Aftale om databehandling

Denne databehandleraftale fastlægger vilkårene for CitizenOne A/S’ behandling af personoplysninger på vegne af den dataansvarlige i forbindelse med anvendelsen af CitizenOne-platformen.

Aftalen træder i kraft, når den dataansvarlige indgår aftale om eller tager CitizenOne i brug, og gælder, så længe CitizenOne A/S behandler personoplysninger på vegne af den dataansvarlige.

Aftalen er indgået i overensstemmelse med artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (“GDPR”).

Dataansvarlig:
[Virksomhedens navn, adresse og CVR-nummer]

Kontaktperson:
[Kontaktperson og kontaktinformation]

Databehandler:
CitizenOne A/S
Godthåbsvej 8B, 2. sal
2000 Frederiksberg
CVR-nr.: 34725845
Kontakt: support@citizenone.dk

I det følgende benævnes parterne henholdsvis “den dataansvarlige” og “databehandleren”. Samlet betegnes de som “parterne”.

1. Formål og grundlag

1.1 Begreber som “personoplysninger”, “særlige kategorier af personoplysninger”, “behandling”, “den registrerede”, “dataansvarlig”, “databehandler”, “underdatabehandler” og “pseudonymisering” skal forstås i overensstemmelse med GDPR.

1.2 Formålet med denne aftale er at regulere CitizenOne A/S’ behandling af personoplysninger på vegne af den dataansvarlige og dokumentere den dataansvarliges instruktioner til databehandleren.

1.3 Behandlingen sker alene med henblik på at stille CitizenOne-platformen og de funktioner, som den dataansvarlige vælger at anvende, til rådighed.

1.4 CitizenOne A/S anvender ikke oplysninger om borgere, medarbejdere, pårørende eller øvrige registrerede til egne selvstændige markedsførings-, profilerings- eller annonceringsformål.

1.5 Journaloplysninger, borgeroplysninger, medarbejderoplysninger og øvrige faglige oplysninger i CitizenOne videregives ikke til annonce-, marketing- eller analyseplatforme.

1.6 Personoplysninger kan alene behandles af eksterne leverandører, når dette er nødvendigt for driften af CitizenOne eller for at levere en funktion, som den dataansvarlige har valgt at anvende. Relevante underdatabehandlere fremgår af Bilag B.

1.7 Underdatabehandlernes behandling sker alene på vegne af CitizenOne A/S, til de dokumenterede formål og i overensstemmelse med denne aftale og gældende databeskyttelseslovgivning.

1.8 Denne aftale har forrang i tilfælde af konflikt med andre aftalevilkår mellem parterne vedrørende behandling af personoplysninger.

2. Den dataansvarliges pligter og rettigheder

2.1 Den dataansvarlige er ansvarlig for, at behandlingen af personoplysninger i CitizenOne har et lovligt behandlingsgrundlag og sker i overensstemmelse med GDPR samt anden relevant EU-ret og national lovgivning.

2.2 Den dataansvarlige fastlægger formålet med behandlingen og bestemmer, hvilke oplysninger der registreres og behandles i CitizenOne.

2.3 Den dataansvarlige er ansvarlig for, at oplysninger registreret i CitizenOne er lovligt indsamlede og relevante for det formål, hvortil de behandles.

2.4 Den dataansvarlige er ansvarlig for at opfylde sin oplysningspligt over for de registrerede og for øvrigt at sikre de registreredes rettigheder efter GDPR.

2.5 Den dataansvarlige skal sikre, at nødvendige behandlingsgrundlag, tilladelser og eventuelle myndighedskrav er opfyldt.

3. Behandling efter instruks

3.1 CitizenOne A/S må alene behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre behandlingen følger af EU-ret eller national lovgivning, som CitizenOne A/S er underlagt.

Ved indgåelsen af denne aftale instruerer den dataansvarlige CitizenOne A/S til at behandle personoplysninger:

3.1.1 i det omfang det er nødvendigt for at levere CitizenOne-platformen og de funktioner, den dataansvarlige har aktiveret;

3.1.2 i overensstemmelse med denne aftale og CitizenOne A/S’ gældende vilkår;

3.1.3 i overensstemmelse med gældende databeskyttelseslovgivning.

3.2 Hvis CitizenOne A/S vurderer, at en instruks er i strid med gældende databeskyttelseslovgivning, underrettes den dataansvarlige uden unødig forsinkelse.

