Databehandleraftale

Denne databehandleraftale (»Aftalen«) indgås mellem den kunde, der har en konto hos Threll (»Dataansvarlig« eller »Kunden«), og Threll.ai AS, org.nr. 935 054 702, Vulkan 16, 0178 Oslo, Norge (»Databehandler« eller »Threll«). Aftalen har til formål at opfylde kravene i artikel 28 i databeskyttelsesforordningen (GDPR) og udgør en del af servicevilkårene.

01Parter og baggrund

Kunden bruger Threll-platformen til AI-drevne telefonsamtaler, transskription, opsummering og arbejdsgange (»Tjenesten«). Når Kunden bruger Tjenesten, behandler Threll personoplysninger på vegne af Kunden. Kunden er dataansvarlig for disse oplysninger, og Threll er databehandler.

Aftalen gælder fra det tidspunkt, hvor Kunden tager Tjenesten i brug, og så længe Threll behandler personoplysninger på vegne af Kunden. I tilfælde af modstrid mellem Aftalen og servicevilkårene har Aftalen forrang for så vidt angår behandlingen af personoplysninger.

02Definitioner

Begreberne »personoplysninger«, »behandling«, »dataansvarlig«, »databehandler«, »den registrerede« og »brud på persondatasikkerheden« har samme betydning som i GDPR artikel 4. »Databeskyttelsesreglerne« betyder GDPR, den norske personoplysningslov (personopplysningsloven) og anden gældende databeskyttelseslovgivning i Norge og EØS. »Tilsynsmyndigheden« betyder den databeskyttelsesmyndighed, der er kompetent i forhold til Kunden, for eksempel det norske Datatilsynet, Integritetsskyddsmyndigheten (IMY) i Sverige eller Datatilsynet i Danmark.

03Formål, art og omfang

Threll behandler kun personoplysninger for at levere Tjenesten til Kunden, som den er beskrevet i servicevilkårene og konfigureret af Kunden. De kategorier af registrerede og personoplysninger, der behandles, fremgår af bilag A.

Kundens konfiguration af Tjenesten udgør Kundens dokumenterede instrukser. Det gælder blandt andet, hvilke samtaler der gennemføres, hvilke scripts og dokumenter der bruges, hvilke integrationer der tilkobles, og hvor længe optagelser, transskriptioner og oplysninger om opkaldere opbevares.

04Den dataansvarliges forpligtelser

Kunden er ansvarlig for, at behandlingen har et gyldigt retsgrundlag, og for, at de registrerede får de oplysninger, som databeskyttelsesreglerne kræver. Det omfatter, hvor det er relevant, at samtaleparterne får at vide, at samtalen optages, transskriberes og analyseres. Kundens forpligtelser vedrørende AI-gennemsigtighed og telemarketing fremgår af servicevilkårene.

Kunden må ikke instruere Threll i at behandle personoplysninger i strid med databeskyttelsesreglerne. Kunden må heller ikke bruge Tjenesten til at behandle særlige kategorier af personoplysninger (GDPR artikel 9), medmindre Kunden har et gyldigt grundlag herfor og har vurderet risikoen, herunder ved at udarbejde en konsekvensanalyse vedrørende databeskyttelse (DPIA), hvor det kræves.

05Databehandlerens forpligtelser

Threll skal:

• kun behandle personoplysninger efter Kundens dokumenterede instrukser, herunder for så vidt angår overførsel til lande uden for EØS, medmindre det kræves i henhold til EØS-retten eller norsk ret, som Threll er underlagt. Threll skal i så fald underrette Kunden om dette retlige krav før behandlingen, medmindre den pågældende ret forbyder en sådan underretning;
• straks underrette Kunden, hvis Threll mener, at en instruks er i strid med databeskyttelsesreglerne;
• sikre, at personer, der har adgang til personoplysningerne, har tavshedspligt;
• bistå Kunden med at opfylde de registreredes rettigheder efter GDPR kapitel III, herunder retten til indsigt, berigtigelse og sletning. Anmodninger, som Threll modtager direkte, videresendes til Kunden uden unødig forsinkelse;
• bistå Kunden med at overholde forpligtelserne i GDPR artikel 32–36, herunder om sikkerhed, anmeldelse af brud på persondatasikkerheden, konsekvensanalyser vedrørende databeskyttelse (DPIA) og forudgående høring af Tilsynsmyndigheden;
• ikke bruge Kundens personoplysninger til egne formål, herunder til træning eller forbedring af AI-modeller, uden Kundens forudgående skriftlige samtykke. Indsamling af lyd fra samtaler til sådanne formål er slået fra for alle konti, medmindre Kunden har givet dette samtykke.

