Databehandleraftale

1. Parter og forrang

• Aftalen er indgået mellem kunden som dataansvarlig ("I") og BotTellMe, CVR 28003439, Fuglegårdsvej 20A, 2820 Gentofte, som databehandler ("vi"), når I bruger BotTellMe Chatbots.
• Aftalen er en del af Vilkår for handel med BotTellMe (bottellme.com/da/terms) og accepteres, når organisationen oprettes. Den opfylder databeskyttelsesforordningens artikel 28, stk. 3.
• I spørgsmål om personoplysninger går denne aftale forud for vilkårene.

2. Behandlingen

• Formål: at levere chatbotten på jeres website, dvs. besvare besøgendes spørgsmål ud fra jeres indhold, sende henvendelser videre til jer, vise samtaler og statistik i portalen og yde support.
• Behandlingens art: indsamling, opbevaring, søgning, behandling med sprogmodeller, videresendelse på e-mail, visning og sletning.
• Typer af personoplysninger: de besøgendes beskeder og chatbottens svar (beskederne kan indeholde de oplysninger, den besøgende selv skriver), tidspunkt, side, sprog, samtale-id og vurdering; navn, e-mail og telefon, når en besøgende beder om at blive kontaktet; og personoplysninger i det indhold, I giver chatbotten (websites, tekster og filer), fx navne og kontaktoplysninger på medarbejdere.
• Registrerede: besøgende på jeres website, der bruger chatbotten, og personer, der nævnes i jeres indhold.
• Følsomme personoplysninger behandles ikke bevidst. Chatbotten beder ikke om dem, og I må ikke instruere den i at indsamle dem.
• Varighed: så længe I bruger BotTellMe Chatbots og indtil sletning efter punkt 10.

3. Instruks

• Vi behandler kun personoplysningerne efter jeres dokumenterede instruks. Instruksen er denne aftale, vilkårene og de valg, I træffer i portalen, fx sprogmodel og modtager af henvendelser.
• Kræver EU-retten eller dansk ret, at vi behandler oplysningerne på anden måde, oplyser vi jer om det først, medmindre loven forbyder det.
• Mener vi, at en instruks er i strid med databeskyttelsesreglerne, siger vi det straks.
• Vores medarbejdere må læse samtaler, når det er nødvendigt for support, fejlsøgning, startkonfiguration og for at forbedre jeres chatbot.

4. Fortrolighed

Kun personer, der har brug for det, har adgang til personoplysningerne, og de har tavshedspligt.

5. Sikkerhed

Vi træffer passende tekniske og organisatoriske foranstaltninger efter artikel 32. Blandt andet er al trafik krypteret, adgangen til samtaler håndhæves i databasen, så kun jeres brugere og BotTellMes administratorer har adgang, adgangsnøgler findes kun i servermiljøet, og samtaler slettes automatisk efter opbevaringstiden.

6. Underdatabehandlere

• I giver generel godkendelse til, at vi bruger de underdatabehandlere, der står nederst i aftalen.
• Vi pålægger dem de samme databeskyttelsesforpligtelser, som vi selv har, og vi er ansvarlige over for jer for deres behandling.
• Vi varsler nye eller udskiftede underdatabehandlere mindst 30 dage før på e-mail til organisationens ejer. I kan gøre indsigelse. Kan vi ikke imødekomme den, kan I opsige abonnementet, før ændringen træder i kraft.

7. Overførsel uden for EU

• Personoplysninger overføres kun uden for EU til de underdatabehandlere, der står nederst, og på grundlag af EU-Kommissionens standardkontraktbestemmelser eller EU-US Data Privacy Framework.
• Vælger I OpenAI som sprogmodel, behandles samtalerne uden for EU. Vælger I Mistral, behandles de i EU. Valget er en del af jeres instruks.

8. Bistand

• Vi hjælper jer med at besvare anmodninger fra registrerede, fx om indsigt eller sletning. I kan selv se og eksportere samtaler i portalen, og vi sletter på jeres anmodning.
• Vi hjælper jer med sikkerhed, brud på persondatasikkerheden, konsekvensanalyser og høring af Datatilsynet (artikel 32-36) ud fra behandlingens art og de oplysninger, vi har.
• Bistand ud over det sædvanlige kan vi afregne efter medgået tid.

9. Brud på persondatasikkerheden

Vi underretter jer uden unødig forsinkelse, når vi bliver opmærksomme på et brud, med de oplysninger, vi har, så I kan anmelde det til Datatilsynet inden for 72 timer.

10. Sletning

• Samtaler og henvendelser slettes automatisk efter chatbottens opbevaringstid, som er 90 dage, medmindre andet er aftalt.
• Når aftalen ophører, kan I i 30 dage få jeres data udleveret, jf. vilkårene. Derefter sletter vi personoplysningerne senest 60 dage efter, medmindre lov kræver, at vi gemmer dem. Sikkerhedskopier slettes i deres normale cyklus.

11. Dokumentation og revision

Vi giver jer de oplysninger, der er nødvendige for at vise, at vi overholder artikel 28, og giver mulighed for revision, herunder inspektion, ved jer eller en revisor, I har bemyndiget. Revision varsles mindst 30 dage før, sker højst én gang om året, medmindre et brud eller en myndighed kræver det, og betales af jer.

12. Ansvar, varighed og lovvalg

Vilkårenes regler om ansvar gælder også for denne aftale, i det omfang databeskyttelsesforordningen tillader det. Aftalen gælder, så længe vi behandler personoplysninger for jer. Dansk ret og vilkårenes værneting gælder.

Underdatabehandlere

• Supabase Inc.: database, login og filer. Frankfurt, Tyskland.
• Render Services, Inc.: servere til chatbotten, indlæsning af indhold og afsendelse af henvendelser. Frankfurt, Tyskland.
• Cloudflare, Inc.: netværk og beskyttelse af forbindelsen til chatbotten. Globalt netværk.
• OpenAI (OpenAI Ireland Ltd. og OpenAI, L.L.C.): sprogmodel og søgning for chatbots på OpenAI og bedømmelse i Kvalitet og sikkerhed for alle chatbots. USA.
• Mistral AI SAS: sprogmodel og søgning for chatbots på Mistral. EU.
• Microsoft Ireland Operations Ltd.: afsendelse af henvendelser på e-mail. EU og USA.