DATABEHANDLERAFTALE Version 3. Offentliggjort på https://sogelys.dk/vilkaar/databehandleraftale-v3. Teksten ændres aldrig; en ny databehandleraftale får en ny version. Version 1 og 2 gælder fortsat for aftaler, der henviser til dem. Ændringer fra version 2, kort: - Behandling 2 (Ordna): henvendelser kan også komme fra formularer på Kundens hjemmeside med vedhæftede billeder og filer. Ordnas driftsbeskeder til Kundens egne brugere er beskrevet. - Behandling 3: Kundens system kan køre hos Kundens egen udbyder, som da er Kundens egen databehandler (punkt 5.5). - Behandling 4 (ny): chatbot på Kundens hjemmeside som tilvalg. - Punkt 5 og bilag B: underdatabehandlere beskrives i kategorier; den aktuelle liste gives på anmodning, og ændringer varsles efter punkt 5.2. - Punkt 6: overførsler uden for EU/EØS sker kun på EU-Kommissionens standardkontraktbestemmelser. - Bilag C: sikkerhedskopier kan ligge som krypteret kopi i EU/EØS; en prøve med rigtige data kræver Kundens skriftlige ønske. Databehandleraftalen gælder, når en aftale mellem Søgelys ApS (herefter "Søgelys") og en kunde (herefter "Kunden") henviser til den (herefter "Aftalen"), og den er en del af Aftalen. Kunden er dataansvarlig, og Søgelys er databehandler. Databehandleraftalen opfylder artikel 28, stk. 3, i databeskyttelsesforordningen (forordning (EU) 2016/679, herefter "forordningen"). 1. Behandlingen 1.1. Søgelys behandler personoplysninger for Kunden, når Søgelys leverer ydelserne i Aftalen. Behandlingens genstand, karakter, formål og varighed, typerne af personoplysninger og kategorierne af registrerede står i bilag A og i Aftalen under Databehandling. 1.2. Kunden bestemmer formålet med behandlingen og sørger for, at der er et lovligt grundlag for den, og at de registrerede er oplyst om den. Kunden har ret til at give instrukser efter punkt 2 og til at føre kontrol efter punkt 9. 2. Instruks 2.1. Søgelys behandler kun personoplysningerne efter Kundens dokumenterede instruks. Instruksen er denne databehandleraftale med bilag og Aftalens afsnit om databehandling. Kunden kan give en ny eller ændret instruks skriftligt, også pr. e-mail. 2.2. Instruksen gælder også overførsel af personoplysninger til lande uden for EU/EØS (punkt 6). 2.3. Kræver EU-ret eller dansk ret, at Søgelys behandler oplysningerne på anden måde, fortæller Søgelys Kunden det først, medmindre loven forbyder det. 2.4. Mener Søgelys, at en instruks er i strid med forordningen eller andre databeskyttelsesregler, siger Søgelys det straks til Kunden. 3. Fortrolighed Kun personer, der arbejder for Søgelys og har brug for det, får adgang til personoplysningerne. De har forpligtet sig til fortrolighed eller har lovbestemt tavshedspligt. 4. Sikkerhed Søgelys gennemfører de tekniske og organisatoriske foranstaltninger, som forordningens artikel 32 kræver. De vigtigste står i bilag C. 5. Underdatabehandlere 5.1. Kunden giver en generel skriftlig godkendelse af, at Søgelys bruger underdatabehandlere. Søgelys bruger flere udbydere inden for de kategorier, bilag B beskriver, og kan bruge forskellige udbydere til samme opgave. Søgelys giver Kunden den aktuelle liste over underdatabehandlere med formål, sted og overførselsgrundlag på anmodning. 5.2. Vil Søgelys tilføje eller udskifte en underdatabehandler, skriver Søgelys til Kunden, før den nye underdatabehandler behandler Kundens personoplysninger, og i så god tid, at Kunden kan nå at gøre indsigelse. Varsler en underdatabehandler ændringer i sine egne underdatabehandlere, giver Søgelys varslet videre, når Søgelys selv har fået det. 5.3. Kunden kan gøre indsigelse mod en ændring. Finder parterne ingen løsning, kan Kunden opsige den del af Aftalen, ændringen gælder, uden andre omkostninger end betaling frem til ændringen. 