# Databehandleraftale for Zitado

**Version:** 1.0 · 19. oktober 2026
**Dokumentadresse:** https://www.zitado.com/databehandleraftale

## 1. Parter og aftalegrundlag

Denne databehandleraftale ("DPA'en") indgås mellem:

**Dataansvarlig:** Den virksomhed, organisation eller offentlige myndighed, som har tegnet abonnement på Zitado, og hvis juridiske navn, adresse, organisationsnummer og autoriserede aftalepart fremgår af kundens bestillings-/kontoregistrering ("Kunden").

**Databehandler:** **Camonda ApS (binavn: ZELLERT ApS)**, Søndergade 3, 1., 7830 Vinderup, Danmark, CVR 43532421, e-mail **info@zitado.com** ("ZELLERT" eller "Zitado").

DPA'en er en integreret del af aftalen om brug af Zitado og regulerer behandling af personoplysninger, som ZELLERT udfører på Kundens vegne. Den opfylder den tilsigtede funktion som databehandleraftale efter artikel 28, stk. 3 og 4, i forordning (EU) 2016/679 ("GDPR"). Den er **ikke** en uændret gengivelse af Datatilsynets eller Europa-Kommissionens godkendte standardkontraktbestemmelser.

DPA'en gælder fra den dato, hvor en person med bemyndigelse til at forpligte Kunden har accepteret den elektronisk eller skriftligt. ZELLERT skal kunne dokumentere Kundens identitet, den accepterede version, tidspunkt og accepteringsmetode. En offentliggjort webside alene udgør ikke dokumentation for accept.

En allerede bindende særskilt databehandleraftale bevares, indtil en ændring eller erstatning er gyldigt aftalt. En ændring af loginforløbet eller en intern kundestatus ændrer ikke i sig selv den aftale. Dokumenteret accept uden for platformen kan registreres med henvisning til den faktiske aftale og accept; den må ikke fremstilles som en ny accept af denne version.

## 2. Definitioner og rollefordeling

Begreberne "personoplysninger", "behandling", "dataansvarlig", "databehandler", "underdatabehandler" og "brud på persondatasikkerheden" anvendes som i GDPR.

Kunden bestemmer formål og de væsentlige midler for behandling af personoplysninger, som Kunden indtaster, uploader eller administrerer i Zitado. ZELLERT behandler disse oplysninger efter dokumenteret instruks og er databehandler i denne relation.

ZELLERT kan være **selvstændig dataansvarlig** for egne kundeforholds-, abonnements-, fakturerings-, salgs-, sikkerheds- og lovpligtige regnskabsaktiviteter. Disse behandlinger er ikke omfattet af ZELLERTs rolle som databehandler efter denne DPA; de beskrives i Zitados privatlivspolitik. Stripe kan efter den konkrete betalingsaktivitet handle som selvstændig dataansvarlig og/eller databehandler for ZELLERT. Stripe er ikke automatisk underdatabehandler for de oplysninger, Kunden lægger i Zitados Ai-governance-register.

## 3. Behandlingens omfang, art og formål

De dokumenterede specifikationer fremgår af **Bilag A**: behandlingens genstand, varighed, datatyper, kategorier af registrerede, formål og behandlingsoperationer. De omfatter blandt andet registrering af medarbejdere og teams, Ai-værktøjer og deres anvendelser, træning, brugsregler, governance-beslutninger, dokumenter, screeninger, rapporter og support, i det omfang disse indeholder personoplysninger.

Valgfri **Ai-politikgenerator** er beskrevet i **Bilag D**. Det er en valgfri funktion, hvor adgangen afhænger af plan, prøveperiode og eventuelle tilvalg. Når funktionen anvendes efter Kundens dokumenterede instruks, kan oplysninger, herunder potentielt personoplysninger i fritekst, blive behandlet af OpenAI som underdatabehandler, jf. Bilag C og D. Det er ikke korrekt at betegne denne proces som fuldstændig anonym, alene fordi kendte navne udskiftes med markører.

## 4. Kundens instrukser og ansvar

ZELLERT må alene behandle personoplysninger efter Kundens dokumenterede instrukser, herunder vedrørende overførsel til tredjelande, medmindre en pligt følger af relevant EU-ret eller medlemsstatsret. I så fald orienterer ZELLERT forud, medmindre loven forbyder orientering af vigtige samfundshensyn.

Kundens dokumenterede instrukser udgøres af denne DPA med bilag, Zitados aftalte funktionalitet og indstillinger, relevante handlinger foretaget af autoriserede brugere samt særskilte skriftlige instrukser, som ZELLERT accepterer. Instrukser, der væsentligt ændrer tjenesten, kan kræve en særskilt aftale, men ZELLERT kan ikke unddrage sig lovpligtige databehandlerforpligtelser med henvisning hertil.

Kunden er ansvarlig for lovligt behandlingsgrundlag, korrekt information til egne medarbejdere og andre registrerede, dataminimering, korrekte adgangsrettigheder og overholdelse af de regler, der gælder for Kundens brug af Zitado.

