Databehandleraftale

Gælder for alle Forsprings produkter. Underskrives som en del af ordreformularen.

Version: 2026-10-12. Én databehandleraftale for alle Forspring-produkter. Den erstatter DataSpring's egen databehandleraftale (dataspring.app/dpa).

Bestemmelserne 2 til 15 er Datatilsynets skabelon til databehandleraftale, dansk version 1.2 (Standardkontraktsbestemmelser i henhold til artikel 28, stk. 3, i databeskyttelsesforordningen). Teksten er gengivet ordret, også skabelonens egne stavefejl. Forspring har kun udfyldt felter og valgmuligheder i skabelonen og skrevet bilag A til D. Skabelonen er hentet 2026-10-11 fra datatilsynet.dk/regler-og-vejledning/blanketter-og-skabeloner.

Udskriv eller gem som PDF

Standardkontraktsbestemmelser

i henhold til artikel 28, stk. 3, i forordning 2016/679 (databeskyttelsesforordningen) med henblik på databehandlerens behandling af personoplysninger

mellem

[KUNDENS NAVN]
CVR [KUNDENS CVR]
[KUNDENS ADRESSE]

herefter ”den dataansvarlige”

og

Writeflow ApS (driver Forspring)
CVR 43460870
Gassehaven 98, 2840 Holte

herefter ”databehandleren”

der hver især er en ”part” og sammen udgør ”parterne”

HAR AFTALT følgende standardkontraktsbestemmelser (Bestemmelserne) med henblik på at overholde databeskyttelsesforordningen og sikre beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder

1. Indholdsfortegnelse

• 2. Præambel
• 3. Den dataansvarliges rettigheder og forpligtelser
• 4. Databehandleren handler efter instruks
• 5. Fortrolighed
• 6. Behandlingssikkerhed
• 7. Anvendelse af underdatabehandlere
• 8. Overførsel til tredjelande eller internationale organisationer
• 9. Bistand til den dataansvarlige
• 10. Underretning om brud på persondatasikkerheden
• 11. Sletning og returnering af oplysninger
• 12. Revision, herunder inspektion
• 13. Parternes aftale om andre forhold
• 14. Ikrafttræden og ophør
• 15. Kontaktpersoner hos den dataansvarlige og databehandleren

• Bilag A Oplysninger om behandlingen
• Bilag B Underdatabehandlere
• Bilag C Instruks vedrørende behandling af personoplysninger
• Bilag D Parternes regulering af andre forhold

2. Præambel

2.1. Disse Bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige.

2.2. Disse bestemmelser er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (databeskyttelsesforordningen).

2.3. I forbindelse med leveringen af de Forspring-produkter, som den dataansvarlige har bestilt i en ordreformular under rammeaftalen mellem parterne (Spring, SiteSpring og DataSpring), behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med disse Bestemmelser.

2.4. Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.

2.5. Der hører fire bilag til disse Bestemmelser, og bilagene udgør en integreret del af Bestemmelserne.

2.6. Bilag A indeholder nærmere oplysninger om behandlingen af personoplysninger, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.

2.7. Bilag B indeholder den dataansvarliges betingelser for databehandlerens brug af underdatabehandlere og en liste af underdatabehandlere, som den dataansvarlige har godkendt brugen af.

2.8. Bilag C indeholder den dataansvarliges instruks for så vidt angår databehandlerens behandling af personoplysninger, en beskrivelse af de sikkerhedsforanstaltninger, som databehandleren som minimum skal gennemføre, og hvordan der føres tilsyn med databehandleren og eventuelle underdatabehandlere.

2.9. Bilag D indeholder bestemmelser vedrørende andre aktiviteter, som ikke af omfattet af Bestemmelserne.

2.10. Bestemmelserne med tilhørende bilag skal opbevares skriftligt, herunder elektronisk, af begge parter.

2.11. Disse Bestemmelser frigør ikke databehandleren fra forpligtelser, som databehandleren er pålagt efter databeskyttelsesforordningen eller enhver anden lovgivning.

3. Den dataansvarliges rettigheder og forpligtelser

3.1. Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (se forordningens artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.

3.2. Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.

3.3. Den dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som databehandleren instrueres i at foretage.

4. Databehandleren handler efter instruks

4.1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Denne instruks skal være specificeret i bilag A og C. Efterfølgende instruks kan også gives af den dataansvarlige, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med disse Bestemmelser.

4.2. Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

5. Fortrolighed

5.1. Databehandleren må kun give adgang til personoplysninger, som behandles på den dataansvarliges vegne, til personer, som er underlagt databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Listen af personer, som har fået tildelt adgang, skal løbende gennemgås. På baggrund af denne gennemgang kan adgangen til personoplysninger lukkes, hvis adgangen ikke længere er nødvendig, og personoplysningerne skal herefter ikke længere være tilgængelige for disse personer.

5.2. Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer, som er underlagt databehandlerens instruktionsbeføjelser, er underlagt ovennævnte tavshedspligt.

6. Behandlingssikkerhed

6.1. Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til disse risici.

Den dataansvarlige skal vurdere risiciene for fysiske personers rettigheder og frihedsrettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Afhængig af deres relevans kan det omfatte:

a. Pseudonymisering og kryptering af personoplysninger

b. evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester

c. evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse

d. en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.

6.2. Efter forordningens artikel 32 skal databehandleren – uafhængigt af den dataansvarlige – også vurdere risiciene for fysiske personers rettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Med henblik på denne vurdering skal den dataansvarlige stille den nødvendige information til rådighed for databehandleren som gør vedkommende i stand til at identificere og vurdere sådanne risici.

6.3. Derudover skal databehandleren bistå den dataansvarlige med vedkommendes overholdelse af den dataansvarliges forpligtelse efter forordningens artikel 32, ved bl.a. at stille den nødvendige information til rådighed for den dataansvarlige vedrørende de tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren allerede har gennemført i henhold til forordningens artikel 32, og al anden information, der er nødvendig for den dataansvarliges overholdelse af sin forpligtelse efter forordningens artikel 32.

Hvis imødegåelse af de identificerede risici – efter den dataansvarliges vurdering – kræver gennemførelse af yderligere foranstaltninger end de foranstaltninger, som databehandleren allerede har gennemført, skal den dataansvarlige angive de yderligere foranstaltninger, der skal gennemføres, i bilag C.

7. Anvendelse af underdatabehandlere

7.1. Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2, og stk. 4, for at gøre brug af en anden databehandler (en underdatabehandler).

7.2. Databehandleren må således ikke gøre brug af en underdatabehandler til opfyldelse af disse Bestemmelser uden forudgående generel skriftlig godkendelse fra den dataansvarlige.

7.3. Databehandleren har den dataansvarliges generelle godkendelse til brug af underdatabehandlere. Databehandleren skal skriftligt underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 14 dages varsel og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer inden brugen af de(n) omhandlede underdatabehandler(e). Længere varsel for underretning i forbindelse med specifikke behandlingsaktiviteter kan angives i bilag B. Listen over underdatabehandlere, som den dataansvarlige allerede har godkendt, fremgår af bilag B.

7.4. Når databehandleren gør brug af en underdatabehandler i forbindelse med udførelse af specifikke behandlingsaktiviteter på vegne af den dataansvarlige, skal databehandleren, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der fremgår af disse Bestemmelser, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen overholder kravene i disse Bestemmelser og databeskyttelsesforordningen.

Databehandleren er derfor ansvarlig for at kræve, at underdatabehandleren som minimum overholder databehandlerens forpligtelser efter disse Bestemmelser og databeskyttelsesforordningen.

7.5. Underdatabehandleraftale(r) og eventuelle senere ændringer hertil sendes – efter den dataansvarliges anmodning herom – i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at tilsvarende databeskyttelsesforpligtelser som følger af disse Bestemmelser er pålagt underdatabehandleren. Bestemmelser om kommercielle vilkår, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.

7.6. Fravalgt. (Skabelonens valgfrie bestemmelse om den dataansvarlige som begunstiget tredjemand i underdatabehandleraftalen.)

7.7. Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser. Dette påvirker ikke de registreredes rettigheder, der følger af databeskyttelsesforordningen, herunder særligt forordningens artikel 79 og 82, over for den dataansvarlige og databehandleren, herunder underdatabehandleren.

8. Overførsel til tredjelande eller internationale organisationer

8.1. Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V.

8.2. Hvis overførsel af personoplysninger til tredjelande eller internationale organisationer, som databehandleren ikke er blevet instrueret i at foretage af den dataansvarlige, kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt, skal databehandleren underrette den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

8.3. Uden dokumenteret instruks fra den dataansvarlige kan databehandleren således ikke inden for rammerne af disse Bestemmelser:

a. overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland eller en international organisation

b. overlade behandling af personoplysninger til en underdatabehandler i et tredjeland

c. behandle personoplysningerne i et tredjeland

8.4. Den dataansvarliges instruks vedrørende overførsel af personoplysninger til et tredjeland, herunder det eventuelle overførselsgrundlag i databeskyttelsesforordningens kapitel V, som overførslen er baseret på, skal angives i bilag C.6.

8.5. Disse Bestemmelser skal ikke forveksles med standardkontraktsbestemmelser som omhandlet i databeskyttelsesforordningens artikel 46, stk. 2, litra c og d, og disse Bestemmelser kan ikke udgøre et grundlag for overførsel af personoplysninger som omhandlet i databeskyttelsesforordningens kapitel V.

9. Bistand til den dataansvarlige

9.1. Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel III.

Dette indebærer, at databehandleren så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:

a. oplysningspligten ved indsamling af personoplysninger hos den registrerede

b. oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede

c. indsigtsretten

d. retten til berigtigelse

e. retten til sletning (”retten til at blive glemt”)

f. retten til begrænsning af behandling

g. underretningspligten i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling

h. retten til dataportabilitet

i. retten til indsigelse

j. retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering

9.2. I tillæg til databehandlerens forpligtelse til at bistå den dataansvarlige i henhold til Bestemmelse 6.3., bistår databehandleren endvidere, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, den dataansvarlige med:

a. den dataansvarliges forpligtelse til uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed, Datatilsynet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder

b. den dataansvarliges forpligtelse til uden unødig forsinkelse at underrette den registrerede om brud på persondatasikkerheden, når bruddet sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder

c. den dataansvarliges forpligtelse til forud for behandlingen at foretage en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger (en konsekvensanalyse)

d. den dataansvarliges forpligtelse til at høre den kompetente tilsynsmyndighed, Datatilsynet, inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen.

9.3. Parterne skal i bilag C angive de fornødne tekniske og organisatoriske foranstaltninger, hvormed databehandleren skal bistå den dataansvarlige samt i hvilket omfang og udstrækning. Det gælder for de forpligtelser, der følger af Bestemmelse 9.1. og 9.2.

10. Underretning om brud på persondatasikkerheden

10.1. Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden.

10.2. Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 48 timer efter, at denne er blevet bekendt med bruddet, sådan at den dataansvarlige kan overholde sin forpligtelse til at anmelde bruddet på persondatasikkerheden til den kompetente tilsynsmyndighed, jf. databeskyttelsesforordningens artikel 33.

