Databehandleraftale

1. Præambel

1. Disse Bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige.
2. Disse bestemmelser er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (databeskyttelsesforordningen).
3. I forbindelse med leveringen af BrandBuddy-platformen behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med disse Bestemmelser.
4. Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.
5. Der hører fire bilag til disse Bestemmelser, og bilagene udgør en integreret del af Bestemmelserne.
6. Bilag A indeholder nærmere oplysninger om behandlingen af personoplysninger, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.
7. Bilag B indeholder den dataansvarliges betingelser for databehandlerens brug af underdatabehandlere og en liste af underdatabehandlere, som den dataansvarlige har godkendt brugen af.
8. Bilag C indeholder den dataansvarliges instruks for så vidt angår databehandlerens behandling af personoplysninger, en beskrivelse af de sikkerhedsforanstaltninger, som databehandleren som minimum skal gennemføre, og hvordan der føres tilsyn med databehandleren og eventuelle underdatabehandlere.
9. Bilag D indeholder bestemmelser vedrørende andre aktiviteter, som ikke er omfattet af Bestemmelserne.
10. Bestemmelserne med tilhørende bilag skal opbevares skriftligt, herunder elektronisk, af begge parter.
11. Disse Bestemmelser frigør ikke databehandleren fra forpligtelser, som databehandleren er pålagt efter databeskyttelsesforordningen eller enhver anden lovgivning.

2. Den dataansvarliges rettigheder og forpligtelser

1. Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.
2. Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.
3. Den dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som databehandleren instrueres i at foretage.

3. Databehandleren handler efter instruks

1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Denne instruks skal være specificeret i bilag A og C. Efterfølgende instruks kan også gives af den dataansvarlige, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med disse Bestemmelser.
2. Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

4. Fortrolighed

1. Databehandleren må kun give adgang til personoplysninger, som behandles på den dataansvarliges vegne, til personer, som er underlagt databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Listen af personer, som har fået tildelt adgang, skal løbende gennemgås. På baggrund af denne gennemgang kan adgangen til personoplysninger lukkes, hvis adgangen ikke længere er nødvendig, og personoplysningerne skal herefter ikke længere være tilgængelige for disse personer.
2. Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer, som er underlagt databehandlerens instruktionsbeføjelser, er underlagt ovennævnte tavshedspligt.

5. Behandlingssikkerhed

1. Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til disse risici.
2. Databehandleren skal — uafhængigt af den dataansvarlige — også vurdere risiciene for fysiske personers rettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Med henblik på denne vurdering skal den dataansvarlige stille den nødvendige information til rådighed for databehandleren som gør vedkommende i stand til at identificere og vurdere sådanne risici.
3. Derudover skal databehandleren bistå den dataansvarlige med vedkommendes overholdelse af den dataansvarliges forpligtelse efter forordningens artikel 32, ved bl.a. at stille den nødvendige information til rådighed for den dataansvarlige vedrørende de tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren allerede har gennemført i henhold til forordningens artikel 32, og al anden information, der er nødvendig for den dataansvarliges overholdelse af sin forpligtelse.
4. De konkrete sikkerhedsforanstaltninger, som databehandleren har gennemført, fremgår af Bilag C.

6. Anvendelse af underdatabehandlere

1. Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2, og stk. 4, for at gøre brug af en anden databehandler (en underdatabehandler).
2. Databehandleren har den dataansvarliges generelle godkendelse til brug af underdatabehandlere. Databehandleren skal skriftligt underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer inden brugen af de(n) omhandlede underdatabehandler(e). Listen over underdatabehandlere, som den dataansvarlige allerede har godkendt, fremgår af bilag B.
3. Når databehandleren gør brug af en underdatabehandler i forbindelse med udførelse af specifikke behandlingsaktiviteter på vegne af den dataansvarlige, skal databehandleren, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der fremgår af disse Bestemmelser, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen overholder kravene i disse Bestemmelser og databeskyttelsesforordningen.
4. Underdatabehandleraftale(r) og eventuelle senere ændringer hertil sendes — efter den dataansvarliges anmodning herom — i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at tilsvarende databeskyttelsesforpligtelser som følger af disse Bestemmelser er pålagt underdatabehandleren.
5. Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

