Databehandleraftale (DPA)

Denne databehandleraftale (DPA) udgør Windfeld Jensen Co.s standardvilkår for behandling af personoplysninger på vegne af kunden i forbindelse med LCAB.

• Dataansvarlig: Kunden (den juridiske enhed der tegner LCAB og bestemmer formål/midler for kundens indhold) • Databehandler: Windfeld Jensen Co., CVR 46591054, Lyngbyvej 83A, 2100 København Ø

Ved accept af vilkårene for LCAB, køb af abonnement eller anden skriftlig accept anses DPA'en for indgået mellem parterne, medmindre en særskilt underskrevet DPA er aftalt.

DPA'en er udarbejdet med henblik på GDPR art. 28.

Når kunden indlæser personoplysninger i LCAB (fx medarbejderkonti, leverandørkontakter, dokumenter, gemte chats), behandler Windfeld Jensen Co. typisk disse oplysninger som databehandler.

For Windfeld Jensen Co.s egne formål (fx fakturering, kontoadministration hos os, sikkerhedslogning af tjenesten) kan Windfeld Jensen Co. være selvstændig dataansvarlig. Det er beskrevet i privatlivspolitikken (/privacy).

Ved konflikt mellem DPA og privatlivspolitikken om behandling på vegne af kunden gælder DPA'en.

Databehandleren behandler personoplysninger for at levere LCAB, herunder hosting, lagring, backup, adgangsstyring, support, sikkerhed og, når kunden bruger det, Haddock eller anden AI-assisteret tekst.

Behandlingen varer, så længe kunden har en aktiv konto/abonnement, og i en rimelig periode derefter til sletning, eksport eller lovpligtig opbevaring.

Behandlingen består typisk af:

• Lagring og visning af kundens indhold i LCAB • Brugeradministration og adgangskontrol • Drift, overvågning og fejlretning • Support efter kundens anmodning • Sikkerhedskopiering og gendannelse • Levering af rapporter/eksport efter kundens brug • Behandling af chat- og sidekontekst for at danne et Haddock-svar, når kunden bruger funktionen

Databehandleren behandler ikke kundens indhold til egne markedsføringsformål og bruger det ikke til at træne en LCAB-sprogmodel.

Afhængigt af kundens brug kan følgende typer forekomme:

• Navn, e-mail, telefon, stilling • Brugeridentifikatorer og rolleoplysninger • Leverandør- og samarbejdskontakter • Oplysninger i dokumenter og fritekstfelter uploadet af kunden • Gemte chatbeskeder • Tekniske logdata knyttet til brugere

Kunden må ikke indlæse særlige kategorier af personoplysninger (GDPR art. 9) eller personnumre, medmindre det er strengt nødvendigt og aftalt skriftligt.

Registrerede kan blandt andet være:

• Kundens medarbejdere og samarbejdspartnere med adgang til LCAB • Kontaktpersoner hos leverandører og samarbejdspartnere • Øvrige personer, som kunden vælger at indlæse oplysninger om

Kunden er ansvarlig for lovligt grundlag over for de registrerede.

Databehandleren behandler kun personoplysninger efter dokumenterede instrukser fra kunden, medmindre EU-ret eller dansk ret kræver andet.

Brug af LCAB efter disse vilkår og kundens konfiguration i platformen udgør instrukser om lagring, adgang, sletning og, når kunden åbner Haddock, om at sende nødvendig kontekst til den tilknyttede sprogmodel.

Hvis en instruks efter databehandlerens vurdering er i strid med GDPR, underretter databehandleren kunden.

Databehandleren skal:

• Behandle oplysninger fortroligt og begrænse adgang til personer med behov • Implementere passende tekniske og organisatoriske sikkerhedsforanstaltninger • Bista kunden med at opfylde registreredes rettigheder, i det omfang det er muligt i LCAB • Underrette kunden uden unødig forsinkelse ved persondatabrud • Slette eller tilbagelevere personoplysninger ved ophør efter kundens valg, medmindre lov kræver opbevaring • Stille information til rådighed for at påvise overholdelse af art. 28 • Ikke engagere underdatabehandlere uden de rammer, der er beskrevet nedenfor

Kunden giver generel accept til, at Windfeld Jensen Co. bruger underdatabehandlere til at levere LCAB.