**Brugsbegrænsning:** Zitado er ikke beregnet til CPR-numre, oplysninger om strafbare forhold eller særlige kategorier af personoplysninger efter GDPR artikel 9 (f.eks. helbred, fagforeningsforhold, religiøs overbevisning eller biometriske data til entydig identifikation). Kunden må ikke tilføre sådanne oplysninger til tjenesten, herunder gennem fritekst, filer eller Ai-politikgeneratoren. Hvis de alligevel modtages, skal ZELLERT håndtere dem forsvarligt og samarbejde med Kunden om lovlig begrænsning eller sletning; dette forbud fritager ingen part for GDPR-pligter.

ZELLERT underretter uden unødig forsinkelse Kunden, hvis ZELLERT efter sin vurdering modtager en instruks, der overtræder GDPR eller anden relevant EU-/national databeskyttelsesret. ZELLERT kan suspendere den berørte behandling, mens lovligheden afklares, i det omfang det er nødvendigt.

## 5. Fortrolighed og autoriseret personale

ZELLERT sikrer, at personer, der er autoriseret til at behandle personoplysninger, er bundet af fortrolighed eller passende lovbestemt tavshedspligt. Adgang tildeles efter arbejdsbetinget behov og ophører, når behovet bortfalder. Medarbejdere og relevante leverandører instrueres i databeskyttelse og sikker håndtering af oplysninger.

## 6. Tekniske og organisatoriske sikkerhedsforanstaltninger

ZELLERT skal implementere og opretholde foranstaltninger efter GDPR artikel 32, der er passende for behandlingens karakter og risici. **Bilag B** fastlægger mindstekrav og dokumentationspunkter, herunder transportkryptering, hensigtsmæssig kryptering ved lagring, logisk adskillelse mellem kunder, adgangskontrol/roller, sikker håndtering af adgangsnøgler, backup og gendannelse, sikkerhedslogging, hændelseshåndtering, ændringsstyring og leverandørkontrol.

ZELLERT skal dokumentere de gennemførte foranstaltninger. ZELLERT skal løbende vurdere effektiviteten af foranstaltningerne, tilpasse dem efter dokumenteret risikovurdering og stille relevant dokumentation til rådighed i henhold til pkt. 12.

## 7. Underdatabehandlere

Kunden giver **generel skriftlig godkendelse** til de underdatabehandlere og behandlingsformål, som fremgår af **Bilag C**, i den version Kunden accepterer. En udbyder er kun omfattet for de ydelser, hvor denne faktisk behandler personoplysninger på Kundens vegne.

ZELLERT indgår bindende aftaler med underdatabehandlere, der pålægger databeskyttelsesforpligtelser, som mindst svarer til denne DPA og GDPR artikel 28, stk. 4. ZELLERT forbliver fuldt ansvarlig over for Kunden for en underdatabehandlers opfyldelse af disse forpligtelser.

ZELLERT giver Kunden skriftlig meddelelse om planlagt tilføjelse eller udskiftning af en underdatabehandler i rimelig tid **før** den påbegyndes og giver Kunden mulighed for at fremsætte en saglig, databeskyttelsesbegrundet indsigelse. Varslet er **30 kalenderdage via e-mail til Kundens registrerede aftalekontakt**. Ved en berettiget indsigelse drøfter parterne et forsvarligt alternativ. Kan dette ikke etableres, kan Kunden ophøre med den berørte del af tjenesten i henhold til en aftalt ordning, uden at lovpligtige rettigheder forringes.

**OpenAI er en betinget underdatabehandler.** Anvendelse af en valgfri Ai-funktion forudsætter en dokumenteret instruks fra Kunden, der omfatter det konkrete modul, dets beskrevne input og den relevante leverandør- og overførselsdokumentation. Adgang via abonnement, prøveperiode, tilkøb eller aktivering er ikke i sig selv en behandlingsinstruks. En autoriseret brugers konkrete genereringsanmodning må kun gennemføres inden for den allerede aftalte instruks. OpenAI modtager ikke automatisk alle Kundens data, fordi DPA’en omfatter denne betingede godkendelse.

ZELLERT registrerer leverandørvarsler og vurderer ændringens betydning for Kundens oplysninger og aftale. Kundemeddelelsen skal beskrive den berørte underdatabehandler, behandling, forventede startdato og mulighed for en saglig indsigelse. Et kortere varsel fra en leverandør forkorter ikke Kundens aftalte varsel eller indsigelsesret. Kan ændringen ikke gennemføres i overensstemmelse med Kundens aftale, skal ZELLERT afklare et forsvarligt alternativ eller ophør af den berørte behandling, før ændringen får virkning for Kunden. Særskilte kundeaftaler med andre varslingskrav gælder fortsat. Kontakt for spørgsmål og indsigelser er info@zitado.com.

## 8. Behandlingssteder og overførsel til tredjelande

At Zitados primære Supabase-database ligger i EU betyder **ikke**, at alle leverandører, mails, logs, supporthandlinger, sikkerhedstjenester eller API-kald udelukkende behandles i EU/EØS.

