Databehandleraftale

Begreber

1. Parterne

Databehandler: Hours v/ Martin Sarvio, enkeltmandsvirksomhed, CVR-nr. 34 97 22 81, Kærtoften 14, 8210 Aarhus V. Kontakt om databeskyttelse og sikkerhed: kontakt@hours.dk. Databehandleren har ikke udpeget en databeskyttelsesrådgiver.

Dataansvarlig: Den erhvervsdrivende kunde, der har accepteret Hours' handelsbetingelser, med det navn, den adresse og det CVR-nummer, kunden har registreret i Platformen.

Databehandleraftalen indgås kun med erhvervsdrivende.

2. Roller, genstand og instruks

2.1 Roller

Den dataansvarlige er dataansvarlig for Kundedata. Databehandleren behandler Kundedata på den dataansvarliges vegne.

Handler den dataansvarlige selv som databehandler for sine egne kunder, er Databehandleren underdatabehandler. Den dataansvarlige indestår da for at have den endelige dataansvarliges godkendelse til at bruge Databehandleren og underdatabehandlerne i Bilag B.

2.2 Genstand og varighed

Databehandleraftalen gælder den behandling, som Databehandleren udfører, når den leverer Platformen: leverandørindsigt, prisbenchmarking og kontraktoptimering og, for de kunder der aktiverer det, bogføring, løn og bankafstemning. Behandlingens karakter, formål og varighed og kategorierne af registrerede og personoplysninger står i Bilag A.

2.3 Afgrænsning

Databehandleraftalen gælder ikke for behandlinger, hvor Hours selv er dataansvarlig: Hours' brugerkonti og login, abonnement og betaling, sikkerheds- og auditlog, kontaktformular, bookinger, nyhedsbrev, samtykker og cookies samt affiliateprogrammet. De er beskrevet i Privatlivspolitikken (dokument 08).

2.4 Den dataansvarliges forpligtelser

Den dataansvarlige:

1. har et gyldigt retsgrundlag efter GDPR artikel 6 og, hvor det er relevant, artikel 9 og 10 og databeskyttelseslovens §§ 7, 8, 11 og 12 for de behandlinger, den instruerer om;
2. giver de registrerede de oplysninger, som GDPR artikel 13 og 14 kræver, herunder om databehandlere, underdatabehandlere og overførsel til USA ved brug af AI-funktioner;
3. har ret til at uploade de dokumenter og forbinde de tjenester, den bruger i Platformen;
4. styrer selv sine brugere og deres rettigheder i Platformen;
5. registrerer ikke oplysninger efter artikel 9 eller 10, medmindre det er nødvendigt og lovligt. Det gælder også fravær på grund af sygdom i lønmodulet;
6. holder sin kontaktadresse i Platformen opdateret, så underretninger efter punkt 6 og 8 når frem.

2.5 Instruks

Den dataansvarliges instruks består af Databehandleraftalen, Handelsbetingelserne og den dataansvarliges opsætning og brug af Platformens funktioner. Aktiverer den dataansvarlige en funktion, fx en forbundet indbakke, Amber, upload af en kontrakt eller en bankforbindelse, er det en instruks om at behandle de oplysninger, funktionen kræver. Yderligere instrukser skal være skriftlige og holde sig inden for Platformens funktioner og formålene i Bilag A.

3. Kategorier af registrerede og personoplysninger

Kategorierne står i Bilag A og Datakategorier (dokument 04). Der behandles almindelige personoplysninger, herunder:

• identifikations- og kontaktoplysninger om personer i Kundedata, fx den dataansvarliges medarbejdere og kontaktpersoner hos leverandører og kunder. CVR-oplysninger er personoplysninger, når virksomheden er en enkeltmandsvirksomhed;
• kontrakt-, leverandør-, faktura- og bogføringsoplysninger;
• e-mailindhold og vedhæftninger fra indbakker, som den dataansvarlige selv forbinder;
• beskeder og filer fra kanaler, som den dataansvarlige selv forbinder;
• bank- og transaktionsoplysninger, når en bankforbindelse er aktiveret;
• lønoplysninger, når lønmodulet er aktiveret: navn, adresse, ansættelsesvilkår, løn, skattekort, pension, kørsel og bankkonto til lønudbetaling;
• signeringsdata: underskrivernes navn og e-mail og IP-adresse og browseroplysninger ved underskrift;
• tale til Amber omsættes til tekst af brugerens egen browser. Lydoptagelser sendes ikke til Databehandleren eller dennes underdatabehandlere.

CPR-numre. Aktiverer den dataansvarlige lønmodulet, behandles CPR-numre om den dataansvarliges medarbejdere. CPR-numre er ikke særlige kategorier efter artikel 9, men er reguleret i databeskyttelseslovens § 11. Den dataansvarlige er ansvarlig for hjemlen. Databehandleren krypterer CPR-numre på applikationsniveau med AES-256-GCM med en tilfældig IV pr. værdi, før de gemmes, og viser dem kun maskeret, jf. Sikkerhedsbeskrivelsen (dokument 07).

Særlige kategorier. Lønmodulets fraværsregistrering kan indeholde oplysninger om sygdom, som er helbredsoplysninger efter artikel 9. Dokumenter, e-mails og beskeder kan også indeholde sådanne oplysninger. Databehandleren behandler dem kun som en del af det materiale, den dataansvarlige lægger ind, og efter dennes instruks.

4. Databehandlerens forpligtelser

4.1 Instruks

Databehandleren behandler kun Kundedata efter den dataansvarliges dokumenterede instruks, også ved overførsel til tredjelande, medmindre EU-ret eller dansk ret kræver det. I så fald underretter Databehandleren den dataansvarlige om kravet, før behandlingen sker, medmindre loven forbyder det af hensyn til vigtige samfundsinteresser.

Databehandleren underretter straks den dataansvarlige, hvis en instruks efter Databehandlerens opfattelse strider mod Databeskyttelsesreglerne.

4.2 Fortrolighed og adgang

Databehandleren sikrer, at de personer, der har adgang til Kundedata, har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt, også efter adgangens ophør. Personer, der handler under Databehandlerens myndighed, behandler kun Kundedata efter den dataansvarliges instruks, jf. GDPR artikel 32, stk. 4.

Databehandleren tilgår kun Kundedata i en kundes organisation for at levere Platformen, yde support, afhjælpe fejl eller opfylde et lovkrav. Supportadgang til en organisations data er tidsbegrænset, kræver en registreret begrundelse og logges. Den dataansvarlige kan på anmodning få oplyst, hvornår supportadgang er brugt på organisationens data.

4.3 Sikkerhed

Databehandleren træffer passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32. De står i Sikkerhedsbeskrivelsen (dokument 07), som kun beskriver indførte foranstaltninger. Databehandleren sænker ikke sikkerhedsniveauet væsentligt, mens Databehandleraftalen løber.

4.4 Underdatabehandlere

Databehandleren overholder betingelserne i punkt 6.

4.5 Bistand

Databehandleren bistår den dataansvarlige med at opfylde forpligtelserne efter GDPR artikel 32 til 36, under hensyn til behandlingens karakter og de oplysninger, Databehandleren har. Bistanden omfatter oplysninger om sikkerhedsforanstaltningerne, underretning og bistand ved brud efter punkt 8 og oplysninger til brug for konsekvensanalyser og forudgående høring af Datatilsynet. Bistand i rimeligt omfang er omfattet af abonnementet.

4.6 Fortegnelse og samarbejde med Datatilsynet

Databehandleren fører en fortegnelse efter GDPR artikel 30, stk. 2, og samarbejder med Datatilsynet efter artikel 31.

