Dette aftaleudkast kan bruges til en særskilt service, hvor Debtium alene behandler personoplysninger på kundens dokumenterede instruks. Det dækker ikke automatisk Debtiums selvstændige inkassoaktiviteter.
1 Parter og afgrænsning
Den dataansvarlige er kunden identificeret i den underskrevne kundeaftale med juridisk navn, CVR, adresse og kontaktperson. Databehandleren er Debtium ApS, CVR 46448634, Skt. Clemens Torv 11, 1., 8000 Aarhus C, info@debtium.dk. Aftalen gælder fra parternes dokumenterede accept af den præcise serviceafgrænsning og bilagene.
Kun de instruksbundne import-, datakontrol- og administrative serviceopgaver, som er angivet i bilag A, er omfattet. Debtiums selvstændige vurdering og inddrivelse af krav, egne lovpligter og egen sikkerhedsadministration er ikke omfattet, når Debtium er selvstændigt dataansvarlig. Parterne skal tage stilling til rollefordelingen før brug; et afkrydsningsfelt kan ikke ændre de faktiske roller.
2 Instruks og fortrolighed
Debtium behandler kun oplysninger efter kundens dokumenterede instruks, herunder ved overførsel til tredjelande, medmindre lovgivning kræver andet. I det tilfælde orienteres kunden inden behandlingen, medmindre loven forbyder det. Debtium underretter straks kunden, hvis en instruks efter Debtiums vurdering strider mod databeskyttelsesreglerne, og den omtvistede instruks gennemføres ikke, før forholdet er afklaret.
Adgang gives kun til bemyndigede personer med et sagligt behov, som er underlagt fortrolighed. Oplysninger må ikke anvendes til Debtiums egne formål, markedsføring eller træning af modeller under denne instruks.
3 Sikkerhed
Debtium gennemfører passende tekniske og organisatoriske foranstaltninger efter artikel 32 under hensyn til risiko, oplysninger, formål og tilgængelig teknologi. Minimumsforanstaltningerne og nødvendige forbedringer aftales i bilag C. Kunden skal oplyse særlige risici og må ikke sende andre kategorier end dem, der er aftalt.
4 Underdatabehandlere
Kunden giver kun generel godkendelse til de leverandører, hvis juridiske identitet, funktion og behandlingslande er udfyldt og accepteret i bilag B. En teknisk tilgængelig leverandør er ikke dermed godkendt. Debtium varsler tilføjelse eller udskiftning mindst 30 dage før den planlagte behandling og giver kunden mulighed for en begrundet databeskyttelsesindsigelse. Kan indsigelsen ikke løses, må den berørte behandling ikke starte, og kunden kan bringe den berørte service til ophør.
Underdatabehandlere pålægges mindst de samme databeskyttelsesforpligtelser. Debtium er over for kunden ansvarlig for, at underdatabehandlerens forpligtelser opfyldes. Dokumentation stilles til rådighed efter anmodning, om nødvendigt med beskyttelse af uvedkommende forretningshemmeligheder.
5 Overførsler
Overførsel eller fjernadgang fra et tredjeland må kun ske efter dokumenteret instruks og et gyldigt overførselsgrundlag efter kapitel V. Instruksen skal angive modtager, land, grundlag, vurdering og nødvendige supplerende foranstaltninger. Denne artikel 28-aftale er ikke i sig selv et overførselsgrundlag. Der loves ikke EU-behandling eller Zero Data Retention for OpenAI uden dokumentation for den konkrete projektopsætning.
6 Bistand og sikkerhedsbrud
Debtium bistår kunden, under hensyn til behandlingens karakter og de oplysninger Debtium har, med registreredes rettigheder, sikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring. Debtium videresender anmodninger fra registrerede uden unødigt ophold og svarer kun på kundens vegne efter instruks, medmindre loven kræver andet.
Brud på persondatasikkerheden meddeles kunden uden unødigt ophold efter, at Debtium bliver bekendt med bruddet. Underretningen beskriver kendte forhold, berørte oplysninger og personer, mulige følger, kontaktpunkt og iværksatte foranstaltninger. Manglende detaljer må ikke forsinke den første underretning; oplysninger gives løbende. Kundens eventuelle 72-timers frist over for tilsynsmyndigheden er ikke en frist, som Debtium må vente på.
7 Kontrol og dokumentation
Debtium stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28, og muliggør og bidrager til revision og inspektion foretaget af kunden eller en bemyndiget revisor. Parterne planlægger sædvanlige kontroller med rimeligt varsel og hensyn til andres oplysninger. Varsel eller betaling må ikke hindre en nødvendig kontrol ved brud, konkret mistanke eller myndighedskrav.
8 Ophør og sletning
Efter ophør skal Debtium efter kundens valg returnere eller slette personoplysninger og slette eksisterende kopier, medmindre lovgivning kræver fortsat opbevaring. Aktivt servicemateriale returneres eller slettes senest 30 dage efter kundens valg, medmindre en kortere frist er aftalt. Tilbageholdte lovpligtige oplysninger afgrænses og må ikke bruges til andre formål.
