1.1 Denne aftale (”Aftalen”) er indgået mellem brugervirksomheden (”den Dataansvarlige”) og Crediwire ApS (”Databehandleren” eller ”Crediwire”), hver for sig kaldet en ”Part” og samlet ”Parterne”.
1.2 Databehandleren behandler de typer af personoplysninger på vegne af den Dataansvarlige, som fremgår af bilag 1, og som er nødvendige for, at Crediwire-tjenesten kan benyttes. Personoplysningerne vedrører de registrerede personer, der er oplistet i bilag 1.
1.3 Når den Dataansvarlige overfører økonomidata, giver den Dataansvarlige Databehandleren instruks om at anonymisere alle data til brug for statistik og benchmarking.
2.1 Databehandleren må alene behandle personoplysninger til formål, som er nødvendige for, at den Dataansvarlige kan benytte Crediwire-tjenesten.
3.1 I det omfang den Dataansvarlige behandler personoplysninger i forbindelse med brugen af Crediwire-tjenesten, er den Dataansvarlige ansvarlig for, at der foreligger et behandlingsgrundlag, herunder at et eventuelt samtykke er specifikt, frivilligt, utvetydigt og informeret. Den Dataansvarlige er forpligtet til på Databehandlerens anmodning skriftligt at redegøre for og/eller dokumentere behandlingsgrundlaget.
3.2 Den Dataansvarlige er ansvarlig for at give de registrerede de oplysninger, der kræves efter databeskyttelsesforordningens artikel 13 og 14, vedrørende behandling, der udføres på dennes vegne efter denne Aftale. Databehandleren skal give de oplysninger om sin behandling, som med rimelighed er nødvendige for at bistå den Dataansvarlige med at opfylde denne forpligtelse. Crediwires persondatapolitik på https://www.crediwire.com/privacy-policy beskriver behandling, hvor Crediwire er dataansvarlig.
4.1 Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den Dataansvarlige, herunder med hensyn til overførsel til et tredjeland eller en international organisation, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som Databehandleren er underlagt. I så fald skal Databehandleren underrette den Dataansvarlige om dette retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser. Denne Aftale og den aftalte tjeneste udgør de indledende dokumenterede instrukser. Behandlingen skal begrænses til at stille Crediwire-tjenesten til rådighed efter denne Aftale og brugervilkårene på https://www.crediwire.com/terms-and-conditions (”Brugervilkårene”). Databehandleren skal overholde gældende databeskyttelseslovgivning.
4.2 Databehandleren skal træffe alle nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger, herunder eventuelle yderligere foranstaltninger, der kræves for at sikre, at de i pkt. 1.2 og 1.3 anførte personoplysninger ikke hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med den til enhver tid gældende danske databeskyttelseslovgivning.
4.3 Databehandleren skal sikre, at medarbejdere, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
4.4 Databehandleren skal på den Dataansvarliges anmodning redegøre for og/eller dokumentere, at Databehandleren opfylder kravene i gældende databeskyttelseslovgivning, herunder kravet om dokumentation for datastrømme og skriftlige procedurer/politikker for behandling af personoplysninger.
4.5 Hvis Databehandleren behandler personoplysninger i et andet EU/EØS-medlemsland, skal Databehandleren overholde gældende lovgivning om sikkerhedsforanstaltninger i det pågældende land.
4.6 Databehandleren skal underrette den Dataansvarlige uden unødig forsinkelse og under alle omstændigheder inden for 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, mistanke om overtrædelse af databeskyttelsesreglerne eller andre uregelmæssigheder i forbindelse med behandlingen af personoplysninger. Den indledende underretning må ikke afvente afslutningen af undersøgelsen eller en fuldstændig konsekvensvurdering. Databehandleren skal give de oplysninger, der på tidspunktet foreligger, om hændelsens karakter, berørte oplysninger og registrerede, sandsynlige konsekvenser og trufne eller foreslåede foranstaltninger samt en kontaktperson for yderligere oplysninger. Manglende oplysninger skal gives uden unødig forsinkelse, efterhånden som de bliver tilgængelige. Databehandleren skal bistå den Dataansvarlige med at vurdere hændelsen og opfylde sine forpligtelser til at anmelde bruddet til tilsynsmyndigheden og underrette berørte registrerede efter databeskyttelsesforordningens artikel 33 og 34.
