Databehandleraftale

Denne databehandleraftale (”DPA’en”) indgås mellem den kunde, der bruger Blixtflow (den ”Dataansvarlige” eller ”Kunden”), og Blixtgo Agency AB, svensk organisationsnummer 559069-9038 (”Databehandleren” eller ”vi”).

DPA’en er en del af aftalen om Blixtflow i henhold til vores servicevilkår (”Hovedaftalen”). Den indgås, når Kunden accepterer den i Blixtflow, og gælder, så længe vi behandler personoplysninger på Kundens vegne. I tilfælde af modstrid har DPA’en forrang for Hovedaftalen i spørgsmål om personoplysninger.

Begreber som ”personoplysninger”, ”behandling”, ”dataansvarlig”, ”databehandler”, ”registreret” og ”brud på persondatasikkerheden” har den betydning, der fremgår af forordning (EU) 2016/679 (”GDPR”). ”Databeskyttelseslovgivningen” betyder GDPR, den svenske lov (2018:218) med supplerende bestemmelser til GDPR og anden gældende lovgivning om beskyttelse af personoplysninger. ”Underdatabehandler” betyder en anden databehandler, som vi gør brug af til behandlingen.

Vi behandler personoplysninger på Kundens vegne for at levere Blixtflow i henhold til Hovedaftalen: modtagelse, lagring, visning, afsendelse og organisering af Kundens kommunikation og tilknyttede data samt til support, sikkerhed og fejlfinding. Kategorierne af registrerede, personoplysninger og varigheden fremgår af Bilag 1.

Kunden er ansvarlig for, at behandlingen af personoplysninger i Blixtflow er lovlig, at der er et retsgrundlag, at de registrerede får oplysninger i henhold til artikel 13 og 14 i GDPR, og at Kundens instrukser overholder databeskyttelseslovgivningen. Kunden er ansvarlig for de indstillinger, der foretages i Blixtflow, f.eks. hvilke kanaler der er forbundet, hvilke Brugere der har adgang, optagelse af opkald og opbevaringsperioder.

Vi skal

• kun behandle personoplysningerne efter Kundens dokumenterede instrukser. Hovedaftalen, denne DPA og Kundens indstillinger og valg i Blixtflow udgør Kundens fuldstændige instrukser,
• straks underrette Kunden, hvis vi mener, at en instruks er i strid med databeskyttelseslovgivningen,
• ikke behandle personoplysningerne til egne formål og ikke bruge dem til at træne generelle AI-modeller,
• hvis loven kræver, at vi behandler oplysningerne på anden måde, underrette Kunden inden behandlingen, medmindre loven forbyder dette.

Vi sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en lovbestemt tavshedspligt. Adgangen er begrænset til personer, der har brug for den for at udføre deres opgaver. Supportadgang til Kundens arbejdsområde sker kun via en logget supporttilstand.

Vi gennemfører de tekniske og organisatoriske foranstaltninger, der kræves i henhold til artikel 32 i GDPR, for at sikre et sikkerhedsniveau, der passer til risikoen. Foranstaltningerne er beskrevet i Bilag 2. Vi kan opdatere foranstaltningerne, forudsat at beskyttelsesniveauet ikke sænkes.

Kunden giver en generel forudgående godkendelse til, at vi gør brug af underdatabehandlere. De aktuelle underdatabehandlere er listet på siden Underdatabehandlere, som udgør Bilag 3.

• Vi underretter Kunden mindst 30 dage før, en ny underdatabehandler tages i brug, eller en eksisterende udskiftes, via e-mail eller i Blixtflow.
• Kunden kan inden for denne frist gøre indsigelse mod ændringen af rimelige grunde. Hvis parterne ikke kan blive enige, kan Kunden opsige Hovedaftalen med virkning fra datoen for ændringen og få forudbetalte gebyrer for perioden derefter refunderet.
• Vi indgår skriftlige aftaler med hver underdatabehandler, som pålægger forpligtelser svarende til dem i denne DPA, og vi forbliver ansvarlige over for Kunden for underdatabehandlerens opfyldelse.

Personoplysninger må kun overføres til et land uden for EU/EØS, hvis overførslen opfylder kravene i kapitel V i GDPR, f.eks. gennem en afgørelse om tilstrækkeligt beskyttelsesniveau (såsom EU-US Data Privacy Framework) eller Europa-Kommissionens standardkontraktbestemmelser, suppleret med yderligere garantier, hvor det er nødvendigt. Hvor underdatabehandlerne behandler personoplysninger, og hvilken garanti der gælder, fremgår af Bilag 3.

