QR Code AI databehandleraftale

DATABEHANDLERAFTALE (DPA)

Senest opdateret 2. marts 2026

Denne databehandleraftale ("DPA") udgør en del af Servicevilkår ("Aftalen") mellem Supernovae, et selskab registreret i Frankrig på 27 Rue Wurtz, Juvisy-sur-Orge 91260, momsnummer FR67948452891 ("Databehandler", "vi", "os"), og den enhed, der accepterer denne DPA ("Dataansvarlig", "du"), samlet benævnt "Parterne".

Denne DPA gælder, når vi behandler personoplysninger på dine vegne i forbindelse med vores QR Code AI-tjenester, herunder via API’et.

1. DEFINITIONER

• "Personoplysninger" betyder enhver information om en identificeret eller identificerbar fysisk person, som defineret i GDPR artikel 4, stk. 1.
• "Behandling" betyder enhver aktivitet eller række af aktiviteter, der udføres på Personoplysninger, som defineret i GDPR artikel 4, stk. 2.
• "Registreret" betyder den identificerede eller identificerbare fysiske person, som Personoplysninger vedrører.
• "Underdatabehandler" betyder enhver tredjepart, som Databehandleren engagerer til at behandle Personoplysninger på vegne af den Dataansvarlige.
• "GDPR" betyder Europa-Parlamentets og Rådets forordning (EU) 2016/679.
• "UK GDPR" betyder GDPR, som den er indarbejdet i britisk lov ved Data Protection Act 2018.
• "SCC’er" betyder standardkontraktbestemmelserne godkendt af Europa-Kommissionen for overførsel af Personoplysninger til tredjelande.
• "Databrud" betyder et brud på sikkerheden, der medfører hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til Personoplysninger.

2. OMFANG OG ROLLER

2.1 Dataansvarlig og databehandler

I denne DPA gælder:

• Du (Dataansvarlig): Du fastlægger formålene med og midlerne til behandling af Personoplysninger, når du bruger vores Tjenester, især når du bruger vores API til at generere QR-koder til dine egne kunder eller integrerer vores Tjenester i dine produkter.
• Vi (Databehandler): Vi behandler Personoplysninger på dine vegne efter dine instruktioner, som beskrevet i denne DPA og Aftalen.

2.2 Hvornår denne DPA gælder

Denne DPA gælder, når:

• Du bruger QR Code AI QR-kode-API til at generere QR-koder, der behandler dine slutbrugeres data (fx URL’er med personoplysninger, vCard-data, kontaktoplysninger kodet i QR-koder).
• Du bruger QR Code AI’s QR-kode-sporing og analysefunktioner, der indsamler scan-data fra dine slutbrugere.
• Enhver anden situation, hvor vi behandler Personoplysninger på dine vegne som databehandler.

Når du bruger QR Code AI som privat bruger til dine egne formål, fungerer vi som selvstændig dataansvarlig, og vores Privatlivspolitik regulerer databehandlingen.

3. DETALJER OM DATABEHANDLING

3.1 Genstand og varighed

Vi behandler Personoplysninger i Aftalens løbetid for at levere QR Code AI-tjenesterne, herunder QR-kodegenerering, sporing, analyse og relateret funktionalitet.

3.2 Behandlingens karakter og formål

• Generering af QR-koder baseret på inputdata leveret af den Dataansvarlige
• Sporing af QR-kode-scans og indsamling af analysedata
• Opbevaring af QR-kodekonfigurationer og tilknyttede metadata
• Behandling af forespørgsler om AI-genereret QR-kode-kunst
• Levering af rapporter og analysedashboards

3.3 Typer af personoplysninger

De typer Personoplysninger, der kan behandles, kan omfatte:

• Kontaktoplysninger (navne, e-mailadresser, telefonnumre) kodet i QR-koder
• URL’er og webadresser
• Lokationsdata fra QR-kode-scans
• Enhedsoplysninger og IP-adresser fra QR-kode-scans
• Tekstprompter og billeder, der leveres til AI QR-kodegenerering
• Andre data, som den Dataansvarlige vælger at kode i QR-koder

3.4 Kategorier af registrerede

• Slutbrugere, der scanner QR-koder oprettet af den Dataansvarlige
• Personer, hvis kontaktoplysninger er kodet i QR-koder
• Brugere af den Dataansvarliges produkter eller tjenester, der interagerer med QR-koder

4. DATABEHANDLERENS FORPLIGTELSER

4.1 Behandlingsinstruktioner

Vi behandler kun Personoplysninger efter dine dokumenterede instruktioner, medmindre vi er forpligtet til det i henhold til EU-ret eller medlemsstatsret, som vi er underlagt. I så fald informerer vi dig om det juridiske krav før behandlingen, medmindre loven forbyder sådan information af væsentlige hensyn til offentlighedens interesse.

4.2 Fortrolighed

Vi sikrer, at personer, der er autoriseret til at behandle Personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt fortrolighedsforpligtelse.

4.3 Sikkerhedsforanstaltninger

Vi implementerer passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen, herunder:

• Kryptering af Personoplysninger under overførsel (TLS/HTTPS) og i hvile
• Adgangskontrol og rollebaseret autentificering til interne systemer
• Regelmæssige sikkerhedsvurderinger og sårbarhedsscanning
• Infrastruktur hostet hos ISO 27001-certificerede udbydere
• DDoS-beskyttelse og web application firewall (Cloudflare)
• Regelmæssige backups med krypteret lagring
• Logning og overvågning af adgang til Personoplysninger

4.4 Underdatabehandlere

Vi bruger de underdatabehandlere, der er listet på vores side om underdatabehandlere. Vi giver dig besked om planlagte ændringer ved at opdatere den side. Du kan gøre indsigelse mod en ny underdatabehandler ved at kontakte os på [email protected] inden for 30 dage efter opdateringen. Hvis du gør indsigelse, og vi ikke med rimelighed kan imødekomme indsigelsen, kan hver af Parterne opsige den berørte del af Tjenesterne.

Vi indgår skriftlige aftaler med alle underdatabehandlere, som pålægger databeskyttelsesforpligtelser, der mindst er lige så beskyttende som dem i denne DPA.

4.5 Registreredes rettigheder

Vi hjælper dig med at besvare anmodninger fra Registrerede, der udøver deres rettigheder efter gældende databeskyttelseslov (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse). Hvis vