Databehandleraftale

1. Databehandlingsbilag

Gptfusion er forpligtet til at sikre privatliv, sikkerhed og regelefterlevelse for kundedata. Dette databehandlerbilag (“DPA”) beskriver de vilkår, der regulerer, hvordan vi behandler, opbevarer og beskytter personoplysninger i overensstemmelse med gældende databeskyttelseslove. DPA’en er en udvidelse af vores hovedaftale med kunder og gælder, når Gptfusion behandler personoplysninger på kundens vegne som databehandler.

Den fastlægger klare ansvarsområder for begge parter vedrørende datahåndtering og sikrer overholdelse af relevante privatlivslove. Ved at bruge Gptfusion anerkender og accepterer kunder vilkårene i denne DPA. Hvis du har brug for et underskrevet eksemplar af hensyn til regelefterlevelse, kontakt os på [email protected].

2. Definitioner

Tilknyttet virksomhed henviser til enhver enhed, der direkte eller indirekte kontrollerer, kontrolleres af eller er under fælles kontrol med en part. “Kontrol” betyder direkte eller indirekte ejerskab af mindst 50% af stemmerettigheder, kapitalandele eller lignende rettigheder i enheden. Tilknyttede virksomheder anses for bundet af de forpligtelser og ansvar, der er angivet i denne DPA, i det omfang de deltager i behandlingen af personoplysninger.

Autoriseret underdatabehandler betyder enhver tredjepartsleverandør, tjenesteudbyder eller underleverandør, som Gptfusion har antaget til at behandle kundens personoplysninger udelukkende på vegne af og efter instruktion fra Gptfusion. Alle underdatabehandlere skal opfylde de samme databeskyttelsesforpligtelser og sikre fortrolighed, sikkerhed og overholdelse af lovgivningen.

Kontodata henviser til alle virksomhedsrelaterede oplysninger, der indsamles, opbevares og behandles af Gptfusion i relation til dets kontraktforhold med kunden. Dette omfatter navne, e-mailadresser, telefonnumre, betalingsoplysninger og adgangsoplysninger for personer, der er autoriseret af kunden til at administrere og betjene deres konto på platformen. Kontodata bruges strengt til administrative formål samt fakturering og support.

Databeskyttelseslove omfatter alle gældende love, regler og rammer for indsamling, behandling, opbevaring, overførsel og beskyttelse af personoplysninger — herunder EU’s databeskyttelsesforordning (GDPR), UK GDPR, California Consumer Privacy Act (CCPA) og anden national eller international databeskyttelseslovgivning, der er relevant for behandlingen under denne aftale.

Personoplysninger henviser til enhver information om en identificeret eller identificerbar fysisk person (“den registrerede”). Personoplysninger omfatter ikke anonymiserede eller aggregerede data, der ikke kan bruges til at identificere en person.

Behandling betyder enhver aktivitet eller række af aktiviteter, der udføres på personoplysninger, automatisk eller manuelt — herunder indsamling, registrering, organisering, strukturering, opbevaring, tilpasning, ændring, fremfinding, søgning, brug, videregivelse, overførsel, begrænsning, sletning eller tilintetgørelse af personoplysninger.

Sikkerhedsforanstaltninger henviser til de tekniske og organisatoriske beskyttelser, der er implementeret for at sikre fortrolighed, integritet og tilgængelighed af personoplysninger. Disse omfatter kryptering, adgangskontrol, firewalls, datamaskering, pseudonymisering, regelmæssige sikkerhedsrevisioner og mekanismer til underretning om brud.

Tilsynsmyndighed betyder en uafhængig offentlig myndighed, der fører tilsyn med og håndhæver databeskyttelseslovgivningen — for eksempel Det Europæiske Databeskyttelsesråd (EDPB), Information Commissioner’s Office i Storbritannien (ICO) og California Privacy Protection Agency (CPPA).

Registreredes rettigheder henviser til de rettigheder, enkeltpersoner har under gældende databeskyttelseslove, herunder indsigt, berigtigelse, sletning, begrænsning, portabilitet, indsigelse og retten til at klage til en tilsynsmyndighed.

3. Behandling af data

Kunden kan handle enten som dataansvarlig eller databehandler afhængigt af sit forhold til den registrerede og de formål, personoplysninger behandles til. I alle tilfælde handler Gptfusion som databehandler og behandler personoplysninger på vegne af og efter instruktion fra kunden.

Kunden er ansvarlig for at sikre, at al databehandling udført med vores tjenester overholder gældende databeskyttelseslove. Kunden anerkender, at den har juridisk grundlag for at behandle personoplysninger og holder Gptfusion skadesløs mod krav, ansvar eller skader som følge af manglende overholdelse af disse krav.

