Databehandleraftale (DPA)

Senest opdateret: 8. juni 2026 · Udkast - afventer juridisk gennemgang

Denne databehandleraftale (“DPA”) indgås mellem kunden (“den dataansvarlige”) og The Good Company Lab ApS, CVR 46371143 (“databehandleren”), og regulerer databehandlerens behandling af personoplysninger på vegne af den dataansvarlige i forbindelse med Builderdocs. DPA’en udgør en integreret del af aftalen om Builderdocs (jf. vilkårene) og har forrang ved uoverensstemmelser om behandling af personoplysninger. Den indgås gyldigt ved accept af vilkårene; ønsker I en særskilt underskrevet udgave, skriv til dpo@tgclab.io.

1. Genstand, varighed, karakter og formål

Databehandleren behandler personoplysninger med det formål at levere Builderdocs - dvs. at optage byggemøder, transskribere lyd, generere strukturerede referater og opgavelister samt opbevare, eksportere og dele denne dokumentation. Behandlingen varer, så længe aftalen om Builderdocs er gældende, jf. dog pkt. 9 om sletning.

2. Kategorier af registrerede og personoplysninger

• Registrerede: mødedeltagere, den dataansvarliges medarbejdere og brugere samt øvrige personer, der omtales i optagelser.
• Personoplysninger: navne, roller, e-mail og kontaktoplysninger; lyd-optagelser, transskriptioner og genererede referater samt det indhold, der i øvrigt fremgår heraf. Tjenesten er ikke beregnet til særlige kategorier af oplysninger (art. 9).

3. Den dataansvarliges instruks og forpligtelser

Databehandleren behandler kun personoplysninger efter den dataansvarliges dokumenterede instruks, herunder som fastlagt i denne DPA og ved brug af tjenestens funktioner. Den dataansvarlige indestår for at have fornødent behandlingsgrundlag, herunder at mødedeltagere informeres om optagelse i overensstemmelse med gældende ret.

4. Databehandlerens forpligtelser

• Behandler kun efter dokumenteret instruks og underretter, hvis en instruks efter databehandlerens vurdering er i strid med gældende ret.
• Sikrer, at personer med adgang til oplysningerne er underlagt fortrolighed.
• Træffer passende tekniske og organisatoriske foranstaltninger, jf. pkt. 7.
• Bistår - under hensyn til behandlingens karakter - den dataansvarlige med at opfylde forpligtelser vedrørende registreredes rettigheder (art. 12-23), sikkerhed, anmeldelse af brud og konsekvensanalyser (art. 32-36).
• Stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse, jf. pkt. 8.

5. Underdatabehandlere

Den dataansvarlige giver generel forhåndsgodkendelse til brug af underdatabehandlere. Databehandleren anvender ved aftalens indgåelse:

• Hetzner Online GmbH (Tyskland) - hosting og infrastruktur (EU).
• Mistral AI (Frankrig) - kører sprogmodellen Mistral Large til generering og bearbejdning af referater. Data behandles i EU, anvendes ikke til modeltræning og forlader ikke EU.
• Brevo (Sendinblue SAS) (Frankrig) - transaktionelle e-mails (EU).

Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne DPA og varsler den dataansvarlige om planlagte ændringer (tilføjelse/udskiftning), så denne kan gøre indsigelse.

6. Overførsel til tredjelande

Behandling sker i EU/EØS. Anvender databehandleren undtagelsesvist en underdatabehandler uden for EU/EØS, baseres overførslen på et gyldigt overførselsgrundlag - som udgangspunkt EU-Kommissionens standardkontraktbestemmelser - med fornødne supplerende foranstaltninger.

7. Sikkerhed (art. 32)

Databehandleren træffer passende tekniske og organisatoriske foranstaltninger, herunder kryptering under transport, adgangsstyring efter mindste-privilegium, single sign-on, logning og audit-trail, daglig sikkerhedskopiering samt løbende sårbarheds- og fejlovervågning.

8. Revision og dokumentation

Databehandleren stiller på anmodning dokumentation til rådighed for overholdelse af denne DPA og giver mulighed for og bidrager til revisioner, herunder inspektioner, der gennemføres af den dataansvarlige eller en bemyndiget revisor, med rimeligt varsel og uden unødig forstyrrelse af driften.

9. Sletning og tilbagelevering

Lyd-filer slettes automatisk efter 14 dage. Ved aftalens ophør sletter eller tilbageleverer databehandleren efter den dataansvarliges valg samtlige personoplysninger og sletter eksisterende kopier, medmindre opbevaring kræves efter EU-ret eller national ret. Den dataansvarlige kan til enhver tid eksportere data som PDF, Word og JSON.

10. Brud på persondatasikkerheden

Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på et brud og bistår med de oplysninger, der er nødvendige for den dataansvarliges eventuelle anmeldelse til tilsynsmyndighed og underretning af registrerede.

11. Ikrafttræden og ophør

DPA’en træder i kraft ved accept af vilkårene og gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige. Pkt. 9 gælder efter ophør.