ZELLERT må kun foretage eller tillade en overførsel af personoplysninger uden for EU/EØS i overensstemmelse med GDPR kapitel V og Kundens dokumenterede instrukser. Hvor relevant anvendes et gyldigt grundlag, f.eks. en tilstrækkelighedsafgørelse eller EU-Kommissionens overførsels-SCC'er og relevante supplerende foranstaltninger. Kapitel V-overførsels-SCC'er er **ikke** det samme som en almindelig DPA efter artikel 28.

ZELLERT skal føre en opdateret oversigt over relevante modtagere, datatyper, behandlingssteder, adgang fra tredjelande og overførselsgrundlag, som Kunden kan få indsigt i.

## 9. Registreredes rettigheder

ZELLERT bistår under hensyntagen til behandlingens karakter og tilgængelige oplysninger Kunden med at besvare anmodninger om indsigt, rettelse, sletning, begrænsning, dataportabilitet, indsigelse og andre relevante rettigheder efter GDPR kapitel III.

Modtager ZELLERT en direkte henvendelse vedrørende Kundens dataansvar, videresendes den som udgangspunkt uden unødig forsinkelse til Kundens registrerede kontakt, medmindre loven kræver andet. ZELLERT besvarer ikke på Kundens vegne uden instruks. Ved anmodninger om oplysninger, hvor ZELLERT selv er dataansvarlig, handler ZELLERT selvstændigt.

## 10. Bistand ved compliance og konsekvensanalyser

ZELLERT bistår med rimelige og tilgængelige oplysninger, når Kunden skal opfylde forpligtelser efter GDPR artikel 32-36, herunder sikkerhed, konsekvensanalyse (DPIA), eventuel forudgående høring og vurdering af overførsler. Omfanget afhænger af behandlingens karakter og de oplysninger, ZELLERT råder over. ZELLERT skal ikke overtage Kundens ansvar som dataansvarlig.

## 11. Brud på persondatasikkerheden

Når ZELLERT bliver bekendt med et brud på persondatasikkerheden, som berører personoplysninger behandlet på Kundens vegne, underretter ZELLERT Kunden **uden unødig forsinkelse** og giver tilgængelige oplysninger om bruddets karakter, berørte registrerede/datatyper, konsekvenser, allerede trufne afhjælpende foranstaltninger og relevant kontaktpunkt. Oplysninger leveres trinvist, hvis de ikke er fuldstændigt tilgængelige ved første underretning.

ZELLERT bistår med undersøgelse, afværgelse, dokumentation og de oplysninger, Kunden behøver for at vurdere myndigheds- og registreretunderretning. Kundens eventuelle frist på 72 timer til anmeldelse til tilsynsmyndighed må ikke forveksles med en generel fast 72-timers frist for databehandlerens underretning; denne skal ske uden unødig forsinkelse.

## 12. Dokumentation, kontrol og revision

ZELLERT stiller de oplysninger til rådighed, som er nødvendige for at påvise overholdelse af GDPR artikel 28, og muliggør og bidrager til revisioner, herunder inspektioner, udført af Kunden eller en af Kunden bemyndiget uafhængig revisor.

Som første skridt kan parterne bruge relevante sikkerhedsbeskrivelser, revisionsresultater, databehandlerdokumentation og skriftlige kontrollerklæringer. En sådan dokumentationsbaseret kontrol kan ikke kategorisk erstatte retten til yderligere relevant revision. Kontrol tilrettelægges forholdsmæssigt med hensyn til fortrolighed, andre kunders oplysninger og driftsstabilitet; hastesituationer ved alvorlige brud behandles særskilt.

## 13. Tilbagelevering, dataeksport, sletning og sikkerhedskopier

Efter aftalens ophør vælger Kunden, om personoplysninger behandlet på Kundens vegne skal tilbageleveres eller slettes, medmindre relevant EU-/medlemsstatsret kræver opbevaring. ZELLERT sletter eksisterende kopier efter Kundens instruks under hensyntagen til lovlig opbevaring og dokumenteret backupcyklus.

I overensstemmelse med Zitados aktuelle handelsbetingelser har Kunden som udgangspunkt **60 kalenderdage** efter aftalens ophør til at hente sine eksporterbare data. Ved aftalt leverandørskifte regnes denne periode efter den aftalte overgangsperiode. Hvis Kunden ikke har givet anden lovlig instruks, skal de relevante kundedata herefter slettes eller anonymiseres, bortset fra dokumenterede undtagelser: lovpligtig opbevaring, nødvendig behandling ved retlige krav/tvist, udtrykkeligt aftalt længere periode og midlertidige rester i backups, der slettes/overskrives efter den godkendte cyklus.

