Databehandleraftale

Den kundeorganisation, der driver et newsroom-workspace, er dataansvarlig. Entro314 Labs PC er databehandler. Denne aftale træder i kraft, når kunden accepterer Vilkårene, og gælder, så længe workspacet findes. Der kræves ingen separat underskrift, for at den er bindende; en medunderskrevet kopi på papir udstedes på anmodning.

ErmisAI behandler personoplysninger for at drive det newsroom-workspace, kunden abonnerer på: overvågning af konfigurerede kilder, clustering af dækning, udarbejdelse af historier, dirigering af dem gennem redaktionel gennemgang og levering af godkendt output til de publiceringsflader, kunden forbinder. Behandlingen varer abonnementsperioden plus de overgangs- og sletningsvinduer, der er beskrevet på siden om dataportabilitet og exit.

De registrerede er kundens redaktører, administratorer og inviterede medlemmer samt enhver person, der nævnes i det kildemateriale, et newsroom overvåger, eller i de udkast, dets redaktører skriver. Kategorierne er:

• identitets- og kontodata – navn, e-mailadresse, rolle, workspace-medlemskab,
• brugsdata – handlinger i workspacet, historie- og udkasthistorik, revisionsspor,
• indholdsdata – kildeartikler, clusters, udkast og godkendte historier, inklusive de personoplysninger, de nævner,
• tekniske data – IP-adresse, enheds- og browsermetadata registreret i sikkerheds- og fejllogs.

ErmisAI behandler kun personoplysninger efter dokumenteret instruks fra kunden. Vilkårene, denne aftale, de produktindstillinger, en kunde konfigurerer, og de handlinger, dens redaktører foretager i workspacet, udgør disse instrukser. Kræver EU-retten eller national ret, at ErmisAI behandler ud over dem, oplyser ErmisAI kunden herom, inden det sker, medmindre den lovgivning forbyder underretningen. ErmisAI oplyser kunden, hvis en instruks synes at overtræde databeskyttelseslovgivningen.

Alle, der er bemyndiget til at behandle kundens personoplysninger, er underlagt fortrolighed og har kun adgang til det, deres arbejde kræver. Adgang til produktionsdata er begrænset til tjenestens operatør og logges.

ErmisAI opretholder tekniske og organisatoriske foranstaltninger, der står mål med risikoen, herunder kryptering under transport, krypteret lagring hos hostingudbyderne, rollebaseret adgangskontrol, tenant-isolation på enhver læse- og skrivesti, signaturverifikation på indgående webhooks og rate limiting. Sikkerhedssiden beskriver foranstaltningerne og angiver klart, hvad der ikke hævdes.

Kunden giver generel bemyndigelse til de underdatabehandlere, der er anført på siden over underdatabehandlere, som navngiver hver leverandør, dens rolle og dens behandlingsregion. ErmisAI pålægger hver af dem tilsvarende databeskyttelsesforpligtelser og forbliver fuldt ansvarlig for deres udførelse. Nye eller udskiftede underdatabehandlere varsles på den side, før de påbegynder behandling, og en kunde kan gøre indsigelse på rimelige databeskyttelsesmæssige grunde; en uafklaret indsigelse berettiger kunden til at opsige den berørte tjeneste uden bod.

Under hensyntagen til behandlingens karakter bistår ErmisAI kunden med:

• besvarelse af anmodninger fra registrerede, herunder indsigt, berigtigelse, sletning og dataportabilitet – hvoraf kunden selv kan håndtere de fleste fra workspacet,
• behandlingssikkerhed, anmeldelse af sikkerhedsbrud og konsekvensanalyser vedrørende databeskyttelse,
• forudgående høring af en tilsynsmyndighed, hvor det er påkrævet.

ErmisAI underretter kunden uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører den pågældende kundes oplysninger, med de oplysninger, kunden har brug for til sin egen underretning efter artikel 33, og følger op, efterhånden som undersøgelsen skrider frem.

ErmisAI stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28, og giver mulighed for audits, herunder inspektioner, der gennemføres af kunden eller en revisor, som kunden bemyndiger. Audits planlægges med rimeligt varsel, højst én gang om året, medmindre en hændelse eller en tilsynsmyndighed kræver andet, og må ikke bringe andre kunders sikkerhed i fare.

Behandling holdes i Den Europæiske Union eller Det Europæiske Økonomiske Samarbejdsområde, når leverandøren tilbyder det. Overfører en underdatabehandler oplysninger uden for EØS, sker overførslen på grundlag af en tilstrækkelighedsafgørelse eller Europa-Kommissionens standardkontraktbestemmelser med supplerende foranstaltninger. Underdatabehandlersiden angiver, hvilken region hver leverandør opererer i.

Ved ophør vælger kunden, om personoplysninger skal tilbageleveres eller slettes. Oplysningerne forbliver læsbare i den overgangsperiode, der er beskrevet på siden om dataportabilitet og exit, så eksporter kan færdiggøres, og slettes derefter, undtagen hvor EU-retten eller medlemsstaternes nationale ret kræver opbevaring – faktureringsdata er det sædvanlige tilfælde.

Hvor denne aftale er i modstrid med Vilkårene for så vidt angår behandling af personoplysninger, har denne aftale forrang. En forhandlet aftale underskrevet med en kunde går forud for begge. Væsentlige ændringer offentliggøres på denne side med en ny ikrafttrædelsesdato og meddeles kunder med et aktivt abonnement.