Databehandleraftale

Denne databehandleraftale ("DPA'en") indgås mellem:

Dataansvarlig: Den virksomhed, organisation eller offentlige myndighed, som har tegnet abonnement på Zitado, og hvis juridiske navn, adresse, organisationsnummer og autoriserede aftalepart fremgår af kundens bestillings-/kontoregistrering ("Kunden").

Databehandler: Camonda ApS (binavn: ZELLERT ApS), Søndergade 3, 1., 7830 Vinderup, Danmark, CVR 43532421, e-mail info@zitado.com ("ZELLERT" eller "Zitado").

DPA'en er en integreret del af aftalen om brug af Zitado og regulerer behandling af personoplysninger, som ZELLERT udfører på Kundens vegne. Den opfylder den tilsigtede funktion som databehandleraftale efter artikel 28, stk. 3 og 4, i forordning (EU) 2016/679 ("GDPR"). Den er ikke en uændret gengivelse af Datatilsynets eller Europa-Kommissionens godkendte standardkontraktbestemmelser.

DPA'en gælder fra den dato, hvor en person med bemyndigelse til at forpligte Kunden har accepteret den elektronisk eller skriftligt. ZELLERT skal kunne dokumentere Kundens identitet, den accepterede version, tidspunkt og accepteringsmetode. En offentliggjort webside alene udgør ikke dokumentation for accept.

En allerede bindende særskilt databehandleraftale bevares, indtil en ændring eller erstatning er gyldigt aftalt. En ændring af loginforløbet eller en intern kundestatus ændrer ikke i sig selv den aftale. Dokumenteret accept uden for platformen kan registreres med henvisning til den faktiske aftale og accept; den må ikke fremstilles som en ny accept af denne version.

Begreberne "personoplysninger", "behandling", "dataansvarlig", "databehandler", "underdatabehandler" og "brud på persondatasikkerheden" anvendes som i GDPR.

Kunden bestemmer formål og de væsentlige midler for behandling af personoplysninger, som Kunden indtaster, uploader eller administrerer i Zitado. ZELLERT behandler disse oplysninger efter dokumenteret instruks og er databehandler i denne relation.

ZELLERT kan være selvstændig dataansvarlig for egne kundeforholds-, abonnements-, fakturerings-, salgs-, sikkerheds- og lovpligtige regnskabsaktiviteter. Disse behandlinger er ikke omfattet af ZELLERTs rolle som databehandler efter denne DPA; de beskrives i Zitados privatlivspolitik. Stripe kan efter den konkrete betalingsaktivitet handle som selvstændig dataansvarlig og/eller databehandler for ZELLERT. Stripe er ikke automatisk underdatabehandler for de oplysninger, Kunden lægger i Zitados Ai-governance-register.

De dokumenterede specifikationer fremgår af Bilag A: behandlingens genstand, varighed, datatyper, kategorier af registrerede, formål og behandlingsoperationer. De omfatter blandt andet registrering af medarbejdere og teams, Ai-værktøjer og deres anvendelser, træning, brugsregler, governance-beslutninger, dokumenter, screeninger, rapporter og support, i det omfang disse indeholder personoplysninger.

Valgfri Ai-politikgenerator er beskrevet i Bilag D. Det er en valgfri funktion, hvor adgangen afhænger af plan, prøveperiode og eventuelle tilvalg. Når funktionen anvendes efter Kundens dokumenterede instruks, kan oplysninger, herunder potentielt personoplysninger i fritekst, blive behandlet af OpenAI som underdatabehandler, jf. Bilag C og D. Det er ikke korrekt at betegne denne proces som fuldstændig anonym, alene fordi kendte navne udskiftes med markører.

ZELLERT må alene behandle personoplysninger efter Kundens dokumenterede instrukser, herunder vedrørende overførsel til tredjelande, medmindre en pligt følger af relevant EU-ret eller medlemsstatsret. I så fald orienterer ZELLERT forud, medmindre loven forbyder orientering af vigtige samfundshensyn.