Følgende frister gælder for oplysninger behandlet på Kundens vegne, med forbehold for en tidligere lovlig sletteinstruks og en strengere særskilt kundeaftale:

| Behandling | Frist |
|---|---|
| Sletning fra aktive systemer efter eksportperioden | Hurtigst muligt og senest **7 dage efter de 60 kalenderdages udløb**. |
| Udløbet prøveperiode uden konvertering | Genoptagelse i **60 kalenderdage fra prøveperiodens udløb**, derefter aktiv sletning senest inden **7 dage**. Et almindeligt login genstarter ikke fristen. |
| Backups | Rullende cyklus på højst **30 dage**. Rester slettes eller overskrives senest **30 dage efter aktiv sletning**. Allerede slettede data fjernes igen ved gendannelse før almindelig brug. |
| Supportkorrespondance / supportbilag | Henholdsvis **12 måneder** / højst **90 dage efter sagens afslutning**, eller tidligere når relevante kundedata skal slettes efter Kundens instruks eller aftale. |
| Systemmails | Mailindhold højst **30 dage efter afsendelse**, nødvendige leveringsmetadata højst **90 dage**. |
| Drifts- og fejllogs / sikkerheds- og adgangslogs | Henholdsvis højst **30 dage** / **90 dage fra hændelsen**. Et konkret hændelsesbevis kan opbevares særskilt med dokumenteret nødvendighed og revurdering. |

Det almindelige forløb kan således vare højst **97 dage fra begyndelsen af 60-dages eksportperioden** til sidste backuprest, når hele eksport-, slette- og backupperioden anvendes. Periodens start ved aftalt leverandørskifte er beskrevet ovenfor. Dette er ikke en minimumsperiode, og det forlænger ikke strengere allerede aftalte frister. Kun nødvendige, konkret afgrænsede oplysninger er omfattet af en lovlig opbevaringsundtagelse. En brugers fortsatte tilknytning til en anden organisation skal håndteres særskilt.

En særskilt aftalt samlet slettefrist omfatter alle relevante gendannelige kopier af Kundens oplysninger. ZELLERT skal planlægge tilbagelevering, aktiv sletning og udløb eller fjernelse af backup- og leverandørkopier inden denne frist. Kundens aftalte eksportadgang må ikke forkortes ensidigt for at få sletteplanen til at passe. En kortere eksportperiode eller anden ændret afvikling kræver Kundens aftale. Support, mails og logs, der indeholder oplysninger behandlet på Kundens vegne, skal indgå i planen; en generel længere retention må ikke tilsidesætte en strengere kundeaftale. Kun konkret afgrænsede oplysninger med et selvstændigt lovligt opbevaringsgrundlag kan undtages. Ved afslutning skal ZELLERT kunne redegøre for gennemført sletning og eventuelle rester med deres grundlag og frist.

Tilbagelevering og sletning håndteres efter en dokumenteret, kategoriopdelt procedure. Ved hver sag fastlægger ZELLERT Kundens instruks, eksportadgang, de omfattede systemer og kopier samt gældende frister. Eksport kan udleveres manuelt til en verificeret, berettiget modtager; en betalingsspærre må ikke i sig selv forhindre Kundens aftalte eksportadgang. Sletning dokumenteres særskilt for aktive oplysninger og gendannelige rester. En kortere kundespecifik frist går forud for generelle opbevaringsperioder.

Hvor Kundens aftale giver mulighed for både udlevering og genaktivering i en afviklingsperiode, skal begge muligheder bevares i hele den aftalte periode. ZELLERT kan bruge en særskilt beskyttet ophørskopi, når dens fuldstændighed, anvendelige eksportformat og mulighed for genetablering er kontrolleret, før de aktive oplysninger fjernes. Kopien og dens nøglekopier må ikke forlænge Kundens samlede slettefrist. Øvrige omfattede kopier skal afvikles rettidigt, og ophørskopien og relevante nøglekopier skal fjernes senest ved fristens udløb. En sådan opbevaringsform ændrer ikke Kundens aftalte rettigheder.

ZELLERT kan efter anmodning dokumentere gennemført sletning eller redegøre for tilbageværende oplysninger og det lovlige grundlag herfor. Sletning af en organisations profil er ikke automatisk ensbetydende med sletning af alle oplysninger hos underdatabehandlere; relevante sletteforpligtelser skal være gennemført i hele kæden.

ZELLERT har etableret daglig backup af database og uploadede filer via en dedikeret server hos Hetzner i Tyskland. Kopien krypteres før lagring i Cloudflare R2 i en bucket med EU-jurisdiktion. Den særskilte ordning er indstillet til højst syv dages historik med efterfølgende fysisk oprydning i repositoryet. Backup, tilstandskontrol, oprydning og alarmer er aktiveret, og en fuld gendannelse af en faktisk kopi er afprøvet i et isoleret miljø. En særskilt sletningsjournal skal anvendes ved gendannelse, før data igen tages i almindelig brug; journalen sletter ikke i sig selv gendannelige kopier. Andre leverandørers kopier følger deres dokumenterede cyklus og de gældende aftalefrister. En strengere samlet kundefrist har forrang og må ikke forlænges af standardbackupcyklussen.