4.7 Databehandleren skal underrette den Dataansvarlige om driftsforstyrrelser i IT-systemer, så snart det med rimelighed er muligt.
4.8 Databehandleren skal stille alle oplysninger, der er nødvendige for at påvise overholdelse af forpligtelserne i databeskyttelsesforordningens artikel 28 og denne Aftale, til rådighed for den Dataansvarlige og give mulighed for og bidrage til revisioner, herunder inspektioner, som udføres af den Dataansvarlige eller en revisor, som den Dataansvarlige har bemyndiget. Revisioner kan finde sted med rimelige mellemrum, og når der er tegn på manglende overholdelse, herunder efter et relevant brud på persondatasikkerheden. Databehandleren skal på anmodning fremlægge sin seneste årlige ISAE 3402-revisionserklæring. Eksisterende revisionserklæringer kan inddrages for at undgå unødvendigt dobbeltarbejde, men erstatter ikke den Dataansvarliges ret til at modtage relevante oplysninger eller gennemføre nødvendige revisioner og inspektioner. Parterne skal på en proportional måde koordinere omfang, tidspunkt, rimeligt varsel og fortrolighedsforanstaltninger under hensyntagen til sagens hastende karakter og behovet for at beskytte andre kunders oplysninger. Sådanne ordninger må ikke forhindre eller urimeligt forsinke udøvelsen af disse rettigheder. Den Dataansvarlige skal godtgøre Databehandleren for rimeligt tidsforbrug til bistand ved revisioner, uden at forudbetaling gøres til en betingelse for nødvendigt samarbejde, eller lovbestemte revisionsrettigheder begrænses.
4.9 Databehandleren og dennes underdatabehandlere skal videresende anmodninger og indsigelser fra registrerede til den Dataansvarlige med henblik på den Dataansvarliges videre håndtering, medmindre Databehandleren er berettiget til selv at håndtere sådanne anmodninger og indsigelser. Databehandleren skal på den Dataansvarliges anmodning bistå denne med at håndtere sådanne anmodninger og/eller indsigelser.
4.10 Under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for Databehandleren, skal Databehandleren bistå den Dataansvarlige med at sikre overholdelse af databeskyttelsesforordningens artikel 32-36. Dette omfatter bistand vedrørende behandlingssikkerhed, brud på persondatasikkerheden, konsekvensanalyser vedrørende databeskyttelse og forudgående høring af den kompetente tilsynsmyndighed, hvor det er påkrævet. På anmodning skal Databehandleren fremlægge relevante tilgængelige beskrivelser af behandlingen, datastrømme, modtagere, lokationer, tekniske og organisatoriske foranstaltninger, identificerede risici og garantier samt relevant understøttende dokumentation. Databehandleren skal samarbejde om at afklare disse forhold og besvare relevante spørgsmål fra tilsynsmyndigheden. Den Dataansvarlige er fortsat ansvarlig for sine vurderinger og beslutninger om høring.
4.11 Databehandleren skal omgående underrette den Dataansvarlige, hvis en instruks efter Databehandlerens opfattelse er i strid med databeskyttelsesforordningen eller andre databeskyttelsesbestemmelser i EU-retten eller medlemsstaternes nationale ret, og skal anmode om afklaring eller en lovlig revideret instruks. En instruks fritager ikke Databehandleren for dennes egne forpligtelser efter gældende databeskyttelseslovgivning.
5.1 Databehandleren kan anvende underdatabehandlere i overensstemmelse med den generelle skriftlige godkendelse og underretningsprocedure i pkt. 5.2. Databehandleren må i øvrigt kun videregive personoplysninger til tredjeparter efter den Dataansvarliges dokumenterede instruks, eller hvor det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som Databehandleren er underlagt. I sidstnævnte tilfælde skal Databehandleren underrette den Dataansvarlige om dette retlige krav inden videregivelsen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser. Overførsler uden for EU/EØS er desuden underlagt pkt. 5.4 og 5.5.