10.3. I overensstemmelse med Bestemmelse 9.2.a skal databehandleren bistå den dataansvarlige med at foretage anmeldelse af bruddet til den kompetente tilsynsmyndighed. Det betyder, at databehandleren skal bistå med at tilvejebringe nedenstående information, som ifølge artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse af bruddet til den kompetente tilsynsmyndighed:

a. karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger

b. de sandsynlige konsekvenser af bruddet på persondatasikkerheden

c. de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.

10.4. Parterne skal i bilag C angive den information, som databehandleren skal tilvejebringe i forbindelse med sin bistand til den dataansvarlige i dennes forpligtelse til at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed.

11. Sletning og returnering af oplysninger

11.1. Ved ophør af tjenesterne vedrørende behandling af personoplysninger, er databehandleren forpligtet til at tilbagelevere alle personoplysningerne og slette eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.

11.2. Følgende regler i EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne efter ophør af tjenesterne vedrørende behandling af personoplysninger:

a. Ingen kendte regler for de personoplysninger, databehandleren behandler på den dataansvarliges vegne.

Databehandleren forpligter sig til alene at behandle personoplysningerne til de(t) formål, i den periode og under de betingelser, som disse regler foreskriver.

12. Revision, herunder inspektion

12.1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og disse Bestemmelser, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

12.2. Procedurerne for den dataansvarliges revisioner, herunder inspektioner, med databehandleren og underdatabehandlere er nærmere angivet i Bilag C.7. og C.8.

12.3. Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter gældende lovgivningen har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter, der optræder på tilsynsmyndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

13. Parternes aftale om andre forhold

13.1. Parterne kan aftale andre bestemmelser vedrørende tjenesten vedrørende behandling af personoplysninger om f.eks. erstatningsansvar, så længe disse andre bestemmelser ikke direkte eller indirekte strider imod Bestemmelserne eller forringer den registreredes grundlæggende rettigheder og frihedsrettigheder, som følger af databeskyttelsesforordningen.

14. Ikrafttræden og ophør

14.1. Bestemmelserne træder i kraft på datoen for begge parters underskrift heraf.

14.2. Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i Bestemmelserne giver anledning hertil.

14.3. Bestemmelserne er gældende, så længe tjenesten vedrørende behandling af personoplysninger varer. I denne periode kan Bestemmelserne ikke opsiges, medmindre andre bestemmelser, der regulerer levering af tjenesten vedrørende behandling af personoplysninger, aftales mellem parterne.

14.4. Hvis levering af tjenesterne vedrørende behandling af personoplysninger ophører, og personoplysningerne er slettet eller returneret til den dataansvarlige i overensstemmelse med Bestemmelse 11.1 og Bilag C.4, kan Bestemmelserne opsiges med skriftlig varsel af begge parter.

14.5. Underskrift

15. Kontaktpersoner hos den dataansvarlige og databehandleren

15.1. Parterne kan kontakte hinanden via nedenstående kontaktpersoner.

15.2. Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende kontaktpersoner.

Bilag A Oplysninger om behandlingen

Behandlingen er beskrevet pr. produkt. Kun de produkter, den dataansvarlige har bestilt i en ordreformular, gælder. Fælles for alle produkter er punkt A.0. Nye produkter tilføjes aftalen, når de kommer i salg.

A.0 Fælles for alle produkter

Brugere og roller. Den dataansvarliges brugere logger ind med en Forspring-konto (account.forspring.ai). Hvert produkt gemmer brugerens konto-id, navn, e-mail og rolle i produktet. Forspring-kontoen selv er Forsprings eget ansvar som dataansvarlig (bilag D.4).

Logning og drift. Hvert produkt logger tekniske hændelser (tidspunkt, hvad der blev kaldt, om det lykkedes, et sporings-id) for at drive og fejlsøge produktet. Logs indeholder ikke IP-adresser eller hemmeligheder. Fejlrapporter fra produkternes klientprogrammer indeholder kun tilladte felter og intet af den dataansvarliges indhold. Rapporterne kan slås fra.

Ingen træning. Ingen af produkterne bruger den dataansvarliges personoplysninger til at træne AI-modeller (bilag C.1).

Følsomme oplysninger. Produkterne er ikke beregnet til særlige kategorier af personoplysninger (artikel 9) eller oplysninger om strafbare forhold (artikel 10). Se bilag C.2.

A.1 Spring (med BrainSpring og forbindelsen til den dataansvarliges systemer)

A.1.1 Formål. At give den dataansvarliges medarbejdere en AI-kollega i den dataansvarliges Slack. Spring løser opgaver, når den bliver spurgt, og på faste tidspunkter. Den husker arbejdsgange og fakta om virksomheden og arbejder i de systemer, den dataansvarlige har forbundet.

A.1.2 Karakter.

• modtage beskeder fra Slack, når Spring er nævnt, i direkte beskeder og i tråde, Spring deltager i;
• i kanaler, hvor en ejer eller administrator har slået det til, læse kanalens samtaler for at lære fakta om arbejdet ("læring fra samtaler");
• sende indhold til AI-modeller for at forstå, svare, opsummere og klassificere;
• gemme samtalers forløb, opsummeringer, fakta (hukommelse), arbejdsgange og deres versioner;
• søge i den dataansvarliges systemer og handle i dem gennem forbindelsen (Executor), på vegne af den person, der spørger, og kun med de rettigheder, personen har;
• køre faste opgaver (rutiner) på et tidspunkt, en ejer har sat;
• føre log over ændringer, godkendelser og handlinger.

A.1.3 Typer af personoplysninger.

• Medarbejdere: navn, Slack-id, e-mail, rolle, sprog, foretrukken tone og format, arbejdsopgaver og arbejdstider, som personen selv har oplyst.
• Indholdet af beskeder og tråde i Slack, som Spring modtager. Det kan indeholde alle slags oplysninger, medarbejderne skriver.
• Fakta, Spring gemmer: personlige profiloplysninger (de kategorier, der står ovenfor), private fakta fra en persons egne direkte beskeder, kanalfakta og fakta om virksomheden.
• Opsummeringer af tråde: emne, beslutninger og hvem der tog dem, åbne opgaver med ansvarlig og dato.
• Arbejdsgange og dokumenter, den dataansvarlige lægger ind.
• Oplysninger fra de systemer, den dataansvarlige forbinder (fx CRM, regnskab, e-mail og filer): navne, kontaktoplysninger, kunde-, leverandør- og salgsdata og andet, systemerne indeholder. Hvad der behandles, afhænger af, hvilke systemer den dataansvarlige forbinder.
• Adgangsnøgler til de forbundne systemer (krypteret, se bilag C.2).
• Log: hvem der gjorde hvad, hvornår og med hvilken arbejdsgang.

Spring gemmer aldrig adgangskoder, nøgler eller andre hemmeligheder som hukommelse. Spring gemmer ikke personlige oplysninger om en person, som en anden person har fortalt, ud over arbejdsrelaterede oplysninger. Spring gemmer ikke særlige kategorier af oplysninger i fælles hukommelse.

A.1.4 Kategorier af registrerede.

• den dataansvarliges medarbejdere og andre brugere i den dataansvarliges Slack;
• personer, der nævnes i samtaler med Spring;
• personer, hvis oplysninger findes i de systemer, den dataansvarlige forbinder, fx kunder, leverandører og deres kontaktpersoner.

A.1.5 Varighed. Så længe den dataansvarlige har Spring i en ordreformular, og indtil oplysningerne er udleveret og slettet efter bilag C.4.

A.2 SiteSpring

A.2.1 Formål. At bygge, rette, hoste og udgive den dataansvarliges hjemmesider og modtage indsendelser fra formularer på dem.

A.2.2 Karakter.

• gemme hjemmesidernes kildekode, billeder og filer og bygge og udgive siderne;
• modtage formularindsendelser fra besøgende, gemme dem og sende dem videre til de modtagere, den dataansvarlige har valgt (fx et CRM eller Slack);
• sende engangskoder til besøgende på beskyttede sider;
• gemme besøgendes valg af cookies;
• tælle sidevisninger på serveren til statistik over hjemmesiderne, uden script og uden cookies;
• føre log over sider, der er hentet, og over ændringer.

A.2.3 Typer af personoplysninger.

• Formularindsendelser: de felter, den dataansvarlige har valgt, fx navn, e-mail, telefon, virksomhed og besked. SiteSpring gemmer ikke afsenderens IP-adresse eller browser sammen med en indsendelse.
• Besøgende på beskyttede sider: e-mailadresse og engangskode.
• Besøgendes cookievalg.
• Personoplysninger, som den dataansvarlige selv lægger på sine sider, fx navne og billeder af medarbejdere.
• Logs over sider, der er hentet: side, tidspunkt og status, uden IP-adresse.
• Statistik over sidevisninger: tidspunkt, side, det domæne, den besøgende kom fra, utm-parametre, land, enhedstype (mobil, tablet, computer eller robot), robottens navn, svarkode og et besøgs-id. Besøgs-id'et er en hash af IP-adresse og browser med et salt, der skiftes og slettes hver dag, så den samme person ikke kan genkendes fra dag til dag. IP-adressen og browserens fulde identifikation gemmes ikke, og der sættes ingen cookie.

SiteSpring læser ikke indholdet af formularindsendelser. Den dataansvarlige bestemmer, hvad formularerne spørger om, og har ansvaret, hvis en formular spørger om følsomme oplysninger.

A.2.4 Kategorier af registrerede. Besøgende på den dataansvarliges hjemmesider, personer der udfylder formularer, og personer der nævnes eller vises på siderne.

A.2.5 Varighed. Så længe den dataansvarlige har SiteSpring i en ordreformular, og indtil oplysningerne er udleveret og slettet efter bilag C.4.

A.3 DataSpring

A.3.1 Formål. At hente data fra den dataansvarliges systemer, gemme dem i et datavarehus, som Forspring driver, gøre dem til nøgletal og lade den dataansvarliges brugere og deres AI-agenter spørge til dem.

A.3.2 Karakter.

• hente data fra de systemer, den dataansvarlige forbinder, efter en tidsplan den dataansvarlige sætter;
• gemme en løbende kopi og historik i den dataansvarliges egne datasæt;
• omdanne data til tabeller og nøgletal;
• køre forespørgsler for brugere og deres AI-agenter og vise rapporter;
• hente dokumenter fra navngivne postkasser, hvis den dataansvarlige forbinder en.

Den dataansvarlige skriver selv de pipelines, der bestemmer, hvad der hentes. Skriver Forspring en pipeline for den dataansvarlige, sker det efter dokumenteret instruks, og pipelinen er den dataansvarliges.

A.3.3 Typer af personoplysninger.

