Kreedl - Databehandleraftale

»Personoplysninger«, »dataansvarlig«, »databehandler«, »behandling«, »den registrerede«, »brud på persondatasikkerheden« og »tilsynsmyndighed« har den betydning, der er fastsat i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (»databeskyttelsesforordningen« eller »GDPR«). »Kundens personoplysninger« er personoplysninger, som Kunden giver Kreedl eller gør tilgængelige for Kreedl, eller som Kreedl indsamler på Kundens vegne ved levering af tjenesterne, herunder kommunikationsindhold, optagelser og transskriptioner, uanset om oplysningerne identificerer Kunden eller en tredjemand, der indgår et kontraktforhold med Kunden. »Underdatabehandler« er enhver tredjemand, som Kreedl benytter til at behandle Kundens personoplysninger. »UK GDPR« er databeskyttelsesforordningen, som den er videreført i britisk ret.

Kunden er dataansvarlig for Kundens personoplysninger. Kreedl er databehandler for disse oplysninger. Kreedl er selvstændig dataansvarlig alene for Kundens egne konto-, fakturerings-, brugs- og markedsføringsdata, eller når en tredjemand bruger Kreedls tjenester uden at have indgået et kontraktforhold med Kunden. Aktiviteterne er nærmere beskrevet i Kreedls dokument med titlen Privatlivspolitik, der er tilgængeligt på kreedl.com/da/privacy (»Privatlivspolitikken«).

Genstand og formål. Drift af en AI-assistent, der på Kundens vegne kommunikerer med lejere, beboere, brugere af ejendomme, ansøgere, leverandører og andre personer via telefon, WhatsApp, SMS og e-mail og udfører de handlinger, Kunden har godkendt.

Behandlingens karakter. Modtagelse, optagelse, transskription, lagring, analyse og opsummering af kommunikation; læsning eller lagring af Kundens registreringer efter den valgte driftsform (afsnit 4); booking af aftaler; udsendelse af leverandører; og - når Kunden instruerer det - rangering af ansøgere eller opsummering af offentligt tilgængelige oplysninger om boligsøgende.

Kategorier af registrerede. Lejere, beboere, boligsøgende eller købere, butikschefer og brugere af ejendomme, leverandører og teknikere, Kundens medarbejdere og repræsentanter samt enhver anden person, der kontakter en bygning, som Kreedl betjener.

Typer af personoplysninger. Navn, kontaktoplysninger, bygning og enhed, lejemålets varighed og vilkår, husleje og betalingsstatus, lejedokumenter, fejlmeldinger, fotos, talebeskeder, optagelser af opkald, transskriptioner, beskedindhold og metadata. For boligsøgende eller købere desuden forventet indflytningsdato, husstandens størrelse, beskæftigelse, indkomst, finansieringsform og referencer, hvis Kunden kræver dem for at vurdere ansøgningen. Hvis Kunden instruerer om identitetsverifikation, kan de sidste fire cifre i det tjekkiske personnummer sammenlignes med Kundens registreringer; det fulde nummer gemmes ikke. Kreedl behandler ikke dørkoder eller andre fysiske adgangsoplysninger.

Varighed. Personoplysninger behandles i den bestilte tjenestes løbetid og derefter, indtil tilbagelevering og sletning efter afsnit 12 er gennemført. Parterne fastsætter opbevaringsfrister, så de afspejler karakteren af den leverede tjeneste. Opbevaringsfristerne tager navnlig, men ikke udelukkende, hensyn til ophør af lejeforhold mellem Kunden og tredjemænd, beskyttelsen af den Dataansvarliges legitime interesser i forbindelse med dennes ejendom og de obligatoriske opbevaringsperioder, der er fastsat i almindeligt bindende lovgivning.

4.1 Kunden vælger en af de tre driftsformer, der er beskrevet i Privatlivspolitikken. Driftsform A - ingen adgang til Kundens registreringer. Driftsform B - læseadgang til Kundens systemer uden lagring af registreringer. Driftsform C - Kundens registreringer lagres af Kreedl. I alle driftsformer gemmer Kreedl kommunikationsindhold, optagelser, transskriptioner og kontaktoplysninger på de personer, der kommunikerer med assistenten.

