Databehandler­aftale.

Aftalens parter

Aftalen er indgået mellem:

Dataansvarlig

Den fysiske eller juridiske person (virksomhed), der opretter og er registreret som indehaver af kontoen på app.plugly.io, og som accepterer denne databehandleraftale ved oprettelsen (herefter "den dataansvarlige"). Den dataansvarlige identificeres ved den e-mailadresse og de kontooplysninger, der er knyttet til kontoen. Anvender den dataansvarlige Plugly på vegne af en virksomhed, indestår den, der opretter kontoen, for at have fornøden bemyndigelse hertil.

Databehandler

Plugly.io ApS (herefter "Plugly")
P. Nørkjærs Plads 4, 9800 Hjørring
CVR-nr.: 46569873
Kontakt: info@plugly.io

Parterne kaldes i det følgende henholdsvis "den dataansvarlige" og "databehandleren" og tilsammen "parterne".

Den dataansvarlige kan til enhver tid anmode om en udgave af denne databehandleraftale påført den dataansvarliges egne virksomhedsoplysninger ved at kontakte info@plugly.io.

Præambel

Definitionen af "personoplysninger", "særlige kategorier af personoplysninger" (følsomme oplysninger), "databehandling", "den registrerede", "dataansvarlig" og "databehandler" er den samme som anført i databeskyttelsesforordningen.

Formålet med denne databehandleraftale er at sikre parternes efterlevelse af gældende databeskyttelseslovgivning og dokumentere den dataansvarliges instruks til databehandleren. Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige er at sikre den dataansvarliges brug af Plugly som yderligere beskrevet i Plugly's handelsbetingelser samt i Bilag A.

Denne databehandleraftale fastsætter parternes rettigheder og forpligtelser, når databehandleren foretager behandling af personoplysninger på vegne af den dataansvarlige.

Denne databehandleraftale har forrang for andre modstridende bestemmelser vedrørende behandling af personoplysninger, for så vidt angår Plugly's handelsbetingelser eller andre aftaler gældende parterne imellem. Databehandleraftalen er gældende mellem parterne, så længe den dataansvarlige abonnerer på Plugly.

Denne databehandleraftale frigør ikke databehandleren fra forpligtelser, som databehandleren yderligere er pålagt efter gældende databeskyttelseslovgivning.

Den dataansvarliges rettigheder og forpligtelser

Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger i forbindelse med brug af Plugly applikationen sker i overensstemmelse med GDPR art. 24, anden EU-ret eller national ret samt denne databehandleraftale.

Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger. Det er hertil alene under den dataansvarliges kontrol, hvilke personoplysninger der behandles, herunder indtastes og genereres i Plugly applikationen - herunder hvilke oplysninger den dataansvarliges egne kunder og slutbrugere indtaster i en AI-chat.

Den dataansvarlige er ansvarlig for at sikre, at der eksisterer et lovligt behandlingsgrundlag for behandlingen og videregivelsen af personoplysninger, som databehandleren instrueres i at foretage, herunder videregivelse til de underdatabehandlere, som databehandleren benytter, og som til enhver tid er oplistet i Bilag B.

Den dataansvarlige har ansvaret for nøjagtigheden, integriteten, indholdet, pålideligheden og lovligheden af de personoplysninger, som behandles af databehandleren.

Den dataansvarlige er ansvarlig for at informere sine egne kunder og slutbrugere om behandlingen af deres personoplysninger, herunder om brugen af AI-chat, og for i rimeligt omfang at fraråde slutbrugere at indtaste følsomme personoplysninger i en AI-chat.

Den dataansvarlige har opfyldt alle obligatoriske krav og pligter i forhold til anmeldelse hos eller opnåelse af tilladelse fra de relevante offentlige myndigheder, for så vidt angår behandlingen af personoplysninger.

Den dataansvarlige har opfyldt sin oplysningsforpligtelse over for de registrerede vedrørende behandlingen af personoplysninger i henhold til gældende databeskyttelseslovgivning.

