Databehandleraftale - Consile MCP

1. Baggrund og formål

1.1 Denne databehandleraftale ("DPA'en") er indgået mellem Kunden (som defineret i Servicevilkår for Consile MCP, "Vilkårene") som dataansvarlig og Consile ApS, CVR-nr. 45643360, Under Hvidtjørnen 47, 7500 Holstebro ("Consile") som databehandler.

1.2 DPA'en udgør et bilag til Vilkårene og fastsætter de rettigheder og forpligtelser, som finder anvendelse, når Consile behandler personoplysninger på Kundens vegne som led i leveringen af Consile MCP ("Tjenesten"). DPA'en opfylder kravene i artikel 28, stk. 3, i forordning (EU) 2016/679 ("Databeskyttelsesforordningen").

1.3 DPA'en accepteres elektronisk sammen med Vilkårene i Consiles portal og gælder, så længe Consile behandler personoplysninger på Kundens vegne.

1.4 Ved modstrid mellem DPA'en og Vilkårene har DPA'en forrang for så vidt angår behandling af personoplysninger på Kundens vegne.

1.5 Behandlingens genstand, varighed, karakter og formål, typen af personoplysninger og kategorierne af registrerede fremgår af Bilag A. Godkendte underdatabehandlere fremgår af Bilag B. Instruksen, herunder de tekniske og organisatoriske sikkerhedsforanstaltninger, fremgår af Bilag C.

2. Den dataansvarliges rettigheder og forpligtelser

2.1 Kunden er ansvarlig for, at behandlingen af personoplysninger sker i overensstemmelse med Databeskyttelsesforordningen, databeskyttelsesloven og anden gældende ret, herunder at der foreligger gyldigt behandlingsgrundlag for de personoplysninger, der behandles gennem Tjenesten.

2.2 Kunden er ansvarlig for indholdet af de instrukser, der afgives, jf. pkt. 3, herunder for de Tool-kald, der udføres gennem Kundens forbindelser, jf. Vilkårenes pkt. 5 og 6.

2.3 Kunden er ansvarlig for at vurdere, om de Tilsluttede Systemer, Kunden forbinder, indeholder særlige kategorier af personoplysninger (artikel 9), oplysninger om straffedomme (artikel 10) eller andre oplysninger, der kræver særlige foranstaltninger, og for i givet fald ikke at forbinde sådanne systemer eller at indgå særskilt aftale med Consile herom.

3. Databehandleren handler efter instruks

3.1 Consile behandler alene personoplysninger efter dokumenteret instruks fra Kunden, medmindre behandling kræves i henhold til EU-ret eller dansk ret; i så fald underretter Consile Kunden om dette retlige krav før behandlingen, medmindre underretning er forbudt af hensyn til vigtige samfundsinteresser.

3.2 Kundens dokumenterede instruks udgøres af: (a) Vilkårene og denne DPA, (b) Kundens konfiguration af Tjenesten i portalen, herunder hvilke Connectors Kunden har købt og forbundet, hvilke AI-klienter Kunden har autoriseret, og hvilke tilvalg Kunden har aktiveret, samt (c) de enkelte Tool-kald, som Tjenesten modtager fra Kundens autoriserede AI-klienter - hvert Tool-kald anses som en instruks fra Kunden om at hente eller skrive de pågældende oplysninger i det Tilsluttede System og at videregive resultatet til den AI-klient, der afgav kaldet.

3.3 Consile underretter omgående Kunden, hvis en instruks efter Consiles opfattelse er i strid med Databeskyttelsesforordningen eller anden gældende databeskyttelsesret.

4. Fortrolighed

4.1 Consile sikrer, at kun personer, der er autoriseret hertil, har adgang til de personoplysninger, der behandles på Kundens vegne, at adgangen er begrænset til det nødvendige (need-to-know), og at de pågældende har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

4.2 Consile kan på Kundens anmodning påvise, at de pågældende personer er underlagt ovennævnte tavshedspligt.

5. Behandlingssikkerhed

5.1 Consile gennemfører de tekniske og organisatoriske foranstaltninger, der fremgår af Bilag C, og i øvrigt sådanne foranstaltninger, som kræves efter Databeskyttelsesforordningens artikel 32, under hensyntagen til det aktuelle tekniske niveau, omkostningerne og behandlingens karakter, omfang, sammenhæng og formål samt risiciene for de registrerede.

