1 Parterne i aftalen

1.1 Dataansvarlig:

Den kunde, der har indgået serviceaftalen. Den person, der har indgået serviceaftalen på vegne af kunden, anses som kontaktperson.

1.2 Databehandler:

CARL HQ AS, Adresse: Bogstadveien 54 0366 OSLO Norge, Organisationsnummer: 934440323

Kontaktperson: Petter Samuelsen, Titel: CTO, Telefon: 4745266868, E-mail: petter@carlhq.com

Den dataansvarlige og databehandleren omtales individuelt som en “Part” og samlet som “Parterne”.

2 Baggrund og formål med aftalen

Databehandleren har forpligtet sig til at levere de tjenester, der er beskrevet i CARL HQ AS' standardvilkår (“Serviceaftalen”). Udførelsen af dette arbejde betyder, at databehandleren behandler personoplysninger på vegne af den dataansvarlige.

Som kunde fastlægger den dataansvarlige formålet med behandlingen af personoplysninger og hvilke midler, der skal anvendes.

Denne databehandleraftale (“Databehandleraftalen”) fastlægger rammerne for databehandlerens behandling af personoplysninger på vegne af den dataansvarlige.

Formålet med denne databehandleraftale er at:

regulere parternes rettigheder og forpligtelser ved behandling af personoplysninger,

sikre, at kravene i databeskyttelseslovgivningen og GDPR overholdes ved udførelsen af serviceaftalen, og

sikre, at personoplysninger ikke behandles ulovligt, kommer i hænderne på uvedkommende eller behandles til andre formål end dem, der er fastsat i denne databehandleraftale.

I tilfælde af konflikt mellem bestemmelserne i denne databehandleraftale og andre aftaler mellem parterne, herunder serviceaftalen, har bestemmelserne i databehandleraftalen forrang.

3 Definitioner

Følgende definitioner gælder for denne databehandleraftale:

“Databehandleraftale” betyder de bestemmelser, der er fastsat i denne databehandleraftale med bilag.

“Personoplysninger” betyder alle typer oplysninger eller data, der anses for at være personoplysninger i henhold til databeskyttelseslovgivningen og GDPR. Dette omfatter, men er ikke begrænset til, de oplysninger, der er angivet i bilag 1.

“Behandling” (af personoplysninger) betyder enhver anvendelse af personoplysninger, for eksempel indsamling, opbevaring, organisering, ændring eller tilpasning, videregivelse og/eller overførsel.

“GDPR” betyder EU-forordning 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger samt om ophævelse af direktiv 95/46/EF (som implementeret i norsk ret).

“Databeskyttelseslovgivningen” betyder lov om behandling af personoplysninger af 15. juni 2018 nr. 38 med tilhørende forskrifter, der gennemfører GDPR, og al anden relevant lovgivning, der regulerer parternes behandling af personoplysninger.

“Lovgivning” betyder enhver anden gældende lovgivning, som parterne er underlagt.

“Underdatabehandler” betyder andre databehandlere, som databehandleren anvender til at behandle personoplysningerne.

“Registrerede” betyder enhver identificeret eller identificerbar person, som personoplysningerne vedrører.

4 Generelt

Parterne skal behandle personoplysninger i overensstemmelse med databeskyttelseslovgivningen, GDPR og denne databehandleraftale.

Databehandleren må kun indsamle, registrere, sammenstille, opbevare og på anden måde behandle personoplysninger i det omfang, det er nødvendigt for at opfylde serviceaftalen og databehandleraftalen.

Den dataansvarlige skal sikre, at der er et lovligt grundlag for behandlingen af personoplysningerne.

5 Den dataansvarliges ret til at give instrukser

Databehandleren må kun behandle personoplysninger i henhold til dokumenterede instrukser fra den dataansvarlige.

Databehandleren kan også behandle personoplysninger, hvis dette kræves i henhold til lovgivning, som databehandleren er underlagt. I så fald skal databehandleren underrette den dataansvarlige om den retlige forpligtelse inden behandlingen, medmindre den relevante lovgivning forbyder, at sådanne oplysninger gives af hensyn til offentlige interesser.