4.7 Ingen egen brug

Databehandleren bruger ikke Kundedata til egne formål og bruger dem ikke til at træne AI-modeller. Databehandleren må kun bruge statistik, der er anonym i GDPR's forstand, så ingen person, den dataansvarlige eller dennes samhandelspartnere kan identificeres. Data med kunde-id eller kontrakt-id er ikke anonyme. Bruger Databehandleren Kundedata til egne formål i strid med Databehandleraftalen, er Databehandleren dataansvarlig for den behandling, jf. GDPR artikel 28, stk. 10.

4.8 AI-funktioner

Bruges en AI-funktion, sendes det indhold, som funktionen behandler, til den AI-leverandør, der står i Bilag B. Det kan være hele dokumenter, billeder, tekst, chathistorik og beskeder. Indholdet pseudonymiseres ikke. Indbakkescanning i Amber er slået fra, indtil den dataansvarlige slår den til. Andre AI-funktioner kører, når en bruger bruger dem. Har den dataansvarlige en forbundet indbakke og en aktiv forhandling med autopilot, henter Platformen leverandørsvar automatisk og lader AI-leverandøren foreslå et svar. Bilag A, A.6.3, beskriver, hvornår hvad kører.

Bruger den dataansvarlige sin egen nøgle hos en AI-leverandør, er leverandøren den dataansvarliges egen tjeneste, jf. punkt 6.5.

5. De registreredes rettigheder

Databehandleren bistår, så vidt muligt, den dataansvarlige med at besvare anmodninger fra registrerede efter GDPR kapitel III. Databehandleren svarer uden unødig forsinkelse og tager hensyn til den dataansvarliges frist efter artikel 12, stk. 3.

Retter en registreret en henvendelse direkte til Databehandleren, sender Databehandleren den uden unødig forsinkelse videre til den dataansvarlige og besvarer den ikke selv, medmindre den dataansvarlige har instrueret om det.

6. Underdatabehandlere

6.1 Generel forhåndsgodkendelse

Den dataansvarlige giver generel skriftlig godkendelse til, at Databehandleren bruger de underdatabehandlere, der står i Bilag B, afsnit B.1, og dem, der tilføjes efter punkt 6.3. Den gældende oversigt offentliggøres på docs.hours.dk.

6.2 Krav til underdatabehandlere

Databehandleren indgår en skriftlig aftale med hver underdatabehandler, før den modtager Kundedata. Aftalen pålægger underdatabehandleren i det væsentlige de samme databeskyttelsesforpligtelser som Databehandleraftalen, og som minimum dem, der følger af GDPR artikel 28, stk. 3, jf. stk. 4, herunder forbud mod at bruge Kundedata til egne formål eller modeltræning. Hvor underdatabehandlerens standardvilkår fastsætter andre frister for varsel, revision eller underretning om brud, står de i Bilag B. Databehandleren er over for den dataansvarlige fuldt ansvarlig for, at underdatabehandleren opfylder sine forpligtelser.

6.3 Varsel og indsigelse

Databehandleren varsler skriftligt mindst 30 dage, før en ny underdatabehandler tages i brug, eller en eksisterende udskiftes. Det samme gælder, når en eksisterende underdatabehandler skal behandle Kundedata i et nyt land eller nye kategorier af Kundedata. Varslet sendes til den dataansvarliges kontaktadresse og angiver leverandørens navn og juridiske enhed, formål, oplysninger, land og overførselsgrundlag. Den dataansvarlige kan gøre skriftlig indsigelse, før varslet udløber.

Ændrer en underdatabehandler sine egne underleverandører, og berører ændringen Kundedata, videresender Databehandleren varslet uden unødig forsinkelse og senest 5 arbejdsdage efter at have modtaget det. Den dataansvarlige kan gøre skriftlig indsigelse inden 5 arbejdsdage efter videresendelsen. Databehandleren fremfører indsigelsen over for underdatabehandleren, og punkt 6.4 gælder tilsvarende.

