Databehandleraftale

Denne databehandleraftale ("Aftalen") er indgået mellem:

Dataansvarlig:
[Håndværker-virksomhedens fulde navn]
CVR-nr.: [udfyldes ved oprettelse af konto]
("Dataansvarlig" eller "Kunden")

og

Databehandler:
Mesterio ApS (under stiftelse)
CVR-nr.: [udfyldes ved stiftelse]
[Registreret adresse — udfyldes ved stiftelse]
("Databehandler" eller "Mesterio")

hver for sig en "Part" og samlet "Parterne".

1.1 Dataansvarlig anvender Mesterios softwareprodukt "AI Mester" ("Tjenesten") til at modtage, analysere og besvare henvendelser fra Dataansvarliges egne kunder, herunder administration af sager, kalenderaftaler og — hvis aktivt tilvalgt — sammenkobling med Dataansvarliges eget regnskabssystem.

1.2 I forbindelse med Tjenesten behandler Databehandler personoplysninger på vegne af Dataansvarlig. Denne Aftale fastlægger Parternes rettigheder og forpligtelser i forbindelse med denne behandling, jf. artikel 28 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (databeskyttelsesforordningen, herefter "GDPR").

1.3 Aftalen udgør et bilag til og er en integreret del af de Vilkår for brug af AI Mester, som Dataansvarlig har accepteret ved oprettelse af en konto. Ved uoverensstemmelse mellem denne Aftale og Vilkårene har denne Aftale forrang for så vidt angår behandling af personoplysninger.

2.1 Begreberne "personoplysninger", "behandling", "dataansvarlig", "databehandler", "registrerede", "brud på persondatasikkerheden" og "tredjeland" har den betydning, der følger af GDPR artikel 4.

2.2 "Underdatabehandler" betyder en anden databehandler, som Databehandler antager til at behandle personoplysninger på vegne af Dataansvarlig som led i leveringen af Tjenesten.

3.1 Aftalen regulerer Databehandlers behandling af personoplysninger på vegne af Dataansvarlig i forbindelse med levering af Tjenesten. Bilag 1 indeholder en nærmere beskrivelse af behandlingens genstand.

3.2 Aftalen træder i kraft samtidig med Dataansvarliges oprettelse af en konto i Tjenesten og er gældende, så længe Databehandler behandler personoplysninger på vegne af Dataansvarlig, herunder i perioden hvor en konto er inaktiv, men endnu ikke slettet.

4.1 Formålet med behandlingen er at levere Tjenesten til Dataansvarlig, herunder:

• at modtage og analysere indkommende kundehenvendelser ved hjælp af kunstig intelligens;
• at udarbejde forslag til svar, som Dataansvarlig selv godkender, redigerer eller afviser før afsendelse;
• at vedligeholde et sagsoverblik og en kundehistorik for Dataansvarlig;
• at understøtte planlægning af aftaler, herunder eventuel synkronisering til Dataansvarliges medarbejderes kalendere;
• at understøtte — hvis Dataansvarlig aktivt tilvælger det — en sammenkobling mellem Dataansvarliges sager og Dataansvarliges eget regnskabssystem (aktuelt Billy).

4.2 Behandlingen sker udelukkende elektronisk og omfatter indsamling, registrering, systematisering, opbevaring, tilpasning, søgning, brug, videregivelse (til underdatabehandlere, jf. pkt. 10) og sletning.

4.3 Databehandler behandler ikke personoplysninger til andre formål end levering af Tjenesten, medmindre andet følger af lovgivningen, eller Dataansvarlig har givet forudgående skriftligt samtykke.

5.1 Behandlingen omfatter personoplysninger om følgende kategorier af registrerede:

• Dataansvarliges kunder, som retter henvendelse til Dataansvarlig;
• andre kontaktpersoner, som Dataansvarliges kunder måtte nævne i en henvendelse (fx en ægtefælle, lejer eller nabo);
• Dataansvarliges egne medarbejdere, i det omfang deres kontaktoplysninger og kalenderdata registreres i Tjenesten.

6.1 Behandlingen omfatter almindelige personoplysninger, herunder:

• navn
• telefonnummer
• e-mailadresse
• adresse
• indholdet af den enkelte henvendelse (fritekst)
• oplysninger om den bestilte opgave, herunder detaljer kunden selv oplyser (fx husstandens sammensætning, ønsket tidspunkt)

6.2 Databehandler behandler ikke bevidst særlige kategorier af personoplysninger (jf. GDPR artikel 9) eller oplysninger om strafbare forhold. Dataansvarlig er ansvarlig for ikke selv at indtaste sådanne oplysninger i Tjenesten. Databehandler kan ikke kontrollere indholdet af en kundes henvendelse på forhånd, og fjerner efter anmodning sådanne oplysninger, hvis de undtagelsesvist måtte forekomme.