Den dataansvarliges instrukser til databehandleren er fastsat i denne databehandleraftale med bilag.

Bilag 1 til databehandleraftalen beskriver, hvilke kategorier af personoplysninger databehandleren må behandle, og formålet med behandlingen. Databehandleren må ikke behandle personoplysninger til andre formål end dem, der er fastsat her.

Den dataansvarlige kan give databehandleren efterfølgende instrukser, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige. Sådanne efterfølgende instrukser skal gives til databehandleren skriftligt og skal dokumenteres.

Parterne skal straks underrette hinanden, hvis en part mener, at instrukser eller krav fra den anden part er i strid med databeskyttelseslovgivningen eller GDPR.

6 Databehandlerens pligt til at bistå den dataansvarlige

Under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, skal databehandleren bistå den dataansvarlige med at sikre overholdelse af den dataansvarliges forpligtelser i henhold til GDPR artikel 32–36.

Det betyder, at databehandleren skal kunne bistå i forbindelse med konsekvensanalyser vedrørende databeskyttelse og forudgående høringer.

7 Sikkerhed for personoplysninger

Databehandleren skal overholde de informationssikkerhedskrav, der følger af databeskyttelseslovgivningen og GDPR, og implementere passende tekniske og organisatoriske sikkerhedsforanstaltninger for at opnå et sikkerhedsniveau, der er passende i forhold til risikoen, i overensstemmelse med GDPR artikel 32.

De tekniske og organisatoriske foranstaltninger, der skal implementeres, er beskrevet i bilag 2.

Databehandleren skal også bistå den dataansvarlige med at sikre overholdelse af den dataansvarliges forpligtelser vedrørende passende informationssikkerhed i henhold til GDPR artikel 32.

8 Databehandlerens brug af underdatabehandlere

Hvis databehandleren engagerer en underdatabehandler til at udføre specifikke behandlingsaktiviteter på vegne af den dataansvarlige, skal den relevante underdatabehandler være underlagt de samme forpligtelser som fastsat i denne databehandleraftale gennem en aftale eller andet juridisk dokument.

Databehandleren skal sikre, at underdatabehandleren er bekendt med databehandlerens kontraktlige og retlige forpligtelser og overholder disse krav.

Databehandleren er fuldt ansvarlig over for den dataansvarlige for underdatabehandlerens overholdelse af sine forpligtelser.

De underdatabehandlere, som databehandleren anvender i forbindelse med serviceaftalen, er angivet i bilag 3. Den dataansvarlige accepterer, at databehandleren anvender disse underdatabehandlere.

Den dataansvarlige accepterer, at databehandleren anvender andre underdatabehandlere end dem, der er beskrevet i bilag 3. Hvis databehandleren ønsker at anvende nye underdatabehandlere, skal databehandleren på forhånd underrette den dataansvarlige om underdatabehandlernes navn og kontaktoplysninger. Den dataansvarlige har ret til at gøre indsigelse mod databehandlerens brug af underdatabehandlere. Hvis den dataansvarlige gør indsigelse mod brugen af en ny underdatabehandler, skal den dataansvarlige informere databehandleren uden unødig forsinkelse.

9 Databehandlerens overførsel af personoplysninger til udlandet

Databehandleren må overføre de personoplysninger, som databehandleren behandler på vegne af den dataansvarlige, til de lande, hvor databehandleren og underdatabehandlerne driver deres virksomhed og opbevarer dem dér. Disse lande er angivet i bilag 3. Den dataansvarlige er bekendt med dette og godkender denne overførsel, så længe den er nødvendig for at gennemføre de aftalte leverancer.

Den dataansvarlige accepterer, at personoplysningerne behandles uden for Norge. Databehandleren må dog ikke overføre personoplysninger til lande uden for EU/EØS eller til en international organisation uden forudgående skriftligt samtykke fra den dataansvarlige, medmindre EU-Kommissionen har fastslået, at landet eller den internationale organisation sikrer et tilstrækkeligt beskyttelsesniveau.