Den dataansvarlige bekræfter, at databehandleren har givet de relevante garantier, for så vidt angår implementeringen af tekniske og organisatoriske sikkerhedsforanstaltninger for at sikre de registreredes rettigheder og deres personoplysninger, ved indgåelse af denne databehandleraftale.

Databehandleren handler efter instruks

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU- eller national ret, som databehandleren er underlagt. Ved at indgå denne databehandleraftale instruerer den dataansvarlige databehandleren i at behandle personoplysninger på følgende måder:

• i overensstemmelse med gældende lovgivning;
• for at opfylde sine forpligtelser i henhold til Plugly's handelsbetingelser for brug af applikationen;
• som yderligere specificeret ved den dataansvarliges normale brug af applikationen, herunder de behandlinger der er beskrevet i Bilag A;
• som beskrevet i denne databehandleraftale.

Databehandleren underretter omgående den dataansvarlige, hvis en instruks vurderes at være i strid med gældende databeskyttelseslovgivning eller anden EU- eller national ret.

Behandlingssikkerhed

Databehandleren er forpligtet til at sikre et højt sikkerhedsniveau. Dette sker i form af implementering af relevante organisatoriske og tekniske sikkerhedsforanstaltninger. Implementeringen sker under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen samt omfanget, konteksten og formålet med behandlingen for at sikre et tilstrækkeligt sikkerhedsniveau, der imødekommer den risiko og kategorien af personoplysninger, der skal beskyttes.

Databehandleren må kun give adgang til personoplysninger, som behandles på den dataansvarliges vegne, til personer som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt - og kun i et nødvendigt omfang. Fortrolighedspligten skal ligeledes gælde efter ophør af databehandleraftalen.

Databehandleren har som minimum implementeret følgende foranstaltninger:

• Effektiv kryptering af personoplysninger, både ved overførsel via internettet (TLS) og ved lagring (at rest).
• Løbende awareness-træning til alle medarbejdere med fokus på it-sikkerhed og behandling af personoplysninger.
• Begrænsning i adgangen til personoplysninger til de relevante personer, der er nødvendige for at overholde krav og forpligtelser i databehandleraftalen.
• Implementerede procedurer der sikrer, at ændringer i systemer, databaser og netværk sker konsekvent for at sikre vedligeholdelse.

Anvendelse af underdatabehandlere

Som en del af driften af Plugly anvender databehandleren underdatabehandlere. Denne databehandleraftale udgør den dataansvarliges forudgående generelle skriftlige godkendelse af databehandlerens brug af underdatabehandlere. Sådanne underdatabehandlere kan være tredjepartsleverandører i og uden for EU/EØS. Databehandlerens underdatabehandlere er oplistet i Bilag B og i den til enhver tid gældende liste.

Databehandleren sikrer, at dennes underdatabehandlere overholder tilsvarende forpligtelser og krav, som er beskrevet i denne databehandleraftale.

Databehandleren vil underrette den dataansvarlige om planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel via e-mail, hvorved den dataansvarlige får mulighed for at gøre indsigelse mod sådanne ændringer. Den til enhver tid gældende liste over underdatabehandlere er desuden tilgængelig på hjemmesiden.

Overførsel til tredjelande eller internationale organisationer

Enhver overførsel af personoplysninger til et tredjeland eller en international organisation forudsætter indgåelse af EU-Kommissionens Standardkontraktbestemmelser (EU SCC's) eller et andet gyldigt overførselsgrundlag. Den dataansvarlige giver databehandleren autorisation til at sikre et tilstrækkeligt grundlag for overførsel af personoplysninger til et tredjeland på vegne af den dataansvarlige.

Plugly's underdatabehandlere er som udgangspunkt placeret inden for EU/EØS. Hvor underdatabehandlere undtagelsesvis måtte overføre personoplysninger til tredjelande, anvendes EU-Kommissionens Standardkontraktbestemmelser (SCC) eller EU-U.S. Data Privacy Framework (DPF) som overførselsgrundlag.