5.2 Parterne er enige om, at Tjenestens arkitektur - hvor forretningsdata fra Tilsluttede Systemer som udgangspunkt alene gennemstilles og ikke lagres hos Consile - i sig selv udgør et væsentligt element i dataminimeringen og risikobegrænsningen.

6. Anvendelse af underdatabehandlere

6.1 Kunden giver hermed Consile en generel godkendelse til at anvende underdatabehandlere. De underdatabehandlere, der er godkendt ved DPA'ens indgåelse, fremgår af Bilag B.

6.2 Consile underretter Kunden om enhver planlagt tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel via portalen eller e-mail. Kunden kan gøre indsigelse mod ændringen inden varslets udløb. Kan parterne ikke finde en løsning, kan Kunden opsige abonnementet for de(n) berørte Connector(s) til udgangen af den igangværende betalingsperiode; dette udgør Kundens eneste beføjelse i anledning af ændringen.

6.3 Consile pålægger ved skriftlig kontrakt enhver underdatabehandler de samme databeskyttelsesforpligtelser som dem, der følger af denne DPA, og forbliver fuldt ansvarlig over for Kunden for underdatabehandlerens opfyldelse heraf.

6.4 Kopi af Consiles aftaler med underdatabehandlere (med undtagelse af kommercielle vilkår) udleveres på Kundens anmodning.

7. Overførsel til tredjelande

7.1 Behandlingen af personoplysninger på Kundens vegne finder som udgangspunkt sted inden for EU/EØS (AWS, regionen eu-central-1, Frankfurt), jf. Bilag B.

7.2 I det omfang en godkendt underdatabehandler behandler personoplysninger i et tredjeland, sikrer Consile et gyldigt overførselsgrundlag efter Databeskyttelsesforordningens kapitel V, jf. Bilag B (f.eks. EU-U.S. Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser, SCC).

7.3 Det bemærkes, at Kundens egen videregivelse af oplysninger til Kundens AI-klient (f.eks. Anthropic eller OpenAI) sker efter Kundens instruks, jf. pkt. 3.2(c), og i henhold til Kundens eget aftaleforhold med AI-leverandøren; Kundens AI-leverandør er ikke underdatabehandler for Consile.

8. Bistand til den dataansvarlige

8.1 Consile bistår - under hensyntagen til behandlingens karakter og de oplysninger, Consile råder over - Kunden med opfyldelse af Kundens forpligtelser i henhold til Databeskyttelsesforordningens artikel 32-36 samt med besvarelse af anmodninger om udøvelse af de registreredes rettigheder (kapitel III).

8.2 Tjenesten indeholder selvbetjening, der understøtter bistanden: eksport af kontodata i maskinlæsbart format samt sletning af konto og forbindelser, jf. Bilag C, pkt. C.3.

8.3 Da Consile ikke lagrer forretningsdata fra Tilsluttede Systemer, jf. pkt. 5.2, skal anmodninger fra registrerede om indsigt, berigtigelse eller sletning af oplysninger i Tilsluttede Systemer rettes til og opfyldes i de pågældende systemer, hvilket påhviler Kunden.

8.4 Bistand efter dette punkt ydes uden særskilt vederlag, medmindre bistanden går ud over, hvad der med rimelighed kan forventes; i så fald kan Consile kræve betaling efter medgået tid til Consiles til enhver tid gældende timepris, varslet forud.

9. Underretning om brud på persondatasikkerheden

9.1 Consile underretter Kunden uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden, der vedrører personoplysninger behandlet på Kundens vegne. Consile tilstræber underretning inden for 48 timer.

9.2 Underretningen skal - i det omfang oplysningerne er tilgængelige - indeholde de oplysninger, der er nævnt i Databeskyttelsesforordningens artikel 33, stk. 3, så Kunden kan opfylde sin eventuelle anmeldelsespligt over for Datatilsynet (72-timers-fristen) og oplysningspligt over for de registrerede.

9.3 Det påhviler Kunden at foretage eventuel anmeldelse til Datatilsynet og underretning af registrerede.

10. Sletning og returnering af oplysninger

10.1 Ved ophør af Tjenesten - eller af et enkelt abonnement - sletter Consile de personoplysninger, der er behandlet på Kundens vegne i tilknytning hertil, medmindre EU-ret eller dansk ret kræver fortsat opbevaring. Da Tjenesten ikke lagrer forretningsdata fra Tilsluttede Systemer, omfatter sletningen i praksis: vaultede Adgangsoplysninger (slettes og søges tilbagekaldt hos det Tilsluttede System, hvor systemet understøtter det), eventuelle tilvalgte lagrede afledte data, samt konto- og forbindelsesdata, jf. Bilag C, pkt. C.3.