Hvis den dataansvarlige godkender en sådan overførsel af personoplysninger til et land uden for EU/EØS eller til en international organisation, skal databehandleren sikre, at overførslen sker i overensstemmelse med reglerne i GDPR kapitel V.

Databehandleren forpligter sig også til at vurdere beskyttelsesniveauet i det eller de tredjelande, som personoplysningerne skal overføres til, og sikre, at der gennemføres supplerende foranstaltninger af teknisk, organisatorisk eller kontraktuel karakter for at sikre et beskyttelsesniveau, der i det væsentlige svarer til det i EU/EØS.

10 Håndtering af registreredes rettigheder

Den dataansvarlige skal være kontaktpunkt for de registrerede og give nødvendig information om behandlingen.

Den dataansvarlige er ansvarlig for at håndtere de registreredes anmodninger om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet osv. og sikre, at sådanne anmodninger imødekommes.

Under hensyntagen til behandlingens karakter og i det omfang det er muligt gennem passende tekniske og organisatoriske foranstaltninger, skal databehandleren bistå den dataansvarlige med at opfylde den dataansvarliges pligt til at besvare anmodninger fremsendt af registrerede med henblik på at udøve deres rettigheder fastsat i GDPR kapitel III.

Hvis databehandleren modtager en anmodning fra en registreret, skal databehandleren underrette den dataansvarlige så hurtigt som muligt.

11 Hændelseshåndtering og underretning

Enhver brug af informationssystemer i strid med databehandlerens etablerede procedurer, den dataansvarliges instrukser, databeskyttelseslovgivningen eller GDPR samt ethvert andet sikkerhedsbrud skal behandles som en hændelse.

Parterne skal etablere og vedligeholde procedurer og systematiske tiltag til opfølgning på hændelser, herunder foranstaltninger til genoprettelse af normaltilstand, fjernelse af årsagen til hændelsen og forebyggelse af gentagelse.

Parterne skal, så snart de bliver opmærksomme på en hændelse, uden unødig forsinkelse og senest inden for 36 timer, informere hinanden om eventuelle sikkerhedsbrud og straks iværksætte alle nødvendige og passende foranstaltninger for at genoprette normaltilstanden.

Den dataansvarlige er ansvarlig for at sende underretninger om hændelser til Datatilsynet og de registrerede i henhold til GDPR artikel 33 og 34. Databehandleren skal, hvis det er nødvendigt, bistå den dataansvarlige med at sikre, at GDPR artikel 33 og 34 overholdes.

12 Revision og inspektion

Databehandleren skal stille alle oplysninger til rådighed for den dataansvarlige, som er nødvendige for at påvise overholdelse af databehandlerens forpligtelser i henhold til databeskyttelseslovgivningen, GDPR og denne databehandleraftale.

Databehandleren skal muliggøre og bidrage til revisioner, herunder inspektioner, udført af den dataansvarlige eller en anden revisor bemyndiget af den dataansvarlige, af databehandlerens overholdelse af GDPR, databeskyttelseslovgivningen og denne databehandleraftale. Den dataansvarlige har ret til at gennemføre sådanne revisioner for egen regning, maksimalt én gang om året med fire ugers forudgående varsel.

13 Fortrolighed og tavshedspligt

Databehandleren har tavshedspligt vedrørende personoplysninger og dokumentation, som databehandleren får adgang til gennem databehandleraftalen. Tavshedspligten gælder også efter, at databehandleraftalen er udløbet.

Databehandleren må ikke videregive eller give adgang til personoplysningerne til andre end sine egne medarbejdere, underdatabehandlere eller medarbejdere hos den dataansvarlige, medmindre dette er aftalt skriftligt med den dataansvarlige eller følger af lov, forskrift eller afgørelse fra offentlig myndighed.

Databehandleren skal sikre, at personer, der er bemyndiget til at behandle personoplysningerne, har forpligtet sig til at behandle oplysningerne fortroligt gennem en fortrolighedsaftale, eller at de er underlagt en passende lovbestemt tavshedspligt.