7. Overførsel til tredjelande eller internationale organisationer

1. Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V.
2. Hvis overførsel af personoplysninger til tredjelande eller internationale organisationer, som databehandleren ikke er blevet instrueret i at foretage af den dataansvarlige, kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt, skal databehandleren underrette den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.
3. Den dataansvarliges instruks vedrørende overførsel af personoplysninger til et tredjeland, herunder det eventuelle overførselsgrundlag i databeskyttelsesforordningens kapitel V, som overførslen er baseret på, fremgår af bilag C.6.

8. Bistand til den dataansvarlige

1. Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel III.
2. Udover databehandlerens bistand til den dataansvarlige i henhold til Bestemmelse 5, bistår databehandleren endvidere, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, den dataansvarlige med: anmeldelse af brud på persondatasikkerheden til den kompetente tilsynsmyndighed, underretning af den registrerede om brud på persondatasikkerheden, gennemførelse af konsekvensanalyser, og forudgående høringer hos tilsynsmyndighederne.
3. De konkrete vilkår for databehandlerens bistand fremgår af Bilag C.

9. Underretning om brud på persondatasikkerheden

1. Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden.
2. Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 48 timer efter, at denne er blevet bekendt med bruddet, sådan at den dataansvarlige kan overholde sin forpligtelse til at anmelde bruddet på persondatasikkerheden til den kompetente tilsynsmyndighed, jf. databeskyttelsesforordningens artikel 33.
3. I overensstemmelse med Bestemmelse 8.2.a skal databehandleren bistå den dataansvarlige med at foretage anmeldelse af bruddet til den kompetente tilsynsmyndighed.

10. Sletning og returnering af oplysninger

1. Ved ophør af tjenesterne vedrørende behandling af personoplysninger er databehandleren forpligtet til at slette eller tilbagelevere alle personoplysninger til den dataansvarlige samt slette eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.
2. Den konkrete procedure for sletning og returnering fremgår af Bilag C.4.

11. Revision, herunder inspektion

1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og disse Bestemmelser, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.
2. Procedurerne for den dataansvarliges revisioner, herunder inspektioner, med databehandleren og underdatabehandlere er nærmere angivet i Bilag C.7. og C.8.
3. Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter gældende lovgivningen har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter, der optræder på tilsynsmyndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

12. Parternes aftale om andre forhold

1. Parterne kan aftale andre bestemmelser vedrørende tjenesten vedrørende behandling af personoplysninger om f.eks. erstatningsansvar, så længe disse andre bestemmelser ikke direkte eller indirekte strider imod Bestemmelserne eller forringer den registreredes grundlæggende rettigheder og frihedsrettigheder, som følger af databeskyttelsesforordningen.

13. Ikrafttræden og ophør

1. Bestemmelserne træder i kraft på datoen for begge parters underskrift heraf.
2. Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i Bestemmelserne giver anledning hertil.
3. Bestemmelserne er gældende, så længe tjenesten vedrørende behandling af personoplysninger varer. I denne periode kan Bestemmelserne ikke opsiges, medmindre andre bestemmelser, der regulerer levering af tjenesten vedrørende behandling af personoplysninger, aftales mellem parterne.
4. Hvis levering af tjenesterne vedrørende behandling af personoplysninger ophører, og personoplysningerne er slettet eller returneret til den dataansvarlige i overensstemmelse med Bestemmelse 10.1 og Bilag C.4, kan Bestemmelserne opsiges med skriftlig varsel af begge parter.

14. Underskrift

På vegne af den dataansvarlige:

Navn: _______________________________________

Stilling: ____________________________________

Dato: _______________________________________

Underskrift: _________________________________

På vegne af databehandleren (BrandBuddy ApS):

Navn: Rasmus Aaberg

Stilling: Stifter og direktør

Dato: _______________________________________

Underskrift: _________________________________

15. Kontaktpersoner hos den dataansvarlige og databehandleren

1. Parterne kan kontakte hinanden via nedenstående kontaktpersoner.
2. Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende kontaktpersoner.

