Databehandleraftale

Sidst opdateret: [dato]

Denne databehandleraftale ("Aftalen") er indgået mellem:

Kunden, som angivet ved oprettelse af abonnement på MinRet (herefter "den Dataansvarlige")

og

Shaw ApS, Hannedal 12, st., 2860 Søborg, CVR 46 56 11 20 (herefter "Databehandleren")

hver for sig "Part" og tilsammen "Parterne".

Aftalen udgør et bilag til og en integreret del af Vilkår for MinRet og finder anvendelse, i det omfang Databehandleren behandler personoplysninger på den Dataansvarliges vegne, jf. Vilkårs punkt 7.

1. Baggrund og formål

Den Dataansvarlige anvender MinRet, herunder muligheden for at uploade dokumenter til AI-assistenten Hermes. I det omfang sådanne dokumenter indeholder personoplysninger om andre end den Dataansvarlige selv, behandler Databehandleren disse oplysninger på den Dataansvarliges vegne. Aftalen fastlægger Databehandlerens rettigheder og forpligtelser i forbindelse med denne behandling, jf. artikel 28 i databeskyttelsesforordningen (GDPR).

Nærmere oplysninger om behandlingens karakter, formål, varighed og de omfattede kategorier af personoplysninger og registrerede fremgår af Bilag A.

2. Databehandlerens forpligtelser

Databehandleren må alene behandle personoplysninger efter dokumenteret instruks fra den Dataansvarlige, medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret. Denne Aftale, herunder Bilag A, udgør den Dataansvarliges samlede instruks ved Aftalens indgåelse.

Databehandleren skal:

• sikre, at personer med adgang til oplysningerne er underlagt passende tavshedspligt,
• gennemføre de tekniske og organisatoriske sikkerhedsforanstaltninger, der fremgår af Bilag C, under hensyntagen til risikoen ved behandlingen,
• efter Aftalens ophør, efter den Dataansvarliges valg, slette eller tilbagelevere alle personoplysninger og slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring,
• stille de oplysninger til rådighed, der er nødvendige for at kunne påvise overholdelse af artikel 28, og
• underrette den Dataansvarlige, hvis en instruks efter Databehandlerens opfattelse er i strid med databeskyttelsesreglerne.

3. Underdatabehandlere

Den Dataansvarlige giver hermed generel tilladelse til, at Databehandleren gør brug af de underdatabehandlere, der er angivet i Bilag B, til behandling af personoplysninger omfattet af Aftalen.

Databehandleren skal pålægge enhver underdatabehandler de samme databeskyttelsesforpligtelser, som følger af denne Aftale. Databehandleren forbliver fuldt ansvarlig over for den Dataansvarlige for underdatabehandlerens opfyldelse af disse forpligtelser.

Ønsker Databehandleren at gøre brug af en ny underdatabehandler eller udskifte en eksisterende, underretter Databehandleren den Dataansvarlige herom med rimeligt varsel, hvorefter den Dataansvarlige har ret til at gøre indsigelse. Fremsættes indsigelse ikke inden for 14 dage fra underretningen, anses ændringen for godkendt.

4. Overførsel til tredjelande

Enkelte af de i Bilag B angivne underdatabehandlere er etableret uden for EU/EØS, eller kan behandle oplysninger dér. Sådan overførsel sker alene på grundlag af EU-Kommissionens standardkontraktbestemmelser eller et andet gyldigt overførselsgrundlag efter databeskyttelsesforordningens kapitel V.

5. Bistand til den Dataansvarlige

Under hensyntagen til behandlingens karakter bistår Databehandleren, så vidt det er muligt, den Dataansvarlige med gennem passende tekniske og organisatoriske foranstaltninger at opfylde den Dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder efter databeskyttelsesforordningens kapitel III.

Databehandleren bistår endvidere den Dataansvarlige med at sikre overholdelse af forpligtelserne vedrørende behandlingssikkerhed, anmeldelse af brud på persondatasikkerheden, konsekvensanalyser og forudgående høring af tilsynsmyndigheden, i det omfang det er relevant og under hensyntagen til de oplysninger, Databehandleren råder over.

6. Brud på persondatasikkerheden

Databehandleren underretter uden unødig forsinkelse den Dataansvarlige, efter at Databehandleren er blevet opmærksom på et brud på persondatasikkerheden vedrørende personoplysninger omfattet af Aftalen, og bistår den Dataansvarlige med at opfylde dennes forpligtelser til at anmelde bruddet til tilsynsmyndigheden og eventuelt underrette de registrerede.

7. Revision

Databehandleren stiller efter rimelig anmodning fra den Dataansvarlige de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af Aftalen, og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af den Dataansvarlige eller en anden revisor, som den Dataansvarlige har bemyndiget. Sådan revision varsles med rimeligt varsel og gennemføres under hensyntagen til Databehandlerens øvrige forpligtelser, herunder over for andre kunder.

8. Ansvar

Parternes ansvar over for hinanden i anledning af Aftalen er begrænset som fastsat i Vilkårs punkt om ansvarsbegrænsning, i det omfang dette er foreneligt med databeskyttelsesforordningens ufravigelige regler om erstatningsansvar.

9. Ikrafttræden og varighed

Aftalen træder i kraft samtidig med, at den Dataansvarlige accepterer Vilkår for MinRet, og løber, indtil den Dataansvarliges brug af Tjenesten ophører, eller Aftalen erstattes af en ny.

Bilag A – Oplysninger om behandlingen

Behandlingens karakter og formål: Automatiseret analyse af dokumenter uploadet af den Dataansvarlige med henblik på at generere et AI-genereret svar til den Dataansvarlige via MinRet.

Varighed: Behandlingen varer, så længe den Dataansvarlige har en aktiv konto, eller indtil det pågældende dokument slettes af den Dataansvarlige.

Kategorier af registrerede: De personer, som fremgår af de dokumenter, den Dataansvarlige uploader (fx modparter, vidner eller andre nævnte personer).

Kategorier af personoplysninger: Afhænger af indholdet i det enkelte dokument, men kan omfatte almindelige personoplysninger såsom navn, kontaktoplysninger og sagsspecifikke oplysninger. Den Dataansvarlige må ikke uploade følsomme oplysninger (GDPR art. 9 og 10) om andre end sig selv, jf. Vilkårs punkt 7. Sker dette alligevel i strid med Vilkår, er Databehandleren ikke ansvarlig herfor, men vil efter anmodning fra den Dataansvarlige slette de pågældende oplysninger.

Bilag B – Godkendte underdatabehandlere

Bilag C – Sikkerhedsforanstaltninger

Databehandleren har som minimum gennemført følgende foranstaltninger:

• Kryptering af data under overførsel.
• Adgangsbegrænsning, så alene medarbejdere med et sagligt behov har adgang til personoplysningerne.
• Løbende opdatering og sikring af den underliggende serverinfrastruktur.
• Mulighed for den Dataansvarlige for selv at slette uploadede dokumenter og tilhørende data.