7.1 Databehandler behandler alene personoplysninger efter dokumenteret instruks fra Dataansvarlig, jf. GDPR artikel 28, stk. 3, litra a. Denne Aftale, sammen med Dataansvarliges løbende brug af Tjenestens funktioner, udgør den dokumenterede instruks.

7.2 Databehandler underretter straks Dataansvarlig, hvis en instruks efter Databehandlers opfattelse er i strid med GDPR eller anden databeskyttelseslovgivning.

7.3 Er Databehandler retligt forpligtet til at behandle personoplysninger på anden vis, underretter Databehandler Dataansvarlig om dette retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

8.1 Databehandler sikrer, at alle medarbejdere og andre personer, der handler under Databehandlers instruktionsbeføjelse, og som har adgang til personoplysninger, er underlagt en passende tavshedspligt, der består også efter ansættelsens/aftalens ophør.

9.1 Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene for registreredes rettigheder, jf. GDPR artikel 32, har Databehandler gennemført følgende tekniske og organisatoriske foranstaltninger:

• Data-isolation mellem kunder: databasen anvender Row Level Security (RLS), som teknisk håndhæver, at én kundes data aldrig kan tilgås i forbindelse med en anden kundes forespørgsler, uafhængigt af fejl i applikationskoden.
• Kryptering: adgangsnøgler og tokens til tredjepartsintegrationer opbevares krypteret (AES-256-GCM) og aldrig i klartekst.
• Adgangskoder opbevares udelukkende som saltede, envejs-hashede værdier (bcrypt), aldrig i klartekst.
• Al kommunikation mellem brugerens browser og Tjenesten sker krypteret (HTTPS/TLS).
• Adgang til Tjenesten kræver login, og data er isoleret pr. virksomhed.
• Rate-begrænsning på offentligt tilgængelige endpoints for at begrænse misbrug og automatiserede angreb.
• Løbende egenkontrol og opdatering af sikkerhedsforanstaltninger i takt med Tjenestens udvikling.

9.2 Bilag 2 indeholder en nærmere beskrivelse af de tekniske og organisatoriske foranstaltninger.

10.1 Dataansvarlig giver hermed Databehandler en generel godkendelse til at gøre brug af underdatabehandlere til opfyldelse af Aftalen, jf. GDPR artikel 28, stk. 2.

10.2 Databehandler anvender på tidspunktet for denne Aftales indgåelse de underdatabehandlere, der fremgår af Bilag 3.

10.3 Databehandler underretter Dataansvarlig om enhver påtænkt ændring vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel, hvorved Dataansvarlig gives mulighed for at gøre indsigelse. Gør Dataansvarlig indsigelse, og kan Parterne ikke opnå enighed, er Dataansvarlig berettiget til at opsige sin konto i Tjenesten uden yderligere binding.

10.4 Databehandler sikrer, at der indgås en skriftlig aftale med enhver underdatabehandler, som pålægger denne de samme databeskyttelsesforpligtelser som dem, Databehandler er underlagt efter denne Aftale.

10.5 Databehandler er fuldt ansvarlig over for Dataansvarlig for underdatabehandleres opfyldelse af deres forpligtelser.

11.1 Dataansvarliges data opbevares som udgangspunkt hos en underdatabehandler med serverplacering i EU/EØS (jf. Bilag 3).

11.2 I det omfang en underdatabehandler er etableret uden for EU/EØS, eller overfører oplysninger dertil, sker dette alene på grundlag af et gyldigt overførselsgrundlag efter GDPR kapitel V, herunder EU-Kommissionens standardkontraktbestemmelser (SCC) og/eller den pågældende leverandørs certificering under EU-U.S. Data Privacy Framework, hvor relevant — jf. Bilag 3 for det konkrete grundlag pr. underdatabehandler.

12.1 Under hensyntagen til behandlingens karakter bistår Databehandler, så vidt muligt, Dataansvarlig ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af Dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af registreredes rettigheder efter GDPR kapitel III (indsigt, berigtigelse, sletning, begrænsning og dataportabilitet). Tjenesten stiller selv funktioner til rådighed for Dataansvarlig til direkte at slette eller anonymisere en kundes data.

12.2 Databehandler bistår endvidere Dataansvarlig med at sikre overholdelse af forpligtelserne i GDPR artikel 32-36 (sikkerhed, brud på persondatasikkerheden, konsekvensanalyser og forudgående høring), under hensyntagen til behandlingens art og de oplysninger, der er tilgængelige for Databehandler.

