Databehandleraftale

Version 6. november 2026. Denne databehandleraftale ("Databehandleraftalen") er en del af aftalen mellem QLFR AI AB, org.nr. 559389-2978, Drottninggatan 29, 103 59 Stockholm, Sverige ("Qualifier") og kunden ("Kunden") om tjenesten Qualifier ("Tjenesten"). Databehandleraftalen er en del af Qualifiers generelle vilkår (qualifier.ai/da/vilkaar). Den gælder for nye kunder fra den dag, Kunden accepterer de generelle vilkår eller underskriver et tilbud, der henviser til dem, og for eksisterende kunder fra versionsdatoen. Den svenske version (qualifier.ai/sv/personuppgiftsbitradesavtal) har samme indhold. Hvis versionerne afviger fra hinanden, har den svenske version forrang.

1. Definitioner

Begreber som personoplysninger, behandling, dataansvarlig, databehandler, registreret, brud på persondatasikkerheden og tilsynsmyndighed har den betydning, de har i forordning (EU) 2016/679 ("GDPR"). Standardkontraktbestemmelser betyder de bestemmelser, som Europa-Kommissionen har vedtaget ved gennemførelsesafgørelse (EU) 2021/914. Kundens kontaktadresse betyder den e-mailadresse, Kunden har givet Qualifier til meddelelser, eller, hvis der ikke er nogen, e-mailadressen til Kundens kontoejer i Tjenesten, eller, hvis der ikke er nogen, e-mailadresserne til Kundens brugere.

2. Roller

2.1 Kunden er dataansvarlig, Qualifier er databehandler. Kunden bestemmer, hvem der kontaktes, med hvilket budskab og hvorfor. For personoplysninger, som Qualifier behandler på Kundens vegne for at gennemføre Kundens kampagner ("Kundedata"), er Kunden dataansvarlig, og Qualifier er databehandler. Kundedata er beskrevet i bilag 1.

2.2 Kunden er afsenderen. E-mails sendes fra Kundens egen mailkonto og i Kundens navn eller fra mailkonti, som Qualifier opretter for Kunden, når parterne har aftalt det. Kunden er afsender af hver e-mail. Kunden er ansvarlig for at have et retsgrundlag for at kontakte hvert prospekt, for de oplysninger, Kunden skal give prospekter efter artikel 13 og 14 i GDPR, og for at overholde de markedsføringsregler, der gælder for de modtagere, Kunden vælger. Kunden er også ansvarlig for at have ret til at forbinde hver mailkonto og hvert CRM med Tjenesten og for at informere de personer, hvis mailkonti forbindes.

2.3 Qualifier er selvstændig dataansvarlig for sin egen database. Qualifier finder prospekter i professionelle netværk, på nettet, i offentlige virksomhedsdata og hos dataleverandører og fører sin egen database med erhvervsmæssige kontaktoplysninger. For denne indsamling og database og for sin egen kundeadministration, fakturering, sikkerhed og produktudvikling er Qualifier selvstændig dataansvarlig, som beskrevet i Qualifiers privatlivspolitik (qualifier.ai/da/privatlivspolitik). Databehandleraftalen gælder ikke for den behandling. Parterne er ikke fælles dataansvarlige.

2.4 Hvor grænsen går. Et prospekts erhvervsmæssige kontaktoplysninger findes i Qualifiers database før og efter Kundens kampagne, og dér er Qualifier dataansvarlig for dem. Kundedata er det, der opstår ved Kundens brug af Tjenesten: valget af et prospekt til Kundens kampagne, e-mails og svar, statusser, noter og opgaver, det, Kunden uploader eller indtaster, og det, der synkroniseres med Kundens CRM. Kontakter, som Kunden uploader eller synkroniserer, tilbydes ikke til andre kunder.

2.5 Signaler, som Qualifier gemmer. For at ingen kunde skal skrive til en adresse, der ikke virker, eller til en person, der har takket nej, instruerer Kunden Qualifier i at registrere følgende fra Kundens kampagner i Qualifiers database, hvor Qualifier er dataansvarlig for det: at en e-mail til en adresse er kommet retur (bounce), at en person har bedt om ikke at blive kontaktet, at et automatisk svar viser, at personen har forladt arbejdsgiveren, og om en gættet adresse viste sig at være korrekt. Qualifier må også udarbejde statistik ud fra Kundedata, hvor ingen person kan identificeres, beholde den efter aftalens ophør og bruge den til at drive, forbedre og beskrive Tjenesten. Statistik og eksempler, som Qualifier viser andre, identificerer ikke Kunden. Qualifier sælger ikke Kundedata.

