Data Processing Agreement (DPA) — Biträdesavtal

Document type: Contract template (Art. 28 GDPR) Status: Template — must be reviewed by legal counsel before signing. Primary language: English. Swedish translation follows below. A localised version is served per jurisdiction (SE → Swedish, DE → German, …); English is the governing base text.

English

1. Parties and roles

This Data Processing Agreement ("DPA") is entered into between:

• The Controller — [Customer legal name, org. no.] ("Customer"), the data controller (personuppgiftsansvarig); and
• The Processor — ABN AB, [org. no.] ("ABN"), the data processor (personuppgiftsbiträde).

The DPA governs ABN's processing of personal data on the Customer's behalf under Article 28 GDPR and supplements the main service agreement.

2. Subject matter, nature and purpose

ABN provides the Autonomous Backoffice Network — software installed as a local Node in the Customer's own environment. The Node discovers business processes, runs autonomous agents and produces reports. The purpose of processing is limited to delivering that service to the Customer.

Architectural fact (Art. 25 — data protection by design): customer data is processed only inside the Customer-controlled Node. ABN as a vendor receives no copy of the Customer's personal data. The LLM never receives raw values — only abstract event-type names, counts and statistics (the "No-Data Guarantee").

3. Duration

Processing lasts for the term of the main service agreement and ceases on its termination (see §10).

4. Categories of personal data and data subjects

Processed inside the Node, depending on the connectors the Customer enables:

Identifying fields are pseudonymised via SHA-256 by the PII Guardian before storage; direct identifiers (names, addresses, e-mail, personal-identity numbers, bank details) are removed by the Data Minimizer and never persisted.

5. Documented instructions

ABN processes personal data only on the Customer's documented instructions, as set out in this DPA and the service agreement. ABN informs the Customer if an instruction infringes the GDPR or other applicable data-protection law.

6. Confidentiality

ABN ensures that every person authorised to process personal data is bound by an appropriate duty of confidentiality.

7. Security measures (Art. 32)

ABN implements security by architecture:

• Local execution — data never leaves the Customer Node.
• Data minimisation — per-(connector, resource) field allowlists.
• Pseudonymisation — SHA-256 PII tokenisation before storage.
• No-Data LLM Gateway — only tokenised/abstracted data reaches any external model.
• Sandbox isolation — agents run in Firecracker microVMs; a Go write-guard validates every write.
• mTLS between Node services, certificates rotated every 24 h.
• Encryption — TLS in transit, encryption at rest on the Node DB.
• Auditability — every action is recorded in Customer-owned transparency tables and HMAC-signed cycle attestations.

8. Sub-processors

ABN uses the sub-processors listed in Annex A. ABN imposes the same data-protection obligations on each sub-processor by contract (Art. 28(4)). ABN informs the Customer of any intended change and the Customer may object within 30 days.

9. Assistance to the Controller

ABN assists the Customer, taking into account the nature of processing:

• with responding to data-subject requests (Art. 12–23) — in practice trivial, as the Customer holds the data and ABN holds no copy;
• with security, breach notification, DPIA and prior consultation (Art. 32–36).

10. Return and erasure

On termination, at the Customer's choice, ABN deletes or returns all personal data and deletes existing copies, unless storage is required by Union or Member-State law. Because ABN holds no copy of Customer data, this obligation is met by the Customer decommissioning the Node.

11. Audit

ABN makes available all information necessary to demonstrate compliance with Art. 28 and allows for and contributes to audits, including inspections, by the Customer or an auditor it mandates. The Customer-owned audit log can be queried directly by the Customer at any time.

12. International transfers

ABN does not transfer Customer personal data outside the Customer environment, and therefore not outside the EU/EEA. Any future transfer requires a valid Chapter V GDPR transfer mechanism and the Customer's prior written instruction.

Annex A — Sub-processors

Svenska

1. Parter och roller

Detta biträdesavtal ("Avtalet") ingås mellan:

• Personuppgiftsansvarig — [Kundens juridiska namn, org.nr] ("Kunden"); och
• Personuppgiftsbiträde — ABN AB, [org.nr] ("ABN").

Avtalet reglerar ABN:s behandling av personuppgifter för Kundens räkning enligt artikel 28 GDPR och kompletterar huvudavtalet.

2. Föremål, art och syfte

ABN tillhandahåller Autonomous Backoffice Network — programvara som installeras som en lokal Nod i Kundens egen miljö. Noden upptäcker affärsprocesser, kör autonoma agenter och tar fram rapporter. Syftet med behandlingen är begränsat till att leverera tjänsten.

Arkitektoniskt faktum (art. 25 — inbyggt dataskydd): kunddata behandlas endast inuti den kundkontrollerade Noden. ABN som leverantör tar emot ingen kopia av Kundens personuppgifter. Språkmodellen får aldrig råa värden — endast abstrakta händelsetyper, antal och statistik ("No-Data-garantin").

3. Varaktighet

Behandlingen pågår under huvudavtalets löptid och upphör när det avslutas (se §10).

4. Kategorier av personuppgifter och registrerade

Behandlas inuti Noden, beroende på vilka anslutningar Kunden aktiverar:

Identifierande fält pseudonymiseras med SHA-256 av PII Guardian före lagring; direkta identifierare (namn, adress, e-post, personnummer, bankuppgifter) tas bort av Data Minimizer och lagras aldrig.

5. Dokumenterade instruktioner

ABN behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. ABN underrättar Kunden om en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning.

6. Konfidentialitet

ABN säkerställer att varje person som behandlar personuppgifter omfattas av lämplig tystnadsplikt.

7. Säkerhetsåtgärder (art. 32)

ABN bygger säkerhet i arkitekturen: lokal exekvering, dataminimering, SHA-256-pseudonymisering, No-Data LLM-gateway, sandlåde-isolering (Firecracker + Go-write-guard), mTLS med 24-timmars certifikatrotation, kryptering i transit och vila, samt fullständig spårbarhet via kundägda transparenstabeller och HMAC-signerade attesteringar.

8. Underbiträden

ABN anlitar de underbiträden som anges i Bilaga A och ålägger vart och ett samma dataskyddsskyldigheter genom avtal (art. 28.4). ABN informerar Kunden om planerade ändringar; Kunden får invända inom 30 dagar.

9. Bistånd till den ansvarige

ABN bistår Kunden med att besvara registrerades begäranden (art. 12–23) — i praktiken trivialt eftersom ABN inte har någon kopia — samt med säkerhet, incidentanmälan, konsekvensbedömning och förhandssamråd (art. 32–36).

10. Återlämning och radering

Vid avtalets slut raderar eller återlämnar ABN, enligt Kundens val, alla personuppgifter. Eftersom ABN inte har någon kopia uppfylls skyldigheten genom att Kunden avvecklar Noden.

11. Revision

ABN tillhandahåller all information som krävs för att visa att art. 28 efterlevs och möjliggör revisioner. Den kundägda revisionsloggen kan frågas direkt av Kunden när som helst.

12. Tredjelandsöverföringar

ABN överför inte kundens personuppgifter utanför kundmiljön och därmed inte utanför EU/EES. Eventuell framtida överföring kräver en giltig överföringsmekanism enligt kapitel V GDPR och Kundens skriftliga instruktion.

Bilaga A — Underbiträden

Last updated: May 2026 · ABN AB · Questions: legal@abnai.se Senast uppdaterad: maj 2026 · ABN AB · Frågor: legal@abnai.se