Databehandleraftale

Mellem parterne

Denne databehandleraftale (herefter "Aftalen") er indgået mellem:

Den Dataansvarlige

Din virksomhed, som oplyst ved oprettelse: virksomhedsnavn, CVR, adresse, kontaktperson og e-mail (herefter "Den Dataansvarlige").

Databehandleren

Virksomhed

SA Solutions ApS

CVR-nummer

46347137

Adresse

Assensvej 11, Roskilde

Kontaktperson

Jacob Arnmark

E-mail

info@sasolutions.dk

Produkt

SmartReceptionist (smartreceptionist.dk)

Den Dataansvarlige og Databehandleren benævnes hver for sig en "Part" og samlet "Parterne".

1. Indledning og formål

1.1 Denne Aftale fastlægger Parternes rettigheder og forpligtelser i forbindelse med Databehandlerens behandling af personoplysninger på vegne af Den Dataansvarlige som led i levering af SmartReceptionist-tjenesten (herefter "Tjenesten").

1.2 Tjenesten består af en AI-baseret kommunikationsassistent ("Otto") der automatisk besvarer SMS-henvendelser fra slutkunder ved missede opkald hos Den Dataansvarlige. Otto kommunikerer udelukkende via tekst (SMS) og foretager ikke tale-/lydoptagelser.

1.3 Aftalen har forrang i forhold til andre aftaler mellem Parterne, for så vidt angår spørgsmål om behandling af personoplysninger.

1.4 Aftalen er udarbejdet i overensstemmelse med GDPR artikel 28, stk. 3 og Datatilsynets vejledning om databehandleraftaler.

2. Definitioner

Begreber anvendt i denne Aftale har samme betydning som i GDPR. Følgende begreber anvendes herudover:

"Personoplysninger": Enhver form for information om en identificeret eller identificerbar fysisk person, der behandles som led i Tjenesten.

"Slutkunde": Den fysiske person, der retter henvendelse til Den Dataansvarlige og som modtager SMS-svar fra Otto.

"Underdatabehandler": Tredjepart, som Databehandleren anvender til at udføre dele af behandlingen på Databehandlerens vegne.

"Brud på persondatasikkerheden": Enhver hændelse som defineret i GDPR art. 4(12), herunder uautoriseret adgang, hændeligt tab, ændring eller videregivelse af Personoplysninger.

3. Behandlingens karakter, formål og varighed

3.1 Databehandleren må kun behandle Personoplysninger efter dokumenteret instruks fra Den Dataansvarlige. Den dokumenterede instruks fremgår af denne Aftale, særligt Bilag A og Bilag D, samt af de funktioner Den Dataansvarlige aktiverer i Tjenesten.

3.2 Behandlingens karakter, formål, varighed, kategorier af registrerede og typer af Personoplysninger fremgår af Bilag A.

3.3 Databehandleren skal straks underrette Den Dataansvarlige, hvis en instruks efter Databehandlerens mening er i strid med GDPR eller anden databeskyttelseslovgivning.

3.4 Aftalen er gyldig fra det tidspunkt, Den Dataansvarlige accepterer tjenestevilkårene (click-through) eller underskriver Aftalen og indtil kundeforholdet ophører, jf. punkt 13.

4. Databehandlerens forpligtelser

4.1 Databehandleren behandler kun Personoplysninger til de formål, der fremgår af denne Aftale og Den Dataansvarliges instruks.

4.2 Databehandleren sikrer, at personer, der er autoriseret til at behandle Personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

4.3 Databehandleren anvender ikke Personoplysninger til egne formål, herunder ikke til træning af AI-modeller, statistik, profilering eller markedsføring, uden Den Dataansvarliges udtrykkelige forudgående samtykke.

4.4 Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af GDPR art. 28, til rådighed for Den Dataansvarlige.

5. Sikkerhed

5.1 Databehandleren skal iværksætte passende tekniske og organisatoriske foranstaltninger til at sikre et beskyttelsesniveau, der passer til de risici, behandlingen indebærer, jf. GDPR art. 32.