6.4 Følger af en indsigelse

Har den dataansvarlige gjort indsigelse i tide, søger parterne i god tro en løsning, fx at den funktion, der bruger underdatabehandleren, slås fra for den dataansvarlige. Kan underdatabehandleren ikke fravælges for den enkelte kunde, kan den dataansvarlige opsige Databehandleraftalen og Handelsbetingelserne skriftligt med virkning senest fra ibrugtagningen. Databehandleren tager i så fald først underdatabehandleren i brug for den dataansvarliges Kundedata, når opsigelsen er trådt i kraft, eller når der er gået 30 dage efter indsigelsen uden opsigelse. Forudbetalt abonnement for perioden efter opsigelsen refunderes forholdsmæssigt.

6.5 Den dataansvarliges egne tjenester

Følgende er ikke Databehandlerens underdatabehandlere. Den dataansvarlige forbinder dem selv og har selv aftale med udbyderen: e-mailudbydere (Gmail, Outlook), Slack, den dataansvarliges regnskabssystemer, den dataansvarliges egne nøgler hos AI-leverandører og den dataansvarliges egne lagertjenester. Det, Databehandleren henter fra sådanne tjenester, behandler Databehandleren efter Databehandleraftalen. Overførsler, som den dataansvarlige selv foranlediger til sådanne tjenester, er den dataansvarliges ansvar.

6.6 Fjernelse

Databehandleren kan fjerne en underdatabehandler uden varsel. Fjernelsen fremgår af næste version af Bilag B.

7. Overførsel til tredjelande

Databehandleren overfører kun Kundedata til tredjelande efter instruks og kun, når GDPR kapitel V er opfyldt. Databehandleraftalen er den dataansvarliges instruks om de overførsler, der står i Bilag B, afsnit B.1 og B.7. Bilag B angiver for hver underdatabehandler land og overførselsgrundlag. Behandlingen er ikke udelukkende EU-baseret: AI-funktioner indebærer overførsel til USA.

For hver overførsel, der bygger på EU-Kommissionens standardkontraktbestemmelser, vurderer og dokumenterer Databehandleren, om der er behov for supplerende foranstaltninger, før overførslen påbegyndes. Vurderingerne står i Overførselsvurderinger (dokument 12) og udleveres på anmodning.

Modtager Databehandleren eller en underdatabehandler en anmodning fra en myndighed uden for EU/EØS om adgang til Kundedata, underretter Databehandleren den dataansvarlige, medmindre loven forbyder det, og udleverer kun det, Databehandleren er retligt forpligtet til.

Bortfalder et overførselsgrundlag, standser Databehandleren overførslen eller indfører et andet lovligt grundlag og underretter den dataansvarlige uden unødig forsinkelse.

8. Brud på persondatasikkerheden

8.1 Underretning

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et Brud på persondatasikkerheden. De 48 timer er en yderste grænse. Det gælder også brud hos en underdatabehandler, regnet fra det tidspunkt, hvor Databehandleren blev opmærksom på det. Underretningen sendes til den dataansvarliges kontaktadresse.

8.2 Indhold

Underretningen indeholder, så vidt det er kendt: bruddets karakter, de berørte kategorier og det omtrentlige antal registrerede og registreringer, de sandsynlige konsekvenser, de trufne eller foreslåede foranstaltninger og en kontakt hos Databehandleren. Oplysninger, der ikke kendes straks, gives i etaper uden unødig yderligere forsinkelse.

8.3 Bistand

Databehandleren bistår den dataansvarlige med forpligtelserne efter GDPR artikel 33 og 34 og dokumenterer hvert brud, dets virkninger og de afhjælpende foranstaltninger. Den dataansvarlige afgør, om bruddet anmeldes til Datatilsynet. Fristen på 72 timer i artikel 33, stk. 1, gælder den dataansvarliges anmeldelse.