## 14. Ai-politikgenerator og øvrig automatisering

Bilag D beskriver den valgfrie politikgenerator for interne og eksterne politikudkast. Begge varianter bruger afsnitsbaseret input og OpenAI til sproglig bearbejdning. Kundens dokumenterede instruks skal foreligge før den berørte behandling. Bilaget autoriserer ikke automatisk andre generatorer.

ZELLERT må ikke anvende Kundens personoplysninger til at træne ZELLERTs egne eller tredjeparts generelle Ai-modeller. ZELLERT må ikke aktivere valgfri datadeling til OpenAI-modeltræning for Kundens indhold. Modeludbyderens egne sikkerhedslogs, eventuelle API-opbevaringsperioder og behandling i andre lande skal beskrives korrekt efter faktisk aftale og konfiguration; `store: false` er ikke et bevis for nul opbevaring.

Dokumentgeneratoren sender en bredere organisations-, værktøjs- og anvendelseskontekst til OpenAI og er ikke omfattet af politikgeneratorens dataminimeringsbeskrivelse i Bilag D. Træningsgeneratoren anvender et særskilt, afgrænset grundlag og sender ikke medarbejderes besvarelser, score, profiler eller træningshistorik som modelinput. Begge funktioner kræver deres egne dokumenterede instrukser og den relevante leverandør- og overførselsvurdering. Planadgang, aktivering eller brug af politikgeneratoren udvider ikke disse instrukser. En kundes aftalte begrænsning af OpenAI-behandling skal respekteres, uanset hvilke funktioner der teknisk er tilgængelige.

## 15. Underretning ved offentlige anmodninger

ZELLERT underretter Kunden om juridisk bindende anmodninger fra offentlige myndigheder om Kundens personoplysninger, i det omfang loven tillader det, og vurderer lovligheden og nødvendigheden af udleveringen. ZELLERT må ikke give bredere adgang end retligt påkrævet. Bestemmelsen begrænser ikke registreredes eller tilsynsmyndigheders lovlige rettigheder.

## 16. Varighed, ændringer og ophør

DPA'en gælder, så længe ZELLERT behandler personoplysninger på Kundens vegne, inklusive en eventuel lovlig afviklings- og sletteperiode. ZELLERT kan ikke ensidigt forringe aftalte GDPR-beskyttelser gennem et vilkårligt versionsskifte. Materielle ændringer af DPA'en skal meddeles og bindes på lovlig og dokumenterbar måde; kræver ændringen ny aftale eller ny instruks, indhentes denne, inden relevant behandling ændres.

## 17. Ansvar, modstrid og lovvalg

Parternes lovbestemte ansvar efter GDPR, herunder artikel 82, kan ikke fraskrives i strid med ufravigelig ret. Kommercielle bestemmelser om ansvar, betaling og misligholdelse følger de gældende handelsbetingelser i det omfang, de er forenelige med GDPR og denne DPA.

Ved modstrid vedrørende behandling af personoplysninger på Kundens vegne går denne DPA og eventuelle ufravigelige internationale overførselsklausuler forud for almindelige handelsbetingelser. DPA'en er underlagt dansk ret med forbehold for ufravigelige EU-regler og tilsynsmyndigheders kompetence.

Dansk er aftalens primære sprog. Ved uoverensstemmelse mellem dansk og engelsk har den danske udgave forrang, medmindre parterne udtrykkeligt har aftalt andet.

## 18. Underskrift eller elektronisk accept

| Den dataansvarlige (Kunden) | Databehandleren |
|---|---|
| Identificeres med juridisk navn og registreringsnummer i det dokumenterede aftale-/acceptbevis | Camonda ApS (binavn: ZELLERT ApS), CVR 43532421 |
| Autoriseret repræsentant, acceptdato/-tidspunkt og accepteret DPA-/bilagsversion fremgår af Kundens elektroniske acceptbevis eller underskrift | info@zitado.com |

Ved elektronisk accept knyttes en uændret kopi af den accepterede DPA, inklusive bilagsversionerne, til Kundens aftalebevis. Ved manuel underskrift tilføjes tilsvarende oplysninger til aftaledokumentet før underskrift.