5.2 De konkrete sikkerhedsforanstaltninger fremgår af Bilag B.

5.3 Sikkerhedsforanstaltningerne vurderes løbende og opdateres ved behov. Den Dataansvarlige orienteres om væsentlige ændringer.

6. Underdatabehandlere

6.1 Den Dataansvarlige giver hermed Databehandleren generel tilladelse til at anvende Underdatabehandlere som angivet i Bilag C.

6.2 Databehandleren skal indgå skriftlige databehandleraftaler med alle Underdatabehandlere, der pålægger dem samme forpligtelser med hensyn til databeskyttelse, som dem der gælder for Databehandleren i henhold til denne Aftale.

6.3 Hvis Databehandleren ønsker at tilføje eller udskifte en Underdatabehandler, skal Den Dataansvarlige varsles skriftligt (herunder via e-mail eller via Tjenestens dashboard) med mindst 30 dages varsel. Den Dataansvarlige har ret til at gøre indsigelse mod ændringen. Ved fortsat indsigelse kan Aftalen og kundeforholdet bringes til ophør af begge Parter.

6.4 Databehandleren forbliver fuldt ansvarlig over for Den Dataansvarlige for opfyldelsen af forpligtelserne i denne Aftale, uanset at en Underdatabehandler udfører dele af behandlingen.

7. Overførsler til tredjelande

7.1 Personoplysninger opbevares primært inden for EU/EØS hos Underdatabehandlere med EU-hosting (jf. Bilag C).

7.2 Visse behandlingsaktiviteter - herunder LLM-baseret indholdsgenerering via Anthropic (USA) - indebærer overførsel af Personoplysninger til USA. Sådanne overførsler sker på følgende juridiske grundlag: (a) Modtagerens certificering under EU-US Data Privacy Framework (DPF), og/eller (b) EU-Kommissionens standardkontraktbestemmelser (SCC, modul 2 og 3) indgået mellem Databehandleren og den pågældende Underdatabehandler.

7.3 Databehandleren har foretaget en konkret risikovurdering (Transfer Impact Assessment) af overførslerne til USA og vurderet, at beskyttelsesniveauet er passende, henset til behandlingens karakter (tekst-baserede henvendelser, ingen særlige kategorier indsamlet aktivt).

8. Bistand til Den Dataansvarlige

8.1 Databehandleren bistår, under hensyntagen til behandlingens karakter, Den Dataansvarlige med passende tekniske og organisatoriske foranstaltninger, så Den Dataansvarlige kan opfylde sin pligt til at besvare anmodninger fra registrerede, herunder ret til indsigt (art. 15), berigtigelse (art. 16), sletning (art. 17), begrænsning (art. 18) og dataportabilitet (art. 20).

8.2 Anmodninger fra registrerede, der modtages direkte af Databehandleren, videresendes uden ugrundet ophold til Den Dataansvarlige.

8.3 Databehandleren stiller selvbetjeningsværktøjer til rådighed i kundens dashboard (smartreceptionist.dk), så Den Dataansvarlige selv kan udføre søgning og sletning af data om enkelte Slutkunder.

8.4 Databehandleren bistår Den Dataansvarlige med at sikre overholdelse af GDPR art. 32-36, herunder ved gennemførelse af konsekvensanalyser (DPIA), i det omfang det er nødvendigt og rimeligt henset til Databehandlerens rolle og adgang til information.

9. Brud på persondatasikkerheden

9.1 Databehandleren underretter Den Dataansvarlige skriftligt uden ugrundet ophold og senest 72 timer efter at være blevet bekendt med et brud på persondatasikkerheden hos Databehandleren eller en Underdatabehandler.

9.2 Underretningen indeholder, i det omfang oplysningerne er tilgængelige: (a) Beskrivelse af bruddets karakter, herunder kategorier og omtrentligt antal berørte registrerede og registreringer, (b) Navn og kontaktoplysninger på Databehandlerens kontaktpunkt, (c) Beskrivelse af sandsynlige konsekvenser, (d) Beskrivelse af foranstaltninger truffet eller foreslået for at håndtere bruddet og begrænse skadevirkninger.

