Databehandleraftale

Bestemmelserne fastsætter databehandlerens rettigheder og forpligtelser, når databehandleren behandler personoplysninger på vegne af den dataansvarlige.

Bestemmelserne er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (databeskyttelsesforordningen).

Behandlingen sker i forbindelse med levering af tjenesten Gathr Solutions (vagtplanlægning, tid og fravær, opgaver, kommunikation, personalemappe og GS AI) som beskrevet i handelsbetingelserne. Bilag A–D er en del af bestemmelserne.

Den dataansvarlige er ansvarlig for, at behandlingen sker i overensstemmelse med databeskyttelsesforordningen og databeskyttelsesloven, og har ret og pligt til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må behandles personoplysninger.

Den dataansvarlige er blandt andet ansvarlig for, at der er et behandlingsgrundlag, og for at oplyse sine medarbejdere om behandlingen (artikel 13 og 14), herunder at kunden har slået GS AI til.

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret. Instruksen fremgår af bilag A og C.

Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med databeskyttelsesforordningen eller anden databeskyttelsesret.

Databehandleren giver kun adgang til personoplysningerne til personer under databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en lovbestemt tavshedspligt, og kun i det omfang det er nødvendigt.

Databehandleren gennemfører de tekniske og organisatoriske foranstaltninger, der er beskrevet i bilag C, under hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål samt risiciene for de registreredes rettigheder og frihedsrettigheder (artikel 32).

Den dataansvarlige giver generel forhåndsgodkendelse til, at databehandleren anvender de underdatabehandlere, der står i bilag B.

Databehandleren underretter den dataansvarlige skriftligt med rimeligt varsel om påtænkte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere, så den dataansvarlige kan gøre indsigelse mod ændringerne.

Databehandleren pålægger hver underdatabehandler de samme databeskyttelsesforpligtelser som i disse bestemmelser og forbliver fuldt ansvarlig over for den dataansvarlige for underdatabehandlerens opfyldelse af sine forpligtelser.

Overførsel af personoplysninger til tredjelande må kun ske på grundlag af dokumenteret instruks fra den dataansvarlige og i overensstemmelse med databeskyttelsesforordningens kapitel V.

Den dataansvarlige instruerer hermed databehandleren i at overføre de oplysninger, der er beskrevet i bilag C.6, til Anthropic PBC i USA, når kunden har slået GS AI til. Overførslen sker på grundlag af EU-Kommissionens standardkontraktbestemmelser (afgørelse (EU) 2021/914), som indgår i Anthropics databehandleraftale.

Databehandleren bistår så vidt muligt den dataansvarlige med at opfylde forpligtelsen til at besvare anmodninger om udøvelse af de registreredes rettigheder (artikel 12–22) og med at overholde artikel 32–36, herunder ved en konsekvensanalyse vedrørende databeskyttelse, når den dataansvarlige tager GS AI i brug.

Databehandleren underretter den dataansvarlige uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden, så den dataansvarlige kan overholde sin pligt til at anmelde bruddet til Datatilsynet inden for 72 timer (artikel 33).

Ved ophør sletter eller tilbageleverer databehandleren efter den dataansvarliges valg alle personoplysninger. Data slettes fra produktionssystemer inden for 30 dage og fra sikkerhedskopier senest 14 dage derefter, medmindre opbevaring kræves efter lovgivningen. Oplysninger i personalemappen slettes desuden løbende efter de frister pr. oplysning, der står i privatlivspolitikken, ved at den tilhørende nøgle destrueres.

Databehandleren stiller alle oplysninger til rådighed, der er nødvendige for at påvise overholdelsen af artikel 28 og disse bestemmelser, og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af den dataansvarlige eller en anden revisor, som den dataansvarlige har bemyndiget (bilag C.7). Den dataansvarlige afholder egne omkostninger hertil.

Andre aftaler mellem parterne må ikke stride direkte eller indirekte mod disse bestemmelser eller forringe den registreredes grundlæggende rettigheder. Se bilag D.

