1. Erklæring om lokal behandling
ainonym finder og maskerer personoplysninger lokalt på den enkelte computer. Den tekst, brugeren markerer, den maskerede tekst, svaret fra AI-tjenesten og den ordbog, programmet lærer, behandles alene på kundens eget udstyr.
Leverandøren modtager ingen af disse oplysninger og har ingen teknisk adgang til dem. Programmet sender udelukkende licensoplysninger til leverandøren — licensnøglen (som leverandøren kun gemmer som aftryk), maskin-id som aftryk, styresystem og programversion, ved organisationslicens desuden computernavn og Windows-domæne, samt tidspunkt for seneste kontakt.
Den maskerede tekst sendes direkte fra kundens computer til den AI-leverandør, kunden selv har valgt og indgået aftale med. Leverandøren er ikke databehandler for den behandling; forholdet til AI-leverandøren er kundens eget.
Denne aftale gælder derfor den begrænsede behandling, der er beskrevet i punkt 2 og Bilag A.
2. Aftalens omfang
Leverandøren behandler personoplysninger på kundens vegne i to tilfælde:
- Licens- og enhedsoplysninger. Computernavne og lignende, som kunden registrerer i programmet, og som kan pege indirekte på en medarbejder.
- Materiale i supportsager. Hvis kunden selv sender et skærmbillede, en logfil eller en tekstprøve til support, og materialet indeholder personoplysninger.
Leverandørens behandling af kundens kontakt- og fakturaoplysninger sker derimod som selvstændig dataansvarlig og er ikke omfattet af denne aftale. Den er beskrevet i privatlivspolitikken.
3. Instruks
Leverandøren behandler kun personoplysninger efter dokumenteret instruks fra kunden. Denne aftale med bilag udgør instruksen. Behandling ud over instruksen sker kun, hvis EU-retten eller dansk ret kræver det; i så fald underretter leverandøren kunden, medmindre underretning er forbudt.
Mener leverandøren, at en instruks er i strid med databeskyttelsesreglerne, underrettes kunden straks.
4. Fortrolighed
Kun personer, der har brug for adgang for at opfylde aftalen, må behandle oplysningerne, og de er pålagt tavshedspligt. Leverandøren drives af indehaveren alene, uden ansatte, og adgangen til administrationen er personlig og beskyttet med to-faktor-godkendelse.
5. Sikkerhed
Leverandøren træffer de tekniske og organisatoriske foranstaltninger, der fremgår af Bilag B, jf. databeskyttelsesforordningens artikel 32. Foranstaltningerne er valgt ud fra, at behandlingen har et meget begrænset omfang, og at følsomme oplysninger efter programmets konstruktion ikke tilgår leverandøren.
6. Underdatabehandlere
Kunden giver generel godkendelse til, at leverandøren bruger de underdatabehandlere, der fremgår af listen nedenfor. Leverandøren har indgået databehandleraftale med hver af dem med forpligtelser svarende til denne aftale.
| Underdatabehandler | Opgave | Placering |
|---|---|---|
| Render Services, Inc. | Hosting af server og database | Frankfurt, EU |
| Resend (Plus Five Five, Inc.) | Afsendelse af e-mail om licens og betaling | EU (Irland) |
| Simply.com A/S | Domæne og postkasser, herunder supportmails | Danmark |
| Stripe Payments Europe, Ltd. | Betaling, fakturaer og kundeportal | EU/USA |
Skiftes eller tilføjes en underdatabehandler, varsles kunden på e-mail mindst 30 dage før. Kunden kan gøre indsigelse inden for varslet. Fastholder leverandøren ændringen, kan kunden opsige aftalen om ainonym til det tidspunkt, hvor ændringen træder i kraft, og få tilbagebetalt den forudbetalte, ikke-forbrugte del af abonnementet.
7. Tredjelande
Data opbevares i EU. Render og Stripe er amerikanske selskaber, hvis supportmedarbejdere i enkelte tilfælde kan tilgå oplysninger fra USA. Grundlaget er EU-Kommissionens standardkontraktbestemmelser (SCC), for Stripes vedkommende tillige EU-US Data Privacy Framework. Leverandøren overfører ikke personoplysninger til andre tredjelande uden kundens forudgående skriftlige godkendelse.
8. Bistand til kunden
Leverandøren bistår kunden med:
- at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse
- at overholde forpligtelserne i artikel 32–36, herunder ved en konsekvensanalyse (DPIA)
Bistanden ydes uden beregning i det omfang, den er en almindelig følge af aftalen. Kræver en anmodning et væsentligt arbejde ud over det, kan leverandøren fakturere efter medgået tid, hvilket aftales med kunden på forhånd.