Kundens dokumenterede instrukser udgøres af denne DPA med bilag, Zitados aftalte funktionalitet og indstillinger, relevante handlinger foretaget af autoriserede brugere samt særskilte skriftlige instrukser, som ZELLERT accepterer. Instrukser, der væsentligt ændrer tjenesten, kan kræve en særskilt aftale, men ZELLERT kan ikke unddrage sig lovpligtige databehandlerforpligtelser med henvisning hertil.

Kunden er ansvarlig for lovligt behandlingsgrundlag, korrekt information til egne medarbejdere og andre registrerede, dataminimering, korrekte adgangsrettigheder og overholdelse af de regler, der gælder for Kundens brug af Zitado.

Brugsbegrænsning: Zitado er ikke beregnet til CPR-numre, oplysninger om strafbare forhold eller særlige kategorier af personoplysninger efter GDPR artikel 9 (f.eks. helbred, fagforeningsforhold, religiøs overbevisning eller biometriske data til entydig identifikation). Kunden må ikke tilføre sådanne oplysninger til tjenesten, herunder gennem fritekst, filer eller Ai-politikgeneratoren. Hvis de alligevel modtages, skal ZELLERT håndtere dem forsvarligt og samarbejde med Kunden om lovlig begrænsning eller sletning; dette forbud fritager ingen part for GDPR-pligter.

ZELLERT underretter uden unødig forsinkelse Kunden, hvis ZELLERT efter sin vurdering modtager en instruks, der overtræder GDPR eller anden relevant EU-/national databeskyttelsesret. ZELLERT kan suspendere den berørte behandling, mens lovligheden afklares, i det omfang det er nødvendigt.

ZELLERT sikrer, at personer, der er autoriseret til at behandle personoplysninger, er bundet af fortrolighed eller passende lovbestemt tavshedspligt. Adgang tildeles efter arbejdsbetinget behov og ophører, når behovet bortfalder. Medarbejdere og relevante leverandører instrueres i databeskyttelse og sikker håndtering af oplysninger.

ZELLERT skal implementere og opretholde foranstaltninger efter GDPR artikel 32, der er passende for behandlingens karakter og risici. Bilag B fastlægger mindstekrav og dokumentationspunkter, herunder transportkryptering, hensigtsmæssig kryptering ved lagring, logisk adskillelse mellem kunder, adgangskontrol/roller, sikker håndtering af adgangsnøgler, backup og gendannelse, sikkerhedslogging, hændelseshåndtering, ændringsstyring og leverandørkontrol.

ZELLERT skal dokumentere de gennemførte foranstaltninger. ZELLERT skal løbende vurdere effektiviteten af foranstaltningerne, tilpasse dem efter dokumenteret risikovurdering og stille relevant dokumentation til rådighed i henhold til pkt. 12.

Kunden giver generel skriftlig godkendelse til de underdatabehandlere og behandlingsformål, som fremgår af Bilag C, i den version Kunden accepterer. En udbyder er kun omfattet for de ydelser, hvor denne faktisk behandler personoplysninger på Kundens vegne.

ZELLERT indgår bindende aftaler med underdatabehandlere, der pålægger databeskyttelsesforpligtelser, som mindst svarer til denne DPA og GDPR artikel 28, stk. 4. ZELLERT forbliver fuldt ansvarlig over for Kunden for en underdatabehandlers opfyldelse af disse forpligtelser.

ZELLERT giver Kunden skriftlig meddelelse om planlagt tilføjelse eller udskiftning af en underdatabehandler i rimelig tid før den påbegyndes og giver Kunden mulighed for at fremsætte en saglig, databeskyttelsesbegrundet indsigelse. Varslet er 30 kalenderdage via e-mail til Kundens registrerede aftalekontakt. Ved en berettiget indsigelse drøfter parterne et forsvarligt alternativ. Kan dette ikke etableres, kan Kunden ophøre med den berørte del af tjenesten i henhold til en aftalt ordning, uden at lovpligtige rettigheder forringes.

