Databehandleraftale

Parter

Dataansvarlig ("Kunden")

Databehandler ("Alvoru")

Herefter i fællesskab: "Parterne".

I betragtning af at

• Parterne har indgået en hovedaftale, hvori Alvoru som Databehandler behandler personoplysninger på vegne af Kunden (herefter: "Hovedaftalen");
• der i henhold til artikel 28, stk. 3 GDPR kræves en skriftlig databehandleraftale, hvori der er fastlagt aftaler om, hvordan Databehandleren behandler personoplysninger;
• denne databehandleraftale (herefter: "DPA") udgør en integreret del af Hovedaftalen.

Artikel 1 — Definitioner

De begreber, der i denne DPA er skrevet med stort begyndelsesbogstav, har den betydning, der tillægges dem i GDPR, suppleret med definitionerne i Alvorus handelsbetingelser.

Artikel 2 — Genstand og varighed

2.1 Denne DPA regulerer Alvorus behandling af personoplysninger på vegne af Kunden inden for rammerne af Hovedaftalen.

2.2 Denne DPA træder i kraft på den dato, hvor Hovedaftalen begynder, og ophører automatisk ved ophør af Hovedaftalen, uden at dette berører de bestemmelser, der efter deres natur er beregnet til fortsat at gælde.

Artikel 3 — Behandlingens art og formål

3.1 Behandlingens art og formål består i at levere den i Hovedaftalen beskrevne Tjeneste (AI-kundeservice, herunder chatbot, e-mail og kalender).

3.2 Alvoru behandler kun personoplysninger efter dokumenteret instruks fra Kunden, medmindre andet følger af lovgivningen (art. 28, stk. 3, litra a GDPR). I sidstnævnte tilfælde underretter Alvoru Kunden om behandlingen, medmindre den pågældende lov af tungtvejende grunde forbyder dette.

Artikel 4 — Typen af personoplysninger og kategorier af registrerede

Særlige kategorier af personoplysninger (art. 9 GDPR) og oplysninger om strafbare forhold (art. 10 GDPR) behandles ikke, medmindre andet er skriftligt aftalt.

Artikel 5 — Databehandlerens forpligtelser

5.1 Alvoru behandler kun personoplysninger til de formål, der er fastlagt i Hovedaftalen og denne DPA, og efter skriftlig instruks fra Kunden.

5.2 Alvoru sikrer, at personer, der behandler personoplysninger, har tavshedspligt, enten i henhold til loven eller i henhold til en aftale.

5.3 Alvoru yder Kunden, under hensyntagen til behandlingens art, rimelig bistand med at imødekomme anmodninger fra de registrerede om at udøve deres rettigheder i henhold til GDPR.

5.4 Alvoru stiller alle oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelse af artikel 28 GDPR.

5.5 AI-træningsforbud. Alvoru vil aldrig bruge de personoplysninger, som den behandler på vegne af den Dataansvarlige, til at træne, finjustere eller på anden måde forbedre AI-modeller, ej heller til at udvikle egne eller tredjeparts AI-applikationer.

Artikel 6 — Sikkerhedsforanstaltninger (artikel 32 GDPR)

Alvoru træffer passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der er afstemt efter risikoen, herunder:

• Kryptering under transport (TLS 1.2+) og hvor relevant kryptering i hvile;
• Adgangskontrol på grundlag af least privilege; tofaktor-autentificering for administratorer;
• Firewalls, fail2ban og intrusion monitoring;
• Daglige krypterede backups med en opbevaringsperiode på maksimalt 90 dage;
• Restriktive filrettigheder (600) på konfigurations- og datafiler;
• Logning og overvågning af adgang til produktionssystemer;
• Periodisk evaluering og opdatering af sikkerhedsforanstaltninger.

Artikel 7 — Underdatabehandlere

7.1 Kunden giver Alvoru en generel skriftlig tilladelse til at anvende underdatabehandlere, forudsat at Alvoru overholder de øvrige bestemmelser i denne artikel.

7.2 De aktuelt anvendte underdatabehandlere er:

7.3 Alvoru pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som er indeholdt i denne DPA (artikel 28, stk. 4, GDPR).

7.4 Alvoru informerer Kunden mindst 14 dage i forvejen om udskiftning eller tilføjelse af underdatabehandlere. Kunden kan inden for denne frist gøre begrundet indsigelse. Ved berettiget indsigelse har Kunden ret til at opsige Hovedaftalen omkostningsfrit.

