Databehandleraftale

Standardkontraktsbestemmelser i henhold til artikel 28, stk. 3, i forordning 2016/679 (databeskyttelsesforordningen) med henblik på databehandlerens behandling af personoplysninger.

Mellem

[Navn på Kunden/Virksomheden]

CVR: [Kundens CVR-nr]

[Adresse]

[Postnr. og By]

(herefter "Den Dataansvarlige")

og

Ambienta ApS (binavn Skribler ApS) Højtoftevej 9B, 8240 Risskov, CVR: 46165608 (herefter "Skribler")

(herefter "Databehandleren")

hver især benævnt en "Part" og under ét "Parterne".

1. Præambel

1. Disse Bestemmelser fastsætter Databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af Den Dataansvarlige.
2. Disse Bestemmelser er udformet med henblik på Parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Databeskyttelsesforordningen).
3. I forbindelse med leveringen af tjenesten "Skribler" (AI-assistent og transskribering), behandler Databehandleren personoplysninger på vegne af Den Dataansvarlige i overensstemmelse med disse Bestemmelser.
4. Der hører fire bilag til disse Bestemmelser. Bilagene udgør en integreret del af Bestemmelserne.
5. Bilag A indeholder nærmere oplysninger om behandlingen af personoplysninger.
6. Bilag B indeholder Den Dataansvarliges betingelser for Databehandlerens brug af underdatabehandlere samt en liste over godkendte underdatabehandlere.
7. Bilag C indeholder instruks for behandlingen og beskrivelse af sikkerhedsforanstaltninger.
8. Bilag D indeholder bestemmelser vedrørende andre aktiviteter (f.eks. vederlag).

2. Den Dataansvarliges rettigheder og forpligtelser

1. Den Dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med Databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.
2. Den Dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.
3. Den Dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som Databehandleren instrueres i at foretage.

3. Databehandleren handler efter instruks

1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra Den Dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som Databehandleren er underlagt. Denne instruks skal være specificeret i Bilag A og C.
2. Databehandleren underretter omgående Den Dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

4. Fortrolighed

1. Databehandleren må kun give adgang til personoplysninger, som behandles på Den Dataansvarliges vegne, til personer, som er underlagt Databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang.

5. Behandlingssikkerhed

1. Databehandleren skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risiciene ved behandlingen, jf. Databeskyttelsesforordningens artikel 32.
2. De specifikke sikkerhedsforanstaltninger er beskrevet i Bilag C.

6. Anvendelse af underdatabehandlere

1. Databehandleren må ikke gøre brug af en underdatabehandler til opfyldelse af disse Bestemmelser uden forudgående generel skriftlig godkendelse fra Den Dataansvarlige.
2. Databehandleren har Den Dataansvarliges generelle godkendelse til brug af underdatabehandlere. Listen over underdatabehandlere, som Den Dataansvarlige allerede har godkendt, fremgår af Bilag B.
3. Databehandleren skal underrette Den Dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel.

7. Overførsel til tredjelande

1. Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af Databehandleren på baggrund af dokumenteret instruks herom fra Den Dataansvarlige og skal altid ske i overensstemmelse med Databeskyttelsesforordningens kapitel V.

8. Bistand til Den Dataansvarlige

1. Databehandleren bistår Den Dataansvarlige med opfyldelse af dennes forpligtelser til at besvare anmodninger om udøvelsen af de registreredes rettigheder (indsigt, sletning m.v.).
2. Databehandleren bistår Den Dataansvarlige med at sikre overholdelse af forpligtelserne vedrørende behandlingssikkerhed, anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden, underretning af den registrerede om brud på persondatasikkerheden samt konsekvensanalyser vedrørende databeskyttelse.

9. Underretning om brud på persondatasikkerheden

1. Databehandleren underretter uden unødig forsinkelse Den Dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden.

10. Sletning og returnering af oplysninger

1. Ved ophør af tjenesterne vedrørende behandling af personoplysninger er Databehandleren forpligtet til, efter Den Dataansvarliges valg, at slette eller tilbagelevere alle personoplysninger til Den Dataansvarlige samt slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring.

11. Revision og inspektion

1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af artikel 28 og disse Bestemmelser, til rådighed for Den Dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af Den Dataansvarlige eller en anden revisor bemyndiget af denne.