3. Instrukser

3.1 Qualifier behandler kun Kundedata efter Kundens dokumenterede instrukser. Aftalen, Databehandleraftalen og Kundens indstillinger og handlinger i Tjenesten udgør Kundens fuldstændige instrukser. Instrukserne omfatter de overførsler, der er angivet i bilag 3. Qualifier bruger ikke Kundedata til egne formål ud over det, der er angivet i punkt 2.5.

3.2 Qualifier underretter Kunden, hvis en instruks efter Qualifiers opfattelse er i strid med GDPR eller anden databeskyttelseslovgivning i EU eller medlemsstaterne. Qualifier kan sætte den pågældende behandling i bero, indtil Kunden har bekræftet eller ændret instruksen.

3.3 Hvis EU-retten eller medlemsstaternes nationale ret kræver, at Qualifier behandler Kundedata på anden måde, underretter Qualifier Kunden herom inden behandlingen, medmindre den pågældende ret forbyder det.

4. Fortrolighed

Qualifier sikrer, at alle, der er autoriseret til at behandle Kundedata, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt og kun har adgang til det, deres arbejde kræver.

5. Sikkerhed

Qualifier træffer de tekniske og organisatoriske foranstaltninger i bilag 2 og opretholder et sikkerhedsniveau, der passer til risikoen, som krævet i artikel 32 i GDPR. Qualifier må ændre foranstaltningerne, så længe beskyttelsesniveauet ikke sænkes.

6. Underdatabehandlere

6.1 Kunden giver Qualifier generel godkendelse til at gøre brug af underdatabehandlere. De underdatabehandlere, der anvendes på versionsdatoen, er anført i bilag 3.

6.2 Qualifier underretter Kunden om en ny eller udskiftet underdatabehandler mindst 30 dage, før den begynder at behandle Kundedata, ved e-mail til Kundens kontaktadresse eller ved en meddelelse i Tjenesten, og ved at opdatere bilag 3 på qualifier.ai/da/databehandleraftale. Qualifier kan give kortere varsel, når en underdatabehandler straks skal udskiftes for at holde Tjenesten sikker eller i drift. Kunden kan gøre skriftlig indsigelse inden for varslingsperioden af rimelige, dokumenterede databeskyttelsesmæssige grunde. Qualifier kan da vælge ikke at bruge underdatabehandleren til Kundens data eller foreslå en anden løsning. Hvis Qualifier ikke gør nogen af delene inden for 30 dage efter indsigelsen, kan Kunden opsige den del af Tjenesten, der ikke kan leveres uden underdatabehandleren, og får forudbetalte gebyrer for den del tilbagebetalt for perioden efter opsigelsen. Dette er Kundens eneste retsmiddel ved en indsigelse.

6.3 Qualifier pålægger hver underdatabehandler ved en skriftlig kontrakt databeskyttelsesforpligtelser, der svarer til dem i Databehandleraftalen, og forbliver ansvarlig over for Kunden for sine underdatabehandlere.

7. Overførsler uden for EU/EØS

7.1 Tjenestens servere, database og sikkerhedskopier befinder sig i EU. Visse underdatabehandlere, herunder udbyderne af AI-sprogmodeller, behandler data uden for EU/EØS.

7.2 Qualifier overfører kun Kundedata uden for EU/EØS i overensstemmelse med kapitel V i GDPR: til et land, der er omfattet af en afgørelse fra Europa-Kommissionen om tilstrækkeligheden af beskyttelsesniveauet, til en modtager i USA, der er certificeret under EU-US Data Privacy Framework, eller på grundlag af standardkontraktbestemmelser. Bilag 3 angiver, hvor hver underdatabehandler behandler data, og grundlaget for overførslen.

