Databehandleraftale (DPA)

1Omfang og formål

Denne aftale regulerer Mosaiq AS's («Databehandler») behandling af personoplysninger på vegne af Kunden («Dataansvarlig»). Formålet er at levere AI-baserede tjenester som specificeret i hovedaftalen.

2Instruks og behandling

• Databehandler må kun behandle oplysninger i overensstemmelse med Kundens dokumenterede instrukser.
• Behandlingen inkluderer indsamling, analyse og lagring med henblik på at levere og forbedre tjenesten.
• AI-specifikt: Databehandler kan bruge anonymiserede og aggregerede data til statistik og forbedring af algoritmer. Personoplysninger må ikke bruges til at træne modeller på en måde, der gør dataene tilgængeligt for andre kunder.

3Sikkerhed

• Databehandler skal implementere tekniske og organisatoriske foranstaltninger for at sikre fortrolighed, integritet og tilgængelighed (GDPR art. 32).
• Dette inkluderer kryptering, adgangsstyring og procedurer for at opdage sikkerhedsbrud.
• Ved brud på persondatasikkerheden skal Kunden varsles uden unødigt ophold.

4Underdatabehandlere

• Kunden giver samtykke til, at Databehandler anvender underleverandører (f.eks. skytjenester som Azure/AWS eller AI-modeller som OpenAI).
• En opdateret liste over underdatabehandlere skal være tilgængelig for Kunden.
• Nye underleverandører varsles på forhånd, og Kunden har ret til at gøre indsigelse, hvis der foreligger saglig grund knyttet til databeskyttelse.

5Overførsel til tredjelande

• Behandling skal ske inden for EU/EØS og primært Norge.
• Hvis data overføres til lande uden for EU/EØS, skal Databehandler sikre, at gyldigt overførselsgrundlag (f.eks. EU's standardkontraktbestemmelser) er på plads.

6Revision

• Kunden har ret til at få bekræftet, at Databehandler overholder sine forpligtelser.
• Dette sker primært ved indsigt i sikkerhedsrapporter og certificeringer. Eventuelle omfattende revisioner udføres for Kundens regning.

7Sletning ved ophør

• Ved opsigelse skal Databehandler slette alle personoplysninger inden for rimelig tid (standard 30 dage), medmindre lovgivningen kræver fortsat opbevaring.
• Kunden kan anmode om eksport af data inden sletning.