12. Ikrafttræden og ophør

1. Bestemmelserne træder i kraft ved underskrift og gælder så længe tjenesten leveres.

Dato: [Dato]

For Den Dataansvarlige:

[Navn og Titel]

For Databehandleren (Ambienta ApS):

[Navn og Titel]

BILAG A: Oplysninger om behandlingen

A.1. Formålet med behandlingen Formålet er at levere tjenesten "Skribler", som er en AI-assistent, der optager lyd, transskriberer denne og foretager efterbehandling (post-processing) for at skabe strukturerede notater eller resuméer til Den Dataansvarlige.

A.2. Behandlingens karakter Behandlingen omfatter indsamling, registrering, organisering, opbevaring (hosting), automatisk behandling (AI/transskribering), videregivelse (til underdatabehandlere) og sletning.

A.3. Typer af personoplysninger Behandlingen omfatter typisk følgende typer af personoplysninger:

• Lydoptagelser (stemme).
• Navne, titler og kontaktoplysninger nævnt i optagelserne.
• Log-data (IP-adresser, metadata for brug af applikationen).

Afhængigt af Den Dataansvarliges brug (sæt kryds): [ ] Almindelige personoplysninger (GDPR art. 6) [ ] Følsomme personoplysninger (GDPR art. 9) - f.eks. helbredsoplysninger, hvis Skribler anvendes i sundhedssektoren.

A.4. Kategorier af registrerede

• Den Dataansvarliges medarbejdere (brugere af systemet).
• Personer, der optræder på lydoptagelserne (f.eks. Den Dataansvarliges kunder, patienter eller klienter).

BILAG B: Underdatabehandlere

B.1. Godkendte underdatabehandlere Ved aftalens indgåelse har Den Dataansvarlige godkendt brugen af følgende underdatabehandlere:

B.2. Varsling om ændringer Databehandleren kan udskifte eller tilføje underdatabehandlere ved at varsle Den Dataansvarlige skriftligt (f.eks. via e-mail eller notifikation i applikationen) med 30 dages varsel.

BILAG C: Instruks og Sikkerhed

C.1. Behandlingens genstand Databehandleren instrueres i at behandle lydfiler og tekstdata udelukkende med det formål at levere de funktionaliteter, der er indeholdt i Skribler-applikationen. Data behandles kun kortvarigt for at gennemføre transskribering og strukturering (Brief Processing).

C.2. Behandlingssikkerhed (Tekniske og organisatoriske foranstaltninger) Databehandleren har implementeret følgende sikkerhedsforanstaltninger:

1. Kryptering:
   • In transit: Al dataoverførsel mellem klient (webapp) og servere (Hostinger/Supabase) sker via krypterede forbindelser (TLS/SSL).
   • At rest: Data i databasen (Supabase) og fil-lagring er krypteret på disken (AES-256 eller tilsvarende).
2. Adgangskontrol:
   • Adgang til produktionsdata er begrænset til nøglemedarbejdere hos Ambienta ApS med et arbejdsbetinget behov.
   • Anvendelse af Multi-Factor Authentication (MFA) til administrative systemer.
3. Backup:
   • Der foretages daglig backup af databasen for at sikre tilgængelighed.
4. Logging:
   • Systemet logger adgang til data for at sikre sporbarhed i tilfælde af sikkerhedsbrud.

C.3. Sletning

• Lydfiler og midlertidige transskriptioner slettes automatisk fra serveren efter gennemført transskribering og post-processing (eller senest efter 4 timer), medmindre kunden aktivt vælger en anden indstilling i applikationen.

C.4. Overførsel til tredjelande Det er aftalt, at primær opbevaring og behandling af data sker inden for EU/EØS. Da visse underdatabehandlere (Supabase, Inc. og Microsoft Corp via det irske datterselskab) har moderselskaber i USA, opretholdes nedenstående overførselsgrundlag for at sikre lovlighed i tilfælde af supportadgang eller koncernintern behandling:

• EU-U.S. Data Privacy Framework (DPF): Både Microsoft og relevante underleverandører til Supabase (typisk AWS) er certificeret under DPF, hvilket sikrer et tilstrækkeligt beskyttelsesniveau.
• Alternativt anvendes EU-Kommissionens Standardkontraktbestemmelser (SCC), såfremt DPF ikke finder anvendelse.

BILAG D: Andre forhold

D.1. Vederlag for ekstraordinær bistand Såfremt Databehandleren skal yde bistand til Den Dataansvarlige, der går ud over almindelig support eller lovpligtig basal bistand, er Databehandleren berettiget til at fakturere herfor efter gældende timepriser.