Kontaktperson hos databehandleren:

Navn: Rasmus Aaberg

Stilling: Stifter

E-mail: rasmus@brandbuddyai.dk

Telefon: [valgfri — udfyldes hvis ønsket]

Kontaktperson hos den dataansvarlige:

Navn: ________________________________

Stilling: ______________________________

E-mail: _______________________________

Telefon: ______________________________

Bilag A — Oplysninger om behandlingen

A.1. Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige

Databehandleren behandler personoplysninger på den dataansvarliges vegne med henblik på at levere BrandBuddy-platformens funktionalitet, herunder:

• Drift af den dataansvarliges digitale kundeklub, herunder tilmelding, afmelding og medlemsadministration
• Udsendelse af nyhedsbreve og marketingkommunikation fra den dataansvarlige til den dataansvarliges kunder
• Generering og publicering af opslag på den dataansvarliges sociale medier (LinkedIn, Facebook, Instagram), når den dataansvarlige har tilkoblet disse
• Måling af performance for udsendt indhold, herunder åbninger, klik, tilmeldinger og engagement
• Håndtering af samtykker og afmeldinger i overensstemmelse med databeskyttelsesforordningen og markedsføringslovens § 10
• Generering af tekst- og billedforslag ved brug af kunstig intelligens (AI), baseret på den dataansvarliges virksomhedsdata

Databehandleren kan herudover anvende anonymiserede og aggregerede data afledt af behandlingen til intern statistik, benchmark-rapporter og produktforbedring, forudsat at data ikke kan henføres til en identificerbar fysisk person eller en identificerbar virksomhed uden dennes forudgående samtykke.

A.2. Karakteren af behandlingen

Behandlingen omfatter følgende aktiviteter:

• Indsamling af personoplysninger via tilmeldingsformularer (web-formular, QR-kode, link)
• Indlæsning af offentligt tilgængeligt indhold fra den dataansvarliges hjemmeside ved opstart, herunder billeder, via underdatabehandler (Firecrawl)
• Modtagelse af billeder og tekst uploadet af den dataansvarlige til brug i nyhedsbreve og opslag
• Lagring af personoplysninger i Supabase-database hostet i EU (Frankfurt)
• Organisering og segmentering af kontaktdata
• Udsendelse af email via underdatabehandler (MailerSend)
• Logning af interaktion med udsendt indhold (åbnings- og klikregistrering)
• Visning af data i den dataansvarliges BrandBuddy-konto
• Behandling af tekst og billeder via AI-modeller til generering af forslag til nyhedsbreve og opslag
• Eksport af data efter den dataansvarliges anmodning
• Sletning af data efter den dataansvarliges anmodning eller ved den registreredes afmelding

A.3. Behandlingen omfatter følgende typer af personoplysninger om de registrerede

Databehandleren behandler følgende kategorier af almindelige personoplysninger om den dataansvarliges kunder:

Identifikationsoplysninger:

• Navn og e-mailadresse. Telefonnummer kan behandles, hvis den dataansvarlige vælger at indsamle dette.

Samtykkedata:

• Tidsstempel for tilmelding, IP-adresse, user-agent, samtykketekst og tilmeldingskilde

Adfærdsdata:

• Modtagne nyhedsbreve, åbninger, klik og afmeldinger

Geografiske oplysninger:

• Afledt geografisk lokation på by- eller regionsniveau baseret på IP-adresse, i det omfang denne funktionalitet er aktiveret

Indholdsdata:

• Tekst og billeder uploadet af den dataansvarlige, der kan indeholde personoplysninger om medarbejdere, kunder eller andre afbildede personer

Tekniske data:

• Logfiler, fejlmeddelelser og tidsstempler genereret ved brug af platformen

Databehandleren behandler ikke særlige kategorier af personoplysninger (følsomme oplysninger) som defineret i databeskyttelsesforordningens artikel 9. Den dataansvarlige må ikke instruere databehandleren i at behandle sådanne oplysninger uden forudgående skriftlig aftale herom.

