Databehandleraftale

1. Parter og roller

Denne databehandleraftale ("DPA") indgås mellem den kunde, der er angivet på WorkAist-kontoen ("Dataansvarlig"), og ILIN & SADOVENKO, LDA, Rua de Xabregas, nº 2, Escritório 3.21, 1900-440 Lisboa, Portugal, NIF 517251876 ("Databehandler").

For så vidt angår Kundedata, der behandles i WorkAist Cloud, fastlægger den Dataansvarlige formålene med og midlerne til behandlingen, og Databehandleren behandler på den Dataansvarliges vegne. Hvor den Dataansvarlige selv er databehandler for en tredjepart, indestår den Dataansvarlige for, at denne har beføjelse til at indgå denne DPA, og at de instrukser, den giver, afspejler denne tredjeparts instrukser.

Denne DPA gælder ikke for WorkAist Self-Hosted, hvor Kundedata ikke når Databehandlerens systemer, og heller ikke for data, for hvilke Databehandleren selv er dataansvarlig, hvilket er reguleret af Privatlivspolitikken.

2. Prioritetsrækkefølge

Hvor denne DPA er i strid med Forretningsbetingelserne, har denne DPA forrang i databeskyttelsesspørgsmål. Hvor den er i strid med en individuelt forhandlet ordreformular eller en underskrevet databehandleraftale, har det pågældende dokument forrang.

3. Genstand, varighed, art og formål

Genstanden er leveringen af WorkAist Cloud. Behandlingens art og formål er hosting, lagring, overførsel og automatiseret behandling af Kundedata, så den Dataansvarliges konfigurerede agenter, connectors og processer kan køre, sammen med de support-, sikkerheds-, målings- og faktureringsaktiviteter, der er nødvendige for at levere Tjenesten.

Behandlingen varer, så længe den Dataansvarliges aftale om WorkAist Cloud er i kraft, med tillæg af sletningsperioderne i punkt 11.

4. Kategorier af registrerede og personoplysninger

Den Dataansvarlige bestemmer, hvad der uploades. Typisk vedrører behandlingen:

Særlige kategorier af personoplysninger efter Art. 9 GDPR og personoplysninger om strafbare forhold og lovovertrædelser efter Art. 10 GDPR må ikke behandles i Tjenesten, medmindre parterne på forhånd skriftligt har aftalt yderligere sikkerhedsforanstaltninger.

Datakilde

Kundedata når Tjenesten, fordi den Dataansvarlige forbinder eksterne systemer, uploader filer eller instruerer sine agenter i at hente dem. Alene den Dataansvarlige vælger disse kilder og bestemmer, hvad der importeres.

Den Dataansvarlige indestår for, at denne har et retsgrundlag i henhold til Art. 6 GDPR — og, hvor det er relevant, Art. 9 — for at indsamle disse personoplysninger og overføre dem til Databehandleren, og at enhver nødvendig oplysning eller ethvert nødvendigt samtykke i kildesystemet er på plads. Databehandleren har ingen adgang til den Dataansvarliges kildesystemer, vælger dem ikke og hverken kontrollerer eller er i stand til at kontrollere, om de overholder databeskyttelseslovgivningen. Det er den Dataansvarliges forpligtelse som dataansvarlig at fastslå dette.

5. Behandling efter dokumenteret instruks

Databehandleren behandler kun Kundedata efter den Dataansvarliges dokumenterede instruks, herunder for så vidt angår overførsler til tredjelande, medmindre andet kræves i henhold til EU-retten eller medlemsstaternes ret, som Databehandleren er underlagt. I så fald underretter Databehandleren den Dataansvarlige om dette retlige krav forud for behandlingen, medmindre loven forbyder dette af hensyn til vigtige samfundsinteresser.

Forretningsbetingelserne, denne DPA samt den Dataansvarliges konfiguration og brug af Tjenesten udgør den Dataansvarliges fuldstændige dokumenterede instruks. Enhver yderligere instruks skal være skriftlig og kan, hvis den kræver en indsats ud over Tjenestens standardfunktionalitet, være underlagt et rimeligt gebyr aftalt på forhånd.

Databehandleren underretter den Dataansvarlige uden unødig forsinkelse, hvis Databehandleren er af den opfattelse, at en instruks strider mod GDPR eller anden databeskyttelseslovgivning i EU eller medlemsstaterne.

