Databehandleraftale

Efter artikel 28 i forordning (EU) 2016/679 · Version for Danmark, oktober 2026

Kort fortalt: Når du bruger Everheard, er din virksomhed dataansvarlig for oplysningerne om dem, der ringer eller skriver til dig, og Everheard er databehandler, der kun behandler dem efter din instruks. Aftalen indgås, når du opretter din konto og accepterer vilkårene.

Parter

A. Dataansvarlig («Kunden»): den virksomhed, der opretter en konto hos Everheard og viderestiller sine opkald til en agent. Kundens identitet fremgår af tilmeldingen og faktureringsoplysningerne (herunder CVR-nummer).

B. Databehandler («Leverandøren»): NORTH DIGITAL LABS SINGLE MEMBER P.C., enkeltmands-IKE efter græsk ret, G.E.MI. 194336303000, Leoforos Kifisias 265, 145 61 Kifisia, Grækenland, e-mail: privacy@everheard.ai.

Aftalen supplerer aftalen om levering af tjenesten Everheard («Tjenesten»), jf. vilkårene.

1. Genstand, varighed, karakter og formål

Leverandøren behandler personoplysninger på Kundens vegne udelukkende for at levere Tjenesten: at besvare de opkald, der kommer til Kunden, at booke tider i Kundens kalender, tage imod beskeder og give dem videre til Kunden, sende SMS-påmindelser om aftaler, ringe tilbage og bekræfte aftaler pr. telefon samt at gemme og vise optagelser, udskrifter og resuméer i Kundens app. Behandlingen varer, så længe aftalen om Tjenesten løber.

2. Kategorier af registrerede og oplysninger

Registrerede	Oplysninger
Personer, der ringer til Kunden	Telefonnummer, tidspunkt og varighed, optagelse og udskrift af samtalen, resumé, og det, personen selv oplyser (for eksempel navn, adresse, årsag til henvendelsen, ønsket tid).
Kundens kunder med en aftale	Navn, telefonnummer, tidspunkt og årsag til aftalen, SMS-påmindelser og bekræftelsesopkald.
Kundens medarbejdere	Brugerkonto (navn, e-mail, login), og en stemmeprøve, hvis Kunden vælger en egen stemme med personens samtykke.

Tjenesten er ikke beregnet til følsomme oplysninger (GDPR artikel 9). Opkaldere kan dog selv fortælle noget følsomt. Kunden instruerer agenten og er ansvarlig for, at behandlingen har et lovligt grundlag.

3. Leverandørens forpligtelser

Leverandøren:

behandler kun oplysningerne efter dokumenteret instruks fra Kunden, sådan som den kommer til udtryk i Tjenestens funktioner og Kundens indstillinger, og ikke til egne formål;
sikrer, at de personer, der har adgang til oplysningerne, har tavshedspligt;
gennemfører de tekniske og organisatoriske foranstaltninger i bilag A (GDPR artikel 32);
overholder betingelserne i afsnit 4 og 5 for brug af underdatabehandlere og overførsler;
bistår Kunden med at opfylde de registreredes rettigheder (GDPR artikel 15 til 22);
bistår Kunden med at overholde GDPR artikel 32 til 36 (sikkerhed, anmeldelse af brud, konsekvensanalyse);
sletter ved aftalens ophør alle oplysninger senest 30 dage efter, eller udleverer dem først til Kunden i et almindeligt elektronisk format, efter Kundens valg, medmindre opbevaring kræves efter loven;
stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af GDPR artikel 28, og giver mulighed for og bidrager til revision efter rimeligt skriftligt varsel.

Optagelser og udskrifter gemmes, så længe Kunden bruger Tjenesten, og højst 12 måneder fra opkaldet eller samtalen, medmindre Kunden vælger en kortere periode eller beder om sletning før.

4. Underdatabehandlere

Kunden giver en generel skriftlig godkendelse til brug af underdatabehandlere. Leverandøren giver Kunden besked om enhver påtænkt tilføjelse eller udskiftning, så Kunden kan gøre indsigelse inden 15 dage. Ved aftalens indgåelse bruges følgende:

Underdatabehandler	Ydelse
ElevenLabs Inc.	Agentens stemme, talegenkendelse og styring af samtalen under opkaldet. ElevenLabs bruger sprogmodeller fra OpenAI til at forstå og formulere svar.
Anthropic	Resumé af opkaldet, når det er slut, ud fra udskriften.
Zadarma	Telefoni (agentens telefonnumre) og afsendelse af SMS-påmindelser.
Supabase Inc.	Database og brugerlogin.
Vercel Inc.	Hosting af hjemmesiden og appens servere.
Google LLC (Google Calendar API)	Kun hvis Kunden forbinder sin kalender: læsning af ledige tider og oprettelse af aftaler.

Til fakturering og betaling af abonnementet bruges Viva.com og Elorus. De behandler oplysninger om Kunden som virksomhed og ikke om Kundens opkaldere.

Leverandøren pålægger underdatabehandlerne de samme databeskyttelsesforpligtelser som i denne aftale ved kontrakt. Ingen af dem må bruge Kundens oplysninger til at træne AI-modeller: hos ElevenLabs er indstillingen «Improve the models for everyone» slået fra for vores arbejdsområde, og OpenAI og Anthropic træner som standard ikke modeller på data fra deres API.

5. Overførsler til tredjelande

Nogle underdatabehandlere kan behandle oplysninger uden for EU/EØS, herunder i USA. Sådanne overførsler sker kun med grundlag i Europa-Kommissionens tilstrækkelighedsafgørelser eller standardkontraktbestemmelser (SCC) efter GDPR kapitel V. Enhver ny overførsel til et tredjeland sker kun med tilsvarende garantier og efter besked til Kunden.

6. Brud på persondatasikkerheden

Leverandøren underretter Kunden uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, med alle tilgængelige oplysninger (bruddets karakter, kategorier og omtrentligt antal registrerede, sandsynlige konsekvenser og de foranstaltninger, der er truffet), så Kunden kan opfylde sine forpligtelser efter GDPR artikel 33 og 34 over for Datatilsynet og de registrerede.

7. Ansvar og øvrige vilkår

Hver part er ansvarlig efter GDPR artikel 82. Denne aftale har forrang for modstridende vilkår i hovedaftalen, for så vidt angår behandling af personoplysninger. Aftalen er underlagt græsk ret med værneting ved domstolene i Athen. Ufravigelige regler i GDPR og dansk databeskyttelsesret berøres ikke.

Bilag A: Tekniske og organisatoriske foranstaltninger

Kryptering af oplysninger under overførsel (TLS) og ved lagring.
Logisk adskillelse af hver kundes data på databaseniveau.
Personlige brugerkonti med adgangskode. Adgangskoder gemmes kun i hashet form.
Adgangsnøgler til Google Kalender gemmes pr. kunde i databasen og vises aldrig i browseren. De slettes, når Kunden afbryder forbindelsen.
Adgang til optagelser og udskrifter er begrænset til den kunde, de tilhører, og til det mindst mulige antal af Leverandørens medarbejdere, der har brug for det til support.
Regelmæssige sikkerhedskopier hos infrastrukturleverandøren.
Fejlovervågning og logning af sikkerhedshændelser.

Spørgsmål om aftalen: privacy@everheard.ai. Se også privatlivspolitikken.