Databehandleraftale

Denne aftale er indgået mellem kunden (dataansvarlig) og CURIOUS ApS, CVR 35650598, Danmark (databehandler) og udgør databehandleraftalen efter databeskyttelsesforordningens artikel 28.

Aftalen er en integreret del af abonnementsvilkårene og gælder, så længe kundeforholdet består. Der skal ikke underskrives noget for at den træder i kraft. Har I brug for et underskrevet eksemplar til jeres egen leverandørkontrol, skriver vi under på denne tekst uden ændringer — skriv til kontakt@hvemejer.dk.

1. Hvad aftalen dækker

Aftalen gælder de personoplysninger, I selv lægger ind i platformen, og som vi derfor behandler på jeres vegne:

Vi beder jer ikke lægge følsomme oplysninger (art. 9) eller oplysninger om strafbare forhold (art. 10) i fritekstfelter. Platformen er ikke indrettet til det, og gør I det alligevel, sker det på jeres ansvar.

2. Vores instruks

Vi behandler alene oplysningerne efter jeres dokumenterede instruks. Instruksen er denne aftale sammen med den brug, I gør af platformen — vi kræver ikke særskilte instrukser for almindelig anvendelse.

Mener vi, at en instruks strider mod databeskyttelsesreglerne, siger vi det. Er vi forpligtet efter EU-ret eller dansk ret til at behandle oplysningerne på anden måde, oplyser vi jer om det, medmindre loven forbyder det.

3. Fortrolighed

Alle med adgang til oplysningerne er pålagt fortrolighed, og adgangen er begrænset til dem, der har brug for den for at levere ydelsen. I dag er det en meget lille kreds; udvides den, ændrer forpligtelsen sig ikke.

4. Sikkerhed

Vi træffer de foranstaltninger, artikel 32 kræver. Konkret:

• Kryptering i transit (TLS) og kryptering af backup
• Adgangsstyring efter mindsteprincippet, personlige konti og logning af adgang
• Adskilte miljøer: kundedata findes ikke i test- og udviklingsmiljøet
• Dagligt backup med kopi hos en anden udbyder, og en afprøvet gendannelse — ikke blot en dokumenteret procedure
• Løbende opdatering af afhængigheder og maskinel kontrol for kendte sårbarheder
• Et ledelsessystem for informationssikkerhed bygget efter ISO 27001. Vi er ikke certificeret, og vi skriver det ikke, før vi er det

5. Underdatabehandlere

I giver med denne aftale generel godkendelse til, at vi bruger underdatabehandlere. De aktuelle er:

Vi varsler jer mindst 30 dage før, vi tilføjer eller udskifter en underdatabehandler. Kan I ikke acceptere ændringen, kan I opsige abonnementet til ikrafttrædelsesdatoen mod forholdsmæssig tilbagebetaling af forudbetalt abonnement.

6. Overførsel til tredjeland

Drift, database og backup ligger inden for EU/EØS. Undtagelsen er AI-funktionerne — Spørg, den AI-baserede markedsvurdering og den maskinelle læsning af servitutter og lokalplaner — som behandles hos Anthropic PBC i USA.

Overførslen sker på grundlag af EU-Kommissionens standardkontraktbestemmelser. De supplerende foranstaltninger er dataminimering ved design og zero data retention: oplysningerne opbevares ikke hos modtageren efter svaret, og de bruges ikke til at træne modellen. Eksponeringen er dermed begrænset til forespørgslens varighed.

Kan jeres organisation ikke acceptere overførslen, slår vi de tre funktioner fra for jeres konto. Resten af platformen virker uændret. Det gælder også jeres teambrugere.

7. Bistand til jer

• De registreredes rettigheder. Henvender en af jeres brugere sig til os om indsigt, berigtigelse eller sletning af det, I har lagt ind, sender vi vedkommende til jer og bistår jer med at svare.
• Brud på persondatasikkerheden. Vi underretter jer uden unødig forsinkelse og senest 24 timer efter, vi er blevet opmærksomme på et brud, der berører jeres oplysninger — med det, vi ved på det tidspunkt, og opdateringer efterhånden som billedet bliver klarere. Vi anmelder ikke til Datatilsynet på jeres vegne; det er jeres beslutning som dataansvarlig.
• Konsekvensanalyser. Vi giver jer de oplysninger om platformen, I har brug for til en DPIA eller en forudgående høring.

8. Sletning og tilbagelevering ved ophør

Ved kundeforholdets ophør kan I trække jeres eget indhold ud i et almindeligt format. Bed om det, inden kontoen lukkes.

Derefter sletter vi det, I har lagt ind, senest 90 dage efter ophøret. To ting slettes ikke i den periode, og det er med vilje:

• Opslagsloggen gemmes i op til fem år. Registermyndighedernes vilkår kræver det, og loggen er samtidig jeres egen dokumentation for, hvad der blev slået op. Den knyttes fra jeres kundepost, så den ikke længere kan henføres til en navngiven bruger.
• Bogføringsmateriale gemmes i fem år efter bogføringsloven.

Registerdataene i platformen er hverken jeres eller vores — de bliver hos myndighederne og berøres ikke af, at I stopper.

9. Kontrol og revision

I kan én gang årligt bede om dokumentation for, at vi overholder aftalen. Vi svarer med vores sikkerhedsdokumentation, listen over underdatabehandlere og — når den foreligger — en uafhængig revisorerklæring (ISAE 3000). Er det ikke tilstrækkeligt for jeres tilsynsforpligtelse, giver vi jer eller jeres revisor adgang til at gennemføre et tilsyn mod rimeligt varsel og mod betaling af vores dokumenterede tidsforbrug.

10. Ansvar og ændringer

Ansvaret følger abonnementsvilkårenes ansvarsbestemmelse og databeskyttelsesforordningens artikel 82.

Ændrer vi aftalen, varsler vi det mindst 30 dage før på den mail, kontoen er registreret med. Ændringer, der alene følger af ny lovgivning eller praksis fra tilsynsmyndighederne, kan træde i kraft uden varsel.

Aftalen er underlagt dansk ret, og værneting er kundens hjemting.

Spørgsmål til aftalen: kontakt@hvemejer.dk. Se også abonnementsvilkårene, privatlivspolitikken og datakilderne.