5.2 Den Dataansvarlige giver hermed Databehandleren en generel skriftlig godkendelse til at anvende underdatabehandlere. Databehandleren skal skriftligt underrette den Dataansvarlige mindst én måned forud for enhver planlagt tilføjelse eller udskiftning af en underdatabehandler. Den Dataansvarlige kan gøre rimelige og relevante indsigelser mod sådanne ændringer, inden de træder i kraft.
5.3 Databehandleren skal indgå en bindende skriftlig aftale med hver underdatabehandler, som pålægger denne de samme databeskyttelsesforpligtelser som dem, der er fastsat i denne Aftale, navnlig at stille tilstrækkelige garantier for gennemførelse af passende tekniske og organisatoriske foranstaltninger, således at behandlingen opfylder databeskyttelsesforordningens krav. Databehandleren er fortsat fuldt ansvarlig over for den Dataansvarlige for underdatabehandlerens opfyldelse af sine databeskyttelsesforpligtelser.
5.4 Anvendelsen af underdatabehandlere, herunder behandlingslokationer, fjernadgang og videreoverførsler, skal være i overensstemmelse med denne Aftale og gældende databeskyttelseslovgivning. Enhver overførsel af personoplysninger uden for EU/EØS, herunder adgang, der udgør en sådan overførsel, er underlagt pkt. 5.5 og databeskyttelsesforordningens kapitel V. Et kontraktmæssigt lovvalg udgør ikke i sig selv et lovligt overførselsgrundlag.
5.5 Hvis personoplysninger overføres til en underdatabehandler i et land uden for EU/EØS eller til en international organisation, skal Databehandleren sikre, at overførslen sker i overensstemmelse med databeskyttelsesforordningens kapitel V.
5.5.1 Hvis modtageren er omfattet af en tilstrækkelighedsafgørelse vedtaget af Europa-Kommissionen i medfør af databeskyttelsesforordningens artikel 45, kan overførslen baseres på denne afgørelse. Dette omfatter overførsler i henhold til EU–US Data Privacy Framework, forudsat at modtageren er gyldigt certificeret, og at overførslen er omfattet af certificeringen.
5.5.2 Hvis der ikke foreligger en relevant tilstrækkelighedsafgørelse, skal Databehandleren sikre, at der er etableret fornødne garantier i henhold til databeskyttelsesforordningens artikel 46. Sådanne garantier kan omfatte det relevante modul i Europa-Kommissionens standardkontraktbestemmelser vedtaget ved Kommissionens gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021 sammen med eventuelle supplerende foranstaltninger, der er nødvendige under hensyntagen til omstændighederne ved overførslen.
5.5.3 Databehandleren skal føre kontrol med, at det anvendte overførselsgrundlag fortsat er gyldigt. Hvis overførselsgrundlaget ikke længere udgør et lovligt grundlag for overførslen, eller hvis den relevante underdatabehandler ikke længere kan opfylde sine forpligtelser, skal Databehandleren uden unødig forsinkelse etablere et alternativt lovligt overførselsgrundlag eller suspendere den berørte overførsel og orientere den Dataansvarlige.
5.6 De underdatabehandlere, der anvendes til de tjenester, som er omfattet af denne Aftale, er oplistet i bilag 2 sammen med deres tjenester, relevante behandlings- og adgangslokationer samt gældende overførselsgrundlag. De relevante tjenester afhænger af den Dataansvarliges aftalte brug af Crediwire. Ændringer af underdatabehandlere er underlagt pkt. 5.2. Databehandleren skal holde bilag 2 ajour og på anmodning give oplysninger om gældende overførselsgarantier med eventuelle nødvendige overstregninger.