OpenAI er en betinget underdatabehandler. Anvendelse af en valgfri Ai-funktion forudsætter en dokumenteret instruks fra Kunden, der omfatter det konkrete modul, dets beskrevne input og den relevante leverandør- og overførselsdokumentation. Adgang via abonnement, prøveperiode, tilkøb eller aktivering er ikke i sig selv en behandlingsinstruks. En autoriseret brugers konkrete genereringsanmodning må kun gennemføres inden for den allerede aftalte instruks. OpenAI modtager ikke automatisk alle Kundens data, fordi DPA’en omfatter denne betingede godkendelse.

ZELLERT registrerer leverandørvarsler og vurderer ændringens betydning for Kundens oplysninger og aftale. Kundemeddelelsen skal beskrive den berørte underdatabehandler, behandling, forventede startdato og mulighed for en saglig indsigelse. Et kortere varsel fra en leverandør forkorter ikke Kundens aftalte varsel eller indsigelsesret. Kan ændringen ikke gennemføres i overensstemmelse med Kundens aftale, skal ZELLERT afklare et forsvarligt alternativ eller ophør af den berørte behandling, før ændringen får virkning for Kunden. Særskilte kundeaftaler med andre varslingskrav gælder fortsat. Kontakt for spørgsmål og indsigelser er info@zitado.com.

At Zitados primære Supabase-database ligger i EU betyder ikke, at alle leverandører, mails, logs, supporthandlinger, sikkerhedstjenester eller API-kald udelukkende behandles i EU/EØS.

ZELLERT må kun foretage eller tillade en overførsel af personoplysninger uden for EU/EØS i overensstemmelse med GDPR kapitel V og Kundens dokumenterede instrukser. Hvor relevant anvendes et gyldigt grundlag, f.eks. en tilstrækkelighedsafgørelse eller EU-Kommissionens overførsels-SCC'er og relevante supplerende foranstaltninger. Kapitel V-overførsels-SCC'er er ikke det samme som en almindelig DPA efter artikel 28.

ZELLERT skal føre en opdateret oversigt over relevante modtagere, datatyper, behandlingssteder, adgang fra tredjelande og overførselsgrundlag, som Kunden kan få indsigt i.

ZELLERT bistår under hensyntagen til behandlingens karakter og tilgængelige oplysninger Kunden med at besvare anmodninger om indsigt, rettelse, sletning, begrænsning, dataportabilitet, indsigelse og andre relevante rettigheder efter GDPR kapitel III.

Modtager ZELLERT en direkte henvendelse vedrørende Kundens dataansvar, videresendes den som udgangspunkt uden unødig forsinkelse til Kundens registrerede kontakt, medmindre loven kræver andet. ZELLERT besvarer ikke på Kundens vegne uden instruks. Ved anmodninger om oplysninger, hvor ZELLERT selv er dataansvarlig, handler ZELLERT selvstændigt.

ZELLERT bistår med rimelige og tilgængelige oplysninger, når Kunden skal opfylde forpligtelser efter GDPR artikel 32-36, herunder sikkerhed, konsekvensanalyse (DPIA), eventuel forudgående høring og vurdering af overførsler. Omfanget afhænger af behandlingens karakter og de oplysninger, ZELLERT råder over. ZELLERT skal ikke overtage Kundens ansvar som dataansvarlig.

Når ZELLERT bliver bekendt med et brud på persondatasikkerheden, som berører personoplysninger behandlet på Kundens vegne, underretter ZELLERT Kunden uden unødig forsinkelse og giver tilgængelige oplysninger om bruddets karakter, berørte registrerede/datatyper, konsekvenser, allerede trufne afhjælpende foranstaltninger og relevant kontaktpunkt. Oplysninger leveres trinvist, hvis de ikke er fuldstændigt tilgængelige ved første underretning.

