Databehandleraftale (DPA)

Denne databehandleraftale indgås automatisk mellem Svarsjak.dk ("Databehandleren") og kunden, den erhvervsdrivende ("Den dataansvarlige"), når kunden opretter en konto og accepterer handelsbetingelserne. Aftalen kræver ingen underskrift og opfylder kravet i databeskyttelsesforordningens (GDPR) art. 28, stk. 3. Ønskes en underskrevet udgave, skriv til kontakt@svarsjak.dk.

Databehandleren behandler personoplysninger på Den dataansvarliges vegne udelukkende med det formål at levere Svarsjak.dk-tjenesten: modtage ubesvarede opkald, sende SMS, kvalificere opgaven og videreformidle leadet. Aftalen gælder, så længe kundens abonnement er aktivt.

• Personer: Den dataansvarliges indringere/potentielle kunder samt medarbejdere hos Den dataansvarlige.
• Oplysninger: telefonnummer, eventuelt navn, by/postnummer, opgavebeskrivelse, hastegrad og tidsstempler.
• Ingen særlige kategorier: Der behandles ikke helbredsoplysninger, CPR-numre eller andre særlige kategorier jf. art. 9. Den dataansvarlige må ikke uploade sådanne oplysninger til tjenesten.

Databehandleren behandler kun oplysninger efter dokumenteret instruks fra Den dataansvarlige — instruksen udgøres af denne aftale og tjenestens funktionalitet. Databehandleren sælger eller videregiver ikke oplysninger og pålægger alle medarbejdere fortrolighed.

• Kryptering af data under transport (TLS 1.2+) og i hvile (AES-256).
• Row-level security, så hver kunde kun har adgang til egne leads.
• Adgangsstyring efter mindste-privilegie-princippet og logning af administrativ adgang.
• Krypterede, geo-redundante backups inden for EU.
• Automatisk sletning/anonymisering af leads og opkaldslogs efter 90 dage.

Den dataansvarlige giver hermed generel godkendelse til følgende underdatabehandlere:

• Supabase — database og login. Region: EU (Irland/Frankfurt).
• Twilio Ireland Ltd. — telefoni og SMS. Region: EU (eu1, Irland).
• Stripe Technology Europe Ltd. — abonnementsbetaling. Region: EU (Irland).
• OpenAI Ireland Ltd. / AI-leverandør — strukturering af opgavetekst. Ingen telefonnumre sendes. Data anvendes ikke til modeltræning.
• Lovable — hosting af applikationen. Region: EU.

Ændringer i listen varsles pr. e-mail med 30 dages frist, hvor Den dataansvarlige kan gøre indsigelse og i så fald opsige abonnementet uden yderligere betaling.

Behandling sker inden for EU/EØS. Sker der undtagelsesvist overførsel til tredjeland, anvendes EU-Kommissionens standardkontraktbestemmelser (SCC) samt supplerende foranstaltninger, herunder kryptering og dataminimering.

• Databehandleren bistår med besvarelse af anmodninger om indsigt, sletning og dataportabilitet.
• Sikkerhedsbrud meddeles Den dataansvarlige uden unødig forsinkelse og senest 24 timer efter konstatering, med oplysning om omfang og afhjælpning.
• Databehandleren stiller én gang årligt dokumentation for overholdelse til rådighed og besvarer sikkerhedsspørgeskemaer.

Ved abonnementets ophør slettes alle personoplysninger inden 30 dage, medmindre lovgivning kræver fortsat opbevaring. Den dataansvarlige kan inden da eksportere sine leads.

Aftalen er underlagt dansk ret og GDPR. Tvister afgøres ved Retten i Aarhus.