Databehandleraftale

Senest opdateret: 14. oktober 2026

Denne databehandleraftale beskriver, hvordan baseray behandler personoplysninger på vegne af sine erhvervskunder, sådan som artikel 28 i GDPR kræver. Den er en del af vores vilkår og gælder automatisk for alle erhvervskunder, fra det øjeblik de bruger tjenesten. Der kræves ingen underskrift. Hvis du har brug for et eksemplar underskrevet af begge parter, kan du skrive til hello@baseray.ai.

1. Definitioner

• Kunden, du: den virksomhed, der har accepteret vores vilkår.
• baseray, vi, os: udbyderen af tjenesten baseray.
• Kundens personoplysninger: personoplysninger, som du eller dine medlemmer lægger ind i tjenesten, og som vi behandler på dine vegne. Bilag 1 beskriver dem.
• GDPR: forordning (EU) 2016/679. Andre begreber, såsom dataansvarlig, databehandler, brud på persondatasikkerheden og tilsynsmyndighed, har den betydning, som GDPR giver dem.
• Underdatabehandler: en virksomhed, som vi gør brug af til at behandle Kundens personoplysninger.

2. Hvem er dataansvarlig for hvilke data

• Du er dataansvarlig for Kundens personoplysninger: hvem du inviterer til dit arbejdsområde, og med hvilken rolle, de leadlister og gemte bygninger, dine medlemmer opretter, og alle personoplysninger, som dine medlemmer skriver ind i tjenesten. Vi behandler dem som din databehandler.
• Vi er dataansvarlige for de data, vi sammenstiller og offentliggør: bygningsdata og data om registrerede virksomheder i appen, i API’et, i eksporter og på offentlige sider. Når du modtager disse data, bliver du selvstændig dataansvarlig for din egen brug af dem, for eksempel når du kontakter en virksomhed. Denne databehandleraftale omfatter ikke disse data; det gør vores vilkår, vores politik for acceptabel brug og loven.
• Vi er også dataansvarlige for hver persons egen konto: login, sikkerhed, sessioner, fakturering, produktanalyse og logfiler, som beskrevet i vores privatlivspolitik.

3. Din instruks

Vi behandler kun Kundens personoplysninger efter din dokumenterede instruks. Instruksen består af vores vilkår, denne databehandleraftale og den måde, du og dine medlemmer bruger tjenesten på, for eksempel når du inviterer nogen, opretter en liste eller forbinder en AI-assistent. Vi underretter dig, hvis vi mener, at en instruks er i strid med GDPR eller anden databeskyttelseslovgivning.

Vi behandler kun Kundens personoplysninger uden for din instruks, hvis EU-retten eller medlemsstaternes nationale ret kræver det. I så fald underretter vi dig først, medmindre den pågældende lovgivning forbyder det.

4. Dine forpligtelser

• Du har et lovligt behandlingsgrundlag for de af Kundens personoplysninger, du lægger ind i tjenesten, og du giver de registrerede de oplysninger, som loven kræver.
• Du lægger ikke særlige kategorier af personoplysninger (artikel 9 i GDPR) eller oplysninger om straffedomme ind i tjenesten.
• Din instruks overholder loven.

5. Fortrolighed

Alle hos baseray, der har adgang til Kundens personoplysninger, er forpligtet til fortrolighed og bruger kun oplysningerne til at levere tjenesten.

6. Sikkerhed

Vi beskytter Kundens personoplysninger med tekniske og organisatoriske foranstaltninger, der er passende i forhold til risikoen (artikel 32 i GDPR). Bilag 2 opsummerer dem, og vores sikkerhedsside beskriver dem mere detaljeret. Vi kan forbedre disse foranstaltninger, men vi sænker ikke det samlede beskyttelsesniveau.

7. Underdatabehandlere

• Du giver os en generel godkendelse til at gøre brug af underdatabehandlere. Den aktuelle liste findes på vores side om underdatabehandlere, som angiver dem, der behandler Kundens personoplysninger.
• Hver underdatabehandler er bundet af en skriftlig kontrakt med databeskyttelsesforpligtelser, der giver samme beskyttelsesniveau som denne databehandleraftale. Vi forbliver ansvarlige over for dig for underdatabehandlerens arbejde.
• Vi annoncerer en ny underdatabehandler af Kundens personoplysninger på den side mindst 30 dage, før den begynder. Skriv til privacy@baseray.ai, hvis du vil have disse meddelelser pr. e-mail.
• Du kan gøre indsigelse mod en ny underdatabehandler af rimelige databeskyttelsesmæssige grunde inden for de 30 dage. Vi søger så en løsning sammen med dig. Findes der ingen, kan du opsige det berørte abonnement, før ændringen træder i kraft, og vi refunderer det vederlag, du har forudbetalt for perioden efter abonnementets ophør.

8. Overførsler uden for EU

Vi opbevarer Kundens personoplysninger i EU, i Microsoft Azures region Poland Central. Nogle underdatabehandlere behandler dem uden for Det Europæiske Økonomiske Samarbejdsområde: Cloudflare leder trafik gennem sit globale netværk, og Resend, en amerikansk virksomhed, sender invitationsmails til arbejdsområder. For hver sådan overførsel baserer vi os på databeskyttelsesrammen for EU og USA (EU-US Data Privacy Framework), hvis modtageren er certificeret, eller på de standardkontraktbestemmelser, der er godkendt af Europa-Kommissionen (afgørelse (EU) 2021/914). Du giver tilladelse til disse overførsler.