ZELLERT bistår med undersøgelse, afværgelse, dokumentation og de oplysninger, Kunden behøver for at vurdere myndigheds- og registreretunderretning. Kundens eventuelle frist på 72 timer til anmeldelse til tilsynsmyndighed må ikke forveksles med en generel fast 72-timers frist for databehandlerens underretning; denne skal ske uden unødig forsinkelse.

ZELLERT stiller de oplysninger til rådighed, som er nødvendige for at påvise overholdelse af GDPR artikel 28, og muliggør og bidrager til revisioner, herunder inspektioner, udført af Kunden eller en af Kunden bemyndiget uafhængig revisor.

Som første skridt kan parterne bruge relevante sikkerhedsbeskrivelser, revisionsresultater, databehandlerdokumentation og skriftlige kontrollerklæringer. En sådan dokumentationsbaseret kontrol kan ikke kategorisk erstatte retten til yderligere relevant revision. Kontrol tilrettelægges forholdsmæssigt med hensyn til fortrolighed, andre kunders oplysninger og driftsstabilitet; hastesituationer ved alvorlige brud behandles særskilt.

Efter aftalens ophør vælger Kunden, om personoplysninger behandlet på Kundens vegne skal tilbageleveres eller slettes, medmindre relevant EU-/medlemsstatsret kræver opbevaring. ZELLERT sletter eksisterende kopier efter Kundens instruks under hensyntagen til lovlig opbevaring og dokumenteret backupcyklus.

I overensstemmelse med Zitados aktuelle handelsbetingelser har Kunden som udgangspunkt 60 kalenderdage efter aftalens ophør til at hente sine eksporterbare data. Ved aftalt leverandørskifte regnes denne periode efter den aftalte overgangsperiode. Hvis Kunden ikke har givet anden lovlig instruks, skal de relevante kundedata herefter slettes eller anonymiseres, bortset fra dokumenterede undtagelser: lovpligtig opbevaring, nødvendig behandling ved retlige krav/tvist, udtrykkeligt aftalt længere periode og midlertidige rester i backups, der slettes/overskrives efter den godkendte cyklus.

Følgende frister gælder for oplysninger behandlet på Kundens vegne, med forbehold for en tidligere lovlig sletteinstruks og en strengere særskilt kundeaftale:

Det almindelige forløb kan således vare højst 97 dage fra begyndelsen af 60-dages eksportperioden til sidste backuprest, når hele eksport-, slette- og backupperioden anvendes. Periodens start ved aftalt leverandørskifte er beskrevet ovenfor. Dette er ikke en minimumsperiode, og det forlænger ikke strengere allerede aftalte frister. Kun nødvendige, konkret afgrænsede oplysninger er omfattet af en lovlig opbevaringsundtagelse. En brugers fortsatte tilknytning til en anden organisation skal håndteres særskilt.

En særskilt aftalt samlet slettefrist omfatter alle relevante gendannelige kopier af Kundens oplysninger. ZELLERT skal planlægge tilbagelevering, aktiv sletning og udløb eller fjernelse af backup- og leverandørkopier inden denne frist. Kundens aftalte eksportadgang må ikke forkortes ensidigt for at få sletteplanen til at passe. En kortere eksportperiode eller anden ændret afvikling kræver Kundens aftale. Support, mails og logs, der indeholder oplysninger behandlet på Kundens vegne, skal indgå i planen; en generel længere retention må ikke tilsidesætte en strengere kundeaftale. Kun konkret afgrænsede oplysninger med et selvstændigt lovligt opbevaringsgrundlag kan undtages. Ved afslutning skal ZELLERT kunne redegøre for gennemført sletning og eventuelle rester med deres grundlag og frist.

Tilbagelevering og sletning håndteres efter en dokumenteret, kategoriopdelt procedure. Ved hver sag fastlægger ZELLERT Kundens instruks, eksportadgang, de omfattede systemer og kopier samt gældende frister. Eksport kan udleveres manuelt til en verificeret, berettiget modtager; en betalingsspærre må ikke i sig selv forhindre Kundens aftalte eksportadgang. Sletning dokumenteres særskilt for aktive oplysninger og gendannelige rester. En kortere kundespecifik frist går forud for generelle opbevaringsperioder.