9.3 Databehandleren bistår Den Dataansvarlige med at opfylde dennes pligt til at anmelde brud til Datatilsynet (art. 33) og om nødvendigt underrette berørte registrerede (art. 34).

10. Sletning og tilbagelevering af data

10.1 Tjenestens data omfattes af følgende standard-sletteperioder, som kan tilpasses af Den Dataansvarlige i dashboardet:

10.2 Ved Aftalens ophør sletter eller tilbageleverer Databehandleren - efter Den Dataansvarliges valg - alle Personoplysninger, der er behandlet på vegne af Den Dataansvarlige, og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret kræver opbevaring.

10.3 Sletning gennemføres senest 30 dage efter kundeforholdets ophør. Backups slettes i overensstemmelse med ovenstående tabel.

10.4 Databehandleren udsteder på anmodning skriftlig bekræftelse på gennemført sletning.

11. Audit og inspektion

11.1 Databehandleren stiller alle oplysninger til rådighed, som er nødvendige for at påvise overholdelse af forpligtelserne i GDPR art. 28 og denne Aftale.

11.2 Den Dataansvarlige kan, med rimeligt varsel (minimum 30 dage) og maksimalt én gang årligt, foretage eller lade en uafhængig tredjepart foretage audit af Databehandlerens overholdelse af Aftalen. Audit gennemføres på en måde, der ikke unødigt forstyrrer Databehandlerens drift.

11.3 Den Dataansvarlige bærer egne omkostninger ved audit. Hvis audit påviser væsentlig misligholdelse fra Databehandlerens side, bærer Databehandleren rimelige omkostninger.

11.4 Som alternativ til fysisk audit kan Databehandleren fremlægge tredjepartsattester, certificeringer eller revisorerklæringer (fx ISAE 3000, ISO 27001) til dokumentation af compliance.

12. Ansvar og erstatning

12.1 Parterne hæfter over for hinanden efter dansk rets almindelige regler, med de begrænsninger der følger af denne Aftale.

12.2 Databehandlerens samlede erstatningsansvar over for Den Dataansvarlige under denne Aftale, uanset årsag og uanset om kravet rejses i kontrakt, deliktansvar eller andet grundlag, er begrænset til DKK 1.500 (femtenhundrede danske kroner) i alt.

12.3 Ansvarsbegrænsningen i punkt 12.2 gælder ikke ved forsætlig eller groft uagtsom adfærd, eller hvor præceptiv lovgivning forhindrer det.

12.4 Ingen Part er ansvarlig for indirekte tab eller følgeskader, herunder driftstab, tabt fortjeneste eller goodwill-skader.

12.5 Hvor begge Parter er ansvarlige overfor en registreret eller tilsynsmyndighed, fordeles ansvaret indbyrdes efter graden af den enkelte Parts skyld, jf. GDPR art. 82.

13. Aftalens varighed og opsigelse

13.1 Aftalen træder i kraft ved Den Dataansvarliges accept (click-through eller underskrift) og er gyldig så længe kundeforholdet består.

13.2 Aftalen ophører automatisk ved kundeforholdets ophør.

13.3 Bestemmelser, der efter deres natur er ment at gælde efter ophør (herunder slette-forpligtelser, fortrolighed og ansvarsbegrænsning) forbliver i kraft.

13.4 Databehandleren kan ensidigt opdatere Aftalen ved væsentlige ændringer (fx ny lovgivning, nye Underdatabehandlere) med 30 dages skriftligt varsel. Den Dataansvarlige kan i tilfælde af materielle ændringer opsige kundeforholdet uden ekstra omkostning.

14. Lovvalg og værneting

14.1 Aftalen er underlagt dansk ret.

14.2 Tvister mellem Parterne afgøres ved Sø- og Handelsretten i København som første instans. Dette berører ikke Den Dataansvarliges ret til at anlægge sag ved værnetinget for sit hjemsted, hvis dette følger af præceptiv ret.

15. Accept

Aftalen accepteres digitalt ved click-through i Tjenestens sign-up flow, når du opretter dig på smartreceptionist.dk, i den til enhver tid gældende version. Aftalen kan også indgås ved fysisk/elektronisk underskrift efter aftale.

