Databehandleraftale

Denne databehandleraftale er indgået mellem kunden (den virksomhed der har et arbejdsområde i Mester, herefter den dataansvarlige) og Frederik Hygebjerg (enkeltmandsvirksomhed), CVR 42063886 (herefter databehandleren). Aftalen udgør en integreret del af vilkårene for brug og gælder for al behandling af personoplysninger, som databehandleren foretager på den dataansvarliges vegne gennem tjenesten Mester. Ved modstrid mellem denne aftale og vilkårene går denne aftale forud for så vidt angår behandling af personoplysninger.

Databehandleren behandler alene personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre behandling kræves i henhold til EU-ret eller dansk ret; i så fald underretter databehandleren den dataansvarlige om det retlige krav før behandlingen, medmindre loven forbyder det (GDPR art. 28, stk. 3, litra a). Instruksen udgøres af vilkårene, denne aftale og den dataansvarliges egen konfiguration af tjenesten, herunder hvilke moduler der aktiveres, hvilke systemer der forbindes, og hvilke retningslinjer (playbooks) der opsættes.

Databehandleren sikrer, at personer der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt (art. 28, stk. 3, litra b).

Databehandleren gennemfører de tekniske og organisatoriske foranstaltninger der kræves efter GDPR art. 32, som beskrevet i bilag C (art. 28, stk. 3, litra c).

Under hensyntagen til behandlingens karakter bistår databehandleren den dataansvarlige med passende tekniske og organisatoriske foranstaltninger med henblik på besvarelse af anmodninger om registreredes rettigheder (art. 28, stk. 3, litra e), og bistår med at sikre overholdelse af forpligtelserne i art. 32-36 under hensyntagen til behandlingens karakter og de oplysninger databehandleren råder over (litra f). Tjenestens indbyggede selvbetjening (eksport, sletning, indsigt i agent-hukommelse) udgør den primære bistand. Bistand der går ud over hvad lovgivningen kræver, kan faktureres efter medgået tid.

Den dataansvarlige giver hermed generel godkendelse til brug af de underdatabehandlere der fremgår af bilag B (art. 28, stk. 2). Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale (art. 28, stk. 4). Ved planlagte tilføjelser eller udskiftninger varsler databehandleren den dataansvarlige mindst 14 dage forinden via tjenesten eller email, så den dataansvarlige kan gøre indsigelse. Ved indsigelse der ikke kan imødekommes, kan den dataansvarlige opsige aftalen.

Behandling sker som udgangspunkt i EU/EØS. Hvor underdatabehandlere behandler oplysninger i tredjelande, sker det på grundlag af EU-Kommissionens standardkontraktbestemmelser eller en tilstrækkelighedsafgørelse, herunder EU-U.S. Data Privacy Framework, som angivet i bilag B.

Databehandleren underretter den dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden (art. 33, stk. 2), og bistår med de oplysninger databehandleren råder over, så den dataansvarlige kan opfylde sin anmeldelsespligt.

Ved aftalens ophør sletter databehandleren efter den dataansvarliges valg alle personoplysninger eller tilbageleverer dem (via tjenestens eksport) og sletter eksisterende kopier, senest 90 dage efter ophør, medmindre EU-ret eller dansk ret kræver opbevaring (art. 28, stk. 3, litra g). Kopier i automatiske backups udløber derefter i takt med backup-rotationen.

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, og muliggør og bidrager til revisioner (art. 28, stk. 3, litra h). Revision kan ske højst én gang årligt, med mindst 30 dages varsel, inden for normal arbejdstid, uden adgang til andre kunders data, og for den dataansvarliges regning, medmindre revisionen afdækker væsentlig misligholdelse. Databehandleren underretter den dataansvarlige, hvis en instruks efter databehandlerens opfattelse strider mod databeskyttelsesreglerne.

Aftalen gælder så længe databehandleren behandler personoplysninger på den dataansvarliges vegne, og afløses alene af sletningsforpligtelsen i punkt 9.

• Formål og karakter: drift af en AI-baseret videnassistent med videnbase, samtaleagent og valgfrie moduler (kundeservice-automatisering, kommentar-moderation, trend-analyse) samt opslag i systemer den dataansvarlige selv forbinder, og byggeri af interne apps (Kode) i den dataansvarliges egne konti, herunder videreformidling af data fra de forbundne systemer til disse apps, når en administrator har givet en app adgang, og videresendelse af appernes AI-kald til den dataansvarliges fælles Claude-abonnement, når en administrator har slået AI til for en app, samt vurdering af om den dataansvarliges medarbejderes kundeservice-svar følger den dataansvarliges egen playbook, når en administrator har slået medarbejder-tjekket til, samt et søgbart arkiv over den dataansvarliges afsluttede kundeservice-samtaler, renset for henvenderens navn, email, telefonnummer og adresse, når en administrator har slået kundeservice-arkivet til, samt opgørelser over brugernes brug af tjenesten (omfang, tidspunkter, agenter, apps og forbrug, uden indhold) til den dataansvarliges administratorer. Når en administrator har slået samtaleanalysen til, også opbevaring og analyse af en renset kopi af brugernes samtaler i chatten og Kode, uden navn og bruger-id, med afdeling og dato, så administratorer kan se tal og generelle spørgsmål pr. afdeling. Den dataansvarlige informerer selv brugerne, før analysen slås til.
• Kategorier af registrerede: den dataansvarliges medarbejdere og brugere; den dataansvarliges kunder og henvendere; personer der kommenterer på den dataansvarliges sider på sociale medier.
• Typer af personoplysninger: navn, email, telefonnummer, adresse, ordre- og henvendelseshistorik, indhold af beskeder og kommentarer, vurderinger af medarbejderes kundeservice-svar, brugerskabt indhold i tjenesten, herunder data i apps den dataansvarlige bygger med Kode (læses kun når en bruger bygger på appen, og gemmes ikke hos databehandleren ud over kopier af rækker ved godkendte ændringer, som ligger i appens egen database og slettes efter 30 dage) og appernes fejllog (ligger i appens egen database og slettes efter 14 dage). Tjenesten er ikke tiltænkt behandling af særlige kategorier af oplysninger (art. 9), og den dataansvarlige instruerer sine brugere i ikke at lægge sådanne oplysninger ind, medmindre den dataansvarlige selv har hjemmel til det.
• Varighed: aftalens løbetid, jf. punkt 9 og 11.