4. Tekniske og organisatoriske sikkerhedsforanstaltninger

4.1 CitizenOne A/S implementerer passende tekniske og organisatoriske sikkerhedsforanstaltninger under hensyntagen til behandlingens karakter, omfang, sammenhæng og formål samt de risici, behandlingen indebærer.

4.2 Sikkerhedsforanstaltningerne vurderes og opdateres løbende under hensyntagen til den teknologiske udvikling, risikobilledet og almindeligt anerkendte sikkerhedsstandarder.

4.3 Kryptering og databeskyttelse

Personoplysninger beskyttes med tidssvarende kryptering ved transmission.

Hvor relevant anvendes kryptering, hashing og andre tekniske beskyttelsesmekanismer ved lagring og behandling af oplysninger.

Data i CitizenOne er logisk adskilt pr. organisation, således at den enkelte organisations oplysninger behandles i den pågældende organisations eget miljø og ikke stilles til rådighed for andre organisationer.

4.4 Adgangskontrol

CitizenOne A/S opretholder dokumenterede procedurer for adgangskontrol.

Adgang til produktionssystemer og personoplysninger gives alene til autoriserede personer med et arbejdsbetinget behov og efter princippet om mindst mulige rettigheder (“least privilege”).

Adgangsrettigheder gennemgås løbende og fjernes eller ændres, når behovet ophører eller ændres.

4.5 Adgangskoder og autentifikation

CitizenOne A/S opretholder en politik for sikker autentifikation og adgangskoder.

Hvor det er teknisk relevant, anvendes multifaktorautentifikation for privilegeret og administrativ adgang.

Administrative adgange skal være personlige og sporbare.

4.6 Logging og sporbarhed

Relevante sikkerheds- og systemhændelser logges med henblik på sporbarhed, fejlsøgning, sikkerhedsovervågning og undersøgelse af mulige sikkerhedshændelser.

4.7 Backup og gendannelse

CitizenOne A/S opretholder relevante procedurer for sikkerhedskopiering og gendannelse af produktionsdata.

4.8 Sikker systemudvikling

CitizenOne A/S anvender relevante processer for sikker udvikling, ændringsstyring, opdatering og vedligeholdelse af platformen.

4.9 Risikovurdering og kontrol

Der foretages løbende vurdering af relevante sikkerhedsrisici samt kontrol og test af tekniske og organisatoriske foranstaltninger.

4.10 Medarbejdere og fortrolighed

Personer med adgang til personoplysninger er underlagt passende fortrolighedsforpligtelser og instrueres i databeskyttelse og informationssikkerhed.

4.11 Håndtering af sikkerhedshændelser

CitizenOne A/S opretholder procedurer for identifikation, håndtering, dokumentation og rapportering af sikkerhedsbrud og øvrige relevante informationssikkerhedshændelser.

4.12 Adskillelse fra analyse og markedsføring

CitizenOne A/S sender ikke journaloplysninger, oplysninger om borgere, medarbejdere, pårørende eller øvrigt fagligt indhold fra CitizenOne til Google Analytics, Google Tag Manager eller andre markedsførings- og analysetjenester.

På app.citizenone.dk og tilhørende iOS- og Android-løsninger kan der registreres begrænsede tekniske brugs- og hændelsesdata med henblik på eksempelvis:

• overordnet besøgsstatistik;
• måling af nye oprettelser;
• teknisk anvendelse af web-, iOS- og Android-løsninger;
• stabilitet, analyse og forbedring af tjenesten.

Sådanne analysehændelser må ikke indeholde journalindhold, CPR-numre, helbredsoplysninger, borgeroplysninger, medarbejderoplysninger eller øvrigt fagligt indhold fra CitizenOne.

5. Brug af underdatabehandlere

5.1 Denne aftale udgør den dataansvarliges generelle skriftlige tilladelse til CitizenOne A/S’ anvendelse af underdatabehandlere.

5.2 CitizenOne A/S’ primære applikations- og kundedata hostes i EU/EØS.

5.3 I forbindelse med specifikke funktioner, herunder AI-funktionalitet, kan begrænsede og nødvendige personoplysninger behandles af en underdatabehandler eller være genstand for international overførsel.

5.4 Hvis personoplysninger overføres til et tredjeland eller en international organisation, sikrer CitizenOne A/S, at overførslen sker i overensstemmelse med GDPR kapitel V og på grundlag af et gyldigt overførselsgrundlag.

