Denna integritetspolicy reglerar Tellyous chatbot-plattform, inbäddningsbara widget, relaterade integrationer (Shopify, WordPress, Crisp, Meta/Instagram, ElevenLabs, etc.) och stödjande webbplatser (tillsammans "Tjänsten"), som drivs av Tellyou AI AB ("Tellyou", "vi", "oss"), ett företag registrerat i Sverige.

Personuppgiftsansvarig / kontakt: Tellyou AI AB, Burgårdsgatan 13, 412 51 Göteborg, 5595451716
Integritetskontakt: hello@tellyou.ai
Tillsynsmyndighet: Integritetsskyddsmyndigheten (IMY), Sverige — imy.se

1. Våra två roller

Tellyou har två distinkta roller under GDPR:

Personuppgiftsansvarig: Kontoinnehavare — personal hos våra företagskunder som loggar in på Tellyous instrumentpanel, samt besökare på tellyou.ai. Inloggnings-e-post, namn, profilbild, fakturering, produktanalys
Personuppgiftsbiträde: Chattinnehåll för slutanvändare — meddelanden, röst och metadata som utbyts mellan en besökare och en chatbot som distribuerats av en av våra kunder på deras egen webbplats, butik eller sociala kanal på uppdrag av kunden (den personuppgiftsansvarige). Konversationshistorik, bilagor, kontaktuppgifter som samlas in av boten, direktmeddelanden från Instagram/Messenger som tas emot via webhook

För chattinnehåll från slutanvändare styrs behandlingen av det personuppgiftsbiträdesavtal (DPA) som vi ingår med varje kund (GDPR art. 28). Slutanvändare bör läsa integritetspolicyn för den webbplats eller det företag som driver chatboten.

2. Personuppgifter vi samlar in

Som personuppgiftsansvarig (kontoinnehavare och webbplatsbesökare):

Autentisering: e-post, hashat lösenord, OAuth-identifierare
Profil: för-/efternamn, valfri profilbild, språk, roll
Fakturering: företagsnamn, momsregistreringsnummer, faktureringsadress, betalningsmetadata (kortuppgifter hanteras av vår betalningsförmedlare och rör aldrig våra servrar)
Produktanvändning och diagnostik: åtgärder i instrumentpanelen, IP-adress, användaragent, ungefärlig plats, felloggar
Kommunikation du skickar till oss (supportärenden, e-postmeddelanden)
Cookies och liknande lagring — se §8

Som personuppgiftsbiträde (slutanvändare av våra kunders chatbotar):

Chatthistorik (text och, om röstagenten är aktiverad, ljudinspelningar och transkriptioner)
Identifierare och metadata som tillhandahålls av kanalen (t.ex. användar-ID för Instagram/Messenger, kund-ID för Shopify, sessions-ID för Crisp, sid-URL, språk)
All information som slutanvändare frivilligt tillhandahåller till boten (namn, e-post, ordernummer, fritextfält)
Härledda data såsom inbäddningar/vektorer som används för att generera hämtningsförstärkta svar

Vi samlar inte medvetet in uppgifter från barn under 13 år. Om du tror att ett barn har lämnat personuppgifter till oss, kontakta oss så raderar vi dem.

3. Hur vi använder personuppgifter

Tillhandahålla, säkra och underhålla Tjänsten (autentisering, support, förebyggande av bedrägerier och missbruk)
Driva chatboten: dirigera meddelanden, generera AI-svar, leverera dem genom de konfigurerade kanalerna
Förbättra produktkvalitet och tillförlitlighet (aggregerad analys, felsökning)
Kommunicera med dig om ditt konto, säkerhet och väsentliga ändringar
Opt-in-marknadsföring — endast med ditt samtycke, vilket kan återkallas när som helst
Följa lagliga skyldigheter (bokföring, lagliga begäranden)

Automatiskt beslutsfattande / AI. Tjänsten använder stora språkmodeller (LLMs) för att generera chatbotsvar. Dessa svar är rådgivande; de har inte rättsliga eller på annat sätt betydande följder för slutanvändare i den mening som avses i GDPR art. 22. Kunder kan konfigurera överlämning till en mänsklig agent.

4. Rättslig grund (GDPR art. 6)

Avtal — att tillhandahålla Tjänsten till kontoinnehavare och kunder.
Berättigat intresse — att säkra plattformen, förhindra missbruk, produktanalys och direkt B2B-kommunikation. En intresseavvägning görs; du kan invända när som helst (se §9).
Samtycke — icke-nödvändiga cookies, marknadsföringsmeddelanden, röstinspelningsmeddelanden som visas för slutanvändare och eventuella valfria funktioner som ber om det.
Rättslig skyldighet — bokföring, skatt och att svara på begäranden från behöriga myndigheter.

5. Underbiträden och AI-leverantörer

För att tillhandahålla Tjänsten använder vi noggrant utvalda underbiträden under skriftliga avtal som inkluderar villkor enligt GDPR art. 28 och, där det är relevant, EU:s standardavtalsklausuler (SCC). En uppdaterad lista finns på tellyou.ai/sub-processors och innehåller bland annat:

Supabase — databas, autentisering, lagring, edge-funktioner (EU-region där det är konfigurerat)
Cloudflare — CDN, edge workers, DDoS-skydd
OpenAI, Anthropic, Google, ElevenLabs och liknande LLM-/röstleverantörer — generering av chatbotsvar och röstsyntes. Prompter och konversationskontext överförs till den valda leverantören strikt för att producera ett svar. Vi kräver avtalsmässigt att indata och utdata inte används för att träna leverantörernas modeller.
Meta Platforms (Instagram/Messenger/Whatsapp) — när en kund ansluter en Instagram- eller Messenger-kanal
Shopify — när Tjänsten installeras som en Shopify-app
Stripe / betalningsförmedlare — fakturering
Leverantörer av e-post och transaktionsmeddelanden — kontomeddelanden

Vi ger kunder förhandsbesked om nya underbiträden så att de kan invända innan de aktiveras.