Bestemmelserne træder i kraft, når kundens ejer eller primære administrator accepterer handelsbetingelserne med denne databehandleraftale som bilag, og gælder, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige. Ændres bestemmelserne, offentliggøres en ny version, som skal accepteres, før ændringerne har virkning.

Databehandleren: Secure Service Group, CVR-nr. 45058417, Baneleddet 39, st. mf., 2600 Glostrup, support@gathrsolutions.dk, telefon 32 35 85 70. Den dataansvarlige: kundens ejer, som registreret i tjenesten.

A.1 Formål

At levere tjenesten til den dataansvarlige: vagtplanlægning, tjek-ind og tjek-ud, opgaver og runder, fridage, sygemeldinger og vagtbytte, timespecifikation, kommunikation, notifikationer, personalemappe og — når kunden har slået det til — GS AI, en AI-assistent, der læser kundens egne data og svarer kontorets brugere, og som — når kunden har slået det til — retter stavning og grammatik i medarbejdernes rapporter og hjælper en bruger med at skrive en tekst i et felt.

A.2 Behandlingens karakter

Opbevaring, strukturering, visning, søgning og overførsel af oplysninger i tjenesten. I GS AI: læsning af de oplysninger, den spørgende bruger selv har adgang til, og overførsel af et udsnit til AI-underdatabehandleren for at formulere et svar (bilag C.6).

A.3 Typer af personoplysninger

• Almindelige oplysninger: navn, initialer, brugernavn, e-mail, rolle, vagtplaner og arbejdstid, tjek-ind og tjek-ud, opgaver og hændelser, beskeder, fridage og vagtbytte.
• Lokationsdata: GPS-positioner registreret ved tjek-ind og under runder og opgaver.
• Oplysninger om fravær på grund af sygdom, i det omfang den dataansvarlige registrerer det (en sygemelding med datoer). Disse behandles som helbredsoplysninger (artikel 9). De sendes aldrig til AI-underdatabehandleren: spørgsmål om sygdom besvares af tjenesten selv uden AI.
• Ansættelsesoplysninger, hvis personalemappen er slået til: stilling, ansættelsesform, timer, datoer, kontrakt og tillæg, CPR-nummer, bankkonto, skattekort, adresse, telefon, pårørende, kørekort, kurser, tøjstørrelser og profilfoto. CPR-nummer behandles efter databeskyttelseslovens § 11. Profilfoto kontrolleres med ansigtsdetektion, ikke ansigtsgenkendelse. Personalemappen sendes aldrig til AI-underdatabehandleren.
• Brugen af GS AI: spørgsmål og svar, tekst en bruger beder GS AI skrive i et felt, og — når kunden har slået det til — teksten i medarbejdernes rapporter, der rettes for stavning og grammatik. Tekst om helbred sendes ikke. Et spørgsmål, der indeholder et CPR-, konto- eller IBAN-lignende nummer, afvises, før det sendes.

A.4 Kategorier af registrerede

• Den dataansvarliges medarbejdere.
• Den dataansvarliges administrative brugere.
• Kontaktpersoner hos den dataansvarliges kunder, som bruger kundeportalen.

A.5 Varighed

Så længe aftalen løber, og derefter som beskrevet i bilag C.4.

A.6 Særlige kategorier

Ud over sygemeldinger (A.3) må den dataansvarlige ikke indlæse særlige kategorier af oplysninger i tjenesten — heller ikke i dokumenter i personalemappen eller i spørgsmål til GS AI.

Sker der overførsel til et tredjeland via en underdatabehandler, sikres et gyldigt overførselsgrundlag efter kapitel V. For Anthropic PBC er grundlaget EU-Kommissionens standardkontraktbestemmelser (afgørelse (EU) 2021/914), som indgår i Anthropics databehandleraftale.

