Databehandling Aftale

Sidst opdateret den 01 januar, 2026

Denne Databehandling Aftale ("DPA") udgør en del af aftalen mellem Agenized ApS ("Processor", "vi", "os" eller "vores") og kunden, der har accepteret Vilkår og Betingelser for Service ("Kunde", "den Registeransvarlige", "du"). Dette DPA gælder i det omfang, Processor behandler Personoplysninger på vegne af Kunden i forbindelse med Tjenesten.

1. Parterne

Controller (Kunde): Den virksomhed, der kommer ind i de Vilkår og Betingelser for Tjenesten.
Processor: Agenized ApS, Slamrebjergvej 6A, 3730 Nexø, Danmark, MOMS DK46093208.

2. Definitioner

Udtryk, der anvendes i denne DPA har de betydninger, der er givet i EU Generel Forordning om databeskyttelse 2016/679 ("GDPR"), medmindre andet er anført.

• • "Personlige Data": Enhver form for information om en identificeret eller identificerbar fysisk person.

• • "Forarbejdning": Enhver operation, der udføres på Personlige Data, såsom indsamling, opbevaring, brug, videregivelse og sletning.

• • "Kundens Personlige Oplysninger": Personlige Data, der behandles af Processor på vegne af Kunden i henhold til nærværende DPA.

• • "Subprocessor": Enhver processor, der er ansat af Processor til at hjælpe i behandling af Kundens Personlige Oplysninger.

• • "Sikkerhedshændelse": Et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til Kundens Personlige Oplysninger ("Personlige Data Breach" under GDPR).

3. Roller og Anvendelsesområde

Kunden er den Registeransvarlige af Kundens Personlige Oplysninger. Processor processer Kundens Personlige Data, som en Processor på vegne af Kunden, medmindre Processor fungerer som en Controller til separate data it-processer for sine egne formål (for eksempel, fakturering, konto administration og salg).

4. Emne, Varighed, Art og Formål med Behandling

Emne: Leveringen af Service til Kunden, herunder AI-assisteret kundesupport arbejdsgange, integrationer, og relaterede funktioner.

Varighed: I den periode af Kundens abonnement og eventuelle supplerende periode, der kræves til sletning, ved at vende tilbage, eller tilbageholdelse som beskrevet i Afsnit 11.

Natur og formål: Hosting, lagring, transmission og på anden måde behandle Kundens Personlige Data til at drive, vedligeholde, sikre og støtte Tjenesten, og til at udføre Kundens dokumenterede anvisninger.

5. Kategorierne af registrerede og af Personlige Data

De nedenstående kategorier er typiske. Kunde kontrol over, hvilke data, der er sendt til Service.

Data emner kan nævnes:

• • Kundens repræsentanter, administratorer, og autoriserede brugere.

• • Kundens slutbrugere og kontakter (for eksempel, Kundens kunder), der kommunikerer via tilsluttet kanaler.

• • Personer, hvis Personlige Data vises i Kunde indhold, viden, billetter, beskeder, eller integrationer.

Personlige Oplysninger kan omfatte:

• • Identifikationer og kontaktoplysninger (for eksempel navn, e-mail, telefonnummer, brugernavne, sociale håndtag).

• • Samtale indhold og metadata (for eksempel, beskeder, tidsstempler, kanal identifikatorer).

• • Kundeservice kontekst (for eksempel, for referencer, ticket-id ' er, CRM identifikatorer), som leveres af Kunden eller slutbrugerne.

• • Tekniske data (for eksempel IP-adresse, enheden og data, logs), der er relateret til brugen af Tjenesten.

Særlige kategorier af oplysninger: Kunden skal ikke indsende særlige kategorier af oplysninger (GDPR Artikel 9), medmindre Kunden har et lovligt grundlag, og at passende sikkerhedsforanstaltninger. Tjenesten giver ikke specifikke tekniske eller aftalemæssige styrer for særlige kategorier (fx sundhed, biometri). Ved hjælp af chat-widget, og der er tilsluttet kanaler, slutbrugere er præsenteret med en konfigurerbar fortrolighed og, hvor det er aktiveret, kan en valgfri bekræftelse trin, før du sender deres første besked.