A.4. Behandlingen omfatter følgende kategorier af registrerede

Behandlingen vedrører følgende kategorier af registrerede:

Kunder og potentielle kunder hos den dataansvarlige:

• Personer der har tilmeldt sig den dataansvarliges kundeklub eller nyhedsbrev, eller som modtager marketingkommunikation fra den dataansvarlige.

Personer afbildet i indhold uploadet af den dataansvarlige:

• Medarbejdere, kunder eller andre tredjeparter, hvis billede eller navn fremgår af tekst eller billeder, som den dataansvarlige uploader til brug i nyhedsbreve og opslag.

A.5. Varigheden af behandlingen

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige kan påbegyndes efter disse Bestemmelsers ikrafttræden.

Behandlingen pågår, så længe der består et aktivt kundeforhold mellem parterne. Ved ophør af kundeforholdet behandles personoplysninger som beskrevet i Bilag C.4.

Bilag B — Underdatabehandlere

B.1. Godkendte underdatabehandlere

Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af følgende underdatabehandlere:

Den dataansvarlige godkender ved Bestemmelsernes ikrafttræden brugen af ovennævnte underdatabehandlere for den beskrevne behandlingsaktivitet.

B.2. Varsel om ændring af underdatabehandlere

Databehandleren skal underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages skriftlig varsel.

Den dataansvarlige har ret til at gøre indsigelse mod sådanne ændringer inden brugen af de(n) omhandlede underdatabehandler(e). Hvis den dataansvarlige gør indsigelse, og parterne ikke kan finde en gensidigt acceptabel løsning, kan den dataansvarlige opsige aftalen om brug af BrandBuddy-platformen uden bindingsperiode.

B.3. Underretningsmetode

Underretning om ændringer i underdatabehandlere sker ved skriftlig henvendelse til den dataansvarliges registrerede kontakt-emailadresse, samt ved offentliggørelse af opdateret liste på databehandlerens hjemmeside (brandbuddyai.dk/databehandleraftale).

Bilag C — Instruks vedrørende behandling af personoplysninger

C.1. Behandlingens genstand/instruks

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige sker ved, at databehandleren udfører de aktiviteter, der er beskrevet i Bilag A, til de formål, der ligeledes er beskrevet i Bilag A.

C.2. Behandlingssikkerhed

Databehandleren har gennemført følgende tekniske og organisatoriske sikkerhedsforanstaltninger til beskyttelse af personoplysninger jf. databeskyttelsesforordningens artikel 32:

Adgangskontrol

• Row Level Security (RLS) er aktiveret på samtlige databasetabeller indeholdende personoplysninger. Multi-tenant isolation er enforced på databaseniveau, således at den dataansvarliges data er logisk adskilt fra øvrige kunders data.
• Adgang til databasen sker via parameterserede queries gennem Supabase-klienten. Råt SQL anvendes ikke i applikationskoden.
• Service-role-nøgler anvendes udelukkende i server-side edge functions og er ikke tilgængelige i frontend-kode.
• Adgangen for personer, som er underlagt databehandlerens instruktionsbeføjelser, gennemgås løbende og lukkes ved offboarding.

Kryptering

• Al netværkstrafik mellem brugere og databehandlerens systemer er TLS-krypteret (HTTPS-only).
• Personoplysninger krypteres at-rest med AES-256 via underdatabehandlerens (Supabase / AWS) standard server-side-kryptering.
• Følsomme tokens (OAuth-tokens for LinkedIn, Facebook og Instagram) opbevares krypteret med AES-256-CBC + initialiseringsvektor før lagring i databasen.

Authentication og password-politik

• Multifaktor-autentificering (MFA) er tilgængelig for både slutbrugere og administrative brugere.
• Password håndteres via Supabase Auth med bcrypt-hashing. Klartekst-passwords lagres ikke.
• Authentication mod kompromitterede passwords via integration med HaveIBeenPwned er aktiveret.