6. Internationella överföringar

Vissa underbiträden är baserade utanför EU/EES, främst i USA och Storbritannien. Överföringar skyddas av en eller flera av följande: (i) ett beslut om adekvat skyddsnivå (t.ex. adekvat skyddsnivå för Storbritannien, EU-U.S. Data Privacy Framework där mottagaren är certifierad), (ii) EU:s standardavtalsklausuler med kompletterande åtgärder, och (iii) kryptering under överföring och vid lagring. En kopia av tillämpliga skyddsåtgärder finns tillgänglig på begäran.

7. Lagringstid

Vi lagrar personuppgifter endast så länge det är nödvändigt för de syften som de samlades in för:

DataRetentionAccount profile and authenticationFor the life of the account + 90 days after deletionBilling and invoice records7 years (Swedish Bokföringslagen)Chat transcripts and AI logs (as processor)According to the customer's configuration; default 12 monthsVoice recordingsDefault 30 days unless the customer configures otherwiseSecurity and access logsUp to 12 monthsBackupsRolling, with maximum 35 days retention

När en kund avslutar sitt avtal raderas eller återlämnas slutanvändarens chattinnehåll i enlighet med personuppgiftsbiträdesavtalet (DPA), vanligtvis inom 30 dagar.

8. Cookies och lokal lagring

Tellyous instrumentpanel och den inbäddningsbara widgeten använder cookies och localStorage för: autentiseringssessioner, språkinställningar, säkerhet och aggregerad produktanalys. Icke-nödvändiga cookies sätts endast efter samtycke där så krävs. Kunder som bäddar in widgeten ansvarar för att visa samtycke för cookies på sina egna webbplatser; vi tillhandahåller konfigurationsalternativ för att skjuta upp initieringen tills samtycke har givits. Se vår information om cookies för mer information.

9. Dina rättigheter (GDPR art. 12–22)

Du har rätt att:

Få tillgång till dina personuppgifter och få en kopia
Rätta felaktiga eller ofullständiga uppgifter
Radera dina uppgifter ("rätten att bli bortglömd")
Begränsa eller invända mot behandling, inklusive direktmarknadsföring och behandling baserad på berättigade intressen
Dataportabilitet (maskinläsbar export)
Återkalla eventuellt samtycke när som helst, utan att det påverkar lagligheten av behandlingen innan det återkallades
Lämna in ett klagomål till IMY (imy.se) eller din lokala tillsynsmyndighet

För att utöva dessa rättigheter, kontakta privacy@tellyou.ai. Slutanvändare av en chatbot som distribuerats av en av våra kunder bör i normala fall kontakta den kunden först; vi kommer att hjälpa kunden att uppfylla begäran.

10. Säkerhet

Vi tillämpar tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken, inklusive: kryptering under överföring (TLS 1.2+) och vid vila, begränsade åtkomstkontroller och roller med lägsta behörighet, enkel inloggning (SSO) och MFA för personal, isolerade miljöer, hemlighetshantering (secret management), kodgranskning, automatiserad övervakning av beroenden, granskningsloggning och regelbundna säkerhetskopior. Inget system är helt säkert; vi uppmuntrar dig att använda ett starkt unikt lösenord och aktivera MFA.

11. Anmälan om personuppgiftsincident

I händelse av en personuppgiftsincident kommer vi att underrätta den behöriga tillsynsmyndigheten inom 72 timmar där så krävs enligt art. 33 GDPR, samt berörda personer eller kunder utan onödigt dröjsmål där art. 34 är tillämplig.

12. Kanalspecifika anmärkningar

Meta (Instagram / Messenger): När en kund ansluter en Meta-kanal tas meddelandeinnehåll och avsändarens plattforms-ID emot via en webhook, lagras som konversationshistorik och behandlas av vår AI för att producera ett svar. Vi använder dessa uppgifter uteslutande för att driva integrationen och följa Metas plattformsvillkor.
Shopify: Kund- och orderkontext hämtas från handlarens Shopify-butik strikt för att svara på köparens fråga; vi sparar inte orderdata utöver konversationens tidsfönster såvida det inte krävs för support.
Röstagent (ElevenLabs): När röst är aktiverad visas ett meddelande för slutanvändare och de måste godkänna detta innan inspelningen påbörjas.

13. Försäljning och delning

Vi säljer inte personuppgifter och delar dem inte med tredje part för deras egen marknadsföring. Vi lämnar endast ut personuppgifter till (a) våra underbiträden enligt §5, (b) professionella rådgivare under sekretess, (c) förvärvare vid en fusion eller tillgångsförsäljning underställt motsvarande skydd, och (d) myndigheter där det krävs enligt lag.

14. Ändringar i denna policy

Vi kan uppdatera denna policy från tid till annan. Väsentliga ändringar kommer att kommuniceras via e-post eller meddelande i produkten minst 30 dagar innan de träder i kraft. Datumet för "Senast uppdaterad" ovan återspeglar alltid den aktuella versionen.

Från Sverige med