5.4. Søgelys pålægger ved skriftlig aftale hver underdatabehandler de samme databeskyttelsespligter som i denne databehandleraftale og er fuldt ansvarlig over for Kunden for, at underdatabehandleren overholder dem. 5.5. Driver Søgelys Kundens system på en server eller i en tjeneste, Kunden selv har hos sin egen udbyder, er udbyderen Kundens egen databehandler efter Kundens aftale med udbyderen, ikke Søgelys' underdatabehandler. 6. Overførsel til lande uden for EU/EØS Personoplysningerne behandles som udgangspunkt i EU/EØS. Overfører Søgelys eller en underdatabehandler personoplysninger til et land uden for EU/EØS, sker det kun efter forordningens kapitel V og på EU-Kommissionens standardkontraktbestemmelser (afgørelse (EU) 2021/914), som er en del af Søgelys' aftale med underdatabehandleren. Kunden instruerer Søgelys i at foretage de overførsler, som de underdatabehandlere, Søgelys bruger efter punkt 5, kræver, på det grundlag. Overførselsgrundlaget for hver underdatabehandler står på listen efter punkt 5.1. 7. Hjælp til Kunden 7.1. Søgelys hjælper så vidt muligt Kunden med at besvare de registreredes anmodninger efter forordningens kapitel III, fx om indsigt, berigtigelse og sletning. Får Søgelys en sådan anmodning direkte, sender Søgelys den videre til Kunden. 7.2. Søgelys hjælper Kunden med at overholde forordningens artikel 32 til 36 om sikkerhed, brud på persondatasikkerheden, konsekvensanalyse og forudgående høring af Datatilsynet. 7.3. Søgelys giver Kunden besked uden unødig forsinkelse, når Søgelys bliver opmærksom på et brud på persondatasikkerheden, med de oplysninger, Søgelys har, og som Kunden skal bruge til at anmelde bruddet. 7.4. Almindelig hjælp er omfattet af Aftalen. Kræver hjælpen væsentligt arbejde, aftaler parterne betalingen, før arbejdet begynder, medmindre behovet skyldes en fejl hos Søgelys. 8. Sletning og tilbagelevering Når Søgelys holder op med at behandle personoplysninger for Kunden, sletter eller tilbageleverer Søgelys dem efter Kundens valg, sletter sine egne kopier og fjerner sine adgange, medmindre EU-ret eller dansk ret kræver, at oplysningerne opbevares. Frister står i bilag A. 9. Oplysninger og revision 9.1. Søgelys giver Kunden de oplysninger, der skal til for at vise, at databehandleraftalen overholdes. 9.2. Kunden eller en revisor med tavshedspligt, som Kunden udpeger, kan foretage revision og inspektion hos Søgelys med 30 dages skriftligt varsel. Hver part betaler sine egne omkostninger. 9.3. Søgelys fører tilsyn med underdatabehandlerne ud fra deres databehandleraftaler, certificeringer og revisionsrapporter og giver Kunden de oplysninger derfra, Kunden skal bruge til sin kontrol. 10. Varighed Databehandleraftalen gælder fra Aftalen er indgået, og så længe Søgelys behandler personoplysninger for Kunden. Den kan ikke opsiges for sig, mens behandlingen står på. BILAG A. BEHANDLINGEN Hvilke af behandlingerne nedenfor der gælder for Kunden, og hvilke tilvalg og funktioner der er med, står i Aftalen under Databehandling. Behandling 1: hjemmeside og markedsføring - Formål, personoplysninger og registrerede: som Aftalen beskriver dem under Databehandling. Ikke CPR-numre eller følsomme oplysninger, medmindre det er aftalt skriftligt. - Karakter: Søgelys har adgang til Kundens hjemmeside og konti og ser, retter eller flytter personoplysninger dér, når det er nødvendigt for opgaverne; sætter måling og annoncering op i Kundens egne konti; og håndterer supportsager, som Kunden sender. - Varighed og sletning: så