5.5 CitizenOne A/S sikrer, at underdatabehandlere pålægges relevante databeskyttelsesforpligtelser svarende til kravene i denne aftale.

5.6 Den aktuelle oversigt over underdatabehandlere fremgår af Bilag B.

5.7 Leverandører, der alene anvendes på citizenone.dk, citizenone.eu eller øvrige offentlige hjemmesider til markedsføring, hjemmesideanalyse, fonts, kortvisning, tag management eller tilsvarende, og som ikke behandler oplysninger fra kundernes CitizenOne-miljøer, indgår ikke som underdatabehandlere af kundernes platformdata.

5.8 Hvor Google Analytics eller Google Tag Manager anvendes på app.citizenone.dk eller i tilhørende apps, er anvendelsen begrænset til tekniske brugs- og hændelsesdata som beskrevet i punkt 4.12. Journalindhold, borgeroplysninger, medarbejderoplysninger, helbredsoplysninger og øvrigt fagligt indhold sendes ikke til disse tjenester.

5.9 Den dataansvarlige orienteres om planlagte tilføjelser eller udskiftninger af relevante underdatabehandlere med mindst 30 dages varsel og kan fremsætte rimelig og sagligt begrundet indsigelse af databeskyttelsesmæssige årsager.

6. Overførsel til tredjelande

6.1 Personoplysninger må alene overføres til lande uden for EU/EØS eller internationale organisationer, når kravene i GDPR kapitel V er opfyldt.

6.2 Hvor overførslen ikke er omfattet af en tilstrækkelighedsafgørelse, anvendes et andet gyldigt overførselsgrundlag, herunder hvor relevant EU-Kommissionens standardkontraktbestemmelser.

7. Særligt om AI-funktionalitet

7.1 Aktivering

CitizenOnes AI-funktionalitet anvendes alene, når den relevante funktion er aktiveret eller anvendes af den dataansvarlige eller dennes autoriserede brugere.

7.2 AI-leverandør

CitizenOne A/S anvender OpenAI som underdatabehandler til relevante AI-funktioner.

Den relevante kontraktuelle enhed fremgår af Bilag B.

Aktuelt anvendes blandt andet:

• GPT-5.4 mini til AI-assistance, generering og opsummering af tekst;
• GPT-5 mini til intern klassificering;
• Whisper-1 til taletransskribering.

De konkrete modeller kan ændres som led i teknisk vedligeholdelse og forbedring, uden at behandlingsformålet ændres.

7.3 Dataminimering, redaktion og pseudonymisering

Ved tekstbaseret AI-behandling anvender CitizenOne tekniske mekanismer til at begrænse mængden af direkte identificerende oplysninger.

Direkte identifikatorer såsom CPR-nummer, e-mailadresse, telefonnummer og kendte navne redigeres eller fjernes, inden tekst sendes til AI-tjenesten, hvor den relevante funktion understøtter dette.

Oplysninger pseudonymiseres desuden, hvor det er relevant, eksempelvis ved at en person repræsenteres ved et internt reference-ID frem for direkte identitet.

Pseudonymiserede oplysninger betragtes fortsat som personoplysninger og behandles derfor i overensstemmelse med GDPR.

7.4 Begrænset AI-behandling

CitizenOne sender ikke den dataansvarliges samlede database eller komplette brugerprofiler til AI-underdatabehandleren.

Der behandles alene det indhold, der er nødvendigt for den konkrete AI-funktion.

Afhængigt af den anvendte funktion kan dette omfatte fagligt relevant indhold såsom journaltekst, diagnoser, medicinoplysninger, helbredsoplysninger, behandlings-, støtte- eller indsatsplaner.

Sådant indhold behandles alene med henblik på at udføre den funktion, den autoriserede bruger har anmodet om.

7.5 AI-baseret søgning

Ved AI-baseret søgning kan relevant tekstindhold indekseres i et organisationsspecifikt søgeindeks.

Direkte identifikatorer fjernes eller redigeres, og personer refereres som udgangspunkt ved interne reference-ID’er.

7.6 Dokumenter og billeder

Originale dokument- og billedfiler sendes ikke som led i den almindelige tekstbaserede AI-behandling.

Relevant tekst udtrækkes i CitizenOne-miljøet og gennemgår relevante redaktionsmekanismer inden AI-behandling.

7.7 Taletransskribering

Ved anvendelse af taletransskribering kan lyd overføres til OpenAI med henblik på transskribering.

Lyd behandles særskilt fra den tekstbaserede redaktionsproces.