Hvor Kundens aftale giver mulighed for både udlevering og genaktivering i en afviklingsperiode, skal begge muligheder bevares i hele den aftalte periode. ZELLERT kan bruge en særskilt beskyttet ophørskopi, når dens fuldstændighed, anvendelige eksportformat og mulighed for genetablering er kontrolleret, før de aktive oplysninger fjernes. Kopien og dens nøglekopier må ikke forlænge Kundens samlede slettefrist. Øvrige omfattede kopier skal afvikles rettidigt, og ophørskopien og relevante nøglekopier skal fjernes senest ved fristens udløb. En sådan opbevaringsform ændrer ikke Kundens aftalte rettigheder.

ZELLERT kan efter anmodning dokumentere gennemført sletning eller redegøre for tilbageværende oplysninger og det lovlige grundlag herfor. Sletning af en organisations profil er ikke automatisk ensbetydende med sletning af alle oplysninger hos underdatabehandlere; relevante sletteforpligtelser skal være gennemført i hele kæden.

ZELLERT har etableret daglig backup af database og uploadede filer via en dedikeret server hos Hetzner i Tyskland. Kopien krypteres før lagring i Cloudflare R2 i en bucket med EU-jurisdiktion. Den særskilte ordning er indstillet til højst syv dages historik med efterfølgende fysisk oprydning i repositoryet. Backup, tilstandskontrol, oprydning og alarmer er aktiveret, og en fuld gendannelse af en faktisk kopi er afprøvet i et isoleret miljø. En særskilt sletningsjournal skal anvendes ved gendannelse, før data igen tages i almindelig brug; journalen sletter ikke i sig selv gendannelige kopier. Andre leverandørers kopier følger deres dokumenterede cyklus og de gældende aftalefrister. En strengere samlet kundefrist har forrang og må ikke forlænges af standardbackupcyklussen.

Bilag D beskriver den valgfrie politikgenerator for interne og eksterne politikudkast. Begge varianter bruger afsnitsbaseret input og OpenAI til sproglig bearbejdning. Kundens dokumenterede instruks skal foreligge før den berørte behandling. Bilaget autoriserer ikke automatisk andre generatorer.

ZELLERT må ikke anvende Kundens personoplysninger til at træne ZELLERTs egne eller tredjeparts generelle Ai-modeller. ZELLERT må ikke aktivere valgfri datadeling til OpenAI-modeltræning for Kundens indhold. Modeludbyderens egne sikkerhedslogs, eventuelle API-opbevaringsperioder og behandling i andre lande skal beskrives korrekt efter faktisk aftale og konfiguration; store: false er ikke et bevis for nul opbevaring.

Dokumentgeneratoren sender en bredere organisations-, værktøjs- og anvendelseskontekst til OpenAI og er ikke omfattet af politikgeneratorens dataminimeringsbeskrivelse i Bilag D. Træningsgeneratoren anvender et særskilt, afgrænset grundlag og sender ikke medarbejderes besvarelser, score, profiler eller træningshistorik som modelinput. Begge funktioner kræver deres egne dokumenterede instrukser og den relevante leverandør- og overførselsvurdering. Planadgang, aktivering eller brug af politikgeneratoren udvider ikke disse instrukser. En kundes aftalte begrænsning af OpenAI-behandling skal respekteres, uanset hvilke funktioner der teknisk er tilgængelige.

ZELLERT underretter Kunden om juridisk bindende anmodninger fra offentlige myndigheder om Kundens personoplysninger, i det omfang loven tillader det, og vurderer lovligheden og nødvendigheden af udleveringen. ZELLERT må ikke give bredere adgang end retligt påkrævet. Bestemmelsen begrænser ikke registreredes eller tilsynsmyndigheders lovlige rettigheder.