---

# Bilag A - Instruks og beskrivelse af databehandlingen

| Emne | Beskrivelse |
|---|---|
| Genstand | Levering og support af Zitado som B2B SaaS-platform til Ai-governance, dokumentation, medarbejdertræning og compliance-arbejde |
| Varighed | Abonnementsperioden plus aftalt lovlig eksport-, afviklings- og sletteperiode |
| Formål | Registrering, organisering, lagring, visning, adgangsstyring, rapportering, dokumentgenerering, notifikationer og support efter Kundens instrukser |
| Behandlingsaktiviteter | Indsamling via Kundens brugere, strukturering, lagring, søgning, opdatering, systembaseret evaluering, visning, eksport, sletning og eventuel begrænset API-behandling efter Kundens dokumenterede instruks |
| Registrerede | Medarbejdere, ledere, administratorer, eksterne konsulenter og andre personer, hvis oplysninger Kunden lovligt registrerer i tjenesten |
| Persondatakategorier | Navn, arbejdsmail, rolle, teamtilknytning, bruger-id, tilknytning til Ai-værktøjer/use cases, træningstildelinger og -resultater, godkendelser, opgaver, notater, dokumentoplysninger, filmetadata, relevante support- og sikkerhedshændelser |
| Ekskluderet data | CPR-numre, GDPR artikel 9-oplysninger, straffedomme/lovovertrædelser efter artikel 10 samt anden særligt følsom information, jf. pkt. 4 |
| Oprindelse | Kundens autoriserede brugere, Kundens indtastning/upload og Zitados afledte aktiviteter inden for Kundens instrukser |
| Mulige modtagere | Autoriserede personer hos Kunden, nødvendigt Zitado-personale, godkendte underdatabehandlere i Bilag C og personer Kunden instruerer deling med (f.eks. via Trust Center) |
| Særlig modulbehandling | Valgfri Ai-politikgenerator: se Bilag D; ikke automatisk for samtlige Kunder |
| Opbevaring | Frister og afvikling efter pkt. 13 og Bilag B; en strengere særskilt kundeaftale har forrang |

Kundens brugere kan ved en fejl skrive andre personoplysninger i fritekst og dokumenter. Denne risiko udvider **ikke** det aftalte, tilladte formål; ZELLERT skal stadig beskytte og håndtere oplysninger, som faktisk behandles.

# Bilag B - Tekniske og organisatoriske minimumsforanstaltninger

ZELLERT skal opretholde følgende minimumsforanstaltninger, vurdere deres effektivitet og dokumentere dem i forhold til behandlingens risici.

1. **Adgang og identitet:** Unikke brugerkonti, rollebaserede rettigheder, hensigtsmæssig multifaktorbeskyttelse af privilegerede konti, hurtig deaktivering ved adgangsophør og regelmæssig kontrol af privilegerede adgange.
2. **Adskillelse af kunder:** Logisk tenant-adskillelse, database-/storage-tilladelser og verificerede adgangskontroller (herunder relevante Supabase RLS-politikker) for at forhindre adgang til andre kunders data.
3. **Kryptering:** Kryptering under transport (TLS/HTTPS); passende kryptering ved lagring og sikker nøgle-/hemmelighedshåndtering. Ingen hemmelige API-nøgler i browserkode.
4. **Logning:** Sikkerhedsrelevant logning af vigtige hændelser og adgangsændringer; begrænset adgang og dokumenteret retention. Undgå unødvendig lagring af kundeindhold og personoplysninger i fejl-/applikationslogs.
5. **Tilgængelighed og gendannelse:** Daglig krypteret database- og filbackup, afgrænset adgang, dokumenteret nøgleberedskab og sletningsjournal ved gendannelse. En faktisk fuld kopi er gendannet i et isoleret miljø med kontrol af databaseindhold, rettigheder og filindhold. Backupfejl og manglende tilstandsrapportering overvåges, og en kontrolleret alarm er leveret til den driftsansvarlige. Kopier udløber efter den dokumenterede cyklus og gældende kundeaftaler.
6. **Udvikling og ændringer:** Kodegennemgang, test, sårbarhedshåndtering, princip om mindst mulige rettigheder, godkendt adgang til produktionsmiljøet og adskillelse mellem udvikling og produktion.
7. **Incident response:** Proces for opdagelse, intern eskalation, afhjælpning, dokumentation og underretning af Kunden uden unødig forsinkelse.
8. **Medarbejdere/leverandører:** Fortrolighed, adgang efter behov, relevant sikkerhedstræning og kontraktlig leverandørkontrol.
9. **Ai-modul:** En autoriseret bruger iværksætter behandlingen efter Kundens instruks. I politikgeneratoren erstatter browseren kendte identificerende oplysninger med markører før overførsel til modellen. Substitutionslisten og dokumentgrundlaget sendes særskilt til Zitados server; de indgår ikke som sådan i modellens afsnitsinput. Serveren validerer modelinput, indsætter kendte navne i resultatet og gemmer et udkast. Fritekst kan fortsat indeholde personoplysninger. Dokument- og træningsgeneratorerne har egne inputafgrænsninger.
10. **Dataminimering og sletning:** Sletning/tilbagelevering gennemføres efter Kundens instrukser og den godkendte slette- og backupplan; udløb af adgang eller token må ikke fremstilles som bevis for faktisk sletning.