13.1 Databehandler underretter uden unødig forsinkelse, og under alle omstændigheder senest 48 timer efter at være blevet opmærksom herpå, Dataansvarlig om ethvert brud på persondatasikkerheden vedrørende personoplysninger, som Databehandler behandler på vegne af Dataansvarlig.

13.2 Underretningen skal, i det omfang det er muligt, indeholde de oplysninger, der er nødvendige for, at Dataansvarlig kan opfylde sin egen underretningspligt efter GDPR artikel 33-34, herunder karakteren af bruddet, de sandsynlige konsekvenser og de foranstaltninger, Databehandler har truffet eller foreslår truffet for at afhjælpe bruddet.

14.1 Ved ophør af Dataansvarliges brug af Tjenesten, uanset årsag, sletter Databehandler efter Dataansvarliges valg alle personoplysninger eller tilbageleverer dem til Dataansvarlig i et almindeligt anvendt, læsbart format, og sletter derefter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.

14.2 Sletning sker senest 90 dage efter kontoens ophør, medmindre Dataansvarlig forinden har anmodet om eksport af data.

15.1 Databehandler stiller efter anmodning alle oplysninger til rådighed for Dataansvarlig, der er nødvendige for at påvise overholdelsen af de forpligtelser, der er fastsat i GDPR artikel 28 og i denne Aftale, og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af Dataansvarlig eller en revisor bemyndiget af Dataansvarlig, med rimeligt varsel og under hensyntagen til driftsmæssige hensyn.

16.1 Hver Part er ansvarlig for egne overtrædelser af GDPR og denne Aftale i overensstemmelse med gældende ret.

16.2 Databehandlers ansvar over for Dataansvarlig i medfør af denne Aftale er underlagt de ansvarsbegrænsninger, der i øvrigt måtte følge af Vilkårene for brug af Tjenesten, i det omfang sådanne begrænsninger er gyldige efter gældende ret.

17.1 Aftalen træder i kraft på det tidspunkt, der er angivet i punkt 3.2.

17.2 Databehandler kan ændre denne Aftale for at afspejle ændringer i Tjenesten, underdatabehandlere eller gældende lovgivning. Væsentlige ændringer varsles med mindst 30 dages forudgående varsel.

17.3 Denne Aftale er underlagt dansk ret. Enhver tvist, der udspringer af eller relaterer sig til denne Aftale, skal afgøres ved [Databehandlers hjemting — udfyldes ved stiftelse], jf. retsplejelovens almindelige regler herom.

18.1 Denne Aftale indgås elektronisk og kræver ikke fysisk underskrift. Dataansvarlig accepterer Aftalen ved aktivt at afkrydse en bekræftelse herom i forbindelse med oprettelse af en konto i Tjenesten, jf. punkt 1.3 og 3.2. Et sådant elektronisk samtykke har samme retsvirkning som en fysisk underskrift mellem erhvervsdrivende parter.

18.2 Dataansvarlig kan til enhver tid anmode om en kopi af den til enhver tid gældende Aftale, herunder oplysning om tidspunktet for accept, ved henvendelse til Databehandler.

Uddybning af punkt 9. Foranstaltningerne udvikles løbende i takt med Tjenesten; denne beskrivelse afspejler status pr. sidste opdatering af denne side.

• Row Level Security (RLS) på databaseniveau — tenant-isolation håndhæves af databasen selv, ikke kun af applikationslogik.
• Kryptering af følsomme tokens/nøgler i hvile (AES-256-GCM med unik initialiseringsvektor pr. kryptering).
• Adgangskode-hashing med bcrypt (saltet, envejs).
• TLS-kryptering af al trafik mellem klient og server.
• Session-baseret autentificering; ingen adgang til data uden gyldig, aktiv session.
• Rate-begrænsning på autentificerings- og webhook-endepunkter.
• Adskillelse af driftsmiljøer (udvikling/produktion) med separate adgangsnøgler og databaser.
• Løbende gennemgang af adgangsrettigheder og tredjepartsintegrationer.

Se afsnit 10-11 ovenfor for de generelle vilkår, der gælder for brug af underdatabehandlere.

Bemærkning om Billy: Vælger Dataansvarlig aktivt at forbinde sin egen konto hos Billy (leveret af Billys Billing ApS) til Tjenesten, sker dette ved at Dataansvarlig selv stiller en adgangsnøgle til rådighed. Billy er i den forbindelse ikke en underdatabehandler antaget af Mesterio, men et selvstændigt databehandlerforhold, som Dataansvarlig allerede har eller selv indgår direkte med Billy. Mesterio anbefaler, at Dataansvarlig sikrer sig en egen databehandleraftale med Billy for dette forhold.