DPA'en gælder, så længe ZELLERT behandler personoplysninger på Kundens vegne, inklusive en eventuel lovlig afviklings- og sletteperiode. ZELLERT kan ikke ensidigt forringe aftalte GDPR-beskyttelser gennem et vilkårligt versionsskifte. Materielle ændringer af DPA'en skal meddeles og bindes på lovlig og dokumenterbar måde; kræver ændringen ny aftale eller ny instruks, indhentes denne, inden relevant behandling ændres.

Parternes lovbestemte ansvar efter GDPR, herunder artikel 82, kan ikke fraskrives i strid med ufravigelig ret. Kommercielle bestemmelser om ansvar, betaling og misligholdelse følger de gældende handelsbetingelser i det omfang, de er forenelige med GDPR og denne DPA.

Ved modstrid vedrørende behandling af personoplysninger på Kundens vegne går denne DPA og eventuelle ufravigelige internationale overførselsklausuler forud for almindelige handelsbetingelser. DPA'en er underlagt dansk ret med forbehold for ufravigelige EU-regler og tilsynsmyndigheders kompetence.

Dansk er aftalens primære sprog. Ved uoverensstemmelse mellem dansk og engelsk har den danske udgave forrang, medmindre parterne udtrykkeligt har aftalt andet.

Ved elektronisk accept knyttes en uændret kopi af den accepterede DPA, inklusive bilagsversionerne, til Kundens aftalebevis. Ved manuel underskrift tilføjes tilsvarende oplysninger til aftaledokumentet før underskrift.

Kundens brugere kan ved en fejl skrive andre personoplysninger i fritekst og dokumenter. Denne risiko udvider ikke det aftalte, tilladte formål; ZELLERT skal stadig beskytte og håndtere oplysninger, som faktisk behandles.

ZELLERT skal opretholde følgende minimumsforanstaltninger, vurdere deres effektivitet og dokumentere dem i forhold til behandlingens risici.

1. Adgang og identitet: Unikke brugerkonti, rollebaserede rettigheder, hensigtsmæssig multifaktorbeskyttelse af privilegerede konti, hurtig deaktivering ved adgangsophør og regelmæssig kontrol af privilegerede adgange.
2. Adskillelse af kunder: Logisk tenant-adskillelse, database-/storage-tilladelser og verificerede adgangskontroller (herunder relevante Supabase RLS-politikker) for at forhindre adgang til andre kunders data.
3. Kryptering: Kryptering under transport (TLS/HTTPS); passende kryptering ved lagring og sikker nøgle-/hemmelighedshåndtering. Ingen hemmelige API-nøgler i browserkode.
4. Logning: Sikkerhedsrelevant logning af vigtige hændelser og adgangsændringer; begrænset adgang og dokumenteret retention. Undgå unødvendig lagring af kundeindhold og personoplysninger i fejl-/applikationslogs.
5. Tilgængelighed og gendannelse: Daglig krypteret database- og filbackup, afgrænset adgang, dokumenteret nøgleberedskab og sletningsjournal ved gendannelse. En faktisk fuld kopi er gendannet i et isoleret miljø med kontrol af databaseindhold, rettigheder og filindhold. Backupfejl og manglende tilstandsrapportering overvåges, og en kontrolleret alarm er leveret til den driftsansvarlige. Kopier udløber efter den dokumenterede cyklus og gældende kundeaftaler.
6. Udvikling og ændringer: Kodegennemgang, test, sårbarhedshåndtering, princip om mindst mulige rettigheder, godkendt adgang til produktionsmiljøet og adskillelse mellem udvikling og produktion.
7. Incident response: Proces for opdagelse, intern eskalation, afhjælpning, dokumentation og underretning af Kunden uden unødig forsinkelse.
8. Medarbejdere/leverandører: Fortrolighed, adgang efter behov, relevant sikkerhedstræning og kontraktlig leverandørkontrol.
9. Ai-modul: En autoriseret bruger iværksætter behandlingen efter Kundens instruks. I politikgeneratoren erstatter browseren kendte identificerende oplysninger med markører før overførsel til modellen. Substitutionslisten og dokumentgrundlaget sendes særskilt til Zitados server; de indgår ikke som sådan i modellens afsnitsinput. Serveren validerer modelinput, indsætter kendte navne i resultatet og gemmer et udkast. Fritekst kan fortsat indeholde personoplysninger. Dokument- og træningsgeneratorerne har egne inputafgrænsninger.
10. Dataminimering og sletning: Sletning/tilbagelevering gennemføres efter Kundens instrukser og den godkendte slette- og backupplan; udløb af adgang eller token må ikke fremstilles som bevis for faktisk sletning.

