Databehandleraftale

Omfang og roller

Kunden er dataansvarlig, og Onur Öztürk, enkeltmandsvirksomhed under navnet Ozan Soft ("GenderAPI"), er databehandler for de af Kundens personoplysninger, der indsendes via API'et, værktøjerne til filbehandling eller funktionerne i tilknyttede regneark. Hver part er fortsat selvstændigt ansvarlig for de personoplysninger, som parten behandler som dataansvarlig, herunder GenderAPI's administration af konti, fakturering og erhvervskontakter.

Kunden afgør, om de indsendte data er personoplysninger, og er ansvarlig for retsgrundlaget, oplysningspligten, tilladelserne og instrukserne. Kunden må ikke indsende data, som tjenesten ikke er beregnet til at behandle, eller bruge inferensresultater som eneste grundlag for en afgørelse, der har retsvirkning eller på tilsvarende måde betydeligt påvirker en person.

Instrukser om behandling

GenderAPI behandler kun Kundens personoplysninger for at levere, sikre og understøtte tjenesten i overensstemmelse med aftalen, denne DPA, Kundens dokumenterede brug af tjenesten og gældende lov. GenderAPI underretter Kunden, hvis en instruks efter GenderAPI's rimelige vurdering er i strid med gældende databeskyttelseslovgivning, medmindre loven forbyder en sådan underretning.

GenderAPI sælger ikke Kundens personoplysninger, bruger dem ikke til kontekstoverskridende adfærdsbaseret annoncering, bruger dem ikke til at træne den private inferensmodel og gemmer dem ikke i AI-logfiler. Reglerne om opbevaring i privatlivspolitikken udgør en del af disse dokumenterede instrukser om behandling.

Fortrolighed og sikkerhed

GenderAPI sikrer, at personer, der er autoriseret til at behandle Kundens personoplysninger, er underlagt en passende tavshedspligt og kun har adgang til dataene i det omfang, det er nødvendigt for deres opgaver. GenderAPI opretholder tekniske og organisatoriske foranstaltninger, der passer til tjenestens art og risiciene ved behandlingen.

• TLS-beskyttet overførsel af data, der udveksles med tjenesten.
• Adgangsbegrænsninger for produktionssystemer, kundedata og adgangsbegrænsede sikkerhedskopier.
• Adskillelse og beskyttelse af kontoens loginoplysninger og API-nøgler til produktionsmiljøet.
• Logning af sikkerhedshændelser og teknisk logning i henhold til den offentliggjorte opbevaringsplan.
• Løbende sikkerhedskopier med en standardperiode for overskrivning på op til 15 dage.
• Privat AI-behandling uden træning på kundedata og uden logning af AI-prompter eller -resultater.
• Procedurer for dataminimering og sletning i overensstemmelse med tjenestens opbevaringsplan.

Underdatabehandlere

Kunden giver GenderAPI en generel skriftlig godkendelse til at bruge de udbydere, der er angivet som underdatabehandlere under denne DPA på siden om underdatabehandlere. GenderAPI pålægger hver sådan underdatabehandler at beskytte Kundens personoplysninger på grundlag af forpligtelser, der i det væsentlige svarer til denne DPA, i det omfang de gælder for de tjenester, som underdatabehandleren udfører. GenderAPI er fortsat ansvarlig for sine forpligtelser efter denne DPA. Udbydere, der kun bruges til GenderAPI's aktiviteter som dataansvarlig, f.eks. fakturering eller kommunikation om kontoen, er angivet særskilt og behandles ikke som Kundens databehandlere, blot fordi de fremgår af oversigten over udbydere.

GenderAPI giver mindst 30 dages forudgående varsel via siden om underdatabehandlere, tjenesten eller Kundens e-mailadresse til kontoen, før der tilføjes eller udskiftes en underdatabehandler, som skal behandle Kundens personoplysninger. Kunden kan i denne periode gøre en rimelig og dokumenteret indsigelse af hensyn til databeskyttelse. Parterne samarbejder i god tro om en kommercielt rimelig løsning; hvis en sådan ikke findes, kan Kunden holde op med at bruge den berørte funktion.

Bistand og brud på persondatasikkerheden

Under hensyntagen til behandlingens karakter og de oplysninger, GenderAPI har til rådighed, yder GenderAPI rimelig bistand i forbindelse med anmodninger fra registrerede, sikkerhedsforpligtelser, anmeldelser af brud på persondatasikkerheden, konsekvensanalyser vedrørende databeskyttelse og høringer, som gældende databeskyttelseslovgivning kræver. Hvis en registreret kontakter GenderAPI om Kundens personoplysninger, kan GenderAPI henvise anmodningen til Kunden, medmindre gældende lov kræver et direkte svar.