• Supabase Inc. (database, login, fillagring), behandling i EU-region (Frankfurt), moderselskab USA, SCC/DPF.
• Vercel Inc. (hosting, AI Gateway), USA, SCC/DPF.
• Google LLC (AI-modeller, Gemini), USA, SCC/DPF.
• OpenAI LLC og Anthropic PBC (AI-reserve ved driftsfejl hos primær leverandør), USA, SCC/DPF.
• Functional Software Inc. (Sentry, fejlovervågning), USA, SCC/DPF.
• Railway Corporation (drift af forbindelsen til Claude for chat, automatiske agenter og byggeriet i Kode på en brugers eget eller den dataansvarliges fælles Claude-abonnement, inkl. midlertidige samtalefiler), behandling i EU-region (Amsterdam), moderselskab USA, SCC.
• Apify Technologies s.r.o. (indsamling af offentlige markedsdata, kun ved aktiveret trend-modul), EU.

Systemer den dataansvarlige selv forbinder (fx Shopify, Herodesk, Slack, Meta, fragt- og lagersystemer) er den dataansvarliges egne leverandørforhold og ikke underdatabehandlere under denne aftale; Mester tilgår dem alene som led i instruksen. Det gælder også de GitHub-, Vercel-, Supabase- og Resend-konti, som den dataansvarlige via en administrator forbinder til Kode: apps bygges og drives i den dataansvarliges egne konti.

Det samme gælder Claude-abonnementer: har den dataansvarlige via en administrator aktivt tilladt dem, og forbinder en bruger sin egen Claude-konto, videresender databehandleren brugerens chat, de data chatten henter, og de analyser og forløb brugeren selv starter fra chatten (med de data de arbejder med) til Anthropic efter den dataansvarliges instruks. Autonome agenter, der arbejder uden en bruger, omfattes ikke. Den behandling sker under brugerens egne kontovilkår hos Anthropic, som ikke er underdatabehandler under denne aftale, og den dataansvarlige er ansvarlig for at den er lovlig. Databehandlerens egen drift af forbindelsen (Railway, ovenfor) er derimod omfattet af denne aftale. Tilladelsen er slået fra, indtil den dataansvarlige slår den til.

Forbinder en administrator den dataansvarliges egen Claude-konto som fælles abonnement, videresender databehandleren på samme måde de data, som den dataansvarliges fælles og afdelingernes automatiske agenter arbejder med, til Anthropic efter den dataansvarliges instruks og under den kontos vilkår. Vælger den dataansvarlige via en administrator, at brugernes chat skal køre på det fælles abonnement (helt eller som reserve for brugere uden eget), gælder det samme for brugernes chat, de data chatten henter, og de analyser og forløb brugerne starter fra chatten. Slår den dataansvarlige via en administrator AI til for en app bygget med Kode, gælder det samme for det, appen sender til AI; det kører altid på det fælles abonnement, og databehandleren gemmer ikke indholdet. Anthropic er heller ikke her underdatabehandler under denne aftale.

• Logisk adskillelse af kundernes data pr. arbejdsområde, håndhævet i databasen (row level security), så en fejl i applikationen ikke kan give adgang på tværs af kunder.
• Kryptering af data under transport (TLS) og i hvile; nøgler og adgangstokens til eksterne systemer opbevares krypteret (AES-256-GCM) med kunde-bundet kryptering.
• Adgangsstyring med rollebaserede rettigheder; personlige data (private noter, opgaver, samtaler, agent-hukommelse) er teknisk afskærmet fra alle andre brugere, også administratorer. Undtaget er opsætningen af en brugers personlige automatiske agenter (titel, instruks, tidsplan, script) og deres kørselslog, som den dataansvarliges administratorer kan se og sætte på pause; agenternes resultater forbliver afskærmet. Administratorer kan desuden se opgørelser over brugernes brug af tjenesten (omfang og tidspunkter, uden indhold), og, når en administrator har slået samtaleanalysen til, tal og generelle spørgsmål pr. afdeling fra en renset kopi af brugernes samtaler. Brugere med den mere begrænsede rolle Mester-ekspert har ikke disse adgange og ser kun delt indhold, egen afdelings indhold og egne personlige data. Indhold en bruger selv lægger i et projekt (chats, opgaver, filer, projektets hukommelse), er teknisk afskærmet til projektets medlemmer.
• Logning af agentens opslag i eksterne systemer (revisionsspor) og løbende fejlovervågning.
• Automatiske sletnings- og anonymiseringsrutiner som beskrevet i privatlivspolitikken; automatiske backups med løbende rotation.
• Adgang til produktionsdata er begrænset til databehandleren selv; ingen yderligere medarbejdere har adgang.