10.2 Adgangsoplysninger for en Connector slettes straks, når Kunden afbryder forbindelsen, og ved anmodning om kontosletning. Øvrig kontosletning gennemføres efter en fortrydelsesperiode på [14] dage.

10.3 Følgende opbevares efter sletning med dokumenteret retsgrundlag: (a) sletningskvitteringer (dokumentation for at sletning er gennemført, artikel 5, stk. 2), (b) revisionsspor/audit-log i op til 400 dage fra hændelsen (ansvarlighed og sikkerhedsdokumentation), og (c) oplysninger omfattet af bogføringspligt hos Consiles betalingsleverandør. Disse oplysninger behandles ikke til andre formål.

11. Revision og tilsyn

11.1 Consile stiller på anmodning alle oplysninger, der er nødvendige for at påvise overholdelse af artikel 28 og denne DPA, til rådighed for Kunden, herunder beskrivelser af sikkerhedsforanstaltninger, sletningskvitteringer og relevante erklæringer eller certificeringer fra underdatabehandlere (f.eks. AWS' ISO 27001-/SOC 2-dokumentation).

11.2 Kunden kan - selv eller ved en uafhængig tredjepart, der ikke er konkurrent til Consile - føre tilsyn, herunder inspektion, hos Consile. Tilsyn varsles med mindst 30 dage, gennemføres højst én gang årligt (medmindre et konkret brud giver anledning til andet), må ikke unødigt forstyrre driften, og gennemføres for Kundens regning.

11.3 Tilsyn hos underdatabehandlere, der er store cloud-leverandører, sker ved gennemgang af leverandørens revisionserklæringer og certificeringer.

12. Ikrafttræden og ophør

12.1 DPA'en træder i kraft ved Kundens accept og gælder, så længe Consile behandler personoplysninger på Kundens vegne.

12.2 DPA'en kan ikke opsiges særskilt, så længe Vilkårene er i kraft.

12.3 Consiles ansvar under DPA'en er reguleret af Vilkårenes pkt. 15 [, herunder den forhøjede ansvarsgrænse i pkt. 15.4].

Bilag A - Oplysninger om behandlingen

A.1 Behandlingens formål: Levering af Tjenesten: formidling af Tool-kald mellem Kundens autoriserede AI-klienter og Kundens Tilsluttede Systemer, opbevaring af Kundens Adgangsoplysninger samt - alene ved Kundens udtrykkelige tilvalg - lagring af nærmere afgrænsede afledte data.

A.2 Behandlingens karakter: Gennemstilling (opslag og - for visse Connectors - skrivning) af data i Kundens Tilsluttede Systemer efter instruks i form af Tool-kald; kryptering og opbevaring af Adgangsoplysninger; midlertidig behandling i arbejdshukommelse under formidlingen. Forretningsdata fra Tilsluttede Systemer lagres ikke hos Consile, medmindre Kunden har foretaget et udtrykkeligt tilvalg.

A.3 Typer af personoplysninger: Afhænger af, hvilke Tilsluttede Systemer Kunden forbinder. Typisk: almindelige personoplysninger i forretningssystemer, f.eks. navne, kontaktoplysninger, kundenumre, ordre-, faktura- og betalingshistorik, leverandøroplysninger, marketing- og annoncedata samt indholdsdata. Endvidere Kundens Adgangsoplysninger (OAuth-tokens/API-nøgler) til de Tilsluttede Systemer. Tjenesten er ikke tiltænkt særlige kategorier af personoplysninger (artikel 9) eller oplysninger om straffedomme (artikel 10), jf. DPA'ens pkt. 2.3.

A.4 Kategorier af registrerede: Kundens kunder, leads, leverandører, medarbejdere, slutbrugere og øvrige personer, hvis oplysninger indgår i de Tilsluttede Systemer, samt Kundens egne brugere (for så vidt angår Adgangsoplysninger og forbindelsesdata).

A.5 Varighed: Så længe det relevante abonnement består, jf. dog DPA'ens pkt. 10 om sletning.