Listen omfatter de anførte ydelser i det omfang, de behandler oplysninger på Kundens vegne, og i den version Kunden har tiltrådt. OpenAI er betinget af den særskilte instruks beskrevet i pkt. 7 og 14 og Bilag D. Leverandørernes forskellige opbevaringsperioder ændrer ikke ZELLERTs forpligtelser efter pkt. 13 eller en strengere kundeaftale.

Afgrænsning: Stripe bruges til betaling og må behandles i ZELLERTs egen fortegnelse og privatlivspolitik. Stripe kan afhængigt af aktiviteten optræde som databehandler eller selvstændig dataansvarlig. Stripe indgår ikke automatisk i denne liste som underdatabehandler for kundens governance-indhold. Google, Ahrefs og Meta ved website-sporing må heller ikke automatisk indsættes her; deres roller og informationspligt følger den konkrete trackingaktivitet og den særskilte cookie-/privatlivspolitik.

Aktiv liste, notifikationsprocedure, ajourføringshistorik og dokumenterede indsigelser skal vedligeholdes af ZELLERT og stilles til rådighed for Kunden.

D.1. Formål og aktivering

Politikgeneratoren er valgfri. Adgangen kan følge af Kundens plan, herunder Pro, en aktiv prøveperiode eller et relevant Zitado Ai-tilvalg. Funktionens tilgængelighed eller betaling udgør ikke i sig selv Kundens instruks. Før Kundens oplysninger sendes til OpenAI, skal Kunden have tiltrådt den konkrete instruks i dette bilag og det relevante leverandør- og overførselsgrundlag, og en autoriseret bruger skal anmode om den afgrænsede generering. Andre Ai-funktioner autoriseres ikke automatisk af dette bilag. Kundespecifikke begrænsninger har fortsat forrang.

D.2. Sådan behandles oplysningerne

1. Zitado bygger et internt eller eksternt politikudkast på grundlag af Kundens registrerede styringsoplysninger. Brugeren gennemgår de afsnit, der skal sendes til sproglig bearbejdning.
2. Browseren erstatter kendte organisations-, værktøjs-, ejer-, person- og teamnavne, registrerede klausuler og visse kontaktmønstre i brødteksten med markører. Substitutionslisten og dokumentgrundlaget sendes til Zitados server sammen med anmodningen, men indgår ikke som sådan i det afsnitsinput, der sendes til OpenAI. Logo og dokumentfiler sendes ikke til modellen som en del af dette flow. Overskrifter og fritekst er ikke garanteret fri for identifikatorer.
3. Inputtet består af format- og regelversion, audience (intern/ekstern) og 1–15 afsnit med id, overskrift og brødtekst. Serveren begrænser overskrifter til 160 tegn, brødtekst til 12.000 tegn pr. afsnit og det samlede serialiserede input til 48.000 tegn; ukendte felter fjernes. Afsnittenes tekst kan indeholde personoplysninger.
4. Serveren overfører det validerede afsnitsinput via HTTPS til OpenAI Responses med store: false. Zitado modtager et omformuleret udkast, indsætter kendte navne på serveren ved hjælp af substitutionslisten og gemmer resultatet som et udkast i Kundens organisation. Kundens bruger skal gennemgå indholdet, før det godkendes, publiceres eller bruges. Automatisk lagring som udkast er ikke en indholdsgodkendelse.

