Databehandlingsaftale

Parter

Dataansvarlig (Kunde): Den enhed, der har accepteret Suunta.ai Brugsvilkårene og bruger Tjenesterne.

Databehandler (Suunta.ai): Y4 Works Oy, CVR-nr.: 2978296-6, Adresse: Finland, E-mail: privacy@suunta.ai

1. Definitioner

• Personoplysninger betyder alle oplysninger vedrørende en identificeret eller identificerbar fysisk person som defineret i GDPR artikel 4(1).
• Behandling betyder enhver operation eller sæt af operationer udført på personoplysninger, som defineret i GDPR artikel 4(2).
• Den registrerede betyder den identificerede eller identificerbare fysiske person, som personoplysningerne vedrører.
• Underbehandler betyder enhver tredjepart, der er engageret af Suunta.ai til at behandle personoplysninger på vegne af Kunden.
• Tjenesterne betyder Suunta.ai-platformen og relaterede tjenester som beskrevet i Brugsvilkårene.
• GDPR betyder Forordning (EU) 2016/679 fra Europa-Parlamentet og Rådet (Generel databeskyttelsesforordning).
• Standardkontraktklausuler (SCCs) betyder standardkontraktklausulerne for overførsel af personoplysninger til tredjelande vedtaget af Europa-Kommissionen.
• Sikkerhedshændelse betyder enhver utilsigtet eller ulovlig ødelæggelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger.

2. Omfang og formål

2.1 Omfang Denne DPA gælder for al behandling af personoplysninger af Suunta.ai på vegne af Kunden i forbindelse med Tjenesterne.

2.2 Roller Kunden fungerer som dataansvarlig. Suunta.ai fungerer som databehandler. Hvor Suunta.ai bestemmer formålene og midlerne til behandling (f.eks. til tjenesteforbedringsanalyse), fungerer Suunta.ai som uafhængig dataansvarlig og vil behandle sådanne data i overensstemmelse med sin Fortrolighedspolitik.

2.3 Behandlingsformål Suunta.ai behandler personoplysninger udelukkende med det formål at levere Tjenesterne som beskrevet i Brugsvilkårene, herunder:

• Brugerkontostyring og autentificering
• Levering af AI-drevne strategiske planlægningsfunktioner
• Behandling og lagring af forretningsdata indsendt af brugere
• Generering af AI-assisteret analyse og anbefalinger
• Fakturering og abonnementsstyring
• Kundesupport
• Tjenestesikkerhed og misbrugsforebyggelse

3. Kategorier af data og datasubjekter

3.1 Kategorier af datasubjekter

• Kundens medarbejdere og entreprenører, der bruger Tjenesterne
• Andre personer, hvis personoplysninger indsendes til Tjenesterne af Kunden

3.2 Kategorier af personoplysninger

3.3 Særlige kategorier af data Kunden accepterer ikke at indsende særlige kategorier af personoplysninger (som defineret i GDPR artikel 9) til Tjenesterne uden Suunta.ai's forudgående skriftlige samtykke.

4. Behandlers forpligtelser

4.1 Behandlingsinstruktioner Suunta.ai skal behandle personoplysninger kun på dokumenterede instruktioner fra Kunden, informere Kunden, hvis en instruktion krænker GDPR, og sikre, at autoriserede personer er bundet af fortrolighed.

4.2 Sikkerhedsforanstaltninger

4.3 Underbehandling Suunta.ai kan engagere underbehandlere under forbehold af betingelserne i afsnit 6.

4.4 Assistance til behandler Suunta.ai skal assistere Kunden med at reagere på datasubjektanmodninger, sikre overholdelse af GDPR artikler 32-36 og give oplysninger, der er nødvendige for at demonstrere overholdelse.

4.5 Sletning og returnering Ved ophør af Tjenesterne eller på Kundens anmodning: (a) kan Kunden anmode om eksport af Kundedata inden for 30 dage efter ophør; (b) skal Suunta.ai slette personoplysninger inden for 90 dage efter ophør, medmindre bevarelse er påkrævet ved lov; (c) leveres dataeksport i JSON- og CSV-formater via Tjenesterne.