9. Brud på persondatasikkerheden
Leverandøren underretter kunden uden unødig forsinkelse og senest 24 timer efter at være blevet opmærksom på et brud, der vedrører oplysninger behandlet for kunden. Underretningen indeholder de oplysninger, kunden skal bruge for at kunne anmelde til Datatilsynet: hvad der er sket, hvilke oplysninger og hvor mange registrerede der er berørt, de sandsynlige konsekvenser og hvad der er gjort.
Det er kunden, der anmelder bruddet til Datatilsynet og underretter de registrerede.
10. Dokumentation og revision
Leverandøren stiller de oplysninger til rådighed, der er nødvendige for at vise, at denne aftale overholdes, og fører fortegnelse over behandlingen efter artikel 30, stk. 2.
Kunden kan én gang om året, og derudover ved mistanke om brud, bede om en skriftlig redegørelse for de sikkerhedsforanstaltninger, der er nævnt i Bilag B. Ønsker kunden en fysisk inspektion eller en revisionserklæring fra en uafhængig revisor, afholder kunden omkostningerne, og inspektionen varsles mindst 30 dage i forvejen.
11. Ophør og sletning
Aftalen gælder, så længe leverandøren behandler personoplysninger for kunden. Ved ophør sletter leverandøren oplysningerne senest 12 måneder efter, at aftalen om ainonym er ophørt, eller tidligere hvis kunden beder om det. Materiale fra supportsager slettes senest 2 år efter sagens afslutning.
Oplysninger, som leverandøren er retligt forpligtet til at opbevare, fx regnskabsbilag efter bogføringsloven, opbevares i den lovpligtige periode og slettes derefter.
Kunden kan bede om en skriftlig bekræftelse på, at sletning er gennemført.
12. Ansvar
Parterne hæfter efter databeskyttelsesforordningens artikel 82. I forholdet mellem parterne gælder ansvarsbegrænsningerne i handelsbetingelsernes punkt 14, dog ikke for bøder eller krav, der følger af, at en part har handlet i strid med denne aftale.
Aftalen er underlagt dansk ret, og tvister afgøres som anført i handelsbetingelserne.
Bilag A: Behandlingen
| Formål | At levere licens til og support på programmet ainonym |
|---|---|
| Karakter | Opbevaring og brug af licens- og enhedsoplysninger; lejlighedsvis gennemsyn af materiale, kunden selv sender i en supportsag |
| Varighed | Aftalens løbetid, plus sletningsfristerne i punkt 11 |
| Typer af personoplysninger | Almindelige personoplysninger: maskin-id som kryptografisk aftryk, styresystem og programversion, tidspunkter; ved organisationslicens desuden computernavn og Windows-domæne. I supportsager: de oplysninger kunden selv vælger at sende. |
| Kategorier af registrerede | Kundens medarbejdere, som bruger programmet. I supportsager kan der forekomme oplysninger om kundens egne borgere, klienter eller kunder, hvis kunden sender sådant materiale ind. |
| Følsomme oplysninger | Behandles ikke som led i den almindelige drift. Kunden opfordres til at fjerne følsomme oplysninger, inden materiale sendes til support. |
Ikke omfattet: den tekst brugeren markerer, den maskerede tekst, svaret fra AI-tjenesten og den lokale ordbog. Disse oplysninger forlader ikke kundens computer og tilgår aldrig leverandøren.
Bilag B: Sikkerhedsforanstaltninger
- Dataminimering ved design: programmet sender kun det, licenskontrollen kræver. Tekst og dokumenter forlader ikke computeren.
- Kryptering undervejs: al kommunikation sker over HTTPS.
- Ingen læsbare nøgler: licensnøgler og maskin-id gemmes kun som kryptografisk aftryk (SHA-256).
- Adgangsstyring: administrationen kræver adgangskode og to-faktor-godkendelse (TOTP). Sessioner udløber, og gentagne fejlforsøg spærrer adgangen midlertidigt.
- Logning: ændringer i administrationen skrives i en log med bruger, handling og tidspunkt.
- Afskærmet database: databasen kan ikke tilgås fra internettet, og der tages automatisk sikkerhedskopi med mulighed for gendannelse.
- Adskilte miljøer: udvikling og test sker på testdata, ikke på produktionsdata.
- Hemmeligheder: nøgler og adgangskoder opbevares i hostingmiljøets secret-håndtering, ikke i kildekoden.
- Opdatering: afhængigheder holdes opdaterede, og sikkerhedsrettelser installeres hurtigst muligt.