6. Kunden Instruktioner

Processor vil behandle Kundens Personlige Data kun på dokumenterede anvisninger fra Kunden, herunder instruktioner, der gives via Kundens konfiguration og brug af Tjenesten.

Hvis Processor mener, at en instruktion i modstrid med gældende lov, Processor vil informere Kunden (medmindre det er forbudt ved lov).

7. Processor Forpligtelser

• • Behandle Kundens Personlige Oplysninger kun som anført i denne DPA og Kundens dokumenterede anvisninger.

• • Sikre, at personer, der er bemyndiget til at behandle Kundens Personlige Data, der er bundet af tavshedspligt.

• • Iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at beskytte Kundernes Personlige Data (se Afsnit 8 og Bilag 2).

• • Ikke sælge Kundens Personlige Oplysninger.

8. Sikkerheds-Foranstaltninger

Processor vil iværksætte de fornødne tekniske og organisatoriske foranstaltninger for at sikre et tilstrækkeligt sikkerhedsniveau i forhold til den risiko, herunder foranstaltninger, der er beskrevet i Bilag 2 (sikkerhedsforanstaltninger).

Processor iværksætter tekniske og organisatoriske foranstaltninger, herunder: a) kryptering, der er i transit via TLS for alle API og anvendelse trafik; (b) kryptering i hvile i databasen, og hvis de anvendes, fil opbevaring (fx database og S3 kryptering); (c) adgang til kontrol og godkendelse (fx rolle-baseret adgang, stærk autentificering for admin og API-adgang); (d) kryptering af følsomme gemt hemmeligheder (fx kanal legitimationsoplysninger) ved hjælp af nøglebaseret kryptering; (e) central logning og overvågning, med sikkerhedsrelevante hændelser, der registreres; (f) logisk adskillelse af kundens data ved konto; (g) regelmæssig backup og recovery procedurer; (h) sårbarhed og patch management; (i) et dokumenteret incident response og anmeldelse af brud på processen; (j) fortrolighed og sikkerhed forpligtelser for personale. Data center og fysiske sikkerhed er fastsat af Processor er hosting og infrastruktur leverandører.

9. Subprocessors

Kunden giver Processor en generel tilladelse til at udøve Subprocessors for udbydelsen af denne Service.

9.1 Nuværende Subprocessors

An up-to-date list of Subprocessors can be found at: https://agenized.com/legal/subprocessors.

9.2 Ændringer Subprocessors

Processor vil give meddelelse om de påtænkte ændringer til Subprocessors ved at ajourføre Bilag 1 eller den offentliggjorte liste. Kunden kan gøre indsigelse mod en ny Subprocessor inden for 30 dages varsel ved skriftlig begrundelse i relation til databeskyttelse. Hvis parterne ikke kan løse den indvending, at Kunden kan opsige den berørte del af Tjenesten i overensstemmelse med de Vilkår og Betingelser.

9.3 Subprocessor Vilkår

Processor vil indgå en skriftlig aftale med hver enkelt Subprocessor om indførelse af data beskyttelse forpligtelser, som ikke er mindre strenge end dem, der er i denne DPA. Processor fortsat ansvarlig for Subprocessors' opfyldelsen af deres forpligtelser.

10. Internationale Overførsler

Kundens Personoplysninger kan blive behandlet i EØS, og de kan overføres udenfor EØS-afhængigt af subprocessors og forbundet tredjeparts platforme.

Where transfers outside the EEA occur, Processor ensures appropriate safeguards, including European Commission Standard Contractual Clauses (SCCs). Where Processor acts as processor on behalf of Customer, the SCCs Module Two (Controller to Processor) apply. Processor will make the executed SCCs (or a copy) available to Customer on request or publish them at: https://agenized.com/legal/scc.