Sikkerhedskopiers maksimale restopbevaring og sletteforløb skal udfyldes i bilag C før aftaleindgåelse. Der gives ikke et automatisk løfte om 30-dages sletning af alle sikkerhedskopier. Ved genetablering genanvendes tidligere sletteinstrukser. Sletning dokumenteres på anmodning.
9 Forrang og ansvar
Aftalen har forrang over modstridende kommercielle vilkår for den omfattede behandling og begrænser ikke rettigheder eller ansvar efter databeskyttelsesreglerne. Parterne er ansvarlige efter gældende ret. Instruks og bilag opbevares skriftligt, herunder elektronisk. Aftalen er en tilpasset kontrakt og betegnes ikke som Datatilsynets uændrede standardkontraktbestemmelser.
Bilag A Behandling og varighed
Service: Den kundeaftale, som indgås, skal udtrykkeligt angive de omfattede import-, kontrol- eller administrationsopgaver. Formålet er at modtage, strukturere, kontrollere og stille kundens egne fakturadata til rådighed efter instruks. En overgang til Debtiums selvstændige inkassobehandling dokumenteres særskilt.
Operationer: Overførsel fra kundens valgte kilder, aflæsning, validering, korrektion, visning, eksport og sletning. OCR kan kun omfattes efter godkendelse af OpenAI og overførselsvilkårene i bilag B. Ingen automatisk afgørelse om inkasso, udbetaling eller retsskridt er omfattet.
Registrerede: Kundens kontaktpersoner, debitorer og relevante repræsentanter. Oplysninger: Navn, nødvendige identifikatorer, adresse, kontaktoplysninger, fakturanummer, varelinjer, datoer, hovedstol, moms, betalinger og rykkerhistorik. CPR må kun medtages, hvis kunden har dokumenteret særskilt grundlag og nødvendighed. Artikel 9-oplysninger og straffeoplysninger er ikke en del af standardinstruksen.
Varighed: I den accepterede serviceperiode og det nødvendige aftalte afviklingsforløb. Kilde-PDF og OCR-resultat lagres ikke i OCR-forbrugsloggen; kundens senere eksport eller sagslagring er en særskilt behandling.
Bilag B Leverandører der skal identificeres og godkendes
| Teknisk leverandør | Relevans og afklaring før accept |
|---|---|
| Hetzner | Hosting af CRM. Udfyld juridisk aftalepart, faktiske hostinglande, DPA og relevante underleverandører. |
| Debbie / Intellitech Systems A/S | Kun hvis den afgrænsede instruksbundne service bruger Debbie. Afklar kundens direkte aftale, Debtiums rolle, gældende DPA og den relevante leverandørkæde. |
| OpenAI | Valgt OCR. Udfyld juridisk aftalepart, projekt, DPA, behandling/tilgangslande og overførselsgrundlag. store=false er verificeret teknisk; EU-only og Zero Data Retention er ikke verificeret. |
| Mail, kalender og telefoni | Simply, Microsoft og Aircall er relevante tekniske tjenester i opsætningen. Medtag kun dem, der faktisk behandler oplysninger under denne kundes instruks, med juridiske identiteter og aftalevilkår. |
Tabellen er en afklaringsliste og ikke en færdig godkendt underdatabehandlerliste. Parterne skal udfylde og acceptere den relevante liste før denne aftale tages i brug.
Bilag C Instruks og sikkerhedsforanstaltninger
Instruksen omfatter alene opgaverne i bilag A. Adgang begrænses efter rolle og arbejdsbehov. Forbindelser anvender TLS. Nøgler beskyttes på serveren, og integrationens API-nøgle udleveres ikke til browseren. Internt CRM har individuelle konti, adgangskodekontrol og begrænsning af loginforsøg. MFA er valgfri efter Debtiums aktuelle beslutning; der loves ikke obligatorisk MFA.
PDF kontrolleres i en proces med grænser for filstørrelse, sidetal, tid og hukommelse. OpenAI OCR kræver medarbejderens valg, har samtidigheds- og forbrugsgrænser, og resultatet skal kontrolleres før eksport. Logge må ikke indeholde kildefakturaer, fulde modelbeskeder eller API-nøgler.
Opdateringer og adgangsændringer håndteres kontrolleret. Der findes verificerede sikkerhedskopier og en afprøvet gendannelsesprocedure. En uafhængig krypteret off-server-kopi er endnu ikke etableret og loves ikke i dette udkast. CRM deler host med andre tjenester. Særskilt hosting, yderligere sikkerhed og de endelige kontrolintervaller aftales efter risikoen.
Skal udfyldes: Hosting- og adgangslande; endelige slettefrister for hver oplysningstype, sikkerhedslog og backup; backupplacering og maksimal restopbevaring; kundens sikkerhedskontakt og Debtiums operative beredskabskontakt. En ikke-dokumenteret slettefrist eller leverandørlokalitet må ikke betragtes som godkendt.
Bilag D Accept og kontakt
Kundens juridiske navn, CVR, adresse, underskriver og kontakt for sikkerhed/registreredes rettigheder angives i kundeaftalen. Debtiums kontakt er info@debtium.dk. Underskrivernes bemyndigelse, version, dato og accept af bilag A–C skal dokumenteres. Aftalen må ikke aktiveres ved et generelt obligatorisk signup-felt, før rolle og service er afklaret.