6. Fortrolighed

Databehandleren sikrer, at personer, der er bemyndiget til at behandle Kundedata, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og at adgangen er begrænset til dem, der har brug for den for at opfylde aftalen.

7. Behandlingssikkerhed

Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne samt behandlingens karakter, omfang, sammenhæng og formål, samt risikoen for fysiske personers rettigheder og frihedsrettigheder, gennemfører Databehandleren følgende tekniske og organisatoriske foranstaltninger i henhold til Art. 32 GDPR.

Bilag II — Tekniske og organisatoriske foranstaltninger

Databehandleren kan opdatere disse foranstaltninger, efterhånden som teknologien udvikler sig, forudsat at beskyttelsesniveauet ikke forringes. Den aktuelle version er altid den, der er offentliggjort på denne side.

8. Underdatabehandlere

Den Dataansvarlige giver Databehandleren en generel skriftlig tilladelse til at anvende underdatabehandlere. Databehandleren pålægger kontraktligt hver underdatabehandler databeskyttelsesforpligtelser, der ikke er mindre beskyttende end dem, der fremgår af denne DPA, og forbliver fuldt ansvarlig over for den Dataansvarlige for underdatabehandlerens præstationer.

Bilag III — Godkendte underdatabehandlere

Følgende underdatabehandlere anvendes for enhver WorkAist Cloud-kunde, fordi de er en del af den infrastruktur, som Tjenesten kører på.

Modeludbydere

Udbydere af store sprogmodeller behandles anderledes, fordi den Dataansvarlige selv vælger dem.

• Hvis den Dataansvarlige leverer sine egne udbyder-adgangsoplysninger, anvendes denne udbyder af den Dataansvarlige, efter den Dataansvarliges instrukser og i henhold til den Dataansvarliges egen aftale med udbyderen. Udbyderen er ikke en underdatabehandler for Databehandleren. Databehandleren videresender blot forespørgslen ved hjælp af de leverede adgangsoplysninger og giver ingen garanti for denne udbyders sikkerhed, sted for behandling, træningspraksis eller compliance.
• Hvis den Dataansvarlige bruger Databehandlerens administrerede tokenfakturering, vælger Databehandleren udbyderen, og denne er en underdatabehandler for Databehandleren. Den udbyder, der aktuelt anvendes i denne funktion, er Anthropic PBC (USA) til inferens fra store sprogmodeller, i henhold til standardkontraktbestemmelser og kontraktligt afskåret fra at træne på de data, der sendes til den.

Den Dataansvarlige kan til enhver tid inde i Tjenesten se, hvilken modeludbyder hver af dennes agenter bruger, og kan ændre den.

Ændringer af underdatabehandlere

Databehandleren giver den Dataansvarlige mindst 30 dages varsel via e-mail, før en underdatabehandler tilføjes eller udskiftes. Den Dataansvarlige kan gøre indsigelse på rimelige databeskyttelsesmæssige grunde inden for disse 30 dage. Kan parterne ikke løse indsigelsen, kan den Dataansvarlige opsige den berørte del af Tjenesten uden gebyr og modtage forholdsmæssig refusion af forudbetalte gebyrer.

9. Bistand vedrørende registreredes rettigheder

Under hensyntagen til behandlingens karakter bistår Databehandleren den Dataansvarlige med passende tekniske og organisatoriske foranstaltninger, i det omfang dette er muligt, med at opfylde den Dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af den registreredes rettigheder i henhold til kapitel III i GDPR.

Tjenesten giver den Dataansvarlige direkte adgang til Kundedata, så denne selv kan lokalisere, eksportere, berigtige og slette personoplysninger. Hvor en anmodning alligevel kræver Databehandlerens medvirken, svarer Databehandleren uden unødig forsinkelse og under alle omstændigheder inden for 10 hverdage. Hvis en registreret henvender sig direkte til Databehandleren om Kundedata, besvarer Databehandleren ikke anmodningen indholdsmæssigt; den videresender anmodningen til den Dataansvarlige uden unødig forsinkelse.

10. Bistand vedrørende Art. 32 til 36

Databehandleren bistår den Dataansvarlige med at sikre overholdelse af forpligtelserne i Art. 32 til 36 GDPR, under hensyntagen til behandlingens karakter og de oplysninger, Databehandleren har til rådighed — navnlig vedrørende behandlingssikkerhed, underretning om brud på persondatasikkerheden, kommunikation til registrerede, konsekvensanalyser vedrørende databeskyttelse og forudgående høring.