11. Sletning og Returnering af Data

Ved ophør eller udløb af abonnementet, Processor, efter Kundens valg og omfattet af Service muligheder og gældende lov: (a) at returnere Kundens Personlige Data i et almindeligt brugt, maskinlæsbart format (fx via API eksport eller eksportere efter anmodning) og/eller (b) slette Kundens Personlige Oplysninger. Processor kan fastholde Kundens Personlige Data, når det er påkrævet ved lov, eller i en begrænset periode, backup, sikkerhed, og tvistbilæggelse, forudsat at det forbliver beskyttede, og er slettet i overensstemmelse med Processor for at fastholde cyklus (typisk inden for 90 dage efter lagring udløser). I løbet af abonnementet, Processor gælder konfigurerbare fastholdelse: indholdet af beskeden kan blive redigeret efter en konfigurerbar periode (som standard angivet til 30 dage), og kontakt personlige OPLYSNINGER kan være anonyme eller fjernes efter en konfigurerbar periode af inaktivitet (standard 90 dage). Den endelige sletning af konto-relaterede data er afsluttet inden for [fx 30 og 90] dage efter effektive opsigelse, undtagen hvis længere opbevaring er påkrævet ved lov."

12. Bistand til Kunden

Under hensyntagen til karakteren af behandlingen, Processor vil yde rimelig bistand til at Kunden:

• • Besvare henvendelser fra registrerede (adgang, sletning osv.), i den udstrækning, det er relevant og inden for Processor ' s kontrol.

• • Mød GDPR forpligtelser med hensyn til sikkerhed, anmeldelse af brud, DPIAs, og konsultationer med tilsynsmyndigheder.

Rimelig bistand inden for rammerne af den Service er inkluderet i prisen. Kunden anerkender, at støtte, der ikke er standard (fx omfattende brugerdefineret eksport, gentagne eller komplekse revisioner, eller juridiske/DPIA support ud over at give oplysninger) kan være pålagt et gebyr på Processor gældende professionelle tjenester eller støtte priser.

13. Persondatasikkerhedsbrud

Processor vil give Kunden meddelelse uden ugrundet ophold, efter at blive opmærksom på et Brud på persondatasikkerheden, der påvirker Kundens Personlige Oplysninger.

Processor meddelelse vil indeholde, hvor de er tilgængelige, relevante oplysninger om karakteren af den overtrædelse, sandsynlige konsekvenser, og foranstaltninger, der er truffet eller foreslås for at løse den strid.

Kunden er ansvarlig for at afgøre, om at underrette tilsynsmyndighederne og de berørte enkeltpersoner, medmindre andet er krævet af gældende lovgivning.

14. Revision og Compliance

Processor vil gøre tilgængelige oplysninger, der med rimelighed er nødvendig for at påvise overensstemmelse med nærværende DPA.

Kunden kan gennemføre en revision ikke mere end én gang om året eller oftere, hvis det kræves af lovgivningen, eller som svar på en materiale sikkerhedshændelse, betinget af, at:

• • Rimelig forudgående skriftligt varsel.

• • Anvendelsesområdet er begrænset til data protection kontroller, der er relevante for den Service.

• • Fortrolighed og sikkerhed.

• • Revision udført i normal kontortid, uden unødig forstyrrelse.

• • Kunden bærer sin egen revision omkostninger og refunderer Processor ' s rimelige omkostninger til at yde bistand (fx personalets tid, forberedelse af dokumentation) på Processor gældende priser, medmindre andet er skriftligt aftalt.

Processor kan tilfredsstille revision forpligtelser helt eller delvist ved at stille tredjeparts-rapporter eller certificeringer, hvor de er tilgængelige (fx SOC 2 Type II-eller ISO 27001). På datoen for nærværende DPA, Processor ikke holde sådan en certificering efter at have fået en, Processor vil gøre det til rådighed for Kunden i henhold til fortrolighed.

15. Fortrolighed

Processor vil sikre, at personer, der er bemyndiget til at behandle Kundens Personlige Data, der er bundet af tavshedspligt. Hver part vil holde den anden parts fortrolige oplysninger fortrolige, med forbehold for gældende lovgivning og de Vilkår og Betingelser.

16. Ansvar

Ansvar i henhold til dette DPA er underlagt bestemmelser om erstatningsansvar i Vilkår og Betingelser. Intet i denne DPA udvider Processor ansvar, ud over hvad der er angivet i de Vilkår og Betingelser, undtagen hvis ansvar ikke kan være begrænset i henhold til gældende lovgivning (fx grov uagtsomhed, forsætlige forseelse eller brud på fortrolighed).

17. Rangfølgen

I tilfælde af konflikt mellem denne DPA og Vilkår og Betingelser for behandling af Personlige Data, er dette DPA vil sejre. For alle andre konflikter, de Vilkår og Betingelser være gældende.