# Bilag C - Godkendte underdatabehandlere og rolleoversigt

Listen omfatter de anførte ydelser i det omfang, de behandler oplysninger på Kundens vegne, og i den version Kunden har tiltrådt. OpenAI er betinget af den særskilte instruks beskrevet i pkt. 7 og 14 og Bilag D. Leverandørernes forskellige opbevaringsperioder ændrer ikke ZELLERTs forpligtelser efter pkt. 13 eller en strengere kundeaftale.

| Leverandør | Tjeneste og mulig kundedata | Rolle/status | Lokation og overførselsgrundlag |
|---|---|---|---|
| **Supabase Pte. Ltd.** | Auth, database, Storage og serverfunktioner | Underdatabehandler for kundedata; standard-DPA indgår i vilkårene | Primær database i Frankfurt, EU. DPA indeholder SCC-grundlag for relevante tredjelandsoverførsler. Daglig databasebackup på Pro har syv dages retention; selve uploadede filbytes indgår i ZELLERTs særskilte backupordning hos Hetzner og Cloudflare R2. |
| **Vercel Inc.** | Hosting, forespørgsler og relevante IP-/driftslogs | Underdatabehandler i det omfang Kundens data behandles; ellers ZELLERTs egen leverandør. Standard-DPA indgår i vilkårene | Hostingregion Frankfurt (`fra1`); Observability Plus: 30 dages runtime-loghistorik. DPA indeholder SCC-grundlag; ikke EU-only. |
| **Plus Five Five, Inc. (Resend)** | Transaktions-/systemmails, modtagere, indhold og leveringsdata | Underdatabehandler for mails på Kundens vegne; standard-DPA indgår i vilkårene | Irsk afsendelsesregion; lagring i USA. DPA med SCC'er. Pro-mail/loghistorik 30 dage, leverandørbackup syv dage, resterende kundedata op til 90 dage efter kontolukning efter leverandørens beskrivelse. |
| **OpenAI Ireland Ltd.** | Valgfrie Ai-funktioner: politikomskrivning, træningskladder og separat dokumentgenerator med bredere kontekst | Betinget underdatabehandler ved aktiveret og anvendt funktion. Bilag D beskriver politikflowet; øvrige generatorer kræver særskilt instruks. Standard-DPA indgår i leverandørvilkårene | Global standardretention; ingen ZDR/EU-only-aftale dokumenteret. Abuse-monitoring normalt op til 30 dage med leverandørens undtagelser; Responses kaldes med `store: false`. Alle tre valgfrie datadelinger er slået fra. DPA indeholder SCC-grundlag. |
| **Hetzner Online GmbH** | Koordinering og midlertidig behandling af database- og filbackup på dedikeret server | Underdatabehandler for den særskilte backupordning. DPA indgået for Camonda ApS og backupydelsen | Falkenstein, Tyskland. Privat midlertidig staging i hukommelse; kryptering før overførsel til R2. Daglig backup, nøgleberedskab og isoleret gendannelse er etableret og afprøvet. Kundens aftalegrundlag og eventuelle strengere slettefrister gælder fortsat. |
| **Cloudflare, Inc. (R2)** | Opbevaring af krypterede backupkopier | Underdatabehandler for den særskilte backupordning; denne rolle er adskilt fra Turnstile | Privat bucket med EU-jurisdiktion. Det indebærer ikke, at al konto-, support- og sikkerhedsbehandling sker i EU/EØS. Daglig backup er aktiveret med syv dages snapshotretention og fysisk repositoryoprydning. En faktisk database- og filkopi er gendannet og kontrolleret i et isoleret miljø. Kundens strengere samlede slettefrister har forrang. |

**Afgrænsning:** Stripe bruges til betaling og må behandles i ZELLERTs egen fortegnelse og privatlivspolitik. Stripe kan afhængigt af aktiviteten optræde som databehandler eller selvstændig dataansvarlig. Stripe indgår ikke automatisk i denne liste som underdatabehandler for kundens governance-indhold. Google, Ahrefs og Meta ved website-sporing må heller ikke automatisk indsættes her; deres roller og informationspligt følger den konkrete trackingaktivitet og den særskilte cookie-/privatlivspolitik.

Aktiv liste, notifikationsprocedure, ajourføringshistorik og dokumenterede indsigelser skal vedligeholdes af ZELLERT og stilles til rådighed for Kunden.

# Bilag D - Særlig instruks for den valgfrie Ai-politikgenerator

## D.1. Formål og aktivering

Politikgeneratoren er valgfri. Adgangen kan følge af Kundens plan, herunder Pro, en aktiv prøveperiode eller et relevant Zitado Ai-tilvalg. Funktionens tilgængelighed eller betaling udgør ikke i sig selv Kundens instruks. Før Kundens oplysninger sendes til OpenAI, skal Kunden have tiltrådt den konkrete instruks i dette bilag og det relevante leverandør- og overførselsgrundlag, og en autoriseret bruger skal anmode om den afgrænsede generering. Andre Ai-funktioner autoriseres ikke automatisk af dette bilag. Kundespecifikke begrænsninger har fortsat forrang.