5. AI-specifik datahåndtering

5.1 AI-behandling Når Kundedata behandles gennem AI-funktioner: (a) sendes prompts og svar til tredjeparts AI-leverandører til behandling; (b) gemmer Suunta.ai IKKE AI-prompts eller svar i sin database; (c) logges kun brugsmetadata (tokens, latency, model, omkostninger) til fakturering og analyse; (d) gemmes chat-samtalehistorik for at muliggøre samtalekontinuitet.

5.2 Ingen træning på Kundedata Suunta.ai vil IKKE bruge Kundedata til at træne, finjustere eller forbedre AI-modeller uden eksplicit skriftligt samtykke. Suunta.ai konfigurerer tredjeparts AI-leverandører til at deaktivere databevarelse, hvor tilgængelig, fravælge træningsdataanvendelse og anvende nul databevarelsespolitikker, hvor understøttet.

5.3 RAG-dokumentbehandling Uploadede dokumenter behandles for at udtrække tekst, konverteres til vektorembeddings, og rå dokumenttekst ryddes inden for 24 timer efter indeksering. Chunk-indhold og embeddings bevares til tjenestefunktionalitet; ved kildesletning fjernes alle tilknyttede chunks og embeddings.

6. Underbehandlere

6.1 Autoriserede underbehandlere Kunden giver generel autorisation til Suunta.ai til at engagere de underbehandlere, der er opført i Bilag A.

6.2 Underbehandlerkrav Suunta.ai skal indgå skriftlige aftaler med underbehandlere, der pålægger databeskyttelsesforpligtelser, der ikke er mindre beskyttende end denne DPA, forblive ansvarlig for underbehandleroverholdelse og udføre passende due diligence.

6.3 Ændringer i underbehandlere Suunta.ai skal opretholde en opdateret liste over underbehandlere på https://suunta.ai/legal/subprocessors, underrette Kunden mindst 30 dage før engagement af en ny underbehandler og give Kunden mulighed for at indvende på rimelige databeskyttelsesgrunde.

6.4 Indsigelsesproces Hvis der ikke nås en løsning inden for 30 dage, kan Kunden ophøre de berørte Tjenester uden straf. Sådan ophør er Kundens eneste retsmiddel for underbehandlerindsigelser.

7. Den registreredes rettigheder

7.1 Assistance Suunta.ai skal assistere Kunden med at reagere på den registreredes anmodninger om at udøve deres rettigheder under GDPR kapitel III, herunder adgang, rettelse, sletning, begrænsning, dataportabilitet og indsigelse.

7.2 Den registreredes anmodninger Hvis Suunta.ai modtager en anmodning direkte fra en registreret, skal Suunta.ai straks underrette Kunden, ikke svare direkte medmindre autoriseret eller påkrævet ved lov, og give rimelig assistance.

7.3 Selvbetjeningsfunktioner Tjenesterne omfatter selvbetjeningsfunktioner, der gør det muligt for brugere at:

• Vise og eksportere deres personoplysninger
• Korrigere kontoinformationer
• Slette deres brugerkonto
• Anmode om organisationsdataeksport
• Anmode om organisationssletning

8. Sikkerhedshændelser

8.1 Meddelelse Suunta.ai skal underrette Kunden om enhver sikkerhedshændelse uden ugrundet forsinkelse og i hvert fald inden for 72 timer efter at være blevet bekendt med det, og give en beskrivelse af hændelsen, berørte registrerede og registreringer, kontaktpunkt, sandsynlige konsekvenser og foranstaltninger, der er truffet.

8.2 Samarbejde Suunta.ai skal samarbejde med Kundens undersøgelse, træffe rimelige skridt for at begrænse effekter, give opdateringer og bistå med meddelelser til tilsynsmyndigheder og registrerede.

8.3 Registreringer Suunta.ai opretholder en uforanderlig overholdelsesrevisionslogg for sikkerhedsrelevante begivenheder med udvidet bevarelse.

9. Internationale overførsler

9.1 Behandlingslokationer Primær databehandling forekommer i EU (AWS eu-north-1, Stockholm). Nogen behandling kan forekomme i USA gennem tredjeparts AI-leverandører.

9.2 Overførselsmekanismer For overførsler til lande uden et EU-adekvansbeslut, stoler Suunta.ai på standardkontraktklausuler (modul 2: dataansvarlig til databehandler, modul 3: databehandler til databehandler), supplerende foranstaltninger og underbehandlercertificeringer, hvor det er relevant.

