Databehandleraftale

Svarer til skabelonversion v4 i Skriblers compliance-guide (den aftale klinikken signerer).

Standardkontraktsbestemmelser i henhold til artikel 28, stk. 3, i forordning 2016/679 (databeskyttelsesforordningen) med henblik på databehandlerens behandling af personoplysninger.

Mellem

[Navn på Kunden/Virksomheden]

CVR: [Kundens CVR-nr]

[Adresse]

[Postnr. og By]

(herefter "Den Dataansvarlige")

og

Ambienta ApS (binavn Skribler ApS) Højtoftevej 9B, 8240 Risskov, CVR: 46165608

(herefter "Skribler" / "Databehandleren")

hver især benævnt en "Part" og under ét "Parterne".

1. Præambel

1. Disse Bestemmelser fastsætter Databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af Den Dataansvarlige.
2. Disse Bestemmelser er udformet med henblik på Parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Databeskyttelsesforordningen).
3. I forbindelse med leveringen af tjenesten "Skribler" (AI-assistent og transskribering), behandler Databehandleren personoplysninger på vegne af Den Dataansvarlige i overensstemmelse med disse Bestemmelser.
4. Der hører fire bilag til disse Bestemmelser. Bilagene udgør en integreret del af Bestemmelserne.
5. Bilag A indeholder nærmere oplysninger om behandlingen af personoplysninger.
6. Bilag B indeholder Den Dataansvarliges betingelser for Databehandlerens brug af underdatabehandlere samt en liste over godkendte underdatabehandlere.
7. Bilag C indeholder instruks for behandlingen og beskrivelse af sikkerhedsforanstaltninger.
8. Bilag D indeholder bestemmelser vedrørende andre aktiviteter (f.eks. vederlag).

2. Den Dataansvarliges rettigheder og forpligtelser

1. Den Dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med Databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.
2. Den Dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.
3. Den Dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som Databehandleren instrueres i at foretage.

3. Databehandleren handler efter instruks

1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra Den Dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som Databehandleren er underlagt. Denne instruks skal være specificeret i Bilag A og C.
2. Databehandleren underretter omgående Den Dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

4. Fortrolighed

1. Databehandleren må kun give adgang til personoplysninger, som behandles på Den Dataansvarliges vegne, til personer, som er underlagt Databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang.

5. Behandlingssikkerhed

1. Databehandleren skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risiciene ved behandlingen, jf. Databeskyttelsesforordningens artikel 32.
2. De specifikke sikkerhedsforanstaltninger er beskrevet i Bilag C.

6. Anvendelse af underdatabehandlere

1. Databehandleren må ikke gøre brug af en underdatabehandler til opfyldelse af disse Bestemmelser uden forudgående generel skriftlig godkendelse fra Den Dataansvarlige.
2. Databehandleren har Den Dataansvarliges generelle godkendelse til brug af underdatabehandlere. Listen over underdatabehandlere, som Den Dataansvarlige allerede har godkendt, fremgår af Bilag B.
3. Databehandleren skal underrette Den Dataansvarlige skriftligt (fx via e-mail eller notifikation i applikationen) om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel, så Den Dataansvarlige har mulighed for at gøre indsigelse inden ændringen træder i kraft.

7. Overførsel til tredjelande

1. Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af Databehandleren på baggrund af dokumenteret instruks herom fra Den Dataansvarlige og skal altid ske i overensstemmelse med Databeskyttelsesforordningens kapitel V.

8. Bistand til Den Dataansvarlige

1. Databehandleren bistår Den Dataansvarlige med opfyldelse af dennes forpligtelser til at besvare anmodninger om udøvelsen af de registreredes rettigheder (indsigt, sletning m.v.).
2. Databehandleren bistår Den Dataansvarlige med at sikre overholdelse af forpligtelserne vedrørende behandlingssikkerhed, anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden, underretning af den registrerede om brud på persondatasikkerheden samt konsekvensanalyser vedrørende databeskyttelse.