længe Søgelys leverer de ydelser, Aftalen nævner. Oplysninger i Kundens egne systemer forbliver Kundens. Kopier hos Søgelys, fx i e-mails, slettes, når sagen er afsluttet, og senest 30 dage efter, at ydelserne er ophørt. En slettet e-mail kan ligge i e-mailudbyderens sikkerhedskopi i op til 30 dage efter sletningen. Behandling 2: Ordna - Formål: at samle Kundens kundehenvendelser ét sted og skrive sagsbrief og udkast til svar og, hvis Aftalen nævner det, til tilbud, som Kundens brugere retter, godkender og selv sender. - Karakter: Ordna modtager henvendelser fra de kanaler, Aftalen nævner: den indbakke, Ordna læser uden at ændre noget i den, og de formularer på Kundens hjemmeside, der sender direkte til Ordna med formularens felter og de billeder og filer, afsenderen vedhæfter. Ordna gemmer henvendelserne i Kundens eget datalager, samler dem i sager og sender den tekst, der skal bruges, til en AI-model hos en underdatabehandler (bilag B) for at lave brief og udkast. Vedhæftede filer vises kun for Kundens brugere efter login. Resultatet vises for Kundens brugere. Ordna træffer ingen afgørelser om de registrerede og sender intet til Kundens kunder af sig selv. Ordna sender driftsbeskeder til Kundens egne brugere, fx besked om en ny henvendelse med afsenderens navn, men uden indhold, og invitationer og nulstilling af adgangskode. - Personoplysninger: om Kundens kunder og mulige kunder navn, e-mail, telefon, adresse, kundetype og firma, opgavebeskrivelse, henvendelsens indhold, det, en formular sender med, fx et overslag, vedhæftede billeder og filer, som kan vise personer, boliger eller dokumenter fra andre, og Kundens svar og tilbud; om Kundens brugere navn, e-mail, rolle og log over handlinger. Ordna er ikke beregnet til CPR-numre eller følsomme oplysninger; står de alligevel i en henvendelse, behandles og slettes de som resten. - Registrerede: Kundens kunder og mulige kunder, både privatpersoner og kontaktpersoner hos virksomheder, besøgende, der bruger formularerne på Kundens hjemmeside, andre, der skriver til indbakken, og Kundens ansatte, der bruger Ordna. - Varighed og sletning: så længe Kunden bruger Ordna. En sag med vedhæftninger slettes 24 måneder efter sidste aktivitet, medmindre Kunden bestemmer andet. Når brugen slutter, kan Kunden inden 14 dage få en eksport i et almindeligt format. Søgelys sletter Kundens data senest 14 dage efter, at brugen sluttede; sikkerhedskopier gemmes højst 14 dage, så alle kopier er slettet senest 30 dage efter. Udbyderen af AI-modellen sletter teksten efter fristerne i sin databehandleraftale; de oplyses med listen efter punkt 5.1. Behandling 3: drift af Kundens system hos Søgelys - Formål: at drive, vedligeholde og videreudvikle det system, Aftalen nævner under Databehandling, fx Kundens CRM, admin eller hjemmeside, og at yde support. - Karakter: Søgelys driver systemet og Kundens datalager hos en underdatabehandler (bilag B) eller, når Aftalen siger det, hos Kundens egen udbyder (punkt 5.5). Søgelys tager sikkerhedskopier, opdaterer systemet og ser, retter eller flytter personoplysninger, når det er nødvendigt for opgaverne. Har systemet AI-funktioner, fx chat, resuméer, transskription eller aflæsning af dokumenter, sendes kun den tekst eller lyd, funktionen skal bruge, til en AI-model eller en anden tjeneste hos en underdatabehandler (bilag B), og kun for de funktioner, Aftalen nævner. Funktionerne træffer ingen afgørelser om de registrerede, og systemet sender intet til Kundens kunder af sig selv, medmindre Aftalen siger det. Kobler Søgelys systemet til Kundens egne tjenester, fx Kundens e-mail eller regnskabsprogram, sker