Bistand til den dataansvarlige

Databehandleren skal, så vidt det er muligt, bistå den dataansvarlige med passende tekniske og organisatoriske foranstaltninger under hensyntagen til behandlingens art og kategorien af oplysninger, der er tilgængelige for databehandleren, for at sikre overholdelse af den dataansvarliges forpligtelser i henhold til gældende databeskyttelseslovgivning.

Databehandleren bistår den dataansvarlige med overholdelse af GDPR art. 32-36, herunder blandt andet behandlingssikkerhed, anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden og underretning om brud på persondatasikkerheden til den registrerede under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren.

Databehandleren må ikke besvare anmodninger fra registrerede, medmindre databehandleren er autoriseret af den dataansvarlige til at gøre det.

Databehandleren videregiver ikke information om denne databehandleraftale til statslige myndigheder såsom politiet, herunder personoplysninger, medmindre databehandleren er forpligtet til det i medfør af lovgivningen i form af en retskendelse eller lignende.

Endvidere skal databehandleren, så vidt det er muligt og lovligt, underrette den dataansvarlige såfremt:

• En anmodning om indsigt i personoplysninger modtages direkte fra den registrerede;
• En anmodning om indsigt i personoplysninger modtages direkte fra statslige myndigheder, herunder politiet, medmindre databehandleren instrueres i ikke at underrette den dataansvarlige.

Hvis den dataansvarlige kræver information eller assistance omkring sikkerhedsforanstaltninger, dokumentation eller information om, hvordan databehandleren behandler personoplysninger generelt, og en sådan anmodning indeholder information, som går ud over, hvad der er nødvendigt ifølge gældende databeskyttelseslovgivning, må databehandleren kræve betaling for sådanne yderligere services.

Underretning om brud på persondatasikkerheden

Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden, som involverer persondata, databehandleren behandler på vegne af den dataansvarlige. Dette således, at databehandleren understøtter den dataansvarlige i dennes videre forpligtelse herfor.

Databehandleren skal underrette den dataansvarlige via den e-mailadresse, der er knyttet til den dataansvarliges konto, hvis databehandleren bliver bekendt med en sikkerhedsbrist.

Returnering og sletning/anonymisering af data

Som en del af driften af applikationen anvender databehandleren underleverandører. Den dataansvarlige har mulighed for at få sin data returneret (eksporteret) i forbindelse med ophør af et Plugly-abonnement.

Senest 30 dage efter ophør af abonnementet vil databehandleren slette/anonymisere alle personoplysninger, som databehandleren har behandlet på vegne af den dataansvarlige. I denne periode kan kontoen genåbnes med data intakt. Dette sker i overensstemmelse med gældende betingelser.

Derudover slettes eller anonymiseres AI-chatsamtaler senest 12 måneder efter, de er gennemført, uanset om abonnementet fortsat er aktivt.

Revision, herunder inspektion

Den dataansvarlige er berettiget til at igangsætte en revision af databehandlerens forpligtelser i henhold til databehandleraftalen.

Såfremt det foreslåede omfang for revisionen følger en ISAE 3000, ISO eller lignende erklæringsrapport udført af en kvalificeret tredjepartsrevisor indenfor de forudgående tolv måneder, og databehandleren bekræfter, at der ikke har været nogen materielle ændringer i de foranstaltninger, som har været under revision, skal den dataansvarlige acceptere denne revision i stedet for at anmode om en ny revision af de foranstaltninger, som allerede er dækket.

Såfremt databehandlerens assistance i forbindelse med revision overskrider den almindelige service, som databehandleren skal stille til rådighed som følge af gældende databeskyttelseslovgivning, afregnes dette særskilt.

Ikrafttræden og ophør

Denne databehandleraftale er gældende, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige i forbindelse med den dataansvarliges brug af Plugly.

