Databehandleraftale

1. Parter

• Den dataansvarlige: den virksomhed, der bruger Image Studio (»kunden«).
• Databehandleren: Koral ApS, CVR-nr. 43814540, Jordskokkevænget 37, 8200 Aarhus N (»Koral«).

Aftalen opfylder kravene i databeskyttelsesforordningens artikel 28, stk. 3. Er der modstrid mellem aftalen og vilkårene for Image Studio, går databehandleraftalen forud i spørgsmål om behandling af personoplysninger.

2. Behandlingen

• Formål: at levere Image Studio, dvs. at skabe, redigere, analysere, vise og gemme billeder efter kundens instruks.
• Behandlingens art: modtagelse, overførsel til AI-tjenester, generering og redigering, opbevaring i projekter, visning, download og sletning.
• Registrerede: personer, der optræder i eller kan identificeres ud fra kundens indhold, fx modeller, medarbejdere og kunder.
• Personoplysninger: almindelige personoplysninger, fx billeder af personer og navne eller andre oplysninger i billeder og instruktioner.
• Varighed: så længe kunden bruger Image Studio, og indtil oplysningerne er slettet efter afsnit 10.

Kunden må ikke uploade følsomme personoplysninger (artikel 9) eller oplysninger om strafbare forhold (artikel 10), medmindre det er aftalt skriftligt.

3. Instruks

• Koral behandler kun personoplysninger efter dokumenteret instruks fra kunden. Kundens brug af Image Studios funktioner og denne aftale udgør instruksen.
• Koral underretter straks kunden, hvis en instruks efter Korals vurdering er i strid med databeskyttelsesreglerne.
• Kræver EU-ret eller dansk ret, at Koral behandler oplysningerne på anden måde, underretter Koral kunden om kravet, medmindre loven forbyder det.

4. Fortrolighed

Kun personer, der har behov for det, får adgang til personoplysningerne, og de har tavshedspligt.

5. Sikkerhed

Koral gennemfører de tekniske og organisatoriske foranstaltninger, der kræves efter artikel 32. De er beskrevet i bilag B.

6. Underdatabehandlere

• Kunden giver generel godkendelse til, at Koral bruger underdatabehandlere. De godkendte underdatabehandlere står i bilag A.
• Koral varsler planlagte ændringer mindst 30 dage i forvejen, så kunden kan gøre indsigelse. Kan parterne ikke blive enige, kan kunden stoppe brugen af Image Studio og opsige aftalen.
• Koral pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og er fuldt ansvarlig over for kunden for deres behandling.

7. Overførsel til tredjelande

Koral overfører kun personoplysninger til lande uden for EU/EØS via underdatabehandlerne i bilag A og kun med et gyldigt overførselsgrundlag efter forordningens kapitel V, fx EU-Kommissionens standardkontraktbestemmelser eller EU-U.S. Data Privacy Framework.

8. Bistand til kunden

• Koral bistår kunden, så vidt det er muligt, med at besvare anmodninger fra registrerede om deres rettigheder.
• Koral bistår kunden med at overholde forpligtelserne om sikkerhed, brud på persondatasikkerheden, konsekvensanalyser og forudgående høring (artikel 32-36) under hensyn til behandlingens art og de oplysninger, Koral har.
• Modtager Koral en anmodning direkte fra en registreret, sender Koral den videre til kunden.

9. Brud på persondatasikkerheden

Koral underretter kunden uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud, så kunden kan overholde sin frist på 72 timer over for Datatilsynet. Underretningen beskriver bruddet, dets sandsynlige konsekvenser og de foranstaltninger, der er truffet, i det omfang oplysningerne er tilgængelige.

10. Sletning og tilbagelevering

Når kunden ophører med at bruge Image Studio, sletter Koral de personoplysninger, der er behandlet på kundens vegne, senest 30 dage efter ophøret, medmindre lovgivningen kræver opbevaring. Kunden kan inden da downloade sit indhold. Historik i browseren ligger på kundens egne enheder og slettes af kunden selv.

11. Revision

Koral stiller de oplysninger til rådighed, der er nødvendige for at påvise, at forpligtelserne i artikel 28 er overholdt, og giver mulighed for og bidrager til revision og inspektion. Revision sker normalt på grundlag af skriftlig dokumentation, varsles mindst 30 dage i forvejen og sker for kundens regning.

12. Ansvar, varighed og ophør

Parternes ansvar følger vilkårene for Image Studio, medmindre andet følger af databeskyttelsesforordningen. Aftalen gælder, så længe Koral behandler personoplysninger på kundens vegne. Ønsker I en underskrevet kopi, så skriv til hello@koral.nu.

Bilag A: Underdatabehandlere

Kunden har godkendt følgende underdatabehandlere:

Bilag B: Sikkerhedsforanstaltninger

• Al trafik til og fra Image Studio er krypteret med HTTPS (TLS), og browseren skal bruge sikre forbindelser (HSTS).
• Data opbevares krypteret hos vores hostingleverandører i EU.
• Adgang kræver login med en bekræftet e-mailadresse. Sessioner håndteres med sikre cookies, som scripts på siden ikke kan læse.
• Indhold i projekter ligger i et privat lager, adskilt pr. konto, og vises kun via signerede, tidsbegrænsede links.
• Billeder, der sendes til AI-behandling, gemmes ikke på vores servere efter opgaven, medmindre kunden gemmer dem i et projekt.
• Siderne beskyttes med sikkerhedsheadere, bl.a. mod clickjacking og indlæsning af fremmede scripts.
• Adgang til produktionssystemer er begrænset til de medarbejdere, der har behov for det.
• Fejl og driftsforstyrrelser logges og overvåges, så de kan opdages og rettes hurtigt.