det på Kundens vegne med de adgange, Kunden giver; de tjenester er Kundens egne databehandlere. - Personoplysninger og registrerede: som Aftalen beskriver dem under Databehandling. Ikke CPR-numre eller følsomme oplysninger, medmindre det er aftalt skriftligt. - Varighed og sletning: så længe Søgelys driver systemet efter Aftalen. Når driften slutter, overdrager Søgelys systemet og Kundens data til Kunden eller til den, Kunden peger på, i et almindeligt format, og sletter derefter sine egne kopier og fjerner sine adgange senest 14 dage efter; sikkerhedskopier gemmes højst 14 dage, så alle kopier er slettet senest 30 dage efter. Underdatabehandlerne sletter efter fristerne i deres databehandleraftaler; de oplyses med listen efter punkt 5.1. Behandling 4: chatbot på Kundens hjemmeside (tilvalg) - Formål: at svare besøgende på Kundens hjemmeside ud fra hjemmesidens indhold og de oplysninger, Kunden selv har givet, og at tage imod besøgendes ønsker om kontakt. - Karakter: Chatbotten er en selvstændig tilvalgsydelse, der kun gælder, når Aftalen nævner den. Aftalen afgrænser, hvilken hjemmeside den sidder på, hvad den må svare på, og hvad den samler. Når en besøgende skriver, sendes beskeden, de seneste beskeder i samtalen og de afsnit fra Kundens hjemmeside og Kundens egne oplysninger, svaret bygger på, til en AI-model hos en underdatabehandler (bilag B). Det sker, uden at en af Kundens brugere er med: chatbotten svarer den besøgende direkte, og det er dens formål; det gælder kun chatbotten, ikke Ordna (behandling 2). Svaret kontrolleres på serveren, før det vises. Chatbotten oplyser, at den er en chatbot, der bruger AI, beder den besøgende om ikke at skrive følsomme oplysninger og viser et link til Kundens privatlivspolitik. Den træffer ingen afgørelser om de besøgende og kan ikke sende e-mail, booke eller fakturere. Chatbottens viden kommer fra Kundens offentlige hjemmeside, som Søgelys' server læser med mellemrum, og fra de oplysninger, Kunden giver; står der navne og kontaktoplysninger på Kundens ansatte på hjemmesiden, kommer de med. Ønsker om kontakt gives videre til Kunden på den måde, Aftalen nævner, fx som en henvendelse i Ordna under behandling 2. - Personoplysninger: om besøgende det, de selv skriver i chatten, herunder navn, kontaktoplysninger og oplysninger om deres sag eller ønske, og samtalen; om Kundens ansatte de navne og kontaktoplysninger, der står på Kundens hjemmeside. Chatbotten er ikke beregnet til CPR-numre eller følsomme oplysninger; skriver en besøgende dem alligevel, behandles og slettes de som resten. - Registrerede: besøgende på Kundens hjemmeside, der bruger chatten, og Kundens ansatte, hvis navne eller kontaktoplysninger står på hjemmesiden. - Varighed og sletning: så længe Kunden bruger chatbotten. En samtale slettes 30 dage efter sidste besked; er den givet videre som henvendelse, følger henvendelsen behandling 2 eller Aftalen. Afsnit fra sider, der er fjernet fra hjemmesiden, slettes ved næste læsning. Når brugen slutter, sletter Søgelys chatbottens viden og samtaler senest 14 dage efter; sikkerhedskopier gemmes højst 14 dage, så alle kopier er slettet senest 30 dage efter. Udbyderen af AI-modellen sletter teksten som under behandling 2. BILAG B. UNDERDATABEHANDLERE Søgelys bruger flere underdatabehandlere og kan bruge forskellige udbydere til samme opgave. De hører til disse kategorier: 1) Udbydere af AI-modeller: leverer de sprogmodeller og lignende, der laver brief, udkast, svar og andre AI-funktioner af den tekst eller lyd, en funktion skal bruge (behandling 2, 3 og 4). Udbyderne må ikke bruge Kundens personoplysninger til at træne modeller. Behandlingen kan ske uden for EU/EØS; så sker overførslen efter punkt 6. 