4.2 Kundens dokumenterede instrukser består af den valgte driftsform, den konfiguration, der er aftalt ved onboardingen, de indstillinger, Kunden foretager i Kreedl-applikationen, de data, Kunden uploader eller gør tilgængelige, og enhver skriftlig instruks sendt til [email protected]. Upload af data, aktivering af et abonnement, oprettelse af en profil eller anden form for levering af data til Kreedl udgør Kundens instruks om at behandle disse data til de formål, der er nævnt i afsnit 3.

4.3 Kunden kan til enhver tid ændre driftsformen eller sine instrukser via e-mail, i applikationen eller ved adfærd, hvoraf ændringen klart fremgår. Kreedl gennemfører ændringer inden for 14 dage.

4.4 Kreedl kan afvise en instruks, som efter Kreedls rimelige vurdering er i strid med databeskyttelsesforordningen eller anden lovgivning, og underretter Kunden herom. Kreedl kan også behandle Kundens personoplysninger, hvis det kræves i henhold til EU-retten eller medlemsstaternes nationale ret; i så fald underretter Kreedl Kunden, medmindre loven forbyder det.

Kunden erklærer og forpligter sig til, at -

• Kunden har og korrekt fastlægger et gyldigt retsgrundlag for alle Kundens personoplysninger, som Kunden indhenter og overfører til Kreedl, og for enhver kommunikation, som Kunden instruerer Kreedl i at indlede. Kunden er eneansvarlig for et eventuelt manglende retsgrundlag for at give eller overføre oplysningerne;
• Kunden opfylder oplysningspligten over for de registrerede efter artikel 12, 13 og 14 i databeskyttelsesforordningen, herunder ved at offentliggøre informationen til personer, der kontakter assistenten, i Del A af Kreedls Compliancevilkår, og bærer denne pligt alene, uanset om Kreedl offentliggør oplysninger om den pågældende aktivitet i sin Privatlivspolitik. Dette berører ikke Kreedls oplysningspligt i egenskab af selvstændig dataansvarlig;
• Kunden, hvis Kunden instruerer Kreedl i at indsamle offentligt tilgængelige oplysninger om boligsøgende, oplyser disse personer om oplysningernes kilde senest ved første kontakt;
• Kunden, hvis Kunden stiller tjekkiske personnumre til rådighed, overholder § 13c i den tjekkiske lov nr. 133/2000 Sb.;
• Kunden er ansvarlig for de grænser for autonomi, Kunden fastsætter, og for håndteringen af eskaleringer;
• Kunden træffer tekniske og implementeringsmæssige foranstaltninger, der sikrer den højest mulige beskyttelse af de registreredes personoplysninger, og er eneansvarlig for dem, medmindre oplysningerne opbevares på en enhed eller i en database, der udelukkende besiddes eller drives af Kreedl;
• Kundens instrukser er i overensstemmelse med loven. Kunden er eneansvarlig for lovligheden af sine instrukser og for eventuelle sanktioner i forbindelse med manglende overholdelse. Hvis en af parterne konkluderer, at udførelsen af en instruks fra Kunden kan forudsætte en konsekvensanalyse vedrørende databeskyttelse (»konsekvensanalyse«), udsættes instruksen, indtil dens lovlighed er godkendt på grundlag af en konsekvensanalyse, hvis omkostninger afholdes af Kunden. Kreedl er dog ikke forpligtet til aktivt at gennemgå eller på anden måde kontrollere lovligheden af Kundens instrukser.