• CRM og salg: kontakter, virksomheder, aftaler og korrespondance, navne, kontaktoplysninger og stillinger.
• Ordrer og levering: ordrer, beløb, produkter, leveringsadresser og kunde-id'er.
• Regnskab: debitorer, kreditorer, fakturaer og posteringer, når en debitor eller kreditor er en person eller har en navngiven kontakt.
• Medarbejdere, vagtplaner og løn: medarbejdere, afdelinger, vagter og, hvis den dataansvarlige slår det til, løn.
• Leads og marketing: formularer, leads og kampagnetal.
• Dokumenter fra e-mail, hvis en postkasse er forbundet.
• Adgangsnøgler til kildesystemerne.
• Login: e-mail, bruger-id, Google-identitet og tidspunkter for login (Firebase Authentication hos Google). Det fjernes, når DataSpring's login flyttes til Forspring-kontoen.

A.3.4 Kategorier af registrerede. Den dataansvarliges medarbejdere og ansøgere, kunder og deres kontaktpersoner, leverandører og kreditorer og deres kontaktpersoner, leads og besøgende, og den dataansvarliges brugere af DataSpring.

A.3.5 Varighed. Så længe den dataansvarlige har DataSpring i en ordreformular, og indtil oplysningerne er udleveret og slettet efter bilag C.4.

Bilag B Underdatabehandlere

B.1 Godkendte underdatabehandlere

Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af følgende underdatabehandlere. Hvor de behandler data, står i bilag C.5, og overførselsgrundlaget står i bilag C.6.

Skabelonen beder om CVR. Udenlandske selskaber har ikke et CVR-nummer, så adressen står i stedet.

Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af ovennævnte underdatabehandlere for den beskrevne behandlingsaktivitet. Databehandleren må ikke – uden den dataansvarliges skriftlige godkendelse – gøre brug af en underdatabehandler til en anden behandlingsaktivitet end den beskrevne og aftalte eller gøre brug af en anden underdatabehandler til denne behandlingsaktivitet.

B.2 Varsel for godkendelse af underdatabehandlere

• Databehandleren giver skriftlig besked mindst 14 dage, før en ny underdatabehandler tages i brug eller en eksisterende udskiftes. Beskeden sendes på e-mail til den dataansvarliges kontaktperson for databeskyttelse, og listen på forspring.ai opdateres samtidig.
• Den dataansvarlige kan gøre skriftlig indsigelse inden for de 14 dage.
• Ved en indsigelse forsøger parterne at finde en løsning. Findes der ingen løsning, kan den dataansvarlige opsige det berørte produkt efter rammeaftalens almindelige regler. Der gælder ingen særlig opsigelsesret, og forudbetalte beløb betales ikke tilbage.

Bilag C Instruks vedrørende behandling af personoplysninger

C.1 Behandlingens genstand/instruks

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige sker ved, at databehandleren udfører følgende:

• de behandlinger, der står i bilag A for de bestilte produkter;
• de behandlinger, den dataansvarlige og dens brugere sætter i gang gennem produkterne, fx ved at forbinde et system, slå læring fra samtaler til i en kanal, oprette en formular, skrive en pipeline, give en rutine eller stille et spørgsmål. Det, den dataansvarlige og dens brugere gør i produkterne inden for deres rettigheder, er en dokumenteret instruks;
• support efter bilag D.2.

Databehandleren må ikke:

• bruge den dataansvarliges personoplysninger til at træne eller forbedre AI-modeller, hverken egne eller andres;
• bruge dem til egne formål, til statistik på tværs af kunder eller til markedsføring;
• dele den dataansvarliges personoplysninger med andre kunder, heller ikke gennem arbejdsgange eller hukommelse.

C.2 Behandlingssikkerhed

Sikkerhedsniveauet skal afspejle:

Behandlingen omfatter almindelige personoplysninger om medarbejdere, kunder og kontaktpersoner, ofte i større mængder, og for DataSpring også løndata, hvis den dataansvarlige slår det til. Produkterne er ikke beregnet til særlige kategorier af personoplysninger. Spring kan handle i den dataansvarliges systemer. Derfor skal der etableres et sikkerhedsniveau, der passer til en virksomheds samlede kunde- og medarbejderdata, med særlig vægt på adgangskontrol og på, at handlinger kun sker med den rettighed, den spørgende person har.

Databehandleren er herefter berettiget og forpligtet til at træffe beslutninger om, hvilke tekniske og organisatoriske sikkerhedsforanstaltninger, der skal gennemføres for at etableret det nødvendige (og aftalte) sikkerhedsniveau.

Databehandleren skal dog – under alle omstændigheder og som minimum – gennemføre følgende foranstaltninger, som er aftalt med den dataansvarlige:

Pseudonymisering og kryptering.

• Al trafik til og fra produkterne er krypteret med TLS.
• Data under opbevaring er krypteret af underdatabehandlerne med deres standardnøgler. Cloudflare krypterer D1, R2 og Durable Objects under opbevaring med AES-256. Google krypterer data under opbevaring i Google Cloud.
• Adgangsnøgler til den dataansvarliges systemer opbevares krypteret i den dataansvarliges egen forbindelse (Executor) med en nøgle, der kun hører til den dataansvarlige. Springs adgangsbeviser for den enkelte person opbevares krypteret.
• API-nøgler og adgangskoder gemmes kun som envejs-hash.
• Kundeadministrerede krypteringsnøgler tilbydes ikke.

Vedvarende fortrolighed, integritet, tilgængelighed og robusthed.