Centrale underdatabehandlere kan omfatte:

• Render (hosting og database) • Resend (e-mail) • Google Gemini (cloud-sprogmodel, når kunden bruger Haddock eller anden AI)

Stripe kan behandle betalingsdata som selvstændig dataansvarlig.

Ved væsentlige ændringer i underdatabehandlere bestræber Windfeld Jensen Co. sig på at informere kunden med rimeligt varsel, så kunden kan gore indsigelse af saglige databeskyttelsesgrunde.

Databehandleren indgår aftaler med underdatabehandlere, der sikrer tilsvarende databeskyttelsesforpligtelser.

Hvis behandling sker uden for EU/EØS, sikrer databehandleren et gyldigt overførselsgrundlag (fx standardkontraktbestemmelser), når det er påkrævet.

Primær applikationsdrift tilstræbes i EU, når det er praktisk muligt. Brug af Google Gemini kan indebære behandling hos den leverandør for at danne et svar.

Databehandleren anvender foranstaltninger som blandt andet:

• Krypteret transport (HTTPS) • Adgangskontrol og organisationsisolation • Autentificering og sessionsbeskyttelse • CSRF-beskyttelse, rate limiting og sikkerhedsheaderer • Logning af relevante sikkerhedshændelser • Begrænset intern adgang efter need-to-know • Backup- og gendannelsesprocedurer i cloud-miljøet

Yderligere beskrivelse: /datasikkerhed

Ved brud på persondatasikkerheden underretter databehandleren kunden uden unødig forsinkelse, efter at databehandleren er blevet bekendt med bruddet, med de oplysninger der rimeligt kan gives på tidspunktet (karakter, mulige konsekvenser, foranstaltninger).

Kunden er ansvarlig for eventuel anmeldelse til Datatilsynet og underretning af registrerede, medmindre andet følger af lov eller aftale.

Databehandleren bistår kunden rimeligt med information, der er nødvendig for at overholde art. 28 og art. 32-36, under hensyntagen til behandlingens karakter.

Kunden kan højst en gang årligt (eller ved begrundet mistanke om væsentlig misligholdelse) anmode om dokumentation for sikkerhedsforanstaltninger. Fysisk revision aftales særskilt og kan kræve fortrolighedsaftale samt dækning af rimelige omkostninger, hvis revisionen går ud over standarddokumentation.

Ved ophør af tjenesten sletter eller anonymiserer databehandleren personoplysninger i kundens LCAB-miljo efter en rimelig periode, medmindre kunden inden da har eksporteret data, eller lov kræver længere opbevaring.

Tekniske backups kan eksistere i en begrænset periode, indtil de udløber efter normale backup-cyklusser.

Gemte Haddock-samtaler slettes sammen med øvrige kontodata. Midlertidig chat gemmes ikke i databasen.

Hver part er ansvarlig for egne forpligtelser efter GDPR.

Ansvarsbegrænsninger i LCAB-vilkårene (/terms) gælder også for krav knyttet til denne DPA, i det omfang loven tillader det.

Databehandleren er ikke ansvarlig for kundens egne ulovlige instrukser eller for indhold, kunden indlæser i strid med lov.

Denne DPA er underlagt dansk ret. Tvister afgøres som angivet i vilkårene (/terms).

Windfeld Jensen Co. E-mail: info@windfeldjensen.com CVR: 46591054 Adresse: Lyngbyvej 83A, 2100 København Ø Telefon: 23 97 94 91

• •Privatlivspolitik
• •Cookiepolitik
• •Haddock og AI
• •Vilkår

• •Juridisk
• •Privatlivspolitik
• •Vilkår og betingelser
• •Ansvarsfraskrivelse
• •Cookiepolitik
• •Datasikkerhed
• •Haddock og AI
• •Lovkrav