8. Bistand

8.1 Registrerede. Hvis en registreret kontakter Qualifier om Kundedata, videresender Qualifier anmodningen til Kunden uden unødig forsinkelse og besvarer den ikke selv, medmindre Kunden har bedt om det. Under hensyntagen til behandlingens karakter hjælper Qualifier Kunden med at besvare anmodninger efter kapitel III i GDPR med Tjenestens funktioner og, hvor de ikke er tilstrækkelige, med rimelig bistand.

8.2 Afmeldinger. Når en modtager beder om ikke at blive kontaktet, stopper Qualifier yderligere e-mails til den modtager via Tjenesten. Kunden accepterer, at Qualifier som selvstændig dataansvarlig gemmer en spærrenotering, så anmodningen respekteres.

8.3 Konsekvensanalyser og tilsynsmyndighed. Qualifier giver Kunden de oplysninger, der med rimelighed er nødvendige for Kundens forpligtelser efter artikel 32-36 i GDPR, herunder konsekvensanalyser vedrørende databeskyttelse og forudgående høringer, i det omfang de vedrører Tjenesten.

8.4 Omkostninger. Hjælp efter punkt 8.1, 8.3 og 10, som Tjenestens funktioner og Qualifiers standarddokumentation ikke dækker, faktureres efter Qualifiers gældende timepris, efter at Qualifier har oplyst Kunden om de forventede omkostninger. Qualifier fakturerer ikke for hjælp, der er blevet nødvendig på grund af Qualifiers eget brud på Databehandleraftalen.

9. Brud på persondatasikkerheden

Qualifier underretter Kunden på dennes kontaktadresse uden unødig forsinkelse og senest 72 timer efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører Kundedata. Underretningen beskriver, så vidt det er kendt, bruddets karakter, kategorierne og det omtrentlige antal berørte registrerede og registreringer af personoplysninger, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslået. Qualifier supplerer med oplysninger, efterhånden som de bliver tilgængelige. En underretning er ikke en indrømmelse af skyld eller ansvar.

10. Revision

10.1 Qualifier stiller de oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelse af artikel 28 i GDPR.

10.2 Kunden benytter først oplysningerne efter punkt 10.1 og Qualifiers skriftlige svar. Hvis det ikke er tilstrækkeligt til at påvise overholdelse, kan Kunden revidere Qualifiers behandling af Kundedata, selv eller gennem en uafhængig revisor, der er underlagt tavshedspligt og ikke er en konkurrent til Qualifier, højst én gang om året og med mindst 30 dages skriftligt varsel, medmindre en tilsynsmyndighed kræver andet, eller der er sket et brud på persondatasikkerheden. Revisioner finder sted inden for normal arbejdstid, må ikke forstyrre Tjenesten eller afsløre andre kunders data og sker for Kundens regning. Kunden deler revisionsrapporten med Qualifier og behandler den fortroligt.

11. Varighed, tilbagelevering og sletning

11.1 Databehandleraftalen gælder, så længe Qualifier behandler Kundedata. Hvis Kunden ikke har en løbende betalt periode, ophører aftalen, når Kunden beder Qualifier om at lukke kontoen, eller når ingen af Kundens brugere har logget ind i 24 måneder.

11.2 Når aftalen ophører, vælger Kunden, om Kundedata skal slettes eller først udleveres i et almindeligt filformat, ved at skrive til support@qualifier.ai. Qualifier gennemfører valget inden for 30 dage efter anmodningen. Hvis Kunden ikke har truffet noget valg, sletter Qualifier Kundedata senest 90 dage efter aftalens ophør. Kopier i sikkerhedskopier slettes automatisk, når sikkerhedskopien udløber, senest 22 dage efter at sikkerhedskopien blev taget. Hvis en sikkerhedskopi gendannes, sletter Qualifier dataene igen, før Tjenesten tages i brug. Adgangstokens og loginoplysninger til de konti, Kunden har forbundet, slettes, når aftalen ophører. Spor i tekniske logfiler slettes i henhold til de automatiske opbevaringsfrister i bilag 2. Sletning gælder ikke, hvor EU-retten eller medlemsstaternes nationale ret kræver, at dataene opbevares.

