Databehandler aftale.

Denne DPA indgås mellem PureGate ApS ("Databehandler") og den kunde der accepterer vores Service-aftale ("Dataansvarlig"). Den udgør en integreret del af hovedaftalen og går forud ved uoverensstemmelse om databehandling.

Databehandleren behandler personoplysninger udelukkende med det formål at levere PureGate-tjenesten: browser-extension, admin-dashboard og Knowledge-modul.

Typer af registrerede: Dataansvarliges medarbejdere og i visse tilfælde deres kunder (via Knowledge-dokumenter).

Kategorier af data: Brugerkonti (e-mail, navn, rolle), aktivitetslogs, og eventuelle persondata der optræder i prompts, som maskeres før afsendelse til tredjeparts-AI.

Databehandleren behandler udelukkende personoplysninger efter dokumenterede instruktioner fra Dataansvarlige. Brug af produktet i overensstemmelse med konfigurationen og Service-aftalen udgør sådanne instruktioner. Yderligere instruktioner gives skriftligt til [email protected].

Databehandleren har implementeret følgende tekniske og organisatoriske foranstaltninger (TOMs):

• Kryptering i hvile (AES-256) og under transport (TLS 1.3)
• Zero-trust adgangsmodel med MFA for alt personale
• Logning og monitorering med SIEM, 12 måneders retention
• Årlig penetrationstest og quarterly bug bounty
• Segregering af kundedata på tenant-niveau
• Dokumenteret incident response-plan, testet kvartalsvis

Databehandleren må anvende underdatabehandlere. Aktuel liste findes i Privatlivspolitikken og opdateres med 30 dages skriftligt forvarsel.

Dataansvarlige kan gøre indsigelse mod nye underdatabehandlere inden for 30 dage. Ved indsigelse kan aftalen opsiges uden varsel mod tilbagebetaling af forudbetalt beløb.

Databehandleren yder rimelig bistand til Dataansvarlige i forbindelse med anmodninger fra registrerede (indsigt, sletning, etc.), DPIA'er og forudgående høringer hos tilsynsmyndigheder.

Databehandleren underretter Dataansvarlige uden unødig forsinkelse og senest inden 24 timer efter at være blevet bekendt med et brud på persondatasikkerheden.

Underretningen indeholder mindst: arten af bruddet, kategorier og omtrentligt antal berørte, forventede konsekvenser, samt iværksatte og foreslåede foranstaltninger.

Ved opsigelse sletter eller tilbageleverer Databehandleren alle personoplysninger inden 30 dage, efter Dataansvarliges valg. Backup-kopier slettes automatisk inden 90 dage.