Udkast — afventer juridisk gennemgang. Teksten er ikke gældende endnu. Felter markeret med gult udfyldes, før den offentliggøres.

Version 0.1 · gældende fra [DATO]

Databehandleraftale

Denne aftale er en del af vilkårene og gælder, når kunden bruger wikiaio. Den opfylder kravene i databeskyttelsesforordningens (GDPR) artikel 28, stk. 3. Enterprise-kunder kan forhandle egen aftale; ved konflikt går en underskrevet aftale forud.

1. Parter og roller

Kunden er dataansvarlig. Sjøbeck Digital, CVR 34358702, er databehandler.

2. Behandlingen

• Formål: at levere wikiaio: lagre, vise, søge i og besvare spørgsmål ud fra kundens videnbaser.
• Art: opbevaring, strukturering, søgning, indeksering (herunder beregning af tekst-vektorer), visning, AI-baseret besvarelse, eksport og sletning.
• Kategorier af registrerede: kundens medarbejdere og andre inviterede brugere; personer, der er nævnt i kundens sider.
• Typer af oplysninger: navn, e-mail, rolle, loginoplysninger, sider og filer (som kan indeholde personoplysninger, herunder følsomme, hvis kunden selv lægger dem ind), spørgsmål og svar, tekniske logfiler uden indhold.
• Varighed: så længe kunden bruger tjenesten, plus eksportperioden efter opsigelse.

3. Instruks

Databehandleren behandler kun oplysningerne efter dokumenteret instruks fra den dataansvarlige. Vilkårene, denne aftale og kundens brug af tjenestens funktioner udgør instruksen. Er en instruks efter databehandlerens opfattelse i strid med databeskyttelsesreglerne, underretter databehandleren straks den dataansvarlige.

4. Fortrolighed

Kun personer, der har brug for det for at levere tjenesten, får adgang, og de er underlagt tavshedspligt. Vi har ingen fast adgang til kundens indhold; adgang sker kun ved fejlretning eller support på kundens anmodning og logges.

5. Sikkerhed

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger efter artikel 32. De er beskrevet i bilag B.

6. Underdatabehandlere

Den dataansvarlige giver generel godkendelse til de underdatabehandlere, der står i bilag A. Databehandleren varsler ændringer mindst [JURA: 30 dage] før på e-mail og på listen over underdatabehandlere. Den dataansvarlige kan gøre indsigelse; kan parterne ikke blive enige, kan den dataansvarlige opsige uden omkostninger. Databehandleren pålægger underdatabehandlere de samme forpligtelser og hæfter for dem.

7. Overførsel til tredjelande

Oplysningerne behandles kun i EU/EØS. Slår den dataansvarlige selv Microsoft-login eller Microsoft Teams/Outlook til, behandles identitetsoplysninger (navn, e-mail, organisations-id) af Microsoft som beskrevet i bilag A — aldrig indhold.

8. Bistand

Databehandleren bistår den dataansvarlige med at besvare anmodninger fra registrerede (indsigt, rettelse, sletning, eksport), med konsekvensanalyser og med forhåndshøringer, i det omfang det er rimeligt. Det meste kan den dataansvarlige selv gøre i tjenesten: redigere og slette sider, fjerne brugere og eksportere alt.

9. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest [JURA: fx 24 timer] efter at være blevet opmærksom på et brud, med de oplysninger der er nødvendige for, at den dataansvarlige kan anmelde bruddet inden for 72 timer.

10. Sletning og tilbagelevering

Ved ophør kan den dataansvarlige eksportere alt i [ÅBENT: 30 dage eller 12 måneder]. Derefter slettes arbejdsområdets database, og dets krypteringsnøgle destrueres (kryptografisk sletning), så data heller ikke kan genskabes fra sikkerhedskopier. Databehandleren bekræfter sletningen skriftligt på anmodning.

11. Revision og dokumentation

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse, og giver mulighed for revision med rimeligt varsel. En uafhængig ISAE 3000-erklæring er planlagt, men ikke udstedt.

12. Ansvar og varighed

Ansvar reguleres af vilkårene. Aftalen gælder, så længe databehandleren behandler oplysninger for den dataansvarlige.

Bilag A — Underdatabehandlere

Bilag B — Tekniske og organisatoriske foranstaltninger

Adskillelse af kunder

• Hver kunde har sin egen database. Ingen tabeller deles mellem kunder.
• Hver database har sin egen adgangskode. Den opbevares krypteret med nøgler i Scaleway Key Manager (»envelope encryption«) og er kryptografisk bundet til den enkelte kunde.
• Hver kunde har sin egen nøgle i Scaleway Key Manager, som beskytter kundens login-nøgler og filer (billeder og vedhæftninger). Destrueres nøglen, kan de data ikke læses igen.
• Hvilken kunde en forespørgsel tilhører, afgøres kun ud fra adressen (navn.wikiaio.eu), og login-beviser er kryptografisk bundet til den enkelte kunde: et bevis fra én kunde virker ikke hos en anden.

Adgangskontrol

• Roller (ejer, administrator, redaktør, læser) og adgang pr. videnbase. Søgning og AI-svar filtrerer på brugerens adgang, før sprogmodellen ser noget.
• Login med engangslink på e-mail eller Microsoft (kun identitet). Vi gemmer ingen adgangskoder.
• Alle forespørgsler kontrolleres for rettigheder på serveren; automatiske tests prøver adgang på tværs af kunder og roller.

Kryptering og net

• HTTPS (TLS) på al trafik, HSTS og streng Content Security Policy.
• Kundespecifikke nøgler i Scaleway Key Manager. Nøglematerialet forlader aldrig Key Manager.

AI

• Sprogmodeller kører hos Scaleway i EU. Kun uddrag fra sider, brugeren må se, sendes med spørgsmålet.
• Sideindhold behandles som data, ikke som instrukser, og svar uden gyldige kilder afvises.

Logning

• Sikkerheds- og revisionslogs indeholder metadata (hvem, hvad, hvornår), ikke sideindhold eller spørgsmålstekst. Personoplysninger i logs maskeres automatisk.

Drift og kontinuitet

• Hosting hos Scaleway i Paris. Krypteret sikkerhedskopiering og øvet gendannelse er [UNDER ETABLERING — opdateres, når backup og gendannelsestest er i drift].
• Kunden kan altid eksportere alt indhold.

Udvikling

• Automatiske sikkerhedstjek ved hver ændring (statisk analyse, hemmelighedsscanning, afhængighedskontrol, kontrol af at ingen amerikansk leverandør er i datavejen) og sikkerhedsgennemgang før udgivelse.