6.1 Parternes erstatningsansvar reguleres af dansk rets almindelige erstatningsregler. Ingen Part er dog berettiget til at kræve erstatning for indirekte tab eller følgeskader, uanset om disse påføres den Dataansvarlige, Databehandleren eller tredjemand. Tab af forretningsmuligheder, tab af fortjeneste, driftstab, tab af goodwill og tab af data, herunder i forbindelse med genskabelse af data, skal altid betragtes som indirekte tab eller følgeskader.
6.2 Databehandlerens samlede erstatningspligt under Aftalen er beløbsmæssigt begrænset i overensstemmelse med pkt. 12 i Brugervilkårene.
7.1 Aftalen træder i kraft i henhold til pkt. 15 i Brugervilkårene.
7.2 Aftalen ophører i overensstemmelse med pkt. 15 i Brugervilkårene. Databehandleren er dog fortsat underlagt forpligtelserne i denne Aftale, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige.
7.3 Efter ophør af de tjenester, der indebærer behandling, skal Databehandleren efter den Dataansvarliges valg slette eller tilbagelevere alle personoplysninger, der er behandlet på dennes vegne, og slette eksisterende kopier, herunder kopier hos underdatabehandlere, medmindre EU-retten eller medlemsstaternes nationale ret kræver opbevaring af personoplysningerne. Tilbageleverede oplysninger skal udleveres på et almindeligt maskinlæsbart medie bestemt af Databehandleren.
7.4 Hvor øjeblikkelig fjernelse fra sikkerhedskopier ikke er teknisk praktisk mulig, skal resterende sikkerhedskopier holdes beskyttede, være udelukket fra normal brug og slettes gennem den gældende dokumenterede udløbscyklus for sikkerhedskopier. Databehandleren skal på anmodning give oplysninger om denne cyklus. Hvis en sikkerhedskopi gendannes, skal de relevante sletteinstrukser anvendes igen, inden de gendannede oplysninger stilles til rådighed for normal brug. Denne bestemmelse giver ikke tilladelse til opbevaring ud over de gældende instrukser eller retlige krav.
7.5 Databehandleren skal på anmodning bekræfte, at tilbagelevering eller sletning er gennemført, og angive eventuelle resterende sikkerhedskopier og ordninger for deres udløb eller eventuel lovpligtig opbevaring. Oplysninger, der opbevares, fordi EU-retten eller medlemsstaternes nationale ret kræver det, skal forblive beskyttede og må alene behandles med henblik på at opfylde dette retlige krav, indtil sletning er tilladt.
8.1 Denne Aftale reguleres af dansk ret.
8.2 Ethvert krav og enhver tvist, der udspringer af eller har forbindelse til denne Aftale, er underlagt dansk ret. Ethvert krav og enhver tvist skal indbringes for Københavns Byret.
For brugervirksomheder, der overfører/videregiver data til andre virksomheder (f.eks. revisorer, advokater eller konkursboer):
Registrerede personer:
Typer af personoplysninger:
For brugervirksomheder, der overfører/videregiver egne data (SMV'er):
Registrerede personer:
Typer af personoplysninger:
For brugervirksomheder, der kun tilgår andre brugervirksomheders data (f.eks. banker):
Registrerede personer:
Typer af personoplysninger:
For hver kategori ovenfor følger det faktiske omfang af den aftalte tjeneste og den Dataansvarliges instrukser. Hvor den aftalte tjeneste omfatter behandling af tredjeparters økonomiske oplysninger eller dokumenter, omfatter de relevante registrerede de enkeltpersoner, der identificeres i disse oplysninger, og datatyperne omfatter de ovenfor beskrevne oplysninger. Autoriseret adgang til en anden virksomheds data fastlægger ikke i sig selv rollerne som dataansvarlig eller databehandler for disse data.
Behandlingen kan omfatte indsamling, import, opbevaring, strukturering, analyse, præsentation, autoriseret deling, eksport og sletning. Hvor det indgår i den aftalte tjeneste, omfatter dette AI-understøttet udtræk af oplysninger fra dokumenter, tekstanalyse og berigelse ved hjælp af offentlige kilder. Behandlingen fortsætter i tjenestens løbetid og under efterfølgende tilbagelevering, sletning eller lovlig opbevaring efter pkt. 7. Særlige kategorier af personoplysninger, identitetsdokumenter og nye behandlingsformål kræver forudgående vurdering og aftalte instrukser, inden de indføres.