9.3 Overførselspåvirkningsvurdering Suunta.ai har gennemført overførselspåvirkningsvurderinger for overførsler til USA, med hensyn til:

• Type data, der overføres (primært prompts/forespørgsler, ikke bulk personoplysninger)
• Tekniske foranstaltninger (kryptering, nul databevarelseskonfigurationer)
• Retsramme i destinationslandet
• Kontraktuelle beskyttelser med underbehandlere

10. Revisionsrettigheder

10.1 Revisionsinformation På Kundens skriftlige anmodning (højst én gang om året) skal Suunta.ai give en sammenfatning af sikkerhedsforanstaltninger, tredjepartsrevisionsresultater (under forbehold for fortrolighed), bekræftelse af underbehandleroverholdelse og registreringer af sikkerhedshændelser, der påvirker Kundedata.

10.2 Revisioner på stedet Revisioner på stedet kræver 30 dages forudgående skriftligt varsel, udføres i kontortid med minimal forstyrrelse, på Kundens bekostning, under fortrolighed og begrænset til DPA-overholdelse.

10.3 Certificeringer Suunta.ai arbejder mod SOC 2 Type II- og ISO 27001-certificeringer. Ved opnåelse vil revisionsrapporter blive gjort tilgængelige for kunder under fortrolighedsaftale.

11. Databevarelse

11.1 Bevaringsperioder

11.2 Sletningsproces Organisationssletning følger en struktureret proces: sletningsanmodning med adgangskodebekræftelse; 30-dages nådeperiode (kan annulleres); Stripe-abonnementsannullering; systematisk sletning af alle organisationsdata; uforanderlig overholdelsesrevisionslogpost.

12. Ansvar

Hver parts ansvar under denne DPA er underlagt begrænsningerne, der er angivet i Brugsvilkårene. Hver part skal erstatte den anden for tab, der opstår fra den erstatningsgivende parts brud på denne DPA eller gældende databeskyttelseslove.

13. Tidsperiode og ophør

Denne DPA forbliver i kraft under Brugsvilkårenes varighed. Afsnit 5 (AI-specifik datahåndtering), 8 (Sikkerhedshændelser), 11 (Databevarelse) og 12 (Ansvar) overlever ophør.

14. Gældende ret

Denne DPA er underlagt finsk lov. Tvister skal løses i overensstemmelse med tvistløsningsbestemmelserne i Brugsvilkårene.

15. Kontakt

For databeskyttelseshenvendelser: Y4 Works Oy (Suunta.ai), E-mail: privacy@suunta.ai

Bilag A: Autoriserede underbehandlere

Sidst opdateret: 2025-01-27. Se den fulde liste på https://suunta.ai/legal/subprocessors.

Bilag B: Tekniske og organisatoriske foranstaltninger

1. Adgangskontrol

• Rollebaseret adgangskontrol (RBAC)
• Organisationsniveau dataisolering (multi-tenant-arkitektur)
• Unikke brugerkonti med sikker autentificering
• Sessionshåndtering med konfigurerbare timeout
• Brute-force-beskyttelse med kontolåsning

2. Kryptering

• Data i hvile: AES-256-kryptering (AWS RDS)
• Data under overførsel: TLS 1.2+ for alle forbindelser
• Adgangskodelagring: PBKDF2-SHA256 hashing

3. Tilgængelighed og modstandsdygtighed

• AWS-infrastruktur med høj tilgængelighed
• Automatiserede daglige sikkerhedskopier med gendannelse til tidspunkt
• Katastrofegendannelsesprocedurer

4. Overvågning og logføring

• Omfattende revisionslogføring af brugeraktiviteter
• AI-brugssporing (kun metadata)
• Sikkerhedsbegivenhedsovervågning
• Logbevarelse per afsnit 11

5. Hændelsesrespons

• Dokumenterede hændelsesresponsprocedurer
• 72-timers brudmeddelelsesforpligtelse
• Uforanderlig overholdelsesrevisionsspor

6. Personale

• Fortrolighedsforpligtelser for alt personale
• Sikkerhedsbevidsthedstræning
• Princippet om mindste privilegium

7. Leverandørshåndtering

• Due diligence på underbehandlere
• Kontraktuelle databeskyttelseskrav
• Regelmæssig gennemgang af underbehandleroverholdelse