Gptfusion behandler personoplysninger kun i overensstemmelse med kundens skriftlige instruktioner og udelukkende i det omfang, det kræves for at levere tjenesterne, medmindre loven pålægger andet. Vi bruger, videregiver eller deler ikke personoplysninger til andre formål end dem, kunden har autoriseret, eller som udtrykkeligt er angivet i denne aftale.

Ved aftalens ophør eller på kundens anmodning vil Gptfusion efter kundens valg enten (a) sikkert slette alle personoplysninger behandlet under denne aftale, uden resterende kopier medmindre loven kræver det, eller (b) returnere personoplysninger til kunden i et struktureret, almindeligt anvendt og maskinlæsbart format før sletning.

4. Sikkerhed og fortrolighed

Gptfusion er forpligtet til at beskytte sikkerhed og fortrolighed for personoplysninger behandlet på kundens vegne. Vi implementerer og vedligeholder branchestærke sikkerhedsforanstaltninger designet til at forhindre uautoriseret adgang, videregivelse, ændring eller destruktion af personoplysninger, herunder:

• Datakryptering. Personoplysninger krypteres under overførsel (TLS 1.2+) og ved lagring (AES-256) med protokoller, der er standard i branchen.
• Adgangskontrol. Strenge politikker for adgangsstyring sikrer, at kun autoriseret personale har adgang til personoplysninger efter princippet om mindst mulige privilegier.
• Netværks- & systemsikkerhed. Firewalls, systemer til indtrængningsdetektion og løbende overvågning hjælper med at forhindre uautoriseret adgang og cybertrusler.
• Anonymisering & pseudonymisering af data. Hvor relevant anonymiseres eller pseudonymiseres personoplysninger for at reducere risici ved dataeksponering.
• Regelmæssige sikkerhedsrevisioner. Periodiske sikkerhedsvurderinger, sårbarhedstest og compliancekontroller identificerer og reducerer risici.
• Beredskabsplan for hændelser. En struktureret protokol sikrer, at sikkerhedshændelser hurtigt identificeres, begrænses og rapporteres i overensstemmelse med gældende databeskyttelseslove.

Enhver person — medarbejder, underleverandør eller autoriseret serviceudbyder — der behandler personoplysninger på vores vegne, er bundet af strenge fortrolighedsforpligtelser, herunder underskrevne fortrolighedsaftaler og overholdelse af interne politikker for datahåndtering.

5. Underdatabehandlere

Gptfusion engagerer tredjeparts underdatabehandlere til at hjælpe med at levere og vedligeholde tjenesten. Disse underdatabehandlere udfører specifikke funktioner som hosting af infrastruktur, betalingsbehandling, transaktionsmails og sikkerhed. Vi sikrer, at alle engagerede underdatabehandlere overholder databeskyttelsesforpligtelser svarende til dem i denne DPA, understøttet af underskrevne aftaler.

En opdateret liste er tilgængelig på anmodning fra [email protected]. Nuværende underdatabehandlere omfatter, men er ikke begrænset til:

• Stripe — betalingsbehandling, fakturering og svindelkontrol.
• Mailgun — levering af transaktions- og notifikationsmails.
• Cloudflare — CDN, DDoS-beskyttelse og Turnstile-kontrol mod bots.
• Udbydere af administrerede databaser — krypteret lagring af applikationsdata.

AI-systemernes API-adresser

For at måle hvordan generative assistenter beskriver en kundes virksomhed sender Gptfusion omhyggeligt udformede offentlige forespørgsler til de officielle API’er for ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), DeepSeek og Grok (xAI). Disse motorer er uafhængige serviceudbydere, der driver deres egen infrastruktur under egne vilkår.

• Vi sender kun de spørgsmål, der er forberedt til AI Visibility Sprint — ikke dine kontodata, ikke dine private filer og ikke dine kunders personoplysninger.
• Vi sender aldrig personoplysninger eller proprietært indhold som træningsdata. Når udbyderen tilbyder indstillingen “brug ikke mine data til at træne modeller”, aktiverer vi den på vores tjenestekonti.
• Hvert AI-system behandler spørgsmål efter sin egen privatlivspolitik og sine egne opbevaringsfrister. Links til disse politikker findes i bilaget til cookiepolitikken og udleveres på anmodning.

Kundens rettigheder & indsigelser. Gptfusion underretter kunder mindst 10 dage før inddragelsen af en ny underdatabehandler. Kunder kan gøre skriftlig indsigelse i denne periode, hvis de har saglige bekymringer om databeskyttelsen. Vi søger en løsning i god tro. Hvis parterne ikke kan finde en acceptabel løsning, kan kunden have ret til at opsige de berørte tjenester.