06Informationssikkerhed

Threll skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen, jf. GDPR artikel 32. Foranstaltningerne fremgår af bilag C. Threll kan ændre foranstaltningerne, så længe sikkerhedsniveauet ikke sænkes.

07Brud på persondatasikkerheden

Threll skal underrette Kunden uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, der vedrører Kundens personoplysninger.

Underretningen skal så vidt muligt beskrive, hvad der er sket, hvilke kategorier og det omtrentlige antal registrerede og oplysninger, der er berørt, de sandsynlige konsekvenser, og hvilke foranstaltninger der er eller vil blive iværksat. Foreligger alle oplysninger ikke på én gang, skal Threll give dem trinvis, efterhånden som de foreligger. Kunden er ansvarlig for eventuel anmeldelse til Tilsynsmyndigheden og underretning af de registrerede.

08Underdatabehandlere

Kunden giver Threll generel forhåndsgodkendelse til at anvende de underdatabehandlere, der er opført i bilag B. Threll skal indgå skriftlige aftaler med underdatabehandlerne, der pålægger dem de samme databeskyttelsesforpligtelser som denne Aftale, og forbliver ansvarlig over for Kunden for underdatabehandlernes opfyldelse af deres forpligtelser.

Threll skal underrette Kunden pr. e-mail mindst 30 dage, før en ny underdatabehandler tages i brug, eller en eksisterende udskiftes. Kunden kan inden for denne frist gøre skriftlig indsigelse af saglige databeskyttelseshensyn. Opnår parterne ikke enighed, kan Kunden opsige Tjenesten med virkning fra det tidspunkt, hvor ændringen træder i kraft, og Threll skal i så fald tilbagebetale forudbetalt vederlag for perioden efter ophøret.

09Overførsel til lande uden for EØS

Kundens personoplysninger opbevares i EØS. Nogle underdatabehandlere er etableret i lande uden for EØS eller tilhører koncerner med moderselskab i sådanne lande og kan behandle eller få adgang til personoplysninger derfra. Sådanne overførsler sker kun, når der foreligger et gyldigt overførselsgrundlag efter GDPR kapitel V, nemlig en afgørelse om tilstrækkeligt beskyttelsesniveau, såsom afgørelsen om EU–US Data Privacy Framework (DPF), eller Europa-Kommissionens standardkontraktbestemmelser (SCC) sammen med eventuelle nødvendige supplerende foranstaltninger. Bilag B angiver placering og overførselsgrundlag for hver underdatabehandler.

Modtager Threll en retligt bindende anmodning fra en offentlig myndighed om adgang til Kundens personoplysninger, skal Threll underrette Kunden, medmindre det er forbudt ved lov, ikke udlevere mere end påkrævet og anfægte anmodninger, som Threll anser for ulovlige.

10Revision og inspektion

Threll skal efter anmodning give Kunden de oplysninger, der er nødvendige for at påvise, at Aftalen og GDPR artikel 28 overholdes. Kunden kan gennemføre revision, herunder inspektion, selv eller ved en uafhængig revisor med tavshedspligt, højst én gang om året. Revisionen skal varsles mindst 30 dage i forvejen, medmindre der foreligger et brud på persondatasikkerheden eller en konkret grund til at mistænke, at Aftalen ikke overholdes. Kunden afholder egne omkostninger ved revisionen.

11Sletning og tilbagelevering

Så længe kundeforholdet består, kan Kunden selv slette optagelsen og transskriptionen af enkelte samtaler, slette en threll med alle dens samtaler og fastsætte opbevaringsperioder for optagelser, transskriptioner og oplysninger om opkaldere inden for de muligheder, Kundens plan giver. Er der ikke fastsat en opbevaringsperiode, opbevares dataene, indtil Kunden sletter dem, eller kundeforholdet ophører.

Når kundeforholdet ophører, skal Threll efter Kundens valg slette Kundens personoplysninger eller tilbagelevere dem. Kunden kan downloade optagelser og transskriptioner i Tjenesten, før Kunden lukker sin konto. Bringer Threll kundeforholdet til ophør, kan Kunden anmode om en eksport inden for 14 dage. Threll sletter eller anonymiserer dataene senest 14 dage efter, at kundeforholdet er ophørt, eller, hvis Kunden har anmodet om en eksport, efter at eksporten er leveret, medmindre EØS-retten eller norsk ret kræver, at de opbevares. Krypterede sikkerhedskopier overskrives inden for 30 dage.

12Ansvar

Aftalen begrænser ikke nogen af parternes ansvar over for de registrerede efter GDPR artikel 82. I forholdet mellem parterne gælder ansvarsbegrænsningerne i servicevilkårene, også for krav i henhold til denne Aftale.

