Databehandleraftale

Kunden er dataansvarlig. joto v/ Jacob Jørgensen, CVR 37 70 49 54, er databehandler.

Det betyder, at kunden bestemmer, hvilke personoplysninger der må behandles og til hvilket formål, og at jeg kun behandler dem efter kundens dokumenterede instruks.

Instruksen er beskrivelsen af den løsning, vi har aftalt. Vurderer jeg, at en instruks strider mod databeskyttelsesreglerne, giver jeg besked frem for at udføre den.

Det konkrete omfang fremgår af et bilag til aftalen om den enkelte løsning. Typiske kategorier er:

Jeg træffer de tekniske og organisatoriske foranstaltninger, der er passende i forhold til risikoen. Konkret betyder det:

Behandles personoplysninger af en sprogmodel, gælder tre ting, som jeg holder fast i.

Oplysningerne bruges ikke til træning. Jeg anvender kun leverandøropsætninger, hvor de data, der sendes ind, ikke bruges til at træne modellen, og det dokumenteres i aftalen.

Databehandlingsregionen aftales på forhånd. Skal intet forlade EU, anvendes en model med europæisk behandling, fx Azure OpenAI i EU-region eller Mistral. Det er ofte en beslutning, der påvirker valget af model, og den træffes før opsætningen, ikke efter.

Der sendes ikke mere data end nødvendigt. Kan et flow løse opgaven med maskerede eller udvalgte felter i stedet for hele dokumentet, gøres det.

Jeg anvender underdatabehandlere til hosting, flowafvikling, modelkald og udsendelse. De godkendes af kunden som del af aftalen, og der oplyses altid navn, formål og behandlingsregion.

Skiftes eller tilføjes en underdatabehandler, varsles kunden mindst 30 dage før. Har kunden en rimelig indvending, kan aftalen for det berørte område opsiges uden varsel.

Der indgås aftale med hver underdatabehandler med mindst de samme forpligtelser, som gælder mig.

Udgangspunktet er, at behandlingen holdes inden for EU og EØS.

Er en overførsel til et tredjeland nødvendig, sker den kun på et gyldigt grundlag - en tilstrækkelighedsafgørelse eller EU-Kommissionens standardkontraktbestemmelser med en vurdering af forholdene i modtagerlandet.

Overførsler til tredjelande fremgår altid udtrykkeligt af aftalen. De opstår ikke undervejs uden at kunden ved det.

Konstaterer jeg et brud, underretter jeg kunden uden unødig forsinkelse og senest 24 timer efter, at jeg er blevet bekendt med det.

Underretningen indeholder karakteren af bruddet, de berørte kategorier og antal så præcist som muligt, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslås.

Det er kunden som dataansvarlig, der anmelder til Datatilsynet og eventuelt underretter de berørte. Jeg bistår med de oplysninger, der er nødvendige for det.

Jeg bistår kunden med at opfylde sine forpligtelser, herunder ved anmodninger om indsigt, rettelse, sletning og dataportabilitet fra de personer, oplysningerne handler om.

Jeg stiller de oplysninger til rådighed, der er nødvendige, for at kunden kan dokumentere overholdelse, og medvirker ved revision eller inspektion. Kunden afholder omkostningerne ved en revision, som kunden selv iværksætter.

Ved aftalens ophør sletter eller tilbageleverer jeg alle personoplysninger efter kundens valg, og sletter eventuelle kopier.

Sletning sker senest 30 dage efter ophør, medmindre opbevaring er krævet efter lovgivningen. Er der en opbevaringspligt, oplyses grundlaget og perioden.

Kunden får dokumentation for, at sletningen er gennemført, hvis der bedes om det.

Skal vi arbejde sammen om en løsning, hvor der behandles personoplysninger, sender jeg en aftale til underskrift som en naturlig del af forløbet. Den skal ikke efterspørges.

Vil I se den på forhånd - fx fordi den skal godkendes juridisk hos jer, før vi går videre - så skriv til jj@joto.dk, og I får den tilsendt.

De øvrige vilkår for samarbejdet står i handelsbetingelserne, og min behandling af oplysninger om besøgende på websitet er beskrevet i privatlivspolitikken.