14 Aftalens varighed

Aftalen gælder, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige.

15 Ophør

Når databehandleraftalen ophører, skal databehandleren returnere alle personoplysninger, der er omfattet af databehandleraftalen, i et format, der er egnet til videre behandling af den dataansvarlige eller en tredjepart udpeget af den dataansvarlige.

Alternativt kan den dataansvarlige kræve, at personoplysningerne slettes og/eller destrueres i overensstemmelse med den dataansvarliges skriftlige instrukser.

Parterne aftaler nærmere, hvordan overførsel eller sletning og/eller destruktion konkret skal finde sted.

Databehandleren skal skriftligt dokumentere, at sletning og/eller destruktion er gennemført i overensstemmelse med aftalen inden for rimelig tid efter, at databehandleraftalen ophører.

Undtagelse gælder, hvis databeskyttelseslovgivningen, GDPR eller lovgivning kræver, at personoplysningerne opbevares længere.

16 Lovvalg og værneting

Aftalen er underlagt norsk ret. Parterne aftaler Oslo tingrett som værneting.

Bilag til aftalen

Bilag 1 Beskrivelse af personoplysningerne og formålet med behandlingen

Bilag 2 Tekniske og organisatoriske foranstaltninger for informationssikkerhed

Bilag 3 Oversigt over databehandlerens underdatabehandlere

Bilag 1: Beskrivelse af personoplysningerne og formålet med behandlingen

Kontaktoplysninger (f.eks. telefonnummer), kommunikationsindhold (f.eks. SMS-beskeder, stemmeoptagelser, transskriptioner), samtalemetadata (f.eks. tidsstempler, beskedstatus, samtalehistorik). Adfærdsdata (f.eks. sentimentanalyse, tags til kvalificering af leads).

Bilag 2: Beskrivelse af tekniske og organisatoriske sikkerhedsforanstaltninger Tilgængelighed

Produktionsarbejdsbelastninger kører på administreret cloud-infrastruktur med indbygget redundans på tværs af Vercel-, Render- og Supabase-platformene. Databaseoperationer anvender Supabases automatiske failover- og point-in-time recovery-funktioner. Applikationsservere anvender autoskalering og sundhedsovervågning til at håndtere trafikspidser og opretholde tjenestens tilgængelighed. Temporal Cloud orkestrerer kritiske workflows med indbyggede genforsøgs-mekanismer og robuste udførelsesgarantier. Overvågning i realtid via SigNoz og sundhedstjek på applikationsniveau sporer oppetid, latenstid og fejlrater. Automatiserede alarmer underretter driftsteamet om nedsat ydeevne eller nedbrud. Underdatabehandlere udvælges på baggrund af deres oppetids-SLA’er og infrastrukturens pålidelighed, med periodiske gennemgange af deres statussider og hændelsesrapporter.

Integritet

Rollebaseret adgangskontrol begrænser ændringer i data til kun autoriseret personale. Alle databaseoperationer logges med tidsstempler, brugeridentitet og handlingsdetaljer via Supabases revisionslogfiler. Validering på applikationsniveau og databasebegrænsninger forhindrer ondsindet eller utilsigtet datakorruption ved indgangspunkterne. Versionskontrol og peer-reviewede deploymenter sikrer, at kodeændringer kan spores og rulles tilbage. Temporal workflow-historikker giver uforanderlige revisionsspor for alle automatiserede behandlingsaktiviteter. Logs opbevares i 90 dage og gennemgås under hændelsesundersøgelser. Underdatabehandlere skal opretholde tilsvarende logningsmuligheder og underrette Carl om enhver integritets-hændelse uden unødig forsinkelse.