Bilag A - Oplysninger om behandlingen

A.1 Formål: Levering af SmartReceptionist-tjenesten, herunder automatisk besvarelse af SMS-henvendelser fra Slutkunder ved missede opkald, registrering af leads/henvendelser, og videregivelse af disse til Den Dataansvarlige via tjenestens dashboard.

A.2 Behandlingens karakter: Indsamling, lagring, organisering, søgning og videregivelse af tekstbaserede Personoplysninger samt LLM-baseret generering af tekstsvar.

A.3 Typer af personoplysninger: Identifikationsdata (navn, telefonnummer), kontaktdata (eventuel e-mail eller adresse hvis oplyst af Slutkunde), henvendelsesindhold (SMS-tekst frit indtastet af Slutkunde), booking-/serviceinformation (ønsket ydelse, ønsket tidspunkt) og tekniske data (tidsstempler, opkaldsmetadata).

A.4 Særlige kategorier: Tjenesten er ikke designet til at indsamle særlige kategorier af Personoplysninger (GDPR art. 9). Hvis en Slutkunde spontant oplyser sådanne data (fx helbredsoplysninger), behandles disse alene som led i den konkrete henvendelse og slettes efter samme regler som almindelige henvendelser.

A.5 Kategorier af registrerede: Fysiske personer (Slutkunder) der retter henvendelse til Den Dataansvarliges virksomhed via telefon/SMS.

A.6 Varighed: Indtil kundeforholdet mellem Parterne ophører, med de slette-regler der fremgår af Aftalens punkt 10.

Bilag B - Tekniske og organisatoriske foranstaltninger

B.1 Adgangskontrol: Tofaktorautentificering (2FA) på administrative konti; princippet om mindste privilegium; row-level security i database, så hver kunde kun har adgang til egne data; adgangslog (audit log) over administrative handlinger.

B.2 Kryptering: TLS 1.2+ under transport; kryptering at-rest af databaser og backups (AES-256 eller tilsvarende); sikker håndtering af API-nøgler og credentials via miljøvariabler og secret management.

B.3 Driftssikkerhed: Automatiske backups med 35 dages opbevaring; monitorering af tilgængelighed og fejlrater; versionsstyring (Git); adskillelse af produktions- og testmiljøer.

B.4 Personalehåndtering: Fortrolighedserklæring for alle med adgang til kundedata; adgang fjernes umiddelbart ved fratrædelse.

B.5 Beredskab ved sikkerhedsbrud: Intern procedure for identifikation, vurdering og underretning inden for 72 timer; udpeget kontaktperson; logning af hændelser til dokumentation.

Bilag C - Underdatabehandlere

Den aktuelle liste over godkendte Underdatabehandlere findes på smartreceptionist.dk/underdatabehandlere. Den Dataansvarlige kan abonnere på e-mail-notifikationer ved ændringer.

Bilag D - Instruks for behandlingen

D.1 Tilladte behandlingsaktiviteter: Modtagelse af missede opkald og automatisk afsendelse af SMS-svar til den ringende Slutkunde; generering af kontekstuelle SMS-svar via AI (Otto) baseret på samtalehistorik med den pågældende Slutkunde; registrering af henvendelsens detaljer (navn, kontaktoplysninger, ønsket ydelse) som lead i dashboardet; notifikation om nye henvendelser; opbevaring af samtalehistorik i de perioder, der fremgår af punkt 10.

D.2 Ikke tilladte behandlingsaktiviteter: Anvendelse af Slutkunders Personoplysninger til Databehandlerens egne formål, herunder ikke til træning af AI-modeller; profilering eller automatiske afgørelser med retsvirkning for Slutkunden; videregivelse til andre tredjeparter end de godkendte Underdatabehandlere; markedsføring overfor Slutkunden i Databehandlerens navn.

D.3 Ændring af instruks: Den Dataansvarlige kan til enhver tid ændre instruksen ved skriftlig meddelelse til Databehandleren. Hvis ændringen kræver væsentlig teknisk tilpasning, kan Databehandleren kræve rimelig betaling herfor.