Artikel 8 — Overførsel uden for EØS

Overførsel af personoplysninger til et land uden for Det Europæiske Økonomiske Samarbejdsområde sker udelukkende på grundlag af en tilstrækkelighedsafgørelse (art. 45 GDPR), bindende virksomhedsregler, EU-standardkontraktbestemmelser (art. 46, stk. 2, litra c, GDPR) eller en anden garanti, der er fastsat i GDPR, suppleret med yderligere tekniske og organisatoriske foranstaltninger, hvor det er påkrævet.

Artikel 9 — De registreredes rettigheder

9.1 Alvoru yder Kunden passende støtte ved behandling af anmodninger fra registrerede (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse) gennem tekniske funktioner i kundeportalen og, hvor det er nødvendigt, yderligere bistand.

9.2 Alvoru videresender uden unødig forsinkelse anmodninger fra registrerede, der modtages direkte hos Alvoru, til Kunden.

Artikel 10 — Databrud

10.1 Alvoru informerer Kunden uden unødig forsinkelse og senest inden for 48 timer efter konstatering af et brud på persondatasikkerheden (art. 33, stk. 2, GDPR), så Kunden rettidigt kan opfylde sin anmeldelsespligt inden for 72 timer til tilsynsmyndigheden.

10.2 Anmeldelsen indeholder under alle omstændigheder: karakteren af bruddet, kategorierne og antallet af registrerede, kategorierne og antallet af berørte poster, de sandsynlige konsekvenser og de trufne eller foreslåede foranstaltninger.

10.3 Alvoru yder Kunden passende bistand ved anmeldelsen til tilsynsmyndigheden og, hvor det er relevant, til de registrerede.

Artikel 11 — Audit

11.1 Kunden kan én gang pr. kalenderår, efter forudgående skriftligt varsel på mindst 30 dage, for egen regning (lade) gennemføre en audit af Alvorus overholdelse af denne DPA.

11.2 Auditten gennemføres af en uafhængig auditor, der er underlagt tavshedspligt, i kontortiden og på en måde, der ikke forstyrrer Alvorus normale drift.

11.3 Alvoru kan i stedet for en on-site audit nøjes med en aktuel rapport fra en uafhængig tredjepart (for eksempel ISO 27001 eller SOC 2), forudsat at denne rapport med rimelighed giver tilstrækkelig sikkerhed.

Artikel 12 — Opsigelse og sletning af data

12.1 Efter opsigelse af Hovedaftalen vil Alvoru, efter Kundens valg og på første skriftlige anmodning, slette eller tilbagelevere alle personoplysninger til Kunden i overensstemmelse med artikel 28, stk. 3, litra g, GDPR.

12.2 En sådan anmodning kan indgives inden for 60 dage efter opsigelsen. I mangel heraf slettes data automatisk efter 60 dage.

12.3 Offline-backups slettes i overensstemmelse med det almindelige rotationsskema senest 90 dage efter opsigelsen.

12.4 Data, som Alvoru i henhold til loven skal opbevare, opbevares i den lovpligtige periode.

Artikel 13 — Ansvar

13.1 Alvorus ansvar under denne DPA er omfattet af og begrænset af ansvarsbestemmelserne i de Almindelige Betingelser, der hører til Hovedaftalen.

13.2 Ufravigelige bestemmelser i GDPR berøres ikke heraf.

Artikel 13a — Fortegnelse over behandlingsaktiviteter

Alvoru fører en fortegnelse over behandlingsaktiviteter i overensstemmelse med artikel 30 GDPR. Denne fortegnelse indeholder under alle omstændigheder: navn og kontaktoplysninger på Alvoru som databehandler, kategorierne af behandlinger, der udføres på vegne af dataansvarlige, overførsler til tredjelande og de anvendte garantier samt en generel beskrivelse af tekniske og organisatoriske sikkerhedsforanstaltninger. Fortegnelsen er på anmodning tilgængelig for tilsynsmyndigheden.

Artikel 14 — Gældende ret og tvister

Denne DPA er underlagt nederlandsk ret. Tvister forelægges retten i Overijssel, lokation Almelo.

Underskrift

Send den underskrevne version (scannet eller digitalt underskrevet) til info@alvoru.com. Alvoru returnerer en medunderskrevet kopi.