6. Overførsler af personoplysninger

Gptfusion kan overføre personoplysninger uden for Det Europæiske Økonomiske Samarbejdsområde (EØS), Storbritannien eller Schweiz for at muliggøre levering af tjenester. Når sådanne overførsler sker, sikrer vi passende juridiske beskyttelsesforanstaltninger, herunder:

• Standardkontraktbestemmelser (SCCs) godkendt af Europa-Kommissionen eller andre kompetente myndigheder.
• Supplerende foranstaltninger — yderligere tekniske, organisatoriske og kontraktuelle beskyttelser.
• Bindende virksomhedsregler (BCRs), når de finder anvendelse på tilknyttede enheder.
• Andre godkendte overførselsmekanismer anerkendt under gældende lov.

7. Registreredes rettigheder

Gptfusion anerkender og respekterer registreredes rettigheder under gældende databeskyttelseslove. Vi hjælper kunden, som dataansvarlig, med at svare på anmodninger fra personer om deres personoplysninger:

• Ret til indsigt — bekræftelse af om data behandles samt adgang til dem.
• Ret til berigtigelse — rettelse af unøjagtige eller ufuldstændige data.
• Ret til sletning (“retten til at blive glemt”) — sletning af personoplysninger, med forbehold for juridiske og kontraktuelle forpligtelser.
• Ret til begrænsning af behandling — begrænsning af behandling af personoplysninger under visse betingelser.
• Ret til dataportabilitet — at få og overføre personoplysninger til en anden dataansvarlig, hvor det er teknisk muligt.
• Ret til indsigelse — mod behandling baseret på legitime interesser, direkte markedsføring eller automatiseret afgørelse.
• Ret til at trække samtykke tilbage — når som helst, hvis behandlingen er baseret på samtykke.

8. Meddelelse om databrud

Gptfusion implementerer forebyggende foranstaltninger for at beskytte personoplysninger. Ved et bekræftet brud på persondatasikkerheden vil vi:

• Vurdere bruddets påvirkning og træffe øjeblikkelige afhjælpende tiltag;
• Underrette kunden uden unødig forsinkelse, typisk inden for 48 timer efter bekræftelse;
• Give detaljer om bruddets karakter og omfang, typen af data der er påvirket, mulige konsekvenser og de foranstaltninger, der er truffet;
• Hjælpe kunden med at opfylde lovbestemte pligter til at anmelde bruddet til myndigheder og underrette de berørte registrerede;
• Implementere korrigerende handlinger for at forhindre gentagelse.

Kunden er ansvarlig for at afgøre, om tilsynsmyndigheder og registrerede skal underrettes efter gældende databeskyttelseslovgivning.

9. Opbevaring og sletning af data

Gptfusion opbevarer kun personoplysninger så længe, det er nødvendigt for at opfylde sine forpligtelser under denne aftale eller som krævet af gældende love. Vi følger dataminimeringsprincipper: data opbevares kun af hensyn til legitime forretnings- og efterlevelsesbehov og slettes eller anonymiseres, når de ikke længere er nødvendige.

Kunder kan til enhver tid anmode om sletning af personoplysninger. Ved ophør af tjenester vil Gptfusion slette eller returnere personoplysninger i overensstemmelse med kundens instruktioner. Hvis ingen sletningsanmodning fremsættes, slettes personoplysninger automatisk inden for en rimelig periode, medmindre lovbestemte opbevaringskrav gælder (skatteregnskaber, undersøgelser til forebyggelse af svindel osv.).

10. Lovvalg & tvistløsning

Denne DPA er underlagt og fortolkes i overensstemmelse med de samme love og jurisdiktion, som er defineret i hovedaftalen mellem Gptfusion og kunden. Tvister løses først gennem forhandling i god tro; hvis ingen løsning nås, kan tvisten henvises til mægling, voldgift eller de kompetente domstole i den relevante jurisdiktion. Ved konflikt mellem denne DPA og hovedaftalen går DPA-vilkårene forud i databeskyttelsesspørgsmål.

11. Afsluttende bestemmelser

Denne DPA udgør en integreret del af den samlede aftale mellem Gptfusion og kunden. Ved fortsat brug af tjenesterne anerkender og accepterer kunden DPA-vilkårene. Hvis en bestemmelse findes ugyldig eller ikke kan håndhæves, forbliver de øvrige bestemmelser fuldt gældende.

Gptfusion forbeholder sig retten til at ændre eller opdatere denne DPA for at afspejle ændringer i gældende databeskyttelseslove, branchepraksis eller driftsmæssige behov. Kunder underrettes om væsentlige ændringer; fortsat brug af tjenesterne udgør accept af de opdaterede vilkår.

12. Kontakt

For spørgsmål, formelle anmodninger eller for at få et underskrevet eksemplar af denne DPA, kontakt [email protected]. For generelle spørgsmål om privatliv, kontakt [email protected].