Følgende udbydere anvendes, i det omfang de behandler personoplysninger på vegne af den Dataansvarlige til den aftalte tjeneste. En udbyders behandling udelukkende til Crediwires egne formål som dataansvarlig falder uden for denne Aftale. Tjenesterne og de tilladte data nedenfor afgrænser det godkendte omfang.
Udbyder og relevante selskaber: Amazon Web Services, Inc. (USA). AWS-infrastruktur i Frankfurt-regionen leveres af A100 ROW GmbH (Tyskland).
Tjeneste og tilladte data: Cloudinfrastruktur til Crediwire-platformen, herunder hosting, lagring, databaser, sikkerhedskopier, logs og AI-understøttet udtræk af oplysninger fra dokumenter via Amazon Bedrock. Dokumentudtrækket udføres af AWS i Frankfurt udelukkende med modelkørsler inden for regionen. Udvikleren af udtræksmodellen modtager ikke input til modellen eller dens output. CloudFront distribuerer applikationskode til frontend. Det distribuerer ikke kunders økonomiske oplysninger eller uploadede dokumenter, men leveringen involverer IP-adresser og metadata om forespørgsler.
Behandlings- og adgangslokationer: Regional hosting af platformen og udtræk af oplysninger fra dokumenter finder sted i Frankfurt, Tyskland (eu-central-1). Frontendfiler leveres via CloudFronts globale netværk af edge-servere. Hvor Crediwire accepterer at dele kundedata med henblik på AWS-support, angiver AWS supportbehandlingslokationer i Australien, Canada, Costa Rica, Egypten, Frankrig, Tyskland, Hongkong, Indien, Irland, Italien, Japan, Sydafrika, Sydkorea, Taiwan og USA. Dette er mulige supportlokationer og ikke en angivelse af, at data rutinemæssigt behandles på alle de oplistede lokationer.
Overførselsgarantier: AWS' Data Processing Addendum og Supplementary Addendum finder anvendelse. Hvor AWS' vilkår kræver det ved en overførsel uden for EU/EØS, finder Europa-Kommissionens standardkontraktbestemmelser fra 2021 anvendelse, herunder bestemmelserne om overførsler mellem databehandlere, når Crediwire handler som databehandler. Alle overførsler er fortsat underlagt pkt. 5.5 og eventuelle supplerende foranstaltninger, der kræves for den relevante overførsel.
Udbyder og relevante selskaber: Google Cloud EMEA Limited (Irland). Relevante efterfølgende modtagere omfatter Google LLC (USA) og Googles tjeneste- og supportunderdatabehandlere.
Tjeneste og tilladte data: Erhvervsmæssig e-mail og samarbejde, herunder nødvendig korrespondance, kontaktoplysninger, vedhæftede filer og administrationsoplysninger, i det omfang disse behandles på vegne af den Dataansvarlige. Behandling udelukkende til Crediwires egen virksomhedsadministration falder uden for denne Aftale.
Behandlings- og adgangslokationer: International opbevaring og behandling under Google Workspace Business Starter-tjenesten. Der gælder ikke et tilsagn om udelukkende at opbevare eller behandle oplysninger i EU. Googles offentliggjorte Workspace-ordninger omfatter infrastruktur, vedligeholdelse og support i EU/EØS og andre lande, herunder USA, Storbritannien, Australien, Argentina, Brasilien, Canada, Chile, Colombia, El Salvador, Hongkong, Indien, Israel, Japan, Malaysia, Mexico, Filippinerne, Singapore, Sydkorea, Sri Lanka, Schweiz og Taiwan. De relevante lokationer afhænger af aktiviteten og tjenesten. Dette er ikke en angivelse af, at Crediwires data behandles i alle de oplistede lande, eller en udtømmende liste over mulige lokationer. Adgang til vedligeholdelse og support er begrænset og autoriseret i henhold til Googles tjenesteordninger.