Kreedl -

• behandler kun Kundens personoplysninger efter Kundens dokumenterede instrukser og kun til de formål, der er nævnt i afsnit 3;
• sikrer, at personer, der er autoriseret til at behandle Kundens personoplysninger, er bundet af tavsheds- og fortrolighedsaftaler, når Kreedl har autoriseret dem til at udføre behandlingen;
• gennemfører de tekniske og organisatoriske foranstaltninger i bilag 1;
• bruger ikke Kundens personoplysninger til at træne eller finjustere nogen AI-model;
• bistår Kunden med anmodninger fra registrerede (afsnit 9), sikkerhed, anmeldelse af brud og konsekvensanalyser vedrørende databeskyttelse (afsnit 10) under hensyntagen til behandlingens karakter;
• sletter eller tilbageleverer Kundens personoplysninger i overensstemmelse med afsnit 12;
• stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28 i databeskyttelsesforordningen, og giver mulighed for revisioner i overensstemmelse med afsnit 11;
• holder de data, som Kunden har gjort tilgængelige, adskilt fra de data, Kreedl behandler som selvstændig dataansvarlig;
• træffer tekniske og implementeringsmæssige foranstaltninger, der sikrer den højest mulige beskyttelse af de registreredes personoplysninger, når oplysningerne opbevares på en enhed eller i en database, der udelukkende besiddes eller drives af Kreedl.

7.1 Kunden giver Kreedl en generel godkendelse til at benytte underdatabehandlere. Den aktuelle liste findes i afsnit 7 i Privatlivspolitikken på kreedl.com/da/privacy.

7.2 Kreedl underretter Kunden om tilføjelse eller udskiftning af en underdatabehandler via e-mail mindst 14 dage, før ændringen træder i kraft.

7.3 Hvis Kunden inden for 14 dage efter underretningen gør indsigelse af rimelige databeskyttelsesmæssige grunde, kan Kreedl foreslå et alternativ. Opnås der ikke enighed, er Kundens eneste beføjelse at opsige de berørte tjenester ved skriftlig meddelelse, uden sanktion for den opsagte del, med virkning fra den dato, hvor ændringen af underdatabehandler træder i kraft. Kreedl er ikke forpligtet til at skifte underdatabehandler.

7.4 Kreedl pålægger hver underdatabehandler databeskyttelsesforpligtelser, der ikke er mindre strenge end forpligtelserne i denne Databehandleraftale, og forbliver ansvarlig for deres opfyldelse.

7.5 Når Kreedl benytter en ny underdatabehandler, er Kreedl ansvarlig for at angive den nye underdatabehandlers identitet i Privatlivspolitikken og underrette Kunden efter pkt. 7.2, så Kunden kan opfylde sin oplysningspligt efter afsnit 5.

Kreedl opbevarer Kundens personoplysninger i Den Europæiske Union. AI-behandling og telefoni kan involvere udbydere uden for EØS eller Storbritannien. Ved enhver sådan overførsel baserer Kreedl sig på EU's standardkontraktbestemmelser, en afgørelse om tilstrækkeligt beskyttelsesniveau (herunder EU-US Data Privacy Framework, hvis udbyderen er certificeret) eller, for britiske data, det britiske International Data Transfer Addendum. Kreedl tilbyder på skriftlig anmodning en konfiguration med behandling udelukkende i EU; det er Kundens ansvar at anmode om den. Kunden bemyndiger Kreedl til at indgå standardkontraktbestemmelser med underdatabehandlere på Kundens vegne. Det britiske tillæg (UK Addendum) kan fås på anmodning.

Hvis Kreedl modtager en anmodning fra en registreret vedrørende Kundens personoplysninger, videresender Kreedl den til Kunden inden for 3 arbejdsdage og besvarer den ikke indholdsmæssigt uden instruks. Kreedl yder rimelig bistand, så Kunden kan svare inden for de lovbestemte frister. Bistand ud over fem anmodninger om måneden, eller som kræver mere end en rimelig indsats, faktureres efter Kreedls gældende timesats.

10.1 Kreedl underretter Kunden om et brud på persondatasikkerheden vedrørende Kundens personoplysninger uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på det. Den første underretning indeholder de oplysninger, der er kendt på det tidspunkt. Parterne yder hinanden den bistand, der er nødvendig efter artikel 33 og 34 i databeskyttelsesforordningen, for at fjerne risici, følgerne af bruddet og bøder fra tilsynsmyndigheden og for at kunne undersøge bruddet effektivt.