2) Udbydere af servere og datalager: driver de servere, hvor Ordna, chatbotten og de systemer, Søgelys driver for Kunden, ligger, herunder sikkerhedskopier (behandling 2, 3 og 4). Sted: EU/EØS. 3) Udbydere af e-mail: Søgelys' egen e-mail, supportsager og driftsbeskeder fra Ordna og fra systemer, Søgelys driver for Kunden (behandling 1 til 4). Sted: EU/EØS. 4) Andre tjenester til enkelte funktioner, fx transskription af lyd, hukommelse til en AI-chat (embeddings) og websøgning (behandling 3). De bruges kun, når Aftalen nævner funktionen. Den aktuelle liste over underdatabehandlere med navn, formål, sted og overførselsgrundlag gives til Kunden på anmodning (punkt 5.1). Ændringer varsles efter punkt 5.2. Underdatabehandlerne bruger selv underdatabehandlere, som står på deres egne lister. BILAG C. SIKKERHED For alle ydelser: - Kun de personer hos Søgelys, der har brug for det, har adgang til personoplysningerne. - Søgelys' konti hos underdatabehandlerne er beskyttet med totrinsbekræftelse. Adgangskoder og nøgler ligger kun i et hemmelighedslager, aldrig i kode, noter eller beskeder. Søgelys' adgang til servere sker med nøgler, ikke adgangskoder. - Data sendes krypteret over internettet (TLS) og krypteres, når de er gemt. Søgelys' computere har fuldt krypteret disk. - Personoplysningerne behandles som udgangspunkt i EU/EØS og kun i de systemer og hos de underdatabehandlere, denne databehandleraftale og Aftalen omfatter. - Søgelys udvikler og tester med opdigtede data. En prøve med rigtige data, fx ved en flytning af Kundens system, sker kun efter Kundens skriftlige ønske, med adgang kun for de personer, parterne aftaler, og med en aftalt frist, hvor Søgelys sletter prøvens data og bekræfter det skriftligt. - Sikkerhedskopier tages dagligt og gemmes højst 14 dage. De ligger i samme datacenter som systemet eller som en krypteret kopi i EU/EØS, hvis nøgle kun Søgelys har. - Tekniske oplysninger, fx netværksadresser, bruges kun til at levere tjenesten og beskytte den mod misbrug og gemmes ikke længere end nødvendigt til det. - Søgelys' egne interne systemer modtager kun samlede tal, aldrig Kundens personoplysninger. For Ordna og chatbotten (behandling 2 og 4): - Kunden har sit eget datalager. En bruger ser kun Kundens data, og det styres af brugerens login, aldrig af AI-modellen. - Hver bruger har sin egen konto og rolle. Kundens ejer giver og fjerner adgang og kan se en log over, hvem der har gjort hvad. - Søgelys ser kun Kundens data, når Kundens ejer har givet tidsbegrænset supportadgang. Adgangen logges. - AI-modellen kaldes kun på Søgelys' egen konto hos udbyderen, får kun den tekst, en funktion skal bruge, og har ingen funktion, der kan sende, booke eller fakturere. Kald logges uden tekst. - Vedhæftede filer vises kun for Kundens brugere efter login. Billeder gemmes uden indlejrede metadata. - Chatbottens viden ligger i Kundens eget datalager. Svar kontrolleres på serveren, før de vises, og chatten har lofter for antallet af beskeder. - Reglerne ovenfor testes automatisk før første brug og ved hver ny version. For systemer, Søgelys driver for Kunden (behandling 3): - Kundens data ligger i et datalager, der kun hører til Kunden. Kundens brugere logger ind med egen konto og rolle. - AI-modeller og andre tjenester kaldes kun på Søgelys' egen konto hos underdatabehandleren, medmindre Aftalen siger, at Kundens egen konto bruges; så er tjenesten Kundens egen databehandler. De får kun det, funktionen skal bruge, og har ingen funktion, der kan sende, booke eller fakturere af sig selv.