Under hensyntagen til behandlingens karakter bistår vi Kunden

• gennem passende funktioner i Blixtflow, såsom indsigtsrapporter, sletning af en persons data og automatisk opbevaring, når registrerede udøver deres rettigheder,
• ved straks at videresende anmodninger fra registrerede, som vi modtager direkte, uden selv at besvare dem,
• med oplysninger, der er nødvendige for konsekvensanalyser og forudgående høringer i henhold til artikel 35 og 36 i GDPR, og
• i øvrigt med at opfylde forpligtelserne i henhold til artikel 32–36 i GDPR.

Bistand ud over det, Blixtflow normalt tilbyder, og som ikke skyldes vores egen fejl, kan efter aftale faktureres til vores gældende timepris.

Vi underretter Kunden uden unødig forsinkelse og senest inden for 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, der berører Kundens personoplysninger. Underretningen skal, i det omfang det er muligt, indeholde

• en beskrivelse af bruddets karakter, kategorierne og det omtrentlige antal berørte registrerede og registreringer,
• de sandsynlige konsekvenser,
• de foranstaltninger, der er truffet eller foreslås for at håndtere bruddet og begrænse dets virkninger, og
• en kontaktperson.

Oplysninger, der ikke er tilgængelige straks, gives løbende. Kunden træffer beslutning om anmeldelse til tilsynsmyndigheden og underretning af de registrerede.

Vi stiller alle oplysninger til rådighed for Kunden, som er nødvendige for at påvise overholdelse af artikel 28 i GDPR. Kunden, eller en uafhængig revisor udpeget af Kunden og underlagt tavshedspligt, kan foretage en revision højst én gang om året og derudover efter et brud på persondatasikkerheden eller på anmodning fra en tilsynsmyndighed. Revisioner skal varsles mindst 30 dage i forvejen, finde sted inden for normal arbejdstid og må ikke forstyrre driften eller andre kunders sikkerhed. Kunden afholder selv sine omkostninger til revisionen.

Ansvar over for registrerede og administrative bøder fordeles i henhold til artikel 82 og 83 i GDPR. Mellem parterne gælder ansvarsbegrænsningen i Hovedaftalen, undtagen hvor vi har behandlet personoplysninger i strid med Kundens instrukser eller med de krav, databeskyttelseslovgivningen stiller til databehandlere.

DPA’en gælder, så længe vi behandler personoplysninger på Kundens vegne. Når Hovedaftalen er ophørt, kan Kunden eksportere sine data i 30 dage. Derefter sletter vi personoplysningerne, herunder kopier, medmindre loven kræver opbevaring. Sikkerhedskopier slettes inden for deres normale rotationscyklus og forbliver i mellemtiden beskyttet i henhold til denne DPA. Efter anmodning bekræfter vi sletningen skriftligt.

DPA’en er underlagt svensk ret. Tvister afgøres som angivet i Hovedaftalen. DPA’en findes på svensk og engelsk; i tilfælde af uoverensstemmelser har den svenske version forrang.

Adgang og identitet

• Adgangskoder gemmes med Argon2id. Login-tokens er tilfældige (256 bit) og gemmes kun som hashværdier.
• Totrinsbekræftelse med engangskoder og gendannelseskoder; Kunden kan kræve det for alle Brugere.
• Beskyttelse mod automatiserede angreb: begrænset antal loginforsøg, stigende forsinkelser og spærring af kontoen efter gentagne mislykkede forsøg.
• Automatisk log ud efter inaktivitet, ”log ud overalt” og tilbagekaldelse af sessioner ved skift af adgangskode.
• Rollebaseret adgang (ejer, administrator, teamleder, medlem, kun projekter) og private kanaler.

Isolering og kryptering

• Hver kundes data er logisk isoleret fra andre kunders data.
• Al overførsel er krypteret (HTTPS/TLS). Nøgler og vedhæftede filer er krypteret.
• Mobilappen gemmer login i enhedens sikre nøglelager og krypterer lokalt cachelagrede data (AES-256-GCM); alt slettes ved log ud.

Privatliv i funktionerne

• Personnumre, kortnumre og IBAN-numre maskeres, før tekst sendes til AI-behandling.
• E-mail vises isoleret; eksterne billeder og sporingspixels blokeres som standard.
• Afspilning af optagede opkald logges.
• Værktøjer til indsigtsrapporter, sletning af en persons data og automatisk opbevaring.

Organisation

• Adgang efter princippet om mindst mulige rettigheder; supportadgang kun via en logget supporttilstand.
• Fortrolighedserklæringer for medarbejdere og konsulenter.
• Procedurer for sikkerhedskopiering, gendannelse og håndtering af brud på persondatasikkerheden.
• Aftaler med alle underdatabehandlere i henhold til artikel 28 i GDPR.

Den aktuelle liste over underdatabehandlere med tjeneste, placering og garanti findes på siden Underdatabehandlere. Listen er en del af denne DPA.