Bilag B - Godkendte underdatabehandlere

Note: Consiles leverandører af betalingshåndtering (Stripe) og kunderelationsstyring (HubSpot) behandler alene oplysninger, for hvilke Consile er selvstændig dataansvarlig (konto-, betalings- og supportoplysninger), og er derfor ikke underdatabehandlere under denne DPA. Behandlingen er beskrevet i Consiles privatlivspolitik.

Bilag C - Instruks

C.1 Behandlingen

Consile må alene behandle personoplysninger på Kundens vegne som beskrevet i Bilag A og DPA'ens pkt. 3.2, dvs. (a) formidle Tool-kald fra Kundens autoriserede AI-klienter til Kundens Tilsluttede Systemer og returnere resultatet til den kaldende AI-klient, (b) opbevare og anvende Kundens Adgangsoplysninger til dette formål, og (c) ved udtrykkeligt tilvalg lagre de afledte data, tilvalget omfatter.

C.2 Tekniske og organisatoriske sikkerhedsforanstaltninger (TOMs)

Consile opretholder som minimum følgende foranstaltninger:

Kryptering og nøglehåndtering

• Adgangsoplysninger opbevares krypteret i hvile med AES-256-GCM (envelope-kryptering) med en datakrypteringsnøgle pr. kunde, der genereres og indkapsles af AWS KMS; nøglen kan kryptografisk kun anvendes for den pågældende kundes data.
• Al transport sker krypteret (TLS), herunder databaseforbindelser.
• Applikationshemmeligheder opbevares i AWS Secrets Manager og indlæses ved start; de indgår ikke i kildekode.

Adgangskontrol og isolation

• Kundeidentiteten udledes alene af det verificerede adgangstoken - aldrig af klientens input.
• Abonnements- og adgangskontrol håndhæves ved hvert enkelt Tool-kald, før Adgangsoplysninger indlæses.
• Et Tool-kald kan alene tilgå den pågældende kundes egne Adgangsoplysninger; isolationen er afprøvet ved automatiserede tests.
• Det adgangstoken, Kundens AI-klient anvender over for Tjenesten, videresendes aldrig til Tilsluttede Systemer.

Dataminimering og opbevaring

• Forretningsdata fra Tilsluttede Systemer gennemstilles live og lagres ikke (medmindre udtrykkeligt tilvalgt, jf. C.1(c)).
• Adgangsoplysninger slettes straks ved frakobling af en Connector; ved OAuth-baserede forbindelser søges tokenet samtidig tilbagekaldt hos leverandøren (RFC 7009), hvor denne understøtter det.
• Detaljerede forbrugshændelser er som standard deaktiveret og opbevares - hvis aktiveret - i højst 90 dage; aggregeret forbrugsstatistik (antal kald pr. dag) opbevares til afregnings- og fair-use-formål.

Logning og sporbarhed

• Logge redigeres automatisk for tokens, nøgler og andre hemmeligheder, før de skrives; Adgangsoplysninger logges aldrig.
• Sikkerheds- og forvaltningshændelser registreres i et revisionsspor (audit-log), der opbevares i op til 400 dage.
• Gennemførte sletninger dokumenteres med en sletningskvittering.

Organisatorisk

• Adgang for Consiles personale er begrænset til det nødvendige og omfattet af fortrolighedsforpligtelse, jf. DPA'ens pkt. 4.
• Ændringer af Tjenesten gennemgår automatiserede tests, der omfatter isolations- og adgangskontrolkravene, før idriftsættelse.

C.3 Bistand og selvbetjening

• Eksport: Kunden kan via portalen/API'et eksportere sine kontodata (stamdata, abonnementer, forbindelsesstatus, samtykker og accepter) i JSON. Eksporten indeholder aldrig hemmeligheder.
• Sletning: Kunden kan anmode om sletning af sin konto; Adgangsoplysninger slettes straks, øvrige kontodata efter fortrydelsesperioden på [14] dage. Sletningen omfatter også sletning af kundens organisation hos Stytch samt anonymisering hos betalingsleverandøren (med forbehold for bogføringspligt).

C.4 Opbevaringsperioder ved ophør

Jf. DPA'ens pkt. 10: alt slettes ved ophør, bortset fra sletningskvitteringer, audit-log (højst 400 dage) og bogføringspligtige oplysninger.

Version: [1.2] 01-06-2026.