## D.2. Sådan behandles oplysningerne

1. Zitado bygger et internt eller eksternt politikudkast på grundlag af Kundens registrerede styringsoplysninger. Brugeren gennemgår de afsnit, der skal sendes til sproglig bearbejdning.
2. Browseren erstatter kendte organisations-, værktøjs-, ejer-, person- og teamnavne, registrerede klausuler og visse kontaktmønstre i brødteksten med markører. Substitutionslisten og dokumentgrundlaget sendes til Zitados server sammen med anmodningen, men indgår ikke som sådan i det afsnitsinput, der sendes til OpenAI. Logo og dokumentfiler sendes ikke til modellen som en del af dette flow. Overskrifter og fritekst er ikke garanteret fri for identifikatorer.
3. Inputtet består af format- og regelversion, `audience` (intern/ekstern) og 1–15 afsnit med id, overskrift og brødtekst. Serveren begrænser overskrifter til 160 tegn, brødtekst til 12.000 tegn pr. afsnit og det samlede serialiserede input til 48.000 tegn; ukendte felter fjernes. Afsnittenes tekst kan indeholde personoplysninger.
4. Serveren overfører det validerede afsnitsinput via HTTPS til OpenAI Responses med `store: false`. Zitado modtager et omformuleret udkast, indsætter kendte navne på serveren ved hjælp af substitutionslisten og gemmer resultatet som et udkast i Kundens organisation. Kundens bruger skal gennemgå indholdet, før det godkendes, publiceres eller bruges. Automatisk lagring som udkast er ikke en indholdsgodkendelse.

**Begrænsning:** Navneudskiftningen fjerner registrerede, kendte navne, men kan ikke garantere fjernelse af personnavne eller indirekte identifikatorer, der kun optræder i fritekst. Der er derfor tale om **pseudonymisering og dataminimering**, ikke dokumenteret anonymisering efter GDPR. Krypteret HTTPS er ikke i sig selv en dedikeret privat linje, en garanti mod ekstern behandling eller en garanti om EU-only databehandling.

## D.3. Instrukser, datatyper og forbud

Kunden instruerer alene i sproglig bearbejdning af relevante, begrænsede styringsoplysninger med henblik på et internt eller eksternt politikudkast. Oplysninger om særlige personforhold, fortrolige personidentifikatorer og unødige personoplysninger må ikke inkluderes. ZELLERT skal begrænse overførsler til nødvendige felter og arbejde på at opdage utilsigtede identifikatorer i fritekst.

## D.4. OpenAI's rolle og dataforbrug

OpenAI er en ekstern databehandler/underdatabehandler **i det omfang personoplysninger behandles**. En lovlig tilslutning forudsætter relevante aftaler efter GDPR artikel 28, dokumentation af eventuelle kapitel V-overførsler og afklaring af OpenAI's egne underdatabehandlere.

Zitado bruger API-indstillingen `store: false`. Dette begrænser almindelig lagring af response-objektet, men udgør **ikke** Zero Data Retention. OpenAI oplyser, at API-indhold som udgangspunkt ikke anvendes til modeltræning uden særskilt opt-in, og at abuse-monitoring-logning normalt kan have opbevaring i op til 30 dage med angivne undtagelser. ZELLERT forpligter sig til **ikke** at aktivere trænings-opt-in for Kundens indhold. Der er ikke aftalt nul opbevaring eller behandling udelukkende i EU/EØS.

## D.5. Hvem kan aktivere funktionen, og hvilke valg vises?

Kun autoriserede brugerroller må aktivere/købe modulet og iværksætte API-behandling efter Kundens instrukser. Brugerfladen skal på dansk/engelsk tydeligt oplyse om anvendelsen af OpenAI, dataminimeringens begrænsninger, forbuddet mod følsomme oplysninger og behovet for menneskelig gennemgang. Kunden kan undlade at anvende modulet og fortsætte med Zitados almindelige funktioner efter den købte plan.

## D.6. Sikkerhedsforanstaltninger og leverandørkæde

ZELLERT begrænser adgangen til API-nøgler og substitutionslister, adskiller det validerede modelinput fra det øvrige dokumentgrundlag på serveren og begrænser fejllogning, så input og output ikke unødigt afsløres. Den konkrete serverkonfiguration, adgangskontrol og leverandørkæde dokumenteres. Eventuelle overførsler uden for EU/EØS skal have dokumenteret gyldigt grundlag.

## D.7. Afgrænsning mod ældre generator

Dokumentgeneratoren er en særskilt funktion, som kan sende en bredere og mere identificerbar kundekontekst til OpenAI. Bilag D’s pseudonymiseringsproces gælder **ikke** automatisk for denne funktion. Den må kun bruges til kundedata inden for en særskilt dokumenteret instruks og relevant leverandør- og overførselsgrundlag. Kundespecifikke begrænsninger skal respekteres; ellers må funktionen ikke anvendes til den berørte behandling.

## D.8. Opdatering og tilbagekaldelse

Når Kunden tilbagekalder instruksen, stopper med at bruge funktionen eller mister den aftalte adgang, må der ikke iværksættes nye API-kald gennem modulet for den berørte behandling. Eksisterende udkast og eventuelle lokale kopier følger almindelige sletteregler og Kundens instrukser. Oplysninger, som allerede lovligt er overført til OpenAI, er underlagt den aftalte leverandørretention; funktionens deaktivering sletter ikke nødvendigvis tidligere sikkerhedslogs øjeblikkeligt.