Databehandleren er berettiget til at beholde personoplysninger efter ophør af databehandleraftalen i det omfang, det er nødvendigt i henhold til gældende lov, hvilket i så fald vil ske i overensstemmelse med de tekniske og organisatoriske sikkerhedsforanstaltninger, som er beskrevet i databehandleraftalen.

Ændringer til databehandleraftalen

Den gældende version af databehandleraftalen vil til enhver tid kunne tilgås på hjemmesiden. Væsentlige ændringer varsles 30 dage inden de træder i kraft via e-mail. Brug af Plugly efter opdateringen udgør en accept af databehandleraftalen.

Ansvar

Ansvar for handlinger i strid med bestemmelserne i denne databehandleraftale reguleres af ansvars- og erstatningsbestemmelserne i handelsbetingelserne for Plugly. Dette gælder ligeledes for enhver overtrædelse, som foretages af databehandlerens underdatabehandlere.

Lovvalg og værneting

Denne databehandleraftale er underlagt dansk ret, og enhver tvist, der udspringer af denne databehandleraftale, skal anlægges ved Byretten i Hjørring.

Bilag A - Beskrivelse af behandlingen

Dette bilag beskriver de behandlinger af personoplysninger, som databehandleren foretager på vegne af den dataansvarlige som led i den dataansvarliges brug af Plugly. Den konkrete behandling afhænger af, hvilke widgets og funktioner den dataansvarlige aktiverer.

Kategorier af registrerede

• Den dataansvarliges egne kunder og besøgende (slutbrugere) på den dataansvarliges hjemmeside/webshop.
• Personer, hvis oplysninger indgår i den dataansvarliges ordrer, produkter eller kundedata, der behandles i applikationen.

Kategorier af personoplysninger

• Almindelige oplysninger: navn, kontaktoplysninger, adresse, e-mail, ordreoplysninger, produktinteresse og lignende oplysninger, der indgår i den dataansvarliges ordre-, produkt- og kundedata.
• Onlineidentifikatorer: session-id og lignende identifikatorer, der anvendes til at måle widgets' effektivitet (f.eks. om en søgning førte til en ordre).
• Fritekst i AI-chat: indhold som slutbrugere selv indtaster i en AI-chat. Da indholdet er fri tekst, kan det utilsigtet indeholde enhver type oplysning, herunder potentielt særlige kategorier af personoplysninger (følsomme oplysninger, jf. GDPR art. 9). Databehandleren tilskynder ikke til indsamling af sådanne oplysninger, og den dataansvarlige er ansvarlig for at fraråde slutbrugere at indtaste dem.

Typer af behandling og formål

• Drift af søge-, popup- og lignende widgets, herunder opslag i den dataansvarliges ordre-, produkt- og kundedata.
• Visning af indhold fra tredjeparts-platforme (f.eks. TikTok, Instagram), som den dataansvarlige har forbundet.
• Drift af AI-chat, herunder fremsendelse af samtaleindhold til AI-underdatabehandler med det formål at generere svar og afgøre, hvilke opslagsværktøjer der skal anvendes.
• Måling af widgets' effektivitet ved hjælp af session-baserede onlineidentifikatorer, med henblik på at vise den dataansvarlige statistik om f.eks. mest søgte termer og konvertering.

Varighed af behandlingen

Behandlingen sker, så længe den dataansvarlige abonnerer på Plugly. Data slettes/anonymiseres senest 30 dage efter abonnementets ophør. AI-chatsamtaler slettes/anonymiseres dog senest 12 måneder efter, de er gennemført.

Bilag B - Underdatabehandlere

Plugly anvender underdatabehandlere til at behandle persondata på vegne af den dataansvarlige. Disse underdatabehandlere er typisk leverandører af cloud-tjenester eller andre IT-hostingydelser. Der indgås databehandleraftaler med alle underdatabehandlere med henblik på at beskytte persondata bedst muligt.

Listen over underdatabehandlere kan ændres. Ændringer varsles, så den dataansvarlige har mulighed for at gøre indsigelse. Spørgsmål til brugen af underdatabehandlere kan rettes til info@plugly.io.