9. Varighed, ophør, tilbagelevering og sletning

Databehandleraftalen gælder, så længe Databehandleren behandler Kundedata, også efter Ophør, indtil sletningen efter punkt 9.4 er gennemført.

9.1 Den dataansvarliges valg

Ved Ophør vælger den dataansvarlige, om Kundedata skal tilbageleveres eller slettes, jf. GDPR artikel 28, stk. 3, litra g. Valget meddeles skriftligt til kontakt@hours.dk. Ønsker den dataansvarlige, at Databehandleren opbevarer bogføringsmateriale efter Ophør for at opfylde den dataansvarliges egen pligt efter bogføringslovens § 12, sker det kun efter særskilt skriftlig instruks og som fortsat behandling efter Databehandleraftalen. Har den dataansvarlige ikke valgt, når Exitperioden udløber, gælder det som et valg af sletning. Databehandleren sender en påmindelse til kontaktadressen senest 7 dage før Exitperioden udløber.

9.2 Exitperioden

Exitperioden er 30 dage fra Ophør. Den er en aftalt periode mellem parterne og ikke en frist i Databeskyttelsesreglerne. I Exitperioden opbevarer Databehandleren Kundedata alene for at kunne tilbagelevere dem. Anmoder den dataansvarlige om sletning før periodens udløb, slettes uden at afvente periodens udløb.

9.3 Tilbagelevering

Ved valg af tilbagelevering stiller Databehandleren Kundedata til rådighed som en maskinlæsbar JSON-eksport af organisationens data og uploadede filer, eller i et andet format, parterne aftaler. En anmodning, der er modtaget før Exitperioden udløber, er rettidig og gennemføres, før der slettes. Tilbageleveringen er gennemført, når Databehandleren har stillet Kundedata til rådighed og har underrettet den dataansvarlige, og den dataansvarlige har bekræftet modtagelsen eller ikke har gjort indsigelse inden 14 dage.

9.4 Sletning

Databehandleren sletter Kundedata uden unødig forsinkelse efter det tidligste af (a) gennemført tilbagelevering, (b) den dataansvarliges sletningsinstruks og (c) Exitperiodens udløb uden anmodning om tilbagelevering. Sletningen følger en dokumenteret procedure og omfatter:

• databasen og filarkivet;
• Databehandlerens sikkerhedskopier, som roteres ud efter de perioder, der står i Bilag B, afsnit B.1. Genoprettes en sikkerhedskopi efter en sletning, slettes de omfattede oplysninger igen, før kopien tages i brug;
• kopier hos underdatabehandlere, som Databehandleren instruerer om at slette.

Databehandleren bekræfter sletningen skriftligt på anmodning med angivelse af undtagelser efter punkt 9.5 og datoen, hvor sikkerhedskopier senest er roteret ud.

9.5 Undtagelser

Kundedata opbevares efter Ophør kun, hvor EU-ret eller dansk ret kræver det, og kun de konkrete oplysninger, kravet omfatter. Oplysningerne bruges ikke til andet.

Hours' egne oplysninger som dataansvarlig, herunder accept af Databehandleraftalen og sikkerhedslog, er ikke Kundedata og følger Retentionmatrixen (dokument 06) og Privatlivspolitikken (dokument 08).

9.6 De registreredes rettigheder

Exitperioden ændrer ikke den dataansvarliges frister over for de registrerede eller Databehandlerens bistand efter punkt 5.

9.7 Overtrædelse

Overtræder Databehandleren Databehandleraftalen, kan den dataansvarlige kræve behandlingen suspenderet, til overtrædelsen er bragt til ophør. Er overtrædelsen ikke afhjulpet 30 dage efter skriftlig meddelelse, kan den dataansvarlige opsige Databehandleraftalen og Handelsbetingelserne med øjeblikkelig virkning. Forudbetalt abonnement refunderes forholdsmæssigt.