Fortrolighed

Al datatransmission bruger TLS 1.3-kryptering. Data i hvile i Supabase er krypteret med AES-256-kryptering med administrerede krypteringsnøgler. API-nøgler, legitimationsoplysninger og følsom konfiguration gemmes i sikre systemer til håndtering af miljøvariabler med adgang begrænset til autoriserede servicekonti. Medarbejdere og kontraktansatte underskriver fortrolighedsaftaler og gennemfører sikkerhedsbevidsthedstræning ved onboarding. Adgang til produktionssystemer kræver multifaktorgodkendelse og tildeles efter princippet om mindst mulig adgang. Adgangsrettigheder gennemgås kvartalsvist og tilbagekaldes straks ved rolleændringer eller ansættelsesophør. Underdatabehandlere gennemgår sikkerhedsvurderinger før onboarding og skal demonstrere robuste krypterings- og adgangskontrolforanstaltninger.

Gennemsigtighed

Carl opretholder et ajourført register over underdatabehandlere med detaljer om hver enheds rolle, placering og behandlingsaktiviteter. Den dataansvarlige modtager mindst 30 dages varsel om væsentlige ændringer i underdatabehandlere, så de kan gøre indsigelse eller anmode om afklaringer. Dokumentation for behandlingsaktiviteter og sikkerhedspolitikker er tilgængelig efter anmodning. I tilfælde af et brud på persondatasikkerheden underretter Carl den dataansvarlige uden unødig forsinkelse og giver oplysninger om hændelsen, berørte datakategorier, mulig påvirkning og afhjælpende foranstaltninger. Logfiler over sikkerhedshændelser opbevares til revisionsformål og ansvarlighed.

Indgriben

Den dataansvarlige kan få adgang til, hente, rette, eksportere eller slette personoplysninger via Carls webplatform og API’er. Anmodninger fra registrerede behandles inden for fem arbejdsdage, og handlinger udbredes til alle relevante underdatabehandlere. Bekræftelse af gennemførte handlinger gives til den dataansvarlige. AI-genereret indhold undergår menneskelig gennemgang og godkendelsesworkflows, der administreres gennem Temporal. Den dataansvarlige kan gribe ind på ethvert tidspunkt for at ændre, afvise eller suspendere automatiseret behandling. Data kan markeres som begrænsede for at forhindre yderligere automatiserede beslutninger, mens indsigelser behandles.

Sikkerhedsrevisioner

Carl gennemfører årlige interne sikkerhedsvurderinger og sårbarhedsscanninger efter større udgivelser. Fund prioriteres, tildeles ansvarlige parter og følges til afslutning. Resuméer af sikkerhedsvurderinger kan deles med den dataansvarlige under passende fortrolighedsaftaler. Den dataansvarlige kan gennemføre én revision pr. kontraktår med 30

dages forudgående varsel, med forbehold for rimelige begrænsninger i normal arbejdstid. Carl vil fremlægge bevis for sikkerhedskontroller og, hvor det er lovligt tilladt, underdatabehandleres overholdelse eller revisionsrapporter.

Portabilitet

På anmodning eksporterer Carl alle personoplysninger i strukturerede formater, herunder JSON og CSV. Eksporter inkluderer samtalehistorik, transskriptioner, kundeprofiler, beskeder og tilhørende metadata. Data kan overføres direkte til en anden databehandler via sikre kanaler, hvis det er teknisk muligt. Eksportfunktionen testes kvartalsvist for at sikre fuldstændighed og nøjagtighed. API-dokumentationen vedligeholdes for at gøre det muligt for den dataansvarlige at foretage inkrementelle dataeksporter når som helst i kontraktperioden. Der anvendes ingen proprietære formater, der vil skabe leverandørlåsning.

Ansvarlighed

En udpeget databeskyttelsesrådgiver fører tilsyn med GDPR-overholdelse, håndtering af sikkerhedshændelser og vedligeholdelse af politikker. Carl opretholder dokumenterede informationssikkerhedspolitikker, der er afstemt med kravene i GDPR artikel 32, og holder fortegnelser over behandlingsaktiviteter ajour. Omfattende revisionslogfiler registrerer administrative handlinger på tværs af alle systemer og opbevares i mindst ét år. Databehandleraftaler med underdatabehandlere indeholder forpligtelser på GDPR-niveau, og Carl forbliver ansvarlig over for den dataansvarlige for underdatabehandlernes performance. Kvartalsvise ledelsesgennemgange vurderer kontrolernes effektivitet og godkender afhjælpningsplaner.