Overførselsgarantier: Googles Cloud Data Processing Addendum finder anvendelse. Omfattede overførsler til Google LLC i USA baseres på EU–US Data Privacy Framework, så længe en gyldig certificering og dækning foreligger, herunder ordningens krav til videreoverførsler. Andre overførsler, der er underlagt overførselsreglerne, reguleres af de relevante standardkontraktbestemmelser i dette tillæg, hvor ingen relevant tilstrækkelighedsafgørelse eller anden lovlig overførselsløsning finder anvendelse.
Udbyder og relevante selskaber: The Rocket Science Group, LLC, der driver virksomhed under navnet Mailchimp (USA), og som er omfattet af Intuits Data Privacy Framework-certificering.
Tjeneste og tilladte data: Automatiseret og transaktionel e-maillevering. Tilladte data er begrænset til nødvendige modtager- og kontaktoplysninger, beskedindhold, links og filnavne eller fillister i begrænset omfang. Indholdet af uploadede filer og økonomiske datasæt er udelukket.
Behandlings- og adgangslokationer: Mailchimps servere er placeret i USA. Selskabets offentliggjorte underdatabehandlerordninger angiver desuden kundesupport i USA og Grækenland samt integrationstjenester i Tyskland og Rumænien. Relevant viderebehandling afhænger af den anvendte tjeneste. De oplistede lokationer udgør ikke et tilsagn om udelukkende at behandle eller give adgang til oplysninger i disse lande.
Overførselsgarantier: Mailchimps Data Processing Addendum finder anvendelse. Omfattede overførsler til Mailchimp i USA baseres på EU–US Data Privacy Framework under Intuits certificering, så længe en gyldig certificering og dækning foreligger. De relevante standardkontraktbestemmelser er indarbejdet, hvor det er påkrævet, herunder hvor en overførsel ikke er omfattet af ordningen, eller ordningen ikke længere udgør et lovligt overførselsgrundlag.
Udbyder og relevante selskaber: Intercom R&D Unlimited Company (Irland). Koncernforbundne tjeneste- og supportselskaber omfatter Intercom, Inc. (USA), Intercom Software UK Limited (Storbritannien) og Intercom Software Australia Pty Ltd (Australien).
Tjeneste og tilladte data: Kundebeskeder og support ved brug af nødvendige bruger- og virksomhedsidentifikatorer, samtykkebaserede hændelser og supportbeskeder. SMS-, telefon- og AI-funktioner er ikke aktiveret og falder uden for det godkendte omfang, der er beskrevet her.
Behandlings- og adgangslokationer: EU-arbejdsområdet hostes i Dublin, Irland (AWS-region eu-west-1). Intercoms EU-hostingordninger angiver også e-mailinfrastruktur i EU, herunder Belgien, med videre transmission gennem modtagernes e-mailsystemer. Regional hosting udelukker ikke international support. Efter Intercoms regionale vilkår håndteres supportsager, der kræver adgang til arbejdsområdet, normalt af det regionale team. Hastende adgang til arbejdsområdet for supportmedarbejdere uden for den udpegede region kræver kundens tilladelse og er begrænset til den konkrete sag. Relevante koncernforbundne supportselskaber opererer i Irland, USA, Storbritannien og Australien.
Overførselsgarantier: Intercoms Data Processing Addendum og Regional Data Hosting Addendum finder anvendelse. Omfattede overførsler til Intercom, Inc. i USA baseres på selskabets EU–US Data Privacy Framework-certificering, så længe en gyldig certificering og dækning foreligger. De relevante standardkontraktbestemmelser og eventuelle nødvendige supplerende garantier regulerer andre overførsler underlagt overførselsreglerne, hvor det er påkrævet. Intercoms databehandleraftale foreskriver standardkontraktbestemmelser som alternativt grundlag, hvis DPF ophører med at finde anvendelse. DPF-certificeringen tilhører Intercom, Inc., ikke hele Intercom-koncernen.
Udbyder og relevante selskaber: OpenAI Ireland Ltd. (Irland). Efterfølgende modtagere omfatter OpenAI-koncernselskaber og de relevante infrastruktur-, support- og øvrige tjenesteudbydere, der bruges til at levere API-tjenesten.
Tjeneste og tilladte data: Søgning i offentlige webkilder og berigelse udelukkende ved brug af offentligt tilgængelige oplysninger om virksomhedens identitet, hjemmeside og kontekst for søgningen. Fortrolige uploadede filer, udtrukne oplysninger og udtrækshistorik er udelukket. Offentlige virksomhedsoplysninger kan stadig identificere enkeltpersoner, herunder indehavere af enkeltmandsvirksomheder og virksomhedsrepræsentanter.
Behandlings- og adgangslokationer: International behandling. Der gælder ikke et tilsagn om udelukkende at behandle oplysninger i EU. Behandlingslokationer for OpenAI-koncernselskaber omfatter Irland, USA, Storbritannien og Japan. Selskabets infrastruktur- og supportudbydere opererer i yderligere lande, herunder Canada, Australien, Indien, Singapore og Filippinerne. Dette er eksempler på offentliggjorte lokationer, ikke en udtømmende landeliste eller en angivelse af, at alle lokationer anvendes til hver forespørgsel.
Overførselsgarantier: OpenAI's Data Processing Addendum finder anvendelse. Overførsler fra OpenAI Ireland Ltd. til modtagere uden for EU/EØS er underlagt de relevante standardkontraktbestemmelser eller en relevant tilstrækkelighedsafgørelse som fastsat i dette tillæg. OpenAI angiver standardkontraktbestemmelser som overførselsgrundlag mellem sine koncernselskaber. Denne Aftale angiver ikke DPF-certificering som overførselsgrundlag for OpenAI.
Udbyder og relevante selskaber: Anthropic Ireland, Limited (Irland). Efterfølgende modtagere omfatter de relevante Anthropic-koncernselskaber, infrastrukturudbydere og tjenesteudbydere, der bruges til at levere den kommercielle API-tjeneste.
Tjeneste og tilladte data: Alternativ udbyder til søgning i offentlige webkilder og berigelse udelukkende ved brug af offentligt tilgængelige oplysninger om virksomhedens identitet, hjemmeside og kontekst for søgningen. Fortrolige uploadede filer, udtrukne oplysninger og udtrækshistorik er udelukket. Offentlige oplysninger kan stadig indeholde personoplysninger. Dette punkt vedrører den kommercielle API-tjeneste.
Behandlings- og adgangslokationer: Data opbevares i USA. Efter Anthropics offentliggjorte standardordninger kan behandling finde sted i USA og udvalgte lande i Europa, Asien og Australien. Support, sikkerhedsgennemgang og hændelseshåndtering kan også finde sted, hvor Anthropic og dets koncernselskaber opererer. Der gælder ikke et tilsagn om udelukkende at behandle oplysninger i EU eller om en udtømmende landeliste.
Overførselsgarantier: Anthropics Data Processing Addendum er indarbejdet i selskabets Commercial Terms of Service. Europa-Kommissionens relevante standardkontraktbestemmelser, herunder modul tre, hvor parterne handler som databehandler og underdatabehandler, finder anvendelse i det omfang, det er påkrævet for overførsler underlagt overførselsreglerne, sammen med relevante tekniske og organisatoriske garantier. Denne Aftale angiver ikke DPF-certificering som overførselsgrundlag for Anthropic.
Alle internationale overførsler er fortsat underlagt pkt. 5.5. En europæisk kontraktpart eller hostingplacering udelukker ikke i sig selv international adgang eller viderebehandling. Hvor lokationsbeskrivelserne ikke er udtømmende, skal Databehandleren på anmodning stille oplysninger om relevante modtagere, behandlings- og adgangslande samt gældende garantier til rådighed for den Dataansvarlige med eventuelle nødvendige overstregninger. Leverandørændringer er fortsat underlagt pkt. 5.2. Beskrivelser af mulige leverandørlokationer giver ikke tilladelse til behandling ud over denne Aftale eller den Dataansvarliges instrukser.
.svg)