Secrets og nøglehåndtering

• API-nøgler og hemmeligheder opbevares som krypterede secrets i Supabase eller Cloudflare Pages, og er ikke tilgængelige i kildekoderepository.
• .gitignore ekskluderer alle .env-filer fra versionskontrol.
• Adgang til kildekode-repository er begrænset til navngivne medarbejdere.

Netværkssikkerhed

• Cloudflare leverer DDoS-mitigation og standard WAF-beskyttelse på alt hostingtrafik.
• Rate limiting på offentlige endpoints er under løbende implementering og udvidelse.
• Cross-Origin Resource Sharing (CORS) konfigureres med henblik på at begrænse anmodninger til godkendte oprindelsessteder.

Logning og monitoring

• Adgang til kundedata logges via Supabase' platformlogning, herunder authentication-events og databasequeries.
• Logs opbevares i overensstemmelse med Supabase' standardretention.
• Specifikke audit-logs føres for tokens og profiladgang.

Backup og gendannelse

• Daglige automatiske backups foretages af underdatabehandleren (Supabase) med Point-in-Time Recovery (PITR) med ca. 5 minutters granularitet.
• Backups krypteres at-rest og opbevares i AWS S3 inden for EU.
• Recovery Point Objective (RPO): cirka 5 minutter. Recovery Time Objective (RTO): typisk 1-4 timer afhængig af datamængde.

Input validation

• Al brugerinput valideres ved hjælp af Zod-skemaer før behandling.
• Output escapes automatisk via React's standard JSX-rendering for at forhindre cross-site scripting (XSS).

Organisatoriske foranstaltninger

• Personer med adgang til personoplysninger er underlagt fortrolighedsforpligtelse.
• Adgang gennemgås ved tilføjelse og fjernelse af medarbejdere/samarbejdspartnere.
• Password manager (1Password) anvendes til administration af alle credentials.
• Disk-kryptering er aktiveret på arbejdsmaskiner.
• Databehandleren arbejder løbende på at videreudvikle sikkerhedsforanstaltninger, herunder håndhævelse af MFA på administrative konti, formaliseret nøgle-rotationsprocedure, udvidet rate limiting samt error-tracking og alerting.

C.3. Bistand til den dataansvarlige

Databehandleren skal så vidt muligt — inden for det nedenstående omfang og udstrækning — bistå den dataansvarlige i overensstemmelse med Bestemmelse 8.1 og 8.2 ved at gennemføre følgende tekniske og organisatoriske foranstaltninger:

• Eksport af en registrerets personoplysninger på anmodning fra den dataansvarlige (indsigtsret og dataportabilitet).
• Sletning af en registrerets personoplysninger på anmodning fra den dataansvarlige (retten til sletning).
• Berigtigelse af en registrerets personoplysninger på anmodning fra den dataansvarlige.
• Begrænsning af behandling efter den dataansvarliges anvisning.
• Underretning om brud på persondatasikkerheden uden unødigt ophold og senest 48 timer efter, at databehandleren er blevet bekendt med bruddet.

C.4. Opbevaringsperiode/sletterutine

Personoplysninger opbevares hos databehandleren, indtil den dataansvarlige anmoder om at få oplysningerne slettet eller tilbageleveret, eller indtil oplysningerne ikke længere er nødvendige til de formål, hvortil de behandles.

Konkrete sletteregler:

• Aktive subscribers: Behandles løbende, så længe der består et aktivt kundeforhold mellem parterne.
• Afmeldte subscribers: Personoplysninger om afmeldte subscribers gemmes som suppression list i op til 24 måneder med henblik på at sikre, at vedkommende ikke modtager yderligere kommunikation. Efter 24 måneder slettes oplysningerne, eller anonymiseres til statistisk brug.
• Ved opsigelse af kundeforholdet: Den dataansvarlige har 30 dage fra opsigelsestidspunktet til at eksportere alle data via platformens eksportfunktion. Den dataansvarlige kan vælge at få data eksporteret, slettet, eller begge dele.
• Senest 90 dage efter ophør af kundeforholdet sletter databehandleren samtlige personoplysninger om den dataansvarliges kunder fra produktionssystemer. Backups overskrives i overensstemmelse med underdatabehandlerens (Supabase) standard backup-rotationsprocedure.