7.8 Opbevaring og sletning

CitizenOne opretholder procedurer for sletning af AI-samtaler og tilhørende ressourcer.

AI-samtaler slettes som standard efter 90 dages inaktivitet, medmindre en anden periode er aftalt eller konfigureret.

Ved manuel sletning iværksættes samtidig sletning af de relevante tilhørende AI-ressourcer.

Ved GDPR-sletning af en registreret omfattes relevante AI-relaterede oplysninger ligeledes af CitizenOnes sletteprocedurer.

Eventuel særskilt teknisk eller sikkerhedsmæssig retention hos AI-underdatabehandleren reguleres af CitizenOne A/S’ gældende databehandleraftale og kontraktvilkår med leverandøren.

7.9 Træning

CitizenOne A/S anvender ikke den dataansvarliges oplysninger til træning af egne generelle AI-modeller.

7.10 Menneskelig kontrol

AI-genereret indhold fungerer som beslutnings- og arbejdsunderstøttelse.

Relevante medarbejdere skal foretage faglig kontrol af AI-genereret indhold, inden dette anvendes som grundlag for journalføring, faglige vurderinger eller beslutninger, hvor dette er relevant.

8. Assistance til den dataansvarlige

8.1 CitizenOne A/S bistår den dataansvarlige med at opfylde relevante forpligtelser efter GDPR, herunder i relation til:

• registreredes rettigheder;
• behandlingssikkerhed;
• brud på persondatasikkerheden;
• konsekvensanalyser;
• eventuel forudgående høring af relevante tilsynsmyndigheder.

8.2 CitizenOne A/S besvarer ikke anmodninger fra registrerede på den dataansvarliges vegne uden instruks, medmindre dette følger af gældende ret.

9. Brud på persondatasikkerheden

9.1 CitizenOne A/S underretter den dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden.

9.2 CitizenOne A/S bistår i rimeligt omfang med de oplysninger, der er nødvendige for, at den dataansvarlige kan opfylde sine anmeldelses- og underretningsforpligtelser.

10. Returnering og sletning

10.1 Ved ophør af aftalen kan den dataansvarlige få relevante data udleveret i et almindeligt anvendeligt format.

10.2 Efter ophør slettes eller returneres personoplysninger efter den dataansvarliges valg, medmindre lovgivning kræver fortsat opbevaring.

10.3 Sletning omfatter, hvor relevant, relevante data hos CitizenOne A/S’ underdatabehandlere.

11. Tilsyn, revision og dokumentation

11.1 CitizenOne A/S stiller de oplysninger til rådighed, som med rimelighed er nødvendige for at dokumentere overholdelsen af GDPR artikel 28 og denne aftale.

11.2 Den dataansvarlige har ret til selv eller gennem en uafhængig tredjepart at føre rimeligt tilsyn med CitizenOne A/S’ behandling af personoplysninger.

11.3 CitizenOne A/S kan blandt andet stille sikkerhedsbeskrivelser, SLA-dokumentation, oplysninger om underdatabehandlere og anden relevant dokumentation til rådighed.

11.4 Hvor CitizenOne A/S ikke kan fremlægge en uafhængig revisionserklæring såsom ISAE 3000 eller tilsvarende, kan den dataansvarliges løbende tilsyn efter nærmere aftale gennemføres ved en årlig skriftlig erklæring, et kontrolskema eller et spørgeskema om relevante databeskyttelses- og sikkerhedsforhold.

11.5 Hvis CitizenOne A/S senere opnår en relevant uafhængig revisionserklæring, kan denne indgå som hel eller delvis dokumentation for den dataansvarliges tilsyn.

11.6 Fysiske eller tekniske revisioner gennemføres med rimeligt varsel og på en måde, der ikke kompromitterer andre kunders sikkerhed eller fortrolighed.

12. Aftalens varighed

12.1 Aftalen gælder, så længe CitizenOne A/S behandler personoplysninger på vegne af den dataansvarlige.

13. Ændringer

13.1 Væsentlige ændringer varsles som udgangspunkt mindst 30 dage før ikrafttrædelse.

13.2 Ændringer, der er nødvendige som følge af lovgivning eller bindende myndighedskrav, kan gennemføres med kortere varsel.

14. Ansvar

14.1 Parternes ansvar følger gældende databeskyttelseslovgivning samt, i det omfang det er foreneligt hermed, CitizenOne A/S’ almindelige vilkår og betingelser.