10.2 Anmeldelse til tilsynsmyndigheden og underretning af de registrerede påhviler den part, der administrerer den database eller enhed, hvor bruddet på persondatasikkerheden er sket.

10.3 Hvis Kunden skal udarbejde en konsekvensanalyse, giver Kreedl Kunden en beskrivelse af behandlingen, foranstaltningerne i bilag 1 og rimelige yderligere oplysninger, der er strengt nødvendige for udarbejdelsen af konsekvensanalysen. Analysen færdiggøres, godkendes og ejes af Kunden. Kunden afholder omkostningerne ved udarbejdelsen af konsekvensanalysen.

10.4 Uanset Kundens godkendelse efter pkt. 10.3 er Kreedl ikke forpligtet til at udføre en instruks fra Kunden, hvis Kreedl trods en foreliggende konsekvensanalyse har rimelig grund til at mistænke, at instruksen er ulovlig, at princippet om dataminimering ikke er tilstrækkeligt tilgodeset ved udarbejdelsen af konsekvensanalysen, eller at analysens kvalitet og legitimitet er mangelfuld.

Én gang pr. kalenderår kan Kunden med 30 dages skriftligt varsel anmode om Kreedls udfyldte sikkerhedsspørgeskema, en kopi af bilag 1 og den tilgængelige dokumentation, der påviser overholdelse af denne Databehandleraftale. En inspektion på stedet finder kun sted på et sted og tidspunkt, hvor en tilsynsmyndighed eller loven kræver det, under iagttagelse af fortrolighed, uden adgang til andre Kunders data og for Kundens regning. Kreedl er ikke ISO 27001- eller SOC 2-certificeret og garanterer ikke, at interne undersøgelser udføres i overensstemmelse med en sådan certificering, hvilket Kunden anerkender.

12.1 Ved ophør af Kundeaftalen og til enhver tid på skriftlig anmodning eksporterer Kreedl Kundens personoplysninger i et struktureret, maskinlæsbart format (JSON; lydfiler for optagelser) og sletter Kundens personoplysninger inden for 30 dage efter ophøret. Krypterede sikkerhedskopier slettes inden for 90 dage. Kreedl bekræfter sletningen skriftligt på anmodning. Kreedl kan opbevare data, hvis loven kræver det, og kun til dette formål.

12.2 Hvis det retsgrundlag, hvorpå Kunden opbevarer en tredjemands oplysninger i forhold til denne tredjemand, bortfalder, underretter Kunden Kreedl herom og er eneansvarlig for at give denne underretning. Kreedl foretager sletning i overensstemmelse med opbevaringsfristerne for personoplysninger, medmindre Kunden insisterer på at bevare registreringen af hensyn til en af sine legitime interesser; i så fald dokumenterer Kunden den legitime interesse. Kunden er ansvarlig for eventuelle administrative eller andre sanktioner, der skyldes, at Kunden ikke har underrettet Kreedl om, at retsgrundlaget er bortfaldet, eller at Kundens interesse ikke er legitim, når denne interesse er grundlaget for at forlænge opbevaringen af data.

13.1 I det videst mulige omfang, loven tillader, er Kreedls samlede ansvar, der udspringer af eller er forbundet med denne Databehandleraftale, herunder enhver administrativ bøde eller ethvert krav fra en registreret, begrænset til det beløb, Kunden har betalt i de tolv måneder forud for den begivenhed, der gav anledning til kravet, og Kreedl er ikke ansvarlig for indirekte tab eller følgeskader, tabt fortjeneste, tab af data eller skade på omdømme.