Opbevaring og sletning af data

Personoplysninger opbevares kun i den periode, der er nødvendig for at opfylde aftalte tjenester og juridiske forpligtelser. Automatiske opbevaringspolitikker sikrer, at kladder udløber efter de konfigurerede timeout-perioder. Samtaledata og relaterede optegnelser opbevares i henhold til dokumenterede tidsplaner. Efter instruktion fra den dataansvarlige eller ved kontraktophør sletter Carl sikkert alle personoplysninger inden for 30 dage, herunder fra backupsystemer, når opbevaringsperioderne er udløbet. Sletteinstruktioner sendes videre til alle underdatabehandlere, og der indhentes skriftlig bekræftelse til revisionsarkivet.

Fysisk sikkerhed Carl anvender cloud-infrastrukturudbydere med SOC 2 Type II- og ISO 27001-certificeringer. Den fysiske sikkerhed i datacentre forvaltes af Vercel, Render, Supabase og andre underdatabehandlere, som opretholder overvågning døgnet rundt, biometrisk adgangskontrol og miljøovervågning på deres faciliteter. Carls personale arbejder fra sikrede lokationer. Mistede eller stjålne enheder skal indberettes straks og fjernslettes. Håndtering af fysiske dokumenter følger clean desk-politikker med sikker bortskaffelse af alt materiale, der indeholder personoplysninger.

Bilag 3: Oversigt over databehandlerens underdatabehandlere

Alle behandlingssteder er inden for EU/EØS.

Microsoft Corporation

• Adresse: One Microsoft Way, Redmond, WA 98052-6399, USA

• Funktion: AI-transskriptionsmodeller, LLM-modeller, orkestrering af AI-agenter, tale-til-tekst-transskription

• Enhedens etableringsland: USA

• Behandlingssteder: Sverige

LiveKit Incorporated

• Adresse: 12151 Saraglen Drive, Saratoga, CA 95070-3220, USA

• Funktion: Agent- og telefoniorkestrering

• Enhedens etableringsland: USA

• Behandlingssteder: Frankrig, Tyskland, Storbritannien

SigNoz Inc.

• Adresse: 2261 Market Street #4496, San Francisco, CA 94114, USA

• Funktion: Observability, logs, traces og metrics

• Enhedens etableringsland: USA

• Behandlingssteder: Tyskland

Supabase Inc.

• Adresse: 970 Toa Payoh North #07-04, Singapore 318992

• Funktion: Database

• Enhedens etableringsland: USA

• Behandlingssteder: Sverige

Vercel Inc.

• Adresse: 440 N Barranca Avenue #4133, Covina, CA 91723, USA

• Funktion: Platform- og API-hosting

• Enhedens etableringsland: USA

• Behandlingssteder: EU (flere regioner i Den Europæiske Union)

Render Services, Inc

• Adresse: 525 Brannan St, Ste 300, San Francisco, CA 94107, USA

• Funktion: Web-, AI-agent- og API-hosting

• Enhedens etableringsland: USA

• Behandlingssteder: EU (Frankfurt, Tyskland)

PostHog Ltd.

• Adresse: 2261 Market Street Suite 4008, San Francisco, CA 94114, USA

• Funktion: Analyse og fejlsporing

• Enhedens etableringsland: USA

• Behandlingssteder: EU (Frankfurt, Tyskland)

Temporal Technologies, Inc.

• Adresse: 2211 Elliott Avenue, Suite 200, Seattle, WA 98121, USA

• Funktion: Workflow-orkestrering

• Enhedens etableringsland: USA

• Behandlingssteder: Dublin, Irland

STIX UTVIKLING AS

• Adresse: Inger Bang Lunds vei 4, 5059 Bergen, Norge

• Funktion: SMS-udbyder

• Enhedens etableringsland: Norge

• Behandlingssteder: Norge