• Hver kunde er adskilt fra andre kunder på hver forespørgsel. Spring: forbindelsen til den dataansvarliges systemer kører i en separat installation pr. kunde med egen database, egen nøgle og egen adgangskontrol. DataSpring: hver kunde har sin egen tjenesteidentitet hos Google, og kun den kan læse kundens data.
• Hver handling i den dataansvarliges systemer er sat til tilladt, kræver godkendelse eller er blokeret, efter den dataansvarliges valg.
• Ændringer i arbejdsgange om penge, persondata, adgange eller bindende aftaler skal godkendes af både den dataansvarlige og Forspring. Spring kan aldrig godkende sine egne forslag.
• Fakta skal igennem en kontrol, før de gemmes i fælles hukommelse. Kontrollen afviser personlige oplysninger om andre end den, der taler, og særlige kategorier. Fejler kontrollen, gemmes faktaet ikke.
• Adgangskoder og nøgler går aldrig gennem chatten eller en AI-model.
• Den dataansvarlige kan selv stoppe Springs adgang til alle forbundne systemer fra Slack, uden at spørge Forspring.

Rettidig genoprettelse.

• Springs databaser (D1) kan gendannes til et tidspunkt inden for de seneste 30 dage (Cloudflare D1 Time Travel).
• DataSpring's datavarehus har Googles gendannelse i 7 dage og kan bygges igen fra den gemte historik.
• SiteSpring gemmer de seneste 10 udgivelser af hver hjemmeside, så en side kan rulles tilbage.

Afprøvning, vurdering og evaluering.

• Afbryderne til at stoppe Spring afprøves med en fast kommando for hver kunde.
• Forspring har ingen revisionserklæring fra tredjepart (ingen ISO 27001 eller SOC 2) og ingen fast penetrationstest. Forspring gennemgår foranstaltningerne i dette bilag mindst én gang om året og ved væsentlige ændringer.

Adgang via internettet.

• Brugere logger ind med en Forspring-konto (Google eller et login-link sendt på e-mail). DataSpring bruger indtil videre Firebase Authentication hos Google, indtil DataSpring's login flyttes til Forspring-kontoen. AI-agenter bruger personlige nøgler, der højst har den oprettende persons rettigheder og holder op med at virke, når personen mister adgangen.
• Spring kan kun nås gennem Slack. Forbindelsen til den dataansvarliges systemer kræver, at den enkelte person har logget ind.

Beskyttelse under transmission. TLS på al trafik. Webhooks fra SiteSpring er signeret. Hemmeligheder sendes aldrig i en URL.

Beskyttelse under opbevaring. Se kryptering ovenfor og placering i C.5.

Fysisk sikring. Forspring har ingen egne serverlokaler. Data ligger hos underdatabehandlerne, som står for den fysiske sikring af deres datacentre.

Hjemme- og fjernarbejde. Forsprings medarbejdere arbejder hjemmefra og på farten. Forsprings bærbare computere bruger fuld diskkryptering. Alle tjenestekonti med adgang til den dataansvarliges data bruger to-faktor-login (Cloudflare, Doppler, GitHub, Google og Stripe). Ingen kundedata gemmes lokalt, undtagen ved en udlevering, som slettes, når den er afleveret.

Logning.

• Ændringer i hukommelse, arbejdsgange, roller, godkendelser og supportadgang logges i den dataansvarliges log.
• DataSpring: hver forespørgsel og hver adgang til en nøgle logges hos Google med den, der gjorde det.
• Tekniske logs indeholder ikke IP-adresser, hemmeligheder eller den dataansvarliges indhold.

Særlige kategorier.

• Den dataansvarlige må ikke bruge produkterne til særlige kategorier af personoplysninger (artikel 9) eller oplysninger om strafbare forhold (artikel 10) uden først at have aftalt yderligere foranstaltninger med Forspring skriftligt.
• DataSpring: en pipeline må ikke hente den slags oplysninger uden en sådan aftale. Fravær med årsag fra et HR-system er typisk helbredsoplysninger.
• Spring: medarbejdere bør ikke skrive den slags oplysninger til Spring. Spring gemmer dem ikke i fælles hukommelse, men samtalens forløb gemmes.

C.3 Bistand til den dataansvarlige

Databehandleren skal så vidt muligt – inden for det nedenstående omfang og udstrækning – bistå den dataansvarlige i overensstemmelse med Bestemmelse 9.1 og 9.2 ved at gennemføre følgende tekniske og organisatoriske foranstaltninger:

• Indsigt og sletning for én person. På den dataansvarliges anmodning udleverer Forspring alt, Spring har gemt om en person, eller sletter det. Sletningen omfatter de fakta, personen har oplyst eller som handler om personen, fakta som andre har skrevet og som nævner personen, opsummeringer og oversigter der nævner personen, og personens data fra læring fra samtaler. Den dataansvarlige får en kvittering, der siger præcist, hvad der er slettet, og hvad der er beholdt. Sletning i Forspring-kontoen giver besked til alle produkter, personen har brugt.
• Rettelse. Brugerne kan selv se, rette og bede Spring glemme fakta.
• SiteSpring. Formularindsendelser kan søges frem, udleveres og slettes. Sletning giver signeret besked til de modtagere, indsendelserne er sendt videre til.
• DataSpring. Forspring kan finde, udlevere, slette eller rette rækker om en person i den dataansvarliges datasæt. Den dataansvarlige skal slette i kildesystemet først, ellers hentes oplysningen igen ved næste kørsel.
• Konsekvensanalyser og høring af Datatilsynet. Forspring giver de oplysninger om produkterne, den dataansvarlige har brug for.
• Frist. Forspring hjælper uden unødig forsinkelse, så den dataansvarlige kan overholde forordningens frister.
• Pris. Bistand med de registreredes rettigheder, konsekvensanalyser og høring af Datatilsynet betales efter den timepris, der står i ordreformularen. Det, brugerne selv kan gøre i produkterne, er ikke bistand. Underretning om brud efter Bestemmelse 10 og oplysningerne nedenfor betales ikke.