GenderAPI underretter Kunden uden unødig forsinkelse og så vidt muligt inden for 48 timer efter at være blevet bekendt med et bekræftet brud på persondatasikkerheden, der berører Kundens personoplysninger. Underretningen indeholder de tilgængelige oplysninger, som Kunden med rimelighed har brug for til sin vurdering og sine anmeldelsesforpligtelser. Underretningen er ikke en indrømmelse af skyld eller ansvar.

Tilbagelevering og sletning

I tjenestens løbetid kan Kunden hente tilgængelige resultater via de understøttede funktioner i tjenesten. Ved lukning af kontoen, ophør af den relevante behandling eller en gyldig anmodning om sletning sletter eller anonymiserer GenderAPI uigenkaldeligt de af Kundens personoplysninger, der er tilbage i aktive systemer, inden for 30 dage, medmindre gældende lov kræver opbevaring. Data, der er fjernet fra aktive systemer, kan forblive i adgangsbegrænsede løbende sikkerhedskopier i op til 15 dage mere, før de automatisk overskrives.

Lovpligtig opbevaring af poster om fakturering, transaktioner, forebyggelse af svindel eller tvister giver ikke ret til fortsat brug af indholdet af Kundens forespørgsler eller uploadede filer. Oversigten pr. kategori i privatlivspolitikken gælder fortsat, hvor den fastsætter en kortere periode.

Oplysninger og revision

GenderAPI stiller de oplysninger til rådighed for Kunden, som med rimelighed er nødvendige for at påvise overholdelse af denne DPA, i første omgang gennem gældende politikker, dokumentation og et rimeligt sikkerhedsspørgeskema. Hvis disse oplysninger ikke er tilstrækkelige til at opfylde en retlig forpligtelse, kan Kunden anmode om en forholdsmæssig revision højst én gang om året, undtagen efter et bekræftet brud eller en bindende anmodning fra en tilsynsmyndighed.

En revision skal gennemføres med rimeligt forudgående varsel, inden for normal arbejdstid og uden at andre kunders data eksponeres eller sikkerheden kompromitteres. Kunden afholder sine omkostninger til revisionen, medmindre revisionen afdækker en væsentlig misligholdelse fra GenderAPI's side. Parterne aftaler først passende vilkår om fortrolighed og omfang.

Internationale overførsler

Kundens personoplysninger kan behandles i Tyrkiet og, via kontraktligt aftalt infrastruktur, i USA. GenderAPI anvender et lovligt anerkendt overførselsgrundlag, hvor det er relevant. Hvis EU's standardkontraktbestemmelser vedtaget ved Kommissionens gennemførelsesafgørelse (EU) 2021/914 er påkrævet, indarbejdes det relevante modul for overførsler fra dataansvarlig til databehandler i denne DPA og har forrang for modstridende vilkår for den pågældende overførsel. Parterne udfylder de valg eller oplysninger i bilagene, som loven kræver for deres konkrete overførsel, når de underskriver denne DPA.

Oplysninger om behandlingen

Genstand og varighed

Den behandling, der er nødvendig for at levere GenderAPI, mens Kunden bruger tjenesten, og i de begrænsede perioder for sletning, sikkerhedskopiering, sikkerhed og lovpligtig opbevaring, der er beskrevet i denne DPA og i privatlivspolitikken.

Karakter og formål

Modtagelse, overførsel og analyse af og returnering af resultater for API-forespørgsler, uploadede Excel- eller CSV-filer og handlinger i tilknyttede regneark samt tilhørende hosting, sikkerhed, fejlfinding og support.

Kategorier af registrerede

Personer, hvis navne, e-mailadresser, brugernavne eller tilknyttede poster Kunden indsender; Kundens brugere, medarbejdere, kontakter eller slutbrugere; og personer, der optræder i uploadede eller tilknyttede regnearksdata.

Typer af personoplysninger

Navne, e-mailadresser, brugernavne, land eller lokaliseringskontekst, felter i regneark leveret af Kunden, det udledte kønsresultat og oplysninger om konfidens samt begrænsede metadata om anmodninger, enheder, godkendelse og sikkerhed, som er nødvendige for at drive tjenesten. Kunden må ikke indsende særlige kategorier af personoplysninger, medmindre det udtrykkeligt er aftalt skriftligt og er lovligt.