10. Dokumentation og revision

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af GDPR artikel 28, og giver mulighed for og bidrager til revisioner, herunder inspektioner, som den dataansvarlige eller en revisor med mandat fra den dataansvarlige foretager.

Revision varsles skriftligt med mindst 30 dages varsel, sker højst én gang om året, medmindre der er sket et brud, eller Datatilsynet kræver det, og sker i normal arbejdstid. Revisoren er bundet af tavshedspligt og får ikke adgang til andre kunders data. Den dataansvarlige afholder sine egne omkostninger og Databehandlerens rimelige tidsforbrug. Viser revisionen en væsentlig overtrædelse, afholder Databehandleren sine egne omkostninger.

Databehandleren er ikke certificeret efter ISO 27001, SOC 2 eller lignende og påberåber sig ikke sådanne certificeringer.

11. Ansvar, forrang, ændringer og ikrafttræden

11.1 Ansvar

Databehandleraftalen begrænser ikke de registreredes ret til erstatning efter GDPR artikel 82. Mellem parterne gælder ansvarsloftet i Handelsbetingelsernes punkt 7.1 også for krav efter Databehandleraftalen, herunder regreskrav efter GDPR artikel 82, stk. 5, og krav som følge af et Brud på persondatasikkerheden. Handelsbetingelsernes punkt 7.2 om tabte data og tredjemandsansvar gælder ikke for sådanne krav. Ansvarsbegrænsningen gælder ikke ved forsæt eller grov uagtsomhed.

11.2 Forrang

Ved uoverensstemmelse mellem Databehandleraftalen og Handelsbetingelserne om behandling af personoplysninger har Databehandleraftalen forrang. Ved uoverensstemmelse mellem hovedteksten og et bilag har hovedteksten forrang.

11.3 Ændringer

Databehandleren kan ændre Databehandleraftalen ved at varsle den nye version skriftligt mindst 30 dage før. Den dataansvarlige kan opsige Databehandleraftalen og Handelsbetingelserne inden varslets udløb med virkning fra ikrafttrædelsen og får forudbetalt abonnement refunderet forholdsmæssigt. Ændringer, som loven eller en myndighed kræver, kan træde i kraft tidligere, hvis kravet fastsætter det. Ændringer af Bilag B følger punkt 6.

11.4 Overdragelse

Databehandleren kan overdrage Databehandleraftalen til et selskab, der viderefører Databehandlerens virksomhed og indtræder i alle forpligtelser. Overdragelsen varsles mindst 30 dage før. Den dataansvarlige kan opsige med virkning fra overdragelsen.

11.5 Ikrafttræden og accept

Databehandleraftalen indgås elektronisk og er dermed skriftlig, jf. GDPR artikel 28, stk. 9. Databehandleraftalen er en del af Handelsbetingelserne og gælder fra den dataansvarliges accept af dem, også i en prøveperiode. For kunder, der har accepteret en tidligere version, træder denne version i kraft efter varsel efter punkt 11.3. Ved accept registreres organisation, bruger, tidspunkt, version og en SHA-256-kontrolsum af den accepterede tekst. Den, der accepterer, bekræfter at have bemyndigelse til at binde den dataansvarlige.

11.6 Lovvalg og værneting

Handelsbetingelsernes regler om lovvalg og værneting gælder også for Databehandleraftalen.

11.7 Kontakt

kontakt@hours.dk.

Bilag A: Behandlingsaktiviteter

A.1 Behandlingens genstand og karakter

Databehandleren behandler personoplysninger som led i drift af Hours-platformen på den dataansvarliges vegne og efter dennes instruks. Karakteren omfatter indsamling, registrering, opbevaring, strukturering, analyse, visning, sammenstilling, sletning og, hvor kunden har aktiveret det, AI-assisteret analyse.