9. Bistand til at opfylde dine forpligtelser

• Anmodninger fra de registrerede. Tjenesten giver dig mulighed for selv at håndtere de fleste anmodninger: ejere og administratorer af arbejdsområder kan fjerne medlemmer og trække invitationer tilbage, og medlemmer kan slette lister og gemte bygninger. Hvor du har brug for mere, bistår vi dig gennem passende tekniske og organisatoriske foranstaltninger. Hvis nogen kontakter os om Kundens personoplysninger, henviser vi dem til dig og svarer ikke på dine vegne, medmindre du beder os om det.
• Konsekvensanalyser og myndigheder. Vi giver dig de oplysninger, du med rimelighed har brug for til en konsekvensanalyse vedrørende databeskyttelse, en forudgående høring af en tilsynsmyndighed eller en anmodning fra en myndighed.

10. Brud på persondatasikkerheden

Vi underretter dig uden unødig forsinkelse og så vidt muligt inden for 48 timer, efter at vi er blevet bekendt med et brud på persondatasikkerheden, der berører Kundens personoplysninger. Vi skriver til e-mailadressen på arbejdsområdets ejer. Underretningen beskriver, så vidt vi ved på det tidspunkt, hvad der er sket, kategorierne og det omtrentlige antal berørte registrerede og registreringer af personoplysninger, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslået. Vi supplerer med oplysninger, efterhånden som vi får dem, hjælper dig med at opfylde dine egne forpligtelser til anmeldelse og underretning og træffer rimelige foranstaltninger for at begrænse skaden.

11. Sletning og tilbagelevering

• Du kan til enhver tid slette Kundens personoplysninger: slette lister og gemte bygninger, trække invitationer tilbage, fjerne medlemmer eller slette hele arbejdsområdet. Når et arbejdsområde slettes, fjernes dets data straks fra vores database, og det kan ikke fortrydes.
• Når aftalen ophører, vælger du, om vi skal tilbagelevere eller slette Kundens personoplysninger. Skriv til privacy@baseray.ai: vi sender en kopi i et almindeligt maskinlæsbart format (CSV eller JSON), hvis du ønsker det, og sletter derefter dataene fra vores database inden for 30 dage efter din anmodning.
• Kopier i vores sikkerhedskopier af databasen slettes automatisk, efterhånden som sikkerhedskopierne udskiftes, senest 7 måneder efter sletningen.
• Vi beholder kun en kopi, hvis EU-retten eller medlemsstaternes nationale ret kræver det. Denne databehandleraftale beskytter fortsat en sådan kopi.

12. Oplysninger og revision

• Vi stiller de oplysninger til rådighed, som du har brug for til at påvise, at vi overholder artikel 28 i GDPR: denne databehandleraftale, vores sikkerhedsside og svar på et rimeligt sikkerhedsspørgeskema én gang om året.
• Hvis det ikke er tilstrækkeligt, kan du selv eller gennem en uafhængig revisor, der er underlagt tavshedspligt, foretage revision af, om vi overholder reglerne. Giv os skriftligt varsel mindst 30 dage i forvejen, hold dig til vores normale arbejdstid, og begræns forstyrrelser mest muligt. Revision finder højst sted én gang hver 12. måned, medmindre en tilsynsmyndighed kræver det, eller der er sket et brud på persondatasikkerheden. Hver part afholder sine egne omkostninger.

13. Ansvar og varighed

• Hver parts ansvar efter denne databehandleraftale er omfattet af ansvarsbegrænsningen i vores vilkår (punkt 16), i det omfang loven tillader det.
• Denne databehandleraftale gælder, så længe vi behandler Kundens personoplysninger for dig.

14. Rangorden

For behandlingen af Kundens personoplysninger har denne databehandleraftale forrang for vores vilkår. Hvor standardkontraktbestemmelser finder anvendelse, har de forrang for denne databehandleraftale. Denne databehandleraftale er underlagt samme lovvalg og værneting som vores vilkår (punkt 20). Den findes på engelsk, rumænsk, tjekkisk og dansk; hvis versionerne afviger fra hinanden, har den engelske version forrang.

Bilag 1: Oplysninger om behandlingen

Bilag 2: Sikkerhedsforanstaltninger

• Kryptering under overførsel: alle forbindelser til baseray.ai, app.baseray.ai og api.baseray.ai bruger HTTPS.
• Kryptering af lagrede data: de diske, der indeholder vores databaser, krypteres af Microsoft Azure.
• Sikkerhedskopier: databasen kopieres hver dag til separat, zoneredundant lagring i samme region, krypteret ved lagring og opbevaret i højst 7 måneder. Gendannelse fra disse kopier er testet.
• Hosting i EU, i Microsoft Azures region Poland Central.
• Adgangskoder gemmes som bcrypt-hashes; API-nøgler og OAuth-tokens som SHA-256-hashes. Ingen af dem kan læses tilbage.
• Totrinsbekræftelse med en godkendelsesapp er tilgængelig for alle konti.
• Loginforsøg er underlagt en hastighedsbegrænsning. Sessioner udløber efter 120 minutter uden aktivitet, medmindre du vælger at forblive logget ind.
• Hver forespørgsel kontrolleres op mod arbejdsområdets medlemskab og roller. Kun ejere og administratorer kan administrere medlemmer og fakturering.
• AI-assistenter forbinder via OAuth 2.1 med PKCE; adgangstokens udløber efter en time, og opdateringstokens udskiftes ved hver brug.
• Kortoplysninger indtastes direkte hos Stripe og når aldrig vores servere.
• Intern administratoradgang er begrænset til en kort liste over navngivne medarbejderkonti.
• Konfigurationshemmeligheder opbevares i et system til administration af hemmeligheder (secrets manager), ikke i koden.