Ved brud (Bestemmelse 10.4). Databehandlerens underretning indeholder, så vidt det er kendt:

• hvad der er sket, og hvornår det blev opdaget;
• hvilket produkt og hvilke data der er berørt;
• kategorier og omtrentligt antal berørte personer og registreringer;
• de sandsynlige konsekvenser;
• hvad Forspring har gjort og vil gøre, og hvad den dataansvarlige kan gøre;
• en kontaktperson hos Forspring.

Oplysninger, der ikke kendes ved første underretning, sendes, så snart de kendes.

C.4 Opbevaringsperiode/sletterutine

I aftalens løbetid. Personoplysninger opbevares så længe, det står i Forsprings oversigt over opbevaring og sletning for hver type data, som den dataansvarlige får sammen med disse Bestemmelser. Kort fortalt:

• Formularindsendelser i SiteSpring: 365 dage, medmindre den dataansvarlige vælger en anden periode eller ikke at gemme dem.
• Læring fra samtaler i Spring: beskeder venter højst 48 timer på at blive vurderet, kandidater gemmes 30 dage, og afvist tekst slettes efter 7 dage.
• Hukommelse, arbejdsgange, samtaler og data i DataSpring: så længe aftalen løber, medmindre den dataansvarlige sletter dem før. Samtaleforløb udløber ikke af sig selv i aftalens løbetid.
• Log over ændringer, godkendelser og handlinger: 3 år pr. post.
• Et produkt, der aldrig er betalt efter prøveperioden: data slettes 90 dage efter, at pausen begyndte.

Ved ophør. Ved ophør af tjenesten vedrørende behandling af personoplysninger, skal databehandleren tilbagelevere personoplysningerne og slette dem i overensstemmelse med bestemmelse 11.1, medmindre den dataansvarlige har ændret sit valg. Sådanne ændringer skal være dokumenteret og opbevares skriftligt, herunder elektronisk, i tilknytning til bestemmelserne. Konkret:

1. Den dataansvarlige kan bede om udlevering før ophør eller senest 14 dage efter. Udleveringen sker i et almindeligt, maskinlæsbart format.
2. Forspring sletter senest 30 dage efter ophør. Beder den dataansvarlige om sletning før, sletter Forspring før.
3. Den dataansvarlige får en skriftlig kvittering, der siger, hvad der er slettet, og hvad der ikke er slettet endnu.

Det, der ikke slettes med det samme. Kvitteringen nævner altid disse:

• Samtaleforløb i Spring. Hver Slack-tråd og hver rutine i Spring har sit eget lager hos Cloudflare (en Durable Object) med samtalens forløb. Lagrene kan ikke findes og slettes enkeltvis. Hver dataansvarlig har derfor sin egen Spring-installation. Forspring sletter installationen og dermed lagrene inden for fristen i punkt 2.
• Gendannelseshistorik. Slettede rækker findes i databasernes gendannelseshistorik, til den udløber: 30 dage for Springs databaser (Cloudflare D1), højst 30 dage for samtalernes lagre (Cloudflare Durable Objects), højst 7 dage for DataSpring's kontodatabase (Firestore) og 7 dage plus 7 dages nødgendannelse hos Google for datavarehuset (BigQuery).
• Data sendt videre. Formularindsendelser, som SiteSpring har sendt til den dataansvarliges egne systemer, og data i den dataansvarliges egen Slack, kan Forspring ikke slette.
• Log uden navne. En log over, hvad der blev gjort ved ophøret, og forbrugstal pr. måned, uden personoplysninger.

C.5 Lokalitet for behandling

Behandling af de af Bestemmelserne omfattede personoplysninger kan ikke uden den dataansvarliges forudgående skriftlige godkendelse ske på andre lokaliteter end følgende:

Kort fortalt: Spring, Forspring-kontoen og SiteSpring gemmer data i Cloudflares EU-jurisdiktion. Undtagelsen er SiteSpring's statistik over sidevisninger, som ligger i Vesteuropa (WEUR), men ikke under Cloudflares EU-jurisdiktion, fordi Cloudflare endnu ikke tilbyder det for statistiklageret. DataSpring gemmer data i Google Cloud europe-west1 i Belgien. DataSpring's login ligger hos Firebase Authentication, en global tjeneste, indtil det flyttes til Forspring-kontoen. AI-beregning på Workers AI og AI-modellen Jev behandles som angivet i tabellen og i bilag C.6.

C.6 Instruks vedrørende overførsel af personoplysninger til tredjelande

Den dataansvarlige giver hermed instruks om, at databehandleren må overføre personoplysninger til tredjelande i disse tilfælde og kun til underdatabehandlerne i bilag B:

1. AI-beregning. Indhold sendes til AI-modeller på Cloudflares globale netværk og kan blive behandlet uden for EU. Indholdet gemmes ikke og bruges ikke til træning. Grundlag: EU-USA-dataprivatlivsrammen (Data Privacy Framework) og EU's standardkontraktbestemmelser i Cloudflares databehandleraftale.
2. Beregning og netværk. Cloudflares Workers kører, hvor forespørgslen kommer ind, og kan behandle data uden for EU, selv om de gemmes i EU. Grundlag som i punkt 1.
3. Tekniske id'er. Cloudflare logger id'er for Durable Objects uden for EU til sin fakturering. De indeholder ikke den dataansvarliges indhold. Grundlag som i punkt 1.
4. Login til forbindelsen. Spring bruger Cloudflare Access, når en person logger ind på forbindelsen til den dataansvarliges systemer. Access er ikke låst til EU. Grundlag som i punkt 1.
5. E-mail. Invitationer, login-links og koder sendes gennem Cloudflares e-mailtjeneste. Grundlag som i punkt 1.
6. DataSpring login. Firebase Authentication hos Google er en global tjeneste. Den bruges, indtil DataSpring's login flyttes til Forspring-kontoen. Grundlag: dataprivatlivsrammen og standardkontraktbestemmelserne i Googles databehandlervilkår.
7. Platformens nøgler. Doppler i USA opbevarer platformens nøgler, herunder den nøgle, der krypterer den dataansvarliges adgangsnøgler i forbindelsen. Doppler er ikke på DPF-listen. Grundlag: standardkontraktbestemmelserne i Dopplers databehandlervilkår.
8. Jev (TypeSafe). Tekst, Spring vil gemme som fakta, beskeder der skal sorteres, og lignende, sendes gennem Cloudflare til TypeSafe AI, Inc. i USA. Cloudflare oplyser, at TypeSafe ikke gemmer forespørgslerne ("zero data retention"), og TypeSafe skriver, at de ikke træner på dem. TypeSafe er ikke på DPF-listen. Forspring køber Jev gennem Cloudflare. Grundlag: Cloudflares vilkår for tredjepartsmodeller på Workers AI og standardkontraktbestemmelserne i TypeSafes databehandlervilkår.

Hvis den dataansvarlige ikke i disse Bestemmelser eller efterfølgende giver en dokumenteret instruks vedrørende overførsels af personoplysninger til et tredjeland, er databehandleren ikke berettiget til inden for rammerne af disse Bestemmelser at foretage sådanne overførsler.

C.7 Procedurer for den dataansvarliges revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til databehandleren

• Databehandleren har ingen revisionserklæring fra en uafhængig tredjepart.
• Databehandleren stiller på anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelsen af artikel 28 og disse Bestemmelser (Bestemmelse 12.1). Det betales ikke.
• Den dataansvarlige eller en uafhængig revisor, som er bundet af tavshedspligt, kan på anmodning foretage en revision, herunder en inspektion. Den aftales med rimeligt varsel. Den må ikke give adgang til andre kunders data.
• Den dataansvarlige betaler sine egne udgifter til revisionen og databehandlerens tid efter den timepris, der står i ordreformularen.
• Oplysninger fra en revision er fortrolige.

C.8 Procedurer for revisioner, herunder inspektioner, med behandling af personoplysninger, som er overladt til underdatabehandlere

• Databehandleren fører tilsyn med underdatabehandlerne ved mindst én gang om året at gennemgå deres databehandlervilkår, deres certificering under dataprivatlivsrammen og deres offentlige revisionserklæringer (fx ISO 27001 og SOC 2), hvor de findes.
• Dokumentation for tilsynet sendes til den dataansvarlige på anmodning.
• Fysiske inspektioner hos underdatabehandlerne er ikke mulige for Forspring. Store udbydere tillader dem ikke. Tilsynet sker derfor gennem deres erklæringer.

Bilag D Parternes regulering af andre forhold

D.1 Ulovlig instruks. Mener databehandleren, at en instruks er ulovlig, siger databehandleren det straks (Bestemmelse 4.2). Databehandleren må vente med at udføre instruksen, til parterne er enige. Fastholder den dataansvarlige instruksen, kan databehandleren opsige det berørte produkt efter rammeaftalen.

D.2 Supportadgang. Forsprings medarbejdere har kun adgang til den dataansvarliges data, når det er nødvendigt for at drive eller supportere ydelsen. De er underlagt tavshedspligt (punkt 5), og adgangen logges.

D.3 Ansvar. Ansvar efter denne aftale følger rammeaftalens ansvarsbestemmelser.

D.4 Forsprings egne behandlinger som dataansvarlig. Disse behandlinger er ikke omfattet af aftalen, fordi Forspring er dataansvarlig for dem. De står i Forsprings privatlivspolitik:

• Forspring-kontoen: navn, e-mail, Google-id, login-sessioner og hvilke produkter der er slået til for hver person;
• kunde- og betalingsoplysninger og fakturaer, herunder betaling med kort gennem Stripe;
• driftsdata og fejlrapporter uden den dataansvarliges indhold.

D.5 Den dataansvarliges egne leverandører. Disse er ikke underdatabehandlere for Forspring. Den dataansvarlige har selv aftalen med dem:

• Slack eller Microsoft Teams;
• de systemer, den dataansvarlige forbinder til Spring eller DataSpring;
• modtagere af webhooks fra SiteSpring, som den dataansvarlige har valgt;
• AI-assistenter og andre MCP-klienter, som den dataansvarlige forbinder til et produkt.

D.6 Ændringer i bilagene. Bilag B ændres efter Bestemmelse 7.3 og bilag B.2. Bilag A, C og D kan kun ændres skriftligt af begge parter. Opbevaringsperioder i oversigten over opbevaring og sletning (bilag C.4) kan forkortes af Forspring med besked til den dataansvarlige. De kan kun forlænges med den dataansvarliges skriftlige accept.

D.7 Påvisning af fortrolighed. Databehandleren påviser fortrolighed (Bestemmelse 5.2) med ansættelseskontrakten eller med en skriftlig bekræftelse af Forsprings fortrolighedspolitik.

Senest opdateret: 12. oktober 2026. Spørgsmål til aftalen: pe@writeflow.com.