18. Gældende Lov

Dette DPA er underlagt lovgivningen i Danmark, og tvister vil være underlagt domstolene i København, Danmark, medmindre præceptiv lovgivning kræver andet.

---

Bilag 1: Subprocessors (Leverandører)

Subprocessor Navn	Service, Der Ydes	Behandling Placering(s)	Data Kategorier	Overførsel Mekanisme (Hvis Uden for EØS -)	Link til Betingelser/Privacy eller DPA
OpenAI	AI/LLM (chat, klassificering, embeddings, hvis de anvendes)	OS	Samtale indhold, beder, svar (som sendes af Kunden)	Vkf (Controller–Processor eller Processor–Processor, som er gældende)	https://openai.com/policies/
Stribe	Fakturering, abonnementer, betalingsmetode opbevaring	OS	Fakturering kontakt, betalings-id, der ikke fuld betaling af kortoplysninger gemt af Processor	Vkf / Stribe DPA	https://stripe.com/legal
AWS	Hosting -, database -, objekt-lagring (fx RDS, S3), beregne	EU	Alle Kundens Personoplysninger, som behandles af Tjenesten	Vkf; AWS, som processor	https://aws.amazon.com/privacy/    https://aws.amazon.com/compliance/gdpr-center/

Bilag 2: Sikkerhedsforanstaltninger

Processor opretholder et sikkerheds-program, der passer til arten af den Service og de risici, der er til Kundens Personlige Oplysninger. De foranstaltninger, der nedenfor er eksempler og bør tilpasses til din faktiske gennemførelse.

• • Adgangskontrol: Rolle-baseret adgang, mindst privilegium, stærk autentificering for administrativ adgang.

• • Kryptering: Kryptering i transit: TLS 1.2 eller højere for alle klient-og server-kommunikation. Kryptering på resten: - database-og fil-lagring (fx S3) bruger kryptering til at hvile som fastsat af infrastruktur udbyder; følsom anvendelse hemmeligheder (fx kanal legitimationsoplysninger) er krypteret med nøglebaseret kryptering før opbevaring.

• • Logning og overvågning: Struktureret logning for anvendelse og sikkerhed-relevante arrangementer, og logs der lagres i overensstemmelse med Processor ' s fastholdelsespolitik, overvågning og alarmering for tilgængelighed og sikkerhed begivenheder.

• • Segregation: Logisk adskillelse af data fra kundens konto, multi-tenant isolation i anvendelse og database-lag.

• • Backup og recovery: Regelmæssige automatiske backups af databaser og kritisk konfiguration, backup, lagring og gendannelse af procedurer; recovery testet med jævne mellemrum.

• • Sårbarhed management: Afhængighed og sårbarhed scanning; sikkerheds-relevante patches, der anvendes i overensstemmelse med Processor patch politik og risikovurdering.

• • Incident response: Dokumenteret incident response proces; persondatasikkerhedsbrud til Controller uden unødig forsinkelse, som angivet i Punkt 13.

• • Fysisk sikkerhed: Håndteres af processorens hosting/udbydere af infrastruktur, datacentre med adgangskontrol, overvågning og fysiske sikkerhedsforanstaltninger.

• • Medarbejder fortrolighed: Fortrolighed og databeskyttelse i beskæftigelse eller entreprenør aftaler, sikkerhed og beskyttelse af personlige bevidsthed uddannelse for personale med adgang til personlige data.

Bilag 3: Kundens Vejledning og Service Indstillinger

Kundens instruktioner, der er givet gennem konfiguration og brug af Tjenesten, herunder: (a) tilsluttet kanaler og integrationer, der er valgt af Kunden, (b) viden om kilder og indhold, som uploades eller forbundet af Kunden; (c) agent og ruteindstillinger, automatiseringer, og handlinger, der er konfigureret af Kunden; (d) tilbageholdelse, redaction og privacy notice tilgængelige indstillinger i den Service (f.eks besked fastholdelse dage, skal du kontakte PII fastholdelse dage, valgfri personlige bekræftelse i chat-widget ' en). Eksport og sletning indstillinger er tilgængelige via API ' et og, hvor det er relevant, admin eller købmand interface.

•