A.2 Formål

De overordnede formål er:

1. Leverandørindsigt, prisbenchmarking og kontraktoptimering.
2. Dokument- og fakturahåndtering, herunder AI-assisteret analyse (Amber).
3. Bogføring og økonomistyring for de kunder, der aktiverer modulet.
4. Lønbehandling for de kunder, der aktiverer lønmodulet.
5. Drift, sikkerhed, fejlfinding og support af platformen.
6. Afsendelse af system- og aftalerelaterede meddelelser.

Uddybet i Behandlingsformål (dokument 05).

A.3 Kategorier af registrerede

• Den dataansvarliges administratorer, bogholdere og øvrige brugere.
• Den dataansvarliges medarbejdere (ved brug af lønmodulet).
• Den dataansvarliges leverandører og kunder, i det omfang de optræder i

kontrakter, fakturaer, bilag eller e-mails.

• Den dataansvarliges e-mailkorrespondenter (ved forbundet indbakke).
• Kontoejere hos den dataansvarliges bank (ved brug af bankintegration).

A.4 Kategorier af personoplysninger

Se den fulde liste i Datakategorier (dokument 04). Overordnet:

• Identifikationsoplysninger (navn, e-mail, rolle, CVR).
• CPR-numre om medarbejdere (kun ved brug af lønmodulet, databeskyttelseslovens

§ 11).

• Kontrakt-, leverandør- og økonomioplysninger.
• E-maildata (afsender, emne, metadata, indhold).
• Bank- og transaktionsdata (ved brug af bankintegration).
• Bruger- og sikkerhedslogdata (tidsstempler, IP-adresser).

Særlige kategorier (art. 9) kan forekomme: oplysninger om sygefravær i lønmodulet og oplysninger, den dataansvarlige selv lægger i dokumenter, e-mails og beskeder.

A.5 Varighed

Under kundeforholdet: aktivt. Efter ophør: Exitperioden på 30 dage, derefter tilbagelevering eller sletning efter Databehandleraftalens punkt 9 og Retentionmatrixen (dokument 06).

A.6 Behandlinger pr. delsystem

Nedenstående beskriver de konkrete behandlinger. Underdatabehandlere pr. behandling fremgår af Bilag B.

A.6.1 Platform, database og lagring

Lagring og strukturering af al kundedata (posteringer, bilag, profiler, kontrakter, transaktioner), autentificering og objektlagring. Underdatabehandler: Supabase. Region dokumenteres separat.

A.6.2 Applikationsdrift, e-mail og backup

Kørsel af applikationen, systemudgående e-mail (SMTP) og backup. Underdatabehandler: Hostinger.

A.6.3 AI-assisteret dokumentanalyse (Amber)

Analyse af dokumenter, billeder, e-mails, tekst og chathistorik, posteringsforslag og kategorisering. Det indhold, en AI-funktion behandler, herunder hele dokumenter og billeder, sendes til Anthropic. Indholdet pseudonymiseres ikke. Underdatabehandler: Anthropic Ireland, Limited, med Anthropic, PBC (USA) som behandler efter EU-standardkontraktbestemmelser. Modeltræning på kundedata er kontraktuelt udelukket. Hvornår funktionerne kører: indbakkescanning i Amber er slået fra, indtil den dataansvarlige slår den til. Har den dataansvarlige en forbundet indbakke og en aktiv forhandling med autopilot, henter Platformen leverandørsvar automatisk og lader AI-leverandøren foreslå et svar. Øvrige AI-funktioner kører, når en bruger bruger dem.

A.6.4 E-mailindbakke (kundens eget valg)

Ved forbundet indbakke scannes e-mail for dokumenter og fakturaer efter kundens instruks og Amber-indstilling. Kundens e-mailudbyder (Google/Microsoft) er kundens egen databehandler, ikke Hours' underdatabehandler; se Bilag B.

A.6.5 Betaling

Hours' egen abonnementsbetaling er ikke omfattet: Hours er dataansvarlig, jf. Privatlivspolitikken. Betaling af kundens salgsfakturaer er ikke i produktion, jf. Bilag B, B.4.

