätt att erhålla dina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format och överföra dessa uppgifter till en annan personuppgiftsansvarig.

Rätt att göra invändningar

När behandling grundar sig på berättigat intresse har du rätt att invända mot behandlingen av skäl som hänför sig till din specifika situation.

Vi upphör med behandlingen om vi inte påvisar tvingande berättigade skäl som väger tyngre än dina intressen, rättigheter och friheter.

Rätt att lämna in klagomål

Du har rätt att lämna in ett klagomål till en tillsynsmyndighet.

I Tjeckien är den behöriga tillsynsmyndigheten:

Byrån för skydd av personuppgifter (Úřad pro ochranu osobních údajů)

Pplk. Sochora 27

170 00 Prag 7

https://www.uoou.cz

Förtydligande i biträdeskontext

När Siesta AI uteslutande agerar som personuppgiftsbiträde (t.ex. avseende Kundinnehåll) bör registrerade vända sig direkt till den relevanta Kunden (den personuppgiftsansvarige).

Vi bistår Kunder med hanteringen av registrerades förfrågningar i enlighet med tillämpligt DPA.

Automatiserat beslutsfattande

Plattformen utför inte automatiserat beslutsfattande med rättsliga eller liknande betydande effekter enligt Artikel 22 i GDPR. AI-genererade resultat är av stödjande karaktär och producerar inte självständiga rättsligt bindande beslut.

Behandling av minderårigas uppgifter

Plattformen och webbplatsen är avsedda för företagsanvändning.

Våra tjänster riktar sig inte till personer under 18 år.

Vi samlar inte medvetet in personuppgifter från minderåriga.

Uppdateringar av denna integritetspolicy

Vi kan från tid till annan uppdatera denna integritetspolicy för att återspegla:

• ändringar i rättsliga krav,

• ändringar i våra tjänster,

• teknologisk utveckling.

Den uppdaterade versionen publiceras på vår webbplats med ett reviderat "Senast uppdaterad"-datum.

När det krävs enligt lag tillhandahåller vi lämplig information om väsentliga ändringar.