Databehandleraftale

Version 1.0 · senest opdateret: 12. august 2026

Denne databehandleraftale (”Aftalen”) indgås mellem dig som kunde (”den dataansvarlige”) og AddonNordic ApS, CVR 46495985, Aalborg, Danmark (”databehandleren”), og udgør en integreret del af vilkårene for brugen af Geoa.

Aftalen gælder automatisk fra det tidspunkt, du tager Geoa i brug. Du behøver ikke at anmode om den. Har I brug for et underskrevet eksemplar til jeres eget arkiv, så skriv til hello@geoa.app.

1. Genstand og varighed

Databehandleren behandler personoplysninger på vegne af den dataansvarlige i det omfang, det er nødvendigt for at levere Geoa: måling af synlighed i søge- og AI-tjenester, generering af indhold, overvågning og rapportering. Behandlingen løber, så længe kundeforholdet består, og ophører som beskrevet i punkt 9.

2. Behandlingens karakter, formål og omfang

Karakter og formål er beskrevet i bilag A. Databehandleren behandler ikke personoplysninger til egne formål og sælger dem ikke.

Personoplysninger bruges ikke til at træne generelle AI-modeller. Databehandleren anvender tredjeparts AI-modeller til at levere tjenesten; leverandørerne fremgår af bilag B.

3. Instruks

Databehandleren behandler alene personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder ved overførsel til tredjelande. Aftalen, vilkårene og den dataansvarliges brug af tjenestens funktioner udgør tilsammen instruksen. Mener databehandleren, at en instruks strider mod databeskyttelsesretten, underrettes den dataansvarlige straks.

4. Fortrolighed

Databehandleren sikrer, at personer med adgang til personoplysningerne er pålagt fortrolighed, og at adgangen er begrænset til dem, der har brug for den for at levere tjenesten.

5. Sikkerhed

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger efter artikel 32. Foranstaltningerne er beskrevet i bilag C.

6. Underdatabehandlere

Den dataansvarlige giver hermed generel forudgående godkendelse til de underdatabehandlere, der fremgår af bilag B. Databehandleren pålægger hver underdatabehandler databeskyttelsesforpligtelser svarende til denne aftale og hæfter for deres arbejde som for sit eget.

Ved planlagt udskiftning eller tilføjelse af en underdatabehandler underretter databehandleren den dataansvarlige med 30 dages varsel pr. e-mail til kontoens registrerede adresse. Den dataansvarlige kan gøre indsigelse inden for varslet; opnås der ikke enighed, kan den dataansvarlige opsige abonnementet uden yderligere betaling for den resterende periode.

7. Overførsel til tredjelande

Infrastrukturen (hosting og database) ligger i EU. En del af behandlingen sker imidlertid hos leverandører uden for EU/EØS — det gælder navnlig AI-modelkaldet, hvor den tekst, der sendes til modellen, kan indeholde personoplysninger.

Hver enkelt overførsel og dens grundlag fremgår af bilag B. Overførsler sker enten til et land omfattet af en tilstrækkelighedsafgørelse, på grundlag af EU-Kommissionens standardkontraktbestemmelser, eller til en modtager certificeret under EU-U.S. Data Privacy Framework. Hvor grundlaget ikke har kunnet verificeres, er det anført som ikke verificeret frem for at blive angivet som noget andet.

8. Bistand til den dataansvarlige

Databehandleren bistår, i det omfang det er muligt og under hensyn til behandlingens karakter, den dataansvarlige med:

• at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse,
• at overholde forpligtelserne i artikel 32-36, herunder sikkerhed, anmeldelse af brud og konsekvensanalyser.

Bliver databehandleren opmærksom på et brud på persondatasikkerheden, underrettes den dataansvarlige uden unødig forsinkelse og senest 48 timer efter, at bruddet er konstateret, med de oplysninger der er nødvendige for den dataansvarliges egen anmeldelse.

9. Sletning ved ophør

Ved ophør sletter databehandleren alle personoplysninger, der er behandlet på den dataansvarliges vegne, inden for 30 dage, medmindre EU-ret eller national ret kræver fortsat opbevaring. Der efterlades ingen skyggekopier. Den dataansvarlige kan inden sletning anmode om udlevering af oplysningerne i et almindeligt anvendt, maskinlæsbart format.

10. Dokumentation og revision

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28, og muliggør og bidrager til revisioner, herunder inspektioner, som gennemføres af den dataansvarlige eller en revisor bemyndiget af denne. Revision varsles med rimeligt varsel, sker i normal arbejdstid og må ikke unødigt forstyrre driften. Den dataansvarlige bærer egne omkostninger ved revisionen.

11. Ansvar og lovvalg

Aftalen er underlagt dansk ret. Tvister afgøres ved de danske domstole. Ansvarsbegrænsningerne i vilkårene gælder også for denne aftale, i det omfang de er forenelige med databeskyttelsesforordningen.

Klager over behandlingen kan rettes til Datatilsynet.

Bilag A — beskrivelse af behandlingen

Kategorier af registrerede: den dataansvarliges brugere (kontaktperson og eventuelle kolleger med adgang), samt personer der optræder i det materiale, tjenesten behandler — typisk medarbejdere nævnt på den dataansvarliges eget website, og forfattere til offentlige anmeldelser.

Typer af personoplysninger: navn, e-mailadresse, arbejdsrelaterede kontaktoplysninger, loginoplysninger og brugsdata; virksomhedsoplysninger fra offentlige registre; indhold fra den dataansvarliges eget website; samt tekst, der indgår i genererede artikler og analyser.

Følsomme oplysninger: tjenesten er ikke beregnet til behandling af særlige kategorier af personoplysninger efter artikel 9 eller oplysninger om strafbare forhold efter artikel 10, og den dataansvarlige må ikke indlægge sådanne oplysninger i tjenesten.

Behandlingsaktiviteter: indsamling, opbevaring, strukturering, analyse, generering af tekst, videregivelse til de underdatabehandlere der fremgår af bilag B, og sletning.

Bilag B — underdatabehandlere

Listen herunder er koblet direkte til kodebasen og dækket af automatiske tests. Den kan derfor ikke komme bagud i forhold til, hvad platformen faktisk gør — hvis en integration fjernes eller tilføjes, fejler testene, indtil listen er rettet.

Kolonnen Grundlag angiver, hvad overførslen hviler på, og linker til leverandørens egen databehandleraftale, hvor en sådan er offentligt tilgængelig.

Bilag C — tekniske og organisatoriske foranstaltninger

• Kryptering: al trafik over HTTPS med HSTS; data krypteret i hvile (AES-256) hos databaseleverandøren.
• Adgangsstyring: Row Level Security på databaseniveau, så en konto kun kan tilgå egne data; hemmeligheder holdes server-side og eksponeres aldrig i browseren; API-nøgler udstedes pr. installation og kan tilbagekaldes enkeltvis.
• Adskillelse: kundedata er logisk adskilt pr. konto.
• Ændringskontrol: hver ændring skal bestå et automatiseret testsæt og et smoketest mod produktion, før den sættes i drift; en fejlet test blokerer udrulningen.
• Overvågning: fejl- og driftsovervågning med alarmering, så nedbrud opdages og udbedres.
• Sletning: kontosletning fjerner alle tilknyttede data inden for 30 dage.
• Personale: adgang er begrænset til det nødvendige og er underlagt fortrolighed.

Se Trust Center for den løbende opdaterede beskrivelse af sikkerhed og drift.

---

AddonNordic ApS · CVR 46495985 · Aalborg, Danmark · addonnordic.dk