15. Lovvalg og værneting

15.1 Aftalen er underlagt dansk ret.

15.2 Tvister afgøres ved de danske domstole i overensstemmelse med parternes øvrige aftalegrundlag.

Bilag A – Behandlingens karakter og kategorier af registrerede og personoplysninger

A.1 Registrerede

Behandlingen kan blandt andet vedrøre:

• borgere;
• patienter;
• beboere;
• elever;
• pårørende;
• værger;
• medarbejdere og tidligere medarbejdere;
• kontaktpersoner og samarbejdspartnere;
• øvrige personer registreret af den dataansvarlige.

A.2 Almindelige personoplysninger

Der kan blandt andet behandles:

• navn;
• adresse;
• telefonnummer;
• e-mailadresse;
• fødselsdato;
• titel og organisatoriske oplysninger;
• interne identifikationsnumre;
• aftaler;
• kommunikation;
• dokumenter og journalrelaterede oplysninger.

A.3 Fortrolige oplysninger

Der kan blandt andet behandles:

• CPR-nummer;
• sociale og familiemæssige forhold;
• økonomiske oplysninger;
• andre fortrolige eller beskyttelseskrævende oplysninger.

A.4 Særlige kategorier

Der kan blandt andet behandles:

• helbredsoplysninger;
• diagnoser;
• medicinoplysninger;
• behandlings-, støtte- og indsatsplaner;
• journalnotater og øvrige faglige oplysninger.

A.5 Formål

Personoplysninger behandles med henblik på at levere de funktioner, den dataansvarlige vælger at anvende i CitizenOne, herunder journalføring, dokumenthåndtering, kommunikation, administration, planlægning, rapportering, fakturering, adgangsstyring og eventuelle AI-funktioner.

Bilag B – Underdatabehandlere

CitizenOne A/S anvender alene underdatabehandlere, når dette er nødvendigt for at drive CitizenOne eller levere en funktion, som den dataansvarlige har valgt at anvende.

Underdatabehandlere må ikke anvende kundernes journal-, borger-, medarbejder- eller øvrige faglige oplysninger til egne markedsførings-, profilerings- eller annonceringsformål.

Hetzner Online GmbH

Tjeneste: Hosting og infrastruktur
Formål: Primær hosting, lagring, backup og teknisk drift af CitizenOne.
Anvendelse: Generel drift af platformen.
Datatyper: De personoplysninger, som den dataansvarlige registrerer og behandler i CitizenOne.
Geografisk behandling: Tyskland, EU/EØS.

OpenAI Ireland Ltd.

Tjeneste: AI-tjenester og taletransskribering
Formål: AI-assistance, tekstgenerering, opsummering, AI-baseret søgning og transskribering.
Anvendelse: Alene ved brug af de relevante AI-funktioner.
Aktuelle modeller: GPT-5.4 mini, GPT-5 mini og Whisper-1.
Datatyper: Begrænsede og funktionsrelevante oplysninger. Ved tekstbaseret behandling anvendes redaktion og pseudonymisering. Ved taletransskribering kan lyd behandles med henblik på transskribering.
Geografisk behandling: EU/EØS og eventuelle øvrige behandlingslokationer i overensstemmelse med gældende databehandleraftale og GDPR kapitel V.

Google Ireland Limited

Tjeneste: Google Analytics og Google Tag Manager
Formål: Begrænset teknisk brugsstatistik og hændelsesmåling, herunder overordnede besøgstal, nye oprettelser og anvendelse af web-, iOS- og Android-løsninger.
Anvendelse: Teknisk analyse og måling.
Datatyper: Begrænsede tekniske brugs- og hændelsesdata. Der sendes ikke journalindhold, CPR-numre, borgeroplysninger, medarbejderoplysninger, helbredsoplysninger eller andet fagligt indhold fra CitizenOne til Google Analytics eller Google Tag Manager.
Geografisk behandling: I overensstemmelse med Googles gældende databehandler- og overførselsvilkår.

Google Maps, Google Fonts og øvrige Google-tjenester, der alene anvendes på citizenone.dk, citizenone.eu eller øvrige offentlige hjemmesider, indgår ikke som underdatabehandlere af kundernes platformdata, medmindre deres anvendelse senere ændres.

Den til enhver tid gældende oversigt over underdatabehandlere vedligeholdes af CitizenOne A/S.

Kontakt support@citizenone.dk ved spørgsmål om anvendelsen af underdatabehandlere.