Databehandleraftale

1. Genstand, art og formål

Vi behandler kun personoplysninger for at levere Tjenesten til Kunden: administration af konti og pladser, levering af træning i AI-kompetencer, bedømmelse af quizzer og videnstjek, udstedelse og verificering af certifikater, afsendelse af e-mails, opbevaring af dokumentation for træning og revisionsspor samt levering af rapporter og eksporter. Behandlingen består af indsamling, opbevaring, systematisering, brug, overførsel til de nedenfor nævnte underdatabehandlere, sletning og de øvrige operationer, der er nødvendige til disse formål.

2. Varighed

Denne DPA gælder, så længe vi behandler personoplysninger for Kunden: i abonnementets løbetid og den efterfølgende periode indtil den sletning, der er beskrevet i punkt 11.

3. Registrerede og kategorier af oplysninger

• Registrerede: Kundens medarbejdere, som er tildelt en plads, og Kundens administratorer.
• Identifikations- og kontaktoplysninger: navn, e-mail, afdeling, jobrolle og foretrukket sprog.
• Kontooplysninger: hash af adgangskoden (Argon2id), oplysninger om totrinsbekræftelse, hvis den bruges, logintidspunkter og IP-adresser.
• Træningsoplysninger: tildelte kurser, fremskridt og brugt tid i lektioner, svar på quizzer og videnstjek, resultater og forsøg, certifikater, bekræftelser af Kundens AI-politik.
• Registreringer indtastet af Kunden: oversigten over AI-værktøjer og andre oplysninger indtastet af administratorer.
• Revisionslog over vigtige handlinger med tidspunkt og ophavsperson.

Tjenesten er ikke beregnet til særlige kategorier af personoplysninger (art. 9 i GDPR), og Kunden må ikke indtaste dem.

4. Kundens instruks

Vi behandler kun oplysningerne efter Kundens dokumenterede instruks. Denne DPA, Servicevilkårene og indstillingerne og handlingerne foretaget af Kundens administratorer i Tjenesten udgør Kundens fuldstændige instruks. Vi underretter Kunden, hvis vi mener, at en instruks er i strid med databeskyttelsesretten, og vi må kun behandle oplysninger på anden måde, hvor EU-retten eller medlemsstaternes nationale ret kræver det; i så fald underretter vi Kunden på forhånd, medmindre loven forbyder det.

5. Fortrolighed

Kun personer, der har brug for adgang for at drive eller supportere Tjenesten, har adgang til oplysningerne, og de er underlagt tavshedspligt.

6. Sikkerhedsforanstaltninger

• Tjenesten og alle data kører på en server i et datacenter i Tyskland (EU).
• Krypterede forbindelser (HTTPS); adgangskoder gemmes kun som Argon2id-hashes; signerede HTTP-only sessionscookies.
• Streng adskillelse af kunder: hver anmodning kontrolleres mod den indloggede bruger og dennes virksomhed.
• Totrinsbekræftelse for administratorer, obligatorisk for vores egne supportkonti og tilgængelig for alle Kundens administratorer.
• Begrænsning af antal forsøg ved login, nulstilling af adgangskode og verificering af certifikater.
• Gemte hemmeligheder, f.eks. loginoplysninger til e-mailafsenderen og nøgler til totrinsbekræftelse, er krypteret (AES-256-GCM).
• Quizsvar bedømmes på serveren; rigtige svar når aldrig browseren.
• Revisionslog over vigtige handlinger og en log over sikkerhedshændelser, der opbevares i 30 dage.
• Sikkerhedskopier med en opbevaringsperiode på op til 30 dage og en dokumenteret procedure for sikkerhedshændelser.

7. Supportadgang

Autoriserede supportmedarbejdere hos MadHoney kan logge ind på Kundens administratorkonto for at opsætte kontoen eller løse et problem efter Kundens anmodning, eller hvor det er nødvendigt for at beskytte Tjenesten. Sådan adgang er begrænset til administratorpanelet (aldrig lektioner, quizzer eller certifikater på vegne af medarbejdere), er tidsbegrænset og registreres i Kundens revisionslog.

8. Underdatabehandlere

• Hostinger International Ltd. (Cypern) - leje af den virtuelle private server, som Tjenesten kører på; datacenter i Tyskland (EU).
• ZONER a.s. (Tjekkiet) - SMTP-server til levering af e-mails (invitationer, påmindelser, meddelelser); datacentre i Brno.

Kunden giver generel godkendelse til brug af underdatabehandlere. Vi pålægger hver af dem databeskyttelsesforpligtelser, der svarer til denne DPA. Vi underretter Kundens administratorer pr. e-mail mindst 30 dage, før en underdatabehandler tilføjes eller udskiftes; Kunden kan gøre indsigelse af en saglig grund og, hvis vi ikke kan løse indsigelsen, opsige abonnementet, før ændringen træder i kraft.

Paddle.com Market Ltd behandler betalings- og faktureringsoplysninger som selvstændig dataansvarlig (Merchant of Record) og modtager ingen oplysninger om Kundens medarbejdere.

9. Bistand til Kunden

Administratorer kan se, rette, eksportere og slette deres medarbejderes oplysninger direkte i Tjenesten. Under hensyntagen til behandlingens karakter hjælper vi også Kunden med at besvare anmodninger fra registrerede og med at overholde sine forpligtelser efter artikel 32-36 i GDPR (sikkerhed, anmeldelse af brud, konsekvensanalyse vedrørende databeskyttelse og forudgående høring). Anmodninger fra medarbejdere, der når os, videresendes til Kunden.

10. Brud på persondatasikkerheden

Vi underretter Kundens administratorer om et brud på persondatasikkerheden uden unødig forsinkelse og senest 48 timer efter, at vi er blevet bekendt med det, med de oplysninger, der er tilgængelige efter artikel 33, stk. 3, i GDPR, og supplerer dem, efterhånden som flere fakta bliver kendt. Vi træffer foranstaltninger til at begrænse bruddet og afbøde dets følger.

11. Sletning og tilbagelevering af oplysninger

I abonnementets løbetid kan Kunden når som helst eksportere sine rapporter, dokumentation for træning og revisionsspor. Efter abonnementets ophør kan administratorer stadig logge ind i 90 dage, kun for at eksportere data; derefter slettes virksomheden og alle dens data automatisk, medmindre Kunden beder om tidligere sletning. Kopier i sikkerhedskopier overskrives inden for 30 dage. Oplysninger, som vi skal opbevare efter loven (f.eks. fakturaer), er ikke omfattet af dette punkt.

12. Revision

Vi stiller de oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelse af denne DPA, og giver mulighed for revisioner, herunder inspektioner, foretaget af Kunden eller en revisor, der er underlagt tavshedspligt. Revisioner finder sted efter rimeligt forudgående skriftligt varsel, i arbejdstiden, højst én gang om året (undtagen efter et brud på persondatasikkerheden) og for Kundens regning, uden at forstyrre Tjenesten eller adgangen til andre kunders data.

13. Kundens forpligtelser

Kunden er ansvarlig for at have et retsgrundlag for behandlingen, for at informere sine medarbejdere og for lovligheden af de oplysninger og instrukser, Kunden giver os.

14. Ansvar og lovvalg

Ansvaret efter denne DPA følger Servicevilkårene, medmindre GDPR bestemmer andet. Denne DPA er underlagt lovgivningen i Den Tjekkiske Republik; tvister, der udspringer af den, afgøres af de kompetente domstole i Den Tjekkiske Republik, som er stedligt kompetente efter vores hjemsted. Kontakt i spørgsmål om databeskyttelse: sales@guard-ai.eu.