C.1 Genstand og instruks

Databehandleren behandler oplysningerne for at levere tjenesten som beskrevet i bilag A. GS AI er slået fra, indtil kundens ejer har accepteret handelsbetingelserne med denne aftale. GS AI læser kun det, den spørgende bruger selv har adgang til, ændrer aldrig en original og træffer ingen afgørelser.

C.2 Behandlingssikkerhed

• Kryptering under transport (TLS) og adskillelse af data pr. kunde.
• Ende-til-ende-kryptering af chatbeskeder.
• Feltkryptering (AES-256-GCM) af CPR-nummer og bankoplysninger i personalemappen med én nøgle pr. opbevaringsklasse, beskyttet af en nøgle i Google Cloud KMS, som aldrig forlader KMS.
• Oplysningerne i personalemappen vises maskeret, og hver visning skrives i en log, der ikke kan rettes eller slettes, før oplysningen vises.
• Rollebaseret adgang: hver bruger ser kun de kunder og medarbejdere, rollen giver adgang til. GS AI læser som den spørgende bruger og aldrig mere.
• To-faktor for administratorer, revisionslogning og begrænsning af antallet af forespørgsler.
• Daglige, krypterede sikkerhedskopier med begrænset opbevaringsperiode.

C.3 Bistand

Databehandleren bistår med eksport, indsigt, berigtigelse og sletning via tjenesten og efter henvendelse.

C.4 Opbevaringsperiode og sletning

• Samtaler med GS AI: 90 dage, derefter automatisk sletning. En bruger kan slette sine samtaler når som helst.
• Forbrug af GS AI (antal spørgsmål pr. bruger og pr. kunde pr. dag, aldrig spørgsmålet): 400 dage.
• Spørgsmål, GS AI ikke kunne placere (ord uden person): 180 dage.
• Anthropic PBC: efter Anthropics egne opbevaringsregler for API-kunder; oplysningerne bruges ikke til træning.
• Øvrige data: så længe aftalen løber, derefter som i bestemmelsen om sletning.

C.5 Lokalitet

Data opbevares i EU, bortset fra de underdatabehandlere i bilag B, hvis placering oplyses på anmodning. Overførslen i forbindelse med GS AI står i C.6.

C.6 Instruks vedrørende overførsel til tredjelande (GS AI)

Når kunden har slået GS AI til, sender databehandleren for hvert spørgsmål følgende til Anthropic PBC (USA):

• spørgsmålet og op til to forudgående spørgsmål og svar i samme samtale;
• den spørgende brugers navn og rolle, dags dato og klokkeslæt;
• de opslag, der er nødvendige for svaret, og kun det, brugeren selv kan se: navne og initialer på medarbejdere og kunder, vagttider, tjek-ind-status, fridage med datoer og status (fraværstypen kun, når spørgsmålet gælder en bestemt type, og aldrig sygdom), notifikationers antal og overskrifter;
• når spørgsmålet gælder dem: vagtnoter, hændelses- og alarmrapporter og andre driftsnoter, som brugeren selv kan læse i tjenesten.

Sendes aldrig: personalemappen, CPR-, konto- og IBAN-numre, adgangskoder og andre hemmeligheder, oplysninger om sygdom og fritekst om fravær. Anthropic må ikke bruge oplysningerne til at træne sine modeller.

C.7 Tilsyn og revision

Databehandleren udarbejder på anmodning en skriftlig redegørelse for overholdelsen af denne aftale. Fysisk inspektion aftales med rimeligt varsel.

C.8 Tilsyn med underdatabehandlere

Databehandleren gennemgår underdatabehandlernes dokumentation (databehandleraftaler, certificeringer og sikkerhedsrapporter), før de tages i brug, og når de ændres.

Ansvar og ansvarsbegrænsning følger handelsbetingelserne. Ved uoverensstemmelse mellem handelsbetingelserne og denne databehandleraftale går databehandleraftalen forud for så vidt angår behandling af personoplysninger.