Begrænsning: Navneudskiftningen fjerner registrerede, kendte navne, men kan ikke garantere fjernelse af personnavne eller indirekte identifikatorer, der kun optræder i fritekst. Der er derfor tale om pseudonymisering og dataminimering, ikke dokumenteret anonymisering efter GDPR. Krypteret HTTPS er ikke i sig selv en dedikeret privat linje, en garanti mod ekstern behandling eller en garanti om EU-only databehandling.

D.3. Instrukser, datatyper og forbud

Kunden instruerer alene i sproglig bearbejdning af relevante, begrænsede styringsoplysninger med henblik på et internt eller eksternt politikudkast. Oplysninger om særlige personforhold, fortrolige personidentifikatorer og unødige personoplysninger må ikke inkluderes. ZELLERT skal begrænse overførsler til nødvendige felter og arbejde på at opdage utilsigtede identifikatorer i fritekst.

D.4. OpenAI's rolle og dataforbrug

OpenAI er en ekstern databehandler/underdatabehandler i det omfang personoplysninger behandles. En lovlig tilslutning forudsætter relevante aftaler efter GDPR artikel 28, dokumentation af eventuelle kapitel V-overførsler og afklaring af OpenAI's egne underdatabehandlere.

Zitado bruger API-indstillingen store: false. Dette begrænser almindelig lagring af response-objektet, men udgør ikke Zero Data Retention. OpenAI oplyser, at API-indhold som udgangspunkt ikke anvendes til modeltræning uden særskilt opt-in, og at abuse-monitoring-logning normalt kan have opbevaring i op til 30 dage med angivne undtagelser. ZELLERT forpligter sig til ikke at aktivere trænings-opt-in for Kundens indhold. Der er ikke aftalt nul opbevaring eller behandling udelukkende i EU/EØS.

D.5. Hvem kan aktivere funktionen, og hvilke valg vises?

Kun autoriserede brugerroller må aktivere/købe modulet og iværksætte API-behandling efter Kundens instrukser. Brugerfladen skal på dansk/engelsk tydeligt oplyse om anvendelsen af OpenAI, dataminimeringens begrænsninger, forbuddet mod følsomme oplysninger og behovet for menneskelig gennemgang. Kunden kan undlade at anvende modulet og fortsætte med Zitados almindelige funktioner efter den købte plan.

D.6. Sikkerhedsforanstaltninger og leverandørkæde

ZELLERT begrænser adgangen til API-nøgler og substitutionslister, adskiller det validerede modelinput fra det øvrige dokumentgrundlag på serveren og begrænser fejllogning, så input og output ikke unødigt afsløres. Den konkrete serverkonfiguration, adgangskontrol og leverandørkæde dokumenteres. Eventuelle overførsler uden for EU/EØS skal have dokumenteret gyldigt grundlag.

D.7. Afgrænsning mod ældre generator

Dokumentgeneratoren er en særskilt funktion, som kan sende en bredere og mere identificerbar kundekontekst til OpenAI. Bilag D’s pseudonymiseringsproces gælder ikke automatisk for denne funktion. Den må kun bruges til kundedata inden for en særskilt dokumenteret instruks og relevant leverandør- og overførselsgrundlag. Kundespecifikke begrænsninger skal respekteres; ellers må funktionen ikke anvendes til den berørte behandling.

D.8. Opdatering og tilbagekaldelse

Når Kunden tilbagekalder instruksen, stopper med at bruge funktionen eller mister den aftalte adgang, må der ikke iværksættes nye API-kald gennem modulet for den berørte behandling. Eksisterende udkast og eventuelle lokale kopier følger almindelige sletteregler og Kundens instrukser. Oplysninger, som allerede lovligt er overført til OpenAI, er underlagt den aftalte leverandørretention; funktionens deaktivering sletter ikke nødvendigvis tidligere sikkerhedslogs øjeblikkeligt.