A.6.6 Bankintegration (kundens eget valg)

Bankforbindelse er ikke i produktion, jf. Bilag B, B.4.

A.6.7 Dokumentindsendelse via chat

WhatsApp og Telegram bruges ikke til Kundedata, jf. Bilag B, B.4 og B.5.

A.6.8 Løn (kundens eget valg)

Beregning og dokumentation af løn, herunder behandling af CPR-numre om medarbejdere. Kun for kunder, der aktiverer lønmodulet.

A.6.9 Drift, sikkerhed og fejllogning

Tidsstempler, IP-adresser og auditlog til sikkerheds- og driftsformål. Ekstern fejllogning (Sentry) er ikke aktiv, jf. Bilag B, B.5.

A.6.10 Logoer

Leverandørens domæne og brugerens IP-adresse sendes til Brandfetch for at vise leverandørlogoer. Intet dokumentindhold.

A.6.11 Sikkerhedskopier

Krypterede kopier af database og filarkiv opbevares midlertidigt hos Hostinger og GitHub, jf. Bilag B, B.1.

A.6.12 CVR-opslag

Et CVR-nummer eller firmanavn, som brugeren søger på, slås op i CVR-registret, jf. Bilag B, B.1.

Bilag B: Underdatabehandlere

B.1 Godkendte underdatabehandlere

Leverandørernes egne frister efter deres standardvilkår, jf. Databehandleraftalens punkt 6.2:

Opbevaring hos leverandørerne: Anthropic sletter input og output senest 30 dage efter modtagelse. Indhold, som Anthropics automatiske sikkerhedssystemer markerer som brud på brugspolitikken, kan opbevares i op til 2 år, og klassifikationsscorer i op til 7 år. GitHub-artefakter udløber efter 7 dage (kopi ved udrulning) og 14 dage (natlig kopi). Hostinger-kopier roteres efter 30 dage. Supabase opbevarer, indtil Hours sletter, og derudover i den periode, som Supabases platformsbackup for projektets plan dækker.

B.2 Underdatabehandlernes egne leverandører

Leverandørerne i B.1 bruger egne underleverandører. Den dataansvarliges godkendelse omfatter dem, når leverandørens aftale pålægger dem i det væsentlige de samme forpligtelser. Hours videresender varsler om ændringer, der berører Kundedata, efter Databehandleraftalens punkt 6.3. Listerne er kontrolleret 2026-10-03:

B.3 Den dataansvarliges egne tjenester

Den dataansvarlige forbinder selv disse tjenester og har selv aftale med udbyderen. De er ikke Hours' underdatabehandlere, jf. Databehandleraftalens punkt 6.5.

B.4 Kun efter aktivering og varsel

Disse modtager ikke Kundedata i produktion i dag. De flyttes til B.1 efter varsel efter Databehandleraftalens punkt 6.3, når aftale og overførselsgrundlag er dokumenteret.

B.5 Ikke i brug til Kundedata

B.6 Ændringer

Ændringer følger Databehandleraftalens punkt 6.3 og 6.4. Hver ændring får ny version og dato i 11. Den gældende version offentliggøres på docs.hours.dk.

B.7 Overførsel til tredjelande

Kundedata overføres til USA, når AI-funktioner bruges (Anthropic, PBC), og som krypterede sikkerhedskopier (GitHub). Supabase Pte. Ltd. og Supabase, Inc. kan tilgå data fra Singapore og USA ved support og drift. Overførselsvurderingerne står i dokument 12. Grundlaget er EU-Kommissionens standardkontraktbestemmelser. EU-U.S. Data Privacy Framework (afgørelse (EU) 2023/1795) er i kraft, men bruges ikke som eneste grundlag, fordi dens gyldighed er indbragt for EU-Domstolen (sag C-703/25 P). Den dataansvarlige kan få en kopi af de relevante garantier ved at skrive til kontakt@hours.dk.