C.5. Lokalitet for behandling

Behandlingen af personoplysninger under disse Bestemmelser foretages primært inden for EU/EØS:

• Lagring af kundedata: EU (Supabase, AWS Frankfurt eu-central-1)
• E-mail-udsendelse: EU (MailerSend)
• AI-behandling: EU (Google Vertex AI, europe-west)
• Frontend-hosting: Cloudflare globalt netværk med EU-edge-terminering for europæiske brugere

Det er en udtrykkelig egenskab ved BrandBuddy-platformen, at kerne-databehandlingen forbliver inden for EU.

C.6. Instruks vedrørende overførsel af personoplysninger til tredjelande

Den dataansvarlige instruerer databehandleren i, at følgende underdatabehandlere er beliggende uden for EU/EØS:

• Firecrawl, Inc. (USA) — anvendes ved opstart til scraping af den dataansvarliges egen offentlige hjemmeside.
• LinkedIn Corporation (USA) — anvendes alene, når den dataansvarlige aktivt har tilkoblet sin LinkedIn-konto med henblik på publicering af opslag.
• Meta Platforms, Inc. (USA) — anvendes alene, når den dataansvarlige aktivt har tilkoblet sin Facebook- eller Instagram-konto.

Overførsel af personoplysninger til disse underdatabehandlere sker på grundlag af EU-Kommissionens standardkontraktsbestemmelser (Standard Contractual Clauses, SCC) som overførselsgrundlag i henhold til databeskyttelsesforordningens artikel 46, stk. 2, litra c.

Anden behandling af personoplysninger om den dataansvarliges kunder forbliver inden for EU.

C.7. Procedurer for den dataansvarliges revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til databehandleren

Den dataansvarlige kan én gang årligt anmode om skriftlig dokumentation for databehandlerens overholdelse af aftalen. Databehandleren leverer den ønskede dokumentation til den dataansvarlige inden for 30 dage fra anmodningen.

Dokumentationen kan eksempelvis omfatte: opdateret oversigt over implementerede sikkerhedsforanstaltninger, status på underdatabehandlerlisten, samt evt. uddybning af konkrete spørgsmål rejst af den dataansvarlige.

Fysisk inspektion af databehandlerens faciliteter kan kun finde sted ved konkret mistanke om brud på Bestemmelserne, med mindst 30 dages skriftligt varsel og under hensyntagen til databehandlerens øvrige kunders forretningsmæssige interesser. Omkostninger ved fysisk inspektion afholdes af den dataansvarlige, medmindre inspektionen påviser væsentlig misligholdelse fra databehandlerens side.

Den dataansvarlige forpligter sig til at behandle modtaget dokumentation fortroligt og ikke videregive den til tredjeparter uden databehandlerens forudgående skriftlige samtykke.

C.8. Procedurer for revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til underdatabehandlere

Databehandleren fører løbende tilsyn med underdatabehandleres overholdelse af deres databeskyttelsesforpligtelser ved at:

• Udelukkende anvende underdatabehandlere, der har indgået en gyldig databehandleraftale med databehandleren, eller hvor databehandleren har accepteret underdatabehandlerens egen DPA.
• Føre løbende vurdering af underdatabehandleres certificeringer (f.eks. ISO 27001, SOC 2) og offentliggjorte sikkerhedsdokumentation, hvor sådan findes.
• Reagere på henvendelser fra den dataansvarlige om konkrete spørgsmål til underdatabehandlere ved at indhente information fra den pågældende underdatabehandler.

Den dataansvarlige modtager efter anmodning herom kopi af underdatabehandleraftalerne i det omfang, dette ikke afslører kommercielle vilkår, der ikke påvirker det databeskyttelsesretlige indhold.

Bilag D — Parternes regulering af andre forhold

Parterne har ikke aftalt yderligere forhold ud over hvad der fremgår af de øvrige bestemmelser og bilag i denne aftale.

Eventuelle senere aftaler om særlige forhold mellem parterne kan tilføjes som tillæg til dette bilag og dateres samt underskrives af begge parter.