Databehandleraftale

Efter databeskyttelsesforordningen (GDPR) artikel 28, stk. 3. Aftalen er en del af ClinicHD's abonnementsvilkår og af enhver pilotaftale med ClinicHD.

1. Parterne

Dataansvarlig: Kunden, som angivet ved tilmeldingen ("den dataansvarlige").

Databehandler: Max Ventures ApS (ClinicHD), CVR 42233196, Jerichausgade 48, 1777 København V ("databehandleren").

Aftalen gælder så længe databehandleren behandler personoplysninger for den dataansvarlige under abonnementsvilkårene eller en pilotaftale.

2. Behandlingen

Formål: At besvare og følge op på henvendelser og leads fra den dataansvarliges kunder og potentielle kunder via beskedkanaler med en AI-assistent. Det omfatter opfølgning via SMS på leads fra den dataansvarliges annoncer, formularer og leadlister.

Behandlingens art: Modtagelse, import, læsning, lagring, AI-behandling og afsendelse af beskeder. Opsætning og træning af assistenten på den dataansvarliges tidligere beskeder og oplysninger.

Kategorier af registrerede: Den dataansvarliges kunder og potentielle kunder der skriver til klinikken, har udfyldt en formular eller står på den dataansvarliges leadlister. Den dataansvarliges medarbejdere.

Typer af personoplysninger: Navn, brugernavn, telefonnummer, e-mail, profiloplysninger fra kanalen, oplysninger fra leadformularer og leadlister (fx behandlingsønske, dato og status) og indholdet af beskeder, herunder ønsker om behandlinger og tider.

Følsomme oplysninger: Et behandlingsønske kan i sig selv være en helbredsoplysning. Den dataansvarlige sikrer at der er grundlag for at behandle det og for at kontakte leads. Kunder kan desuden af sig selv skrive helbredsoplysninger, fx om graviditet eller bivirkninger. Assistenten er indstillet til ikke at spørge ind til helbred og til at sende sådanne samtaler videre til den dataansvarlige.

Varighed: Så længe abonnementet eller pilotaftalen løber.

3. Instruks

Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige. Denne aftale og abonnementsvilkårene er instruksen. Mener databehandleren at en instruks strider mod GDPR, giver databehandleren straks besked.

4. Fortrolighed

Kun personer med behov for det har adgang til personoplysningerne. De har tavshedspligt.

5. Sikkerhed

Databehandleren træffer passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32, herunder:

• adgang til systemer kun med personlige logins og to-faktor-godkendelse hvor muligt
• kryptering under overførsel
• brug af underdatabehandlere der selv har dokumenteret sikkerhed
• eksporter af beskeder opbevares kun så længe de bruges til opsætning og slettes derefter

6. Underdatabehandlere

Den dataansvarlige giver generel godkendelse til at databehandleren bruger de underdatabehandlere der står i bilaget. Databehandleren giver mindst 14 dages varsel før en ny underdatabehandler tages i brug. Den dataansvarlige kan gøre indsigelse og i så fald opsige aftalen.

Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og er ansvarlig over for den dataansvarlige for deres behandling.

7. Overførsel til tredjelande

Nogle underdatabehandlere behandler oplysninger uden for EU/EØS, fx i USA. Overførsel sker kun med et gyldigt overførselsgrundlag efter GDPR kapitel V, fx EU-Kommissionens standardkontraktbestemmelser eller EU-US Data Privacy Framework.

8. Bistand til den dataansvarlige

Databehandleren hjælper den dataansvarlige med at:

• besvare anmodninger fra registrerede, fx om indsigt og sletning
• overholde sikkerhedskravene
• vurdere konsekvenser for databeskyttelse hvis det bliver nødvendigt

9. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at have opdaget et brud. Underretningen indeholder de oplysninger den dataansvarlige skal bruge for at anmelde bruddet til Datatilsynet inden for 72 timer.

10. Sletning ved ophør

Når abonnementet eller pilotaftalen ophører, sletter databehandleren den dataansvarliges personoplysninger senest 30 dage efter, medmindre den dataansvarlige inden da beder om at få dem udleveret, eller lovgivning kræver at de gemmes.

11. Dokumentation og revision

Databehandleren stiller de oplysninger til rådighed som er nødvendige for at vise at aftalen overholdes. Den dataansvarlige kan med rimeligt varsel få foretaget en revision. Den dataansvarlige betaler egne omkostninger til revision.

12. Forrang

Ved modstrid mellem denne aftale og abonnementsvilkårene gælder denne aftale for behandlingen af personoplysninger.

Bilag: Underdatabehandlere

DM Champs fulde og opdaterede liste over deres underleverandører findes på dmchamp.com/subprocessors. DM Champ varsler ændringer 14 dage før og underretter om brud inden for 24 timer.