13.2 Kreedl har ingen forpligtelse til at holde Kunden skadesløs.

13.3 Kunden holder Kreedl skadesløs for ethvert krav, enhver bøde, ethvert tab eller enhver omkostning (herunder rimelige advokatomkostninger og herunder det tilfælde, hvor Kreedl som følge af adfærd, der på ingen måde kan tilskrives Kreedl, lider tab eller bliver forpligtet til at betale et krav eller en bøde efter pkt. 13.1 ud over ansvarsbegrænsningen i pkt. 13.1), der skyldes Kundens overtrædelse af denne Databehandleraftale eller databeskyttelsesforordningen, en instruks fra Kunden, oplysninger givet uden retsgrundlag eller uden de påkrævede oplysninger til de registrerede, hvor denne Databehandleraftale udtrykkeligt bestemmer det, eller de indstillinger for autonomi, Kunden har valgt.

Denne Databehandleraftale gælder ud over Kundeaftalens ophør, indtil det sidste potentielle krav, der direkte eller indirekte er forbundet med rettighederne og forpligtelserne efter denne Databehandleraftale, er forældet efter tjekkisk ret. Databehandleraftalen er underlagt tjekkisk ret, og tvister, der udelukkende udspringer af denne Databehandleraftale, afgøres af de kompetente domstole i Prag. Den offentliggøres på engelsk og tjekkisk; den engelske version har forrang, medmindre Kundeaftalen bestemmer andet. Kreedl kan ensidigt opdatere denne Databehandleraftale med 14 dages varsel til Kunderne via e-mail; fortsat brug efter ikrafttrædelsesdatoen betyder accept.

Kryptering. Kundens personoplysninger krypteres ved lagring (AES-256 eller tilsvarende) og under overførsel (TLS 1.2 eller højere). Optagelser af opkald og filer opbevares i krypteret objektlager.

Adgangskontrol. Rollebaseret adgang. Kun Kreedl-medarbejdere, der har brug for det for at drive tjenesten, har adgang. Multifaktorgodkendelse er obligatorisk for alle Kreedl-medarbejdere og for al administrativ adgang til infrastrukturen. Adgange gennemgås ved personaleændringer og mindst hvert kvartal.

Logning og revisionsspor. Enhver handling fra AI-assistenten og enhver medarbejders adgang til Kundens personoplysninger logges med tidspunkt og identitet. Logfiler opbevares i 12 måneder, og Kunden har adgang til dem for så vidt angår egne data.

Håndtering af hemmeligheder. Udbyderes loginoplysninger og API-nøgler opbevares i et system til håndtering af hemmeligheder, aldrig i kode, og eksponeres aldrig for brugere; de udskiftes, når en medarbejder fratræder, eller ved mistanke om kompromittering.

Adskillelse af Kunder. Hver Kundes data er logisk adskilt. Ingen Kunde har adgang til en anden Kundes data.

Sikkerhedskopier. Krypterede sikkerhedskopier mindst dagligt, opbevaret i 90 dage, gendannelse testet mindst én gang om året.

Udbydere af AI-modeller. Modeludbydere har kontraktligt forbud mod at bruge Kundens personoplysninger til træning. Kreedl træner eller finjusterer ikke modeller på Kundens personoplysninger.

Personale. Alle medarbejdere og underleverandører underskriver tavsheds- og fortrolighedsaftaler og gennemfører uddannelse i databeskyttelse, før de får adgang. Adgangen tilbagekaldes på fratrædelsesdagen.

Håndtering af hændelser. En dokumenteret procedure med en ansvarlig person, underretning af Kunden inden for 48 timer og en evaluering efter hændelsen.

Fysisk sikkerhed. Infrastrukturen hostes hos de udbydere, der er nævnt i Privatlivspolitikken, og som driver certificerede datacentre (ISO 27001 / SOC 2 på udbyderniveau). Kreedl driver ikke egne datacentre.

Sletning. Automatiske opbevaringsregler sletter kommunikationsdata efter 12 måneder eller inden for en anden periode, som Kunden har fastsat efter afsnit 3 og pkt. 12.2. Sletning ved ophør inden for 30 dage, sikkerhedskopier inden for 90 dage.