11.3 Punkt 11.2 gælder ikke for data, som Qualifier har som selvstændig dataansvarlig efter punkt 2.3: erhvervsmæssige kontaktoplysninger i Qualifiers egen database, spærrenoteringer, signalerne og statistikken i punkt 2.5, Kundens kontaktpersoner og registreringer, som Qualifier skal opbevare efter den svenske bogføringslov.

12. Ansvar

12.1 Hver part bærer de administrative bøder, der pålægges den pågældende part.

12.2 En part, der har betalt erstatning til en registreret for skade, som den anden part er ansvarlig for, kan kræve den del godtgjort af den anden part, jf. artikel 82, stk. 5, i GDPR.

12.3 Kunden holder Qualifier skadesløs for krav fra registrerede, modtagere og myndigheder, der udspringer af Kundens instrukser, Kundens valg af modtagere, indholdet af Kundens e-mails eller et manglende retsgrundlag eller manglende oplysninger til registrerede.

12.4 Ansvarsbegrænsningen i de generelle vilkår gælder for hele Qualifiers ansvar efter Databehandleraftalen, herunder efter punkt 12.2 og efter enhver skadesløsholdelse i de generelle vilkår. Den gælder ikke ved forsæt eller grov uagtsomhed.

12.5 Intet i Databehandleraftalen begrænser en registreret persons rettigheder eller en parts ansvar over for en tilsynsmyndighed efter GDPR.

13. Ændringer, forrang, lovvalg og tvister

13.1 Qualifier kan ændre Databehandleraftalen på samme måde som de generelle vilkår. En ændring må ikke forringe beskyttelsen af Kundedata.

13.2 Hvis Databehandleraftalen og resten af aftalen er i strid med hinanden med hensyn til behandling af personoplysninger, har Databehandleraftalen forrang. Punkt 6.2 gælder uanset, hvad de generelle vilkår siger om tilbagebetaling. Lovvalg og tvistløsning følger de generelle vilkår.

Bilag 1. Beskrivelse af behandlingen

Bilag 2. Tekniske og organisatoriske foranstaltninger

Kun foranstaltninger, der er indført på versionsdatoen, er anført.

• Krypterede forbindelser (TLS) til Tjenesten. Trafikken mellem applikationen og databasen er krypteret.
• Databasen kan kun nås fra Qualifiers egne servere, bag en firewall. Læsning i forbindelse med fejlfinding sker med en databaserolle, der kun kan læse.
• Adgangstokens til forbundne mailkonti krypteres med en nøgle, der opbevares i Google Cloud Key Management Service i region europe-west4 (Nederlandene).
• Databasen sikkerhedskopieres hver nat. Kopien krypteres, før den forlader databaseserveren, og nøglen, der kræves for at læse den, opbevares ikke på serverne. Gendannelser testes hvert kvartal.
• Login i Tjenesten som en kundes bruger kræver en administratorkonto hos Qualifier, og hver start og afslutning logges. Produktionshemmelighederne kan kun dekrypteres med en nøgle, som én navngiven person hos Qualifier har, og med byggesystemets nøgle.
• Hver kundes data er logisk adskilt i Tjenesten. Brugere har kun adgang til deres egen virksomheds data.
• Login sker via et engangslink til brugerens e-mailadresse eller med brugerens Google- eller Microsoft-konto. Sessionscookies er krypterede.
• Eksportfiler med Kundedata opbevares privat og udleveres kun til indloggede brugere med adgang.
• Opbevaringsfrister, som Tjenesten anvender automatisk: besøgendes rå IP-adresser 30 dage, hændelseslogge om prospekter 90 dage, fejlrapporter 14 dage, tekniske ydelsesmålinger 30 til 60 dage, historik over ændringer i registreringer 12 måneder, brugeres IP-historik ved login 12 måneder og sikkerhedskopier 22 dage. Applikationslogge på serverne overskrives løbende, når de når en fast størrelse.
• Udsendelser sættes automatisk på pause, når andelen af bounces stiger. Adresser, som Qualifier finder, og uploadede adresser, medmindre Kunden markerer dem som betroede, verificeres før den første e-mail; adresser, som Kunden indtaster eller markerer som betroede, bruges, som de er angivet.
• En anmodning om afmelding stopper yderligere e-mails til modtageren.