Brud på persondatasikkerheden

Databehandleren underretter den Dataansvarlige uden unødig forsinkelse og under alle omstændigheder inden for 48 timer, efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører Kundedata. Underretningen beskriver bruddets karakter, kategorierne og det omtrentlige antal berørte registrerede og registreringer, de sandsynlige konsekvenser, de trufne eller foreslåede foranstaltninger samt et kontaktpunkt. Hvis ikke alle oplysninger foreligger samtidig, gives de trinvist uden yderligere unødig forsinkelse. Databehandleren underretter ikke en tilsynsmyndighed eller registrerede på den Dataansvarliges vegne, medmindre denne instrueres herom.

11. Sletning og returnering af Kundedata

Efter den Dataansvarliges valg sletter eller returnerer Databehandleren alle Kundedata efter afslutningen af de tjenesteydelser, der vedrører behandlingen, og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes ret kræver opbevaring af personoplysningerne.

• I 30 dage efter aftalens ophør kan den Dataansvarlige eksportere Kundedata fra Tjenesten eller anmode om, at de returneres i et struktureret, almindeligt anvendt, maskinlæsbart format.
• Databehandleren sletter Kundedata fra driftssystemer inden for 30 dage efter, at dette eksportvindue er lukket.
• Krypterede backup, der indeholder Kundedata, overskrives i deres normale rotation og under alle omstændigheder inden for 90 dage efter sletning fra driftssystemer.
• Efter skriftlig anmodning bekræfter Databehandleren sletningen skriftligt.

12. Audits og information

Databehandleren stiller alle oplysninger, der er nødvendige for at dokumentere overholdelse af Art. 28 GDPR, til rådighed for den Dataansvarlige og muliggør og medvirker til audits, herunder inspektioner, udført af den Dataansvarlige eller en anden revisor, som den Dataansvarlige har bemyndiget.

I praksis stiller Databehandleren først sin aktuelle dokumentation af tekniske og organisatoriske foranstaltninger, sin liste over underdatabehandlere samt skriftlige svar på et sikkerhedsspørgeskema til rådighed. Hvis dette ikke er tilstrækkeligt til at dokumentere overholdelse, kan den Dataansvarlige gennemføre en audit på stedet eller på afstand med 30 dages skriftligt varsel, højst én gang pr. kalenderår, medmindre der er sket et brud på persondatasikkerheden, eller en tilsynsmyndighed kræver det. Audits finder sted i normal arbejdstid, må ikke unødigt forstyrre Databehandlerens drift og er underlagt fortrolighed. Den Dataansvarlige afholder sine egne auditomkostninger; Databehandleren afholder sine egne, medmindre auditen afdækker en væsentlig overtrædelse af denne DPA.

13. Internationale overførsler

Databehandleren opbevarer Kundedata i hvile i Tyskland. Overførsler til underdatabehandlere uden for Det Europæiske Økonomiske Samarbejdsområde, som angivet i Bilag III, finder sted i henhold til EU-Kommissionens standardkontraktbestemmelser (Gennemførelsesafgørelse (EU) 2021/914), Modul Tre, hvor Databehandleren optræder som databehandler, der anvender en underdatabehandler, suppleret hvor det er relevant med yderligere garantier, og — hvor modtageren er certificeret — i henhold til tilstrækkelighedsafgørelsen for EU-US Data Privacy Framework.

Ved indgåelsen af denne DPA bemyndiger den Dataansvarlige Databehandleren til at indgå disse standardkontraktbestemmelser med hver underdatabehandler i den Dataansvarliges navn og på dennes vegne.

14. Ansvar

Ansvar i henhold til denne DPA reguleres af ansvarsbegrænsningen i Forretningsbetingelserne, dog således at intet begrænser en parts ansvar over for en registreret i henhold til Art. 82 GDPR eller over for en tilsynsmyndighed.

15. Løbetid, lovvalg og kontakt

Denne DPA træder i kraft, når den Dataansvarliges aftale om WorkAist Cloud begynder, og forbliver i kraft, så længe Databehandleren behandler Kundedata. Den er underlagt portugisisk ret, og domstolene i Lissabon har enekompetence, uden at dette berører Art. 79 GDPR.

Kontakt vedrørende alle forhold under denne DPA: [email protected].