9. Underretning om brud på persondatasikkerheden

1. Databehandleren underretter uden unødig forsinkelse Den Dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden. Underretningen sker via e-mail til klinikejeren og til en eventuel DPO-kontakt, Den Dataansvarlige har registreret i Skriblers compliance-guide, og indeholder de oplysninger, der er nødvendige for at Den Dataansvarlige kan opfylde sin underretningspligt over for Datatilsynet inden for 72 timer i henhold til Databeskyttelsesforordningens artikel 33.
2. Den Dataansvarlige er ansvarlig for selv at vurdere og foretage anmeldelse til Datatilsynet (datatilsynet.dk) samt for at underrette berørte registrerede i henhold til artikel 34, hvor dette er påkrævet.

10. Sletning og returnering af oplysninger

1. Ved ophør af tjenesterne vedrørende behandling af personoplysninger er Databehandleren forpligtet til, efter Den Dataansvarliges valg, at slette eller tilbagelevere alle personoplysninger til Den Dataansvarlige samt slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring.
2. Sletning eller tilbagelevering gennemføres inden 30 dage efter ophør. Tilbagelevering sker i et almindeligt anvendt og maskinlæsbart format (fx JSON eller PostgreSQL-dump). Bemærk, at råtransskriptioner og AI-noter under normal drift automatisk slettes inden for 4 timer (jf. Bilag C.3); ved ophør kan der derfor reelt være meget begrænsede aktive data at tilbagelevere.
3. Databehandleren bekræfter skriftligt over for Den Dataansvarlige, når sletning er gennemført.

11. Revision og inspektion

1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af artikel 28 og disse Bestemmelser, til rådighed for Den Dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af Den Dataansvarlige eller en anden revisor bemyndiget af denne.
2. Den Dataansvarlige varsler revision skriftligt med mindst 30 dages varsel. Der kan som udgangspunkt gennemføres én revision pr. kalenderår, medmindre der foreligger konkret mistanke om brud på Bestemmelserne, et brud på persondatasikkerheden eller en henvendelse fra en tilsynsmyndighed, hvor revision kan ske med kortere varsel.
3. Databehandleren kan opfylde dele af sin oplysningsforpligtelse ved at fremlægge revisionsrapporter fra anerkendte tredjepartsrevisorer (fx SOC 2-, ISO 27001- eller ISAE 3000-rapporter) for sig selv eller sine underdatabehandlere. Den Dataansvarlige accepterer sådanne rapporter som primær dokumentation, men kan kræve supplerende inspektion, hvis rapporterne ikke dækker den konkrete behandling.
4. Hver Part bærer egne omkostninger ved revision. Databehandleren kan fakturere medgået tid efter gældende timepris (jf. Bilag D), hvis revisionen overstiger ét døgn pr. kalenderår eller medfører ekstraordinært arbejde.

12. Ikrafttræden og ophør

1. Bestemmelserne træder i kraft ved underskrift og gælder så længe tjenesten leveres.
2. Hver Part kan opsige Bestemmelserne med 3 måneders skriftligt varsel. Ved væsentlig misligholdelse kan Bestemmelserne ophæves med øjeblikkelig virkning efter et skriftligt påkrav med rimelig frist til at afhjælpe forholdet.
3. I en overgangsperiode på op til 30 dage efter ophør bistår Databehandleren mod rimeligt vederlag (jf. Bilag D) Den Dataansvarlige med eksport af eventuelle resterende data og med besvarelse af henvendelser fra registrerede vedrørende behandlingen.
4. Bestemmelserne om fortrolighed (§4), sletning/returnering (§10) og revision (§11) består også efter ophør i det omfang, det er nødvendigt for at opfylde forpligtelserne i Databeskyttelsesforordningen.

Dato: [Dato]

For Den Dataansvarlige:

[Navn og Titel]

For Databehandleren (Ambienta ApS):

Ole Lund Mægbæk, direktør

Morten Korsgaard Dybdal, direktør

Automatisk co-signeret ved digital indgåelse.

BILAG A: Oplysninger om behandlingen

A.1. Formålet med behandlingen

Formålet er at levere tjenesten "Skribler", som er en AI-assistent, der optager lyd, transskriberer denne og foretager efterbehandling (post-processing) for at skabe strukturerede notater eller resuméer til Den Dataansvarlige. Skribler er ikke et journalsystem (EHR) — Den Dataansvarlige overfører selv noterne til sit eget journalsystem. Skribler opbevarer transient data og fungerer som et notatværktøj.

A.2. Behandlingens karakter

Behandlingen omfatter indsamling, registrering, organisering, opbevaring (hosting), automatisk behandling (AI/transskribering), videregivelse (til underdatabehandlere) og sletning.

A.3. Typer af personoplysninger

Behandlingen omfatter typisk følgende typer af personoplysninger:

• Lydoptagelser (stemme) — kun i transit, ikke gemt på Skriblers servere.
• Navne, titler og kontaktoplysninger nævnt i optagelserne.
• Log-data (IP-adresser, metadata for brug af applikationen).

Afhængigt af Den Dataansvarliges brug:

• Almindelige personoplysninger (GDPR art. 6).
• Følsomme personoplysninger (GDPR art. 9) — fx helbredsoplysninger, hvis Skribler anvendes i sundhedssektoren.

A.4. Kategorier af registrerede

• Den Dataansvarliges medarbejdere (brugere af systemet).
• Personer, der optræder på lydoptagelserne (fx Den Dataansvarliges patienter, kunder eller klienter).

BILAG B: Underdatabehandlere

B.1. Godkendte underdatabehandlere

Ved aftalens indgåelse har Den Dataansvarlige godkendt brugen af følgende underdatabehandlere:

B.2. Varsling om ændringer

Databehandleren kan udskifte eller tilføje underdatabehandlere ved at varsle Den Dataansvarlige skriftligt (fx via e-mail eller notifikation i applikationen) med 30 dages varsel.

BILAG C: Instruks og Sikkerhed

C.1. Behandlingens genstand

Databehandleren instrueres i at behandle lydfiler og tekstdata udelukkende med det formål at levere de funktionaliteter, der er indeholdt i Skribler-applikationen. Data behandles kun kortvarigt for at gennemføre transskribering og strukturering (Brief Processing).

C.2. Behandlingssikkerhed (Tekniske og organisatoriske foranstaltninger)

Databehandleren har implementeret følgende sikkerhedsforanstaltninger:

1. Kryptering

   • In transit: Al dataoverførsel mellem klient (webapp) og servere sker via krypterede forbindelser (TLS/SSL).
   • At rest: Data i databasen og fil-lagring er krypteret på disken (AES-256 eller tilsvarende).

2. Adgangskontrol

   • Adgang til produktionsdata er begrænset til nøglemedarbejdere hos Ambienta ApS med et arbejdsbetinget behov.
   • Anvendelse af Multi-Factor Authentication (MFA) til administrative systemer.

3. Dataminimering

   • Lydoptagelser sendes som streaming-bidder, ikke som hele filer. Bidderne slettes så snart de er transskriberet.
   • AI-modeller trænes ikke på Den Dataansvarliges data.
   • Genererede noter renser automatisk personidentificerende oplysninger (fx CPR-numre).

4. Backup

   • Der foretages daglig backup af databasen for at sikre tilgængelighed.

5. Logging og audit

   • Systemet logger sikkerhedsrelevante hændelser (login, signering af compliance-dokumenter, adgang til klinik-data) i audit_events. Loggen er insert-only og kan ikke ændres.

C.3. Sletning

• Lydoptagelser opbevares ikke på Skriblers servere — de behandles streaming og slettes hos transkriptionsleverandøren med det samme.
• Råtransskriptioner og AI-genererede noter slettes automatisk ved den første planlagte cleanup efter 4 timer. Cleanup-jobbet (delete_old_transcriptions) afvikles via Supabase pg_cron med et fast interval (≤ 5 minutter), således at den faktiske opbevaringstid er højst 4 timer + cleanup-intervallet.
• Den Dataansvarlige er selv ansvarlig for at overføre noten til sit eget journalsystem inden for det vindue.

C.4. Overførsel til tredjelande

Det er aftalt, at primær opbevaring og behandling af data sker inden for EU/EØS. Da visse underdatabehandlere har moderselskaber uden for EU/EØS, opretholdes nedenstående overførselsgrundlag:

• EU-U.S. Data Privacy Framework (DPF): Anvendes hvor underdatabehandleren er certificeret.
• EU-Kommissionens Standardkontraktsbestemmelser (SCC): Anvendes hvor DPF ikke finder anvendelse.

BILAG D: Andre forhold

D.1. Vederlag for ekstraordinær bistand

Såfremt Databehandleren skal yde bistand til Den Dataansvarlige, der går ud over almindelig support eller lovpligtig basal bistand, er Databehandleren berettiget til at fakturere herfor efter gældende timepriser.