13Varighed og ændringer

Aftalen gælder, så længe Threll behandler personoplysninger på vegne af Kunden. Threll kan opdatere Aftalen for at følge ændringer i lovgivningen eller i Tjenesten. Væsentlige ændringer varsles over for Kunden pr. e-mail mindst 30 dage i forvejen. Accepterer Kunden ikke en væsentlig ændring, kan Kunden opsige Tjenesten, inden ændringen træder i kraft, og Threll skal i så fald tilbagebetale forudbetalt vederlag for perioden efter ophøret. Den gældende version er altid tilgængelig i Threll-kontoen og på threll.ai.

14Lovvalg og værneting

Aftalen er underlagt norsk ret. Tvister afgøres ved Oslo byret (Oslo tingrett) som eksklusivt værneting.

15Bilag A – Beskrivelse af behandlingen

• Formål: Gennemføre indgående og udgående telefonsamtaler med AI-assistenter, transskribere, opsummere og analysere samtaler samt udføre opgaver i Kundens tilkoblede systemer.
• Kategorier af registrerede: Personer, der ringer til eller bliver ringet op af Kunden via Tjenesten, Kundens kontakter og kunder samt Kundens medarbejdere og brugere.
• Kategorier af personoplysninger: Navn, telefonnummer, e-mail og andre kontaktoplysninger; lydoptagelser, transskriptioner, resuméer og analyser af samtaler; oplysninger, der gives i samtalen; dokumenter og vidensbaser, som Kunden uploader; og data fra integrationer såsom CRM og kalender.
• Særlige kategorier: Behandles kun, hvis Kunden konfigurerer Tjenesten hertil, eller de registrerede selv oplyser sådanne oplysninger i samtalen.
• Varighed: Så længe kundeforholdet består, inden for de opbevaringsperioder, Kunden fastsætter, og derefter som beskrevet under »Sletning og tilbagelevering«.

16Bilag B – Underdatabehandlere

• Amazon Web Services (Sverige): Cloudinfrastruktur, lagring, beregningskapacitet, telefoniomstilling og e-mail (Amazon SES) i Stockholm. Moderselskabet er hjemmehørende i USA; SCC og EU–US DPF.
• Supabase (Sverige): Database og autentificering, lagret i Stockholm. Aftaleparten er hjemmehørende i Singapore; SCC.
• Google Cloud – Gemini Enterprise Agent Platform (EU): AI-modeller, talegenkendelse og talesyntese, behandlet i Googles EU-regioner. Moderselskabet er hjemmehørende i USA; SCC og EU–US DPF.
• Munin (Nederlandene): Kundesupport via chat og e-mail, behandlet i EU. Omfatter det, Kunden deler i henvendelser til kundesupport.
• RunPod (EU): Talegenkendelse (Whisper) på servere i EU. RunPod er en amerikansk virksomhed; SCC.
• Telenor SIP-trunk (Norge): Telefoni.
• Twilio (Irland/USA): Videresendelse af lyden i opkald i browseren, når en direkte forbindelse ikke er mulig (TURN). Lyden er end-to-end-krypteret, så Twilio ser kun IP-adresser og forbindelsesdata. SCC og EU–US DPF. Kunder, der tilslutter deres egen Twilio-konto, har deres egen aftale med Twilio for de opkald.
• Telenor AI Factory (Norge): Beregningskapacitet til AI.
• Vercel (Sverige/USA): Hosting af webapplikationen. Webforespørgsler håndteres i Stockholm; kontodata og logfiler behandles i USA. SCC og EU–US DPF.
• Vipps MobilePay (Norge): Identitetsbekræftelse under samtaler for Kunder, der aktiverer funktionen.

17Bilag C – Sikkerhedsforanstaltninger

• Personoplysninger opbevares i datacentre i Stockholm, Sverige;
• kryptering af data i hvile, både database og fillagring;
• kryptering af data under overførsel med TLS 1.2 eller nyere;
• adskillelse af kundernes data, håndhævet i databasen med sikkerhed på rækkeniveau (row-level security);
• rollebaseret adgangskontrol, hvor Kunden styrer, hvilke brugere der har adgang til hvad, samt flerfaktorgodkendelse, som brugerne kan tage i brug;
• adgang til produktionsmiljøet begrænset til autoriseret personale ud fra arbejdsbetinget behov;
• automatisk sletning af optagelser, transskriptioner og oplysninger om opkaldere i henhold til Kundens indstillinger for opbevaring;
• logning, overvågning og alarmering vedrørende systemer og adgang;
• krypterede daglige sikkerhedskopier, der opbevares i Stockholm i op til 30 dage;
• regelmæssige sikkerhedsgennemgange.

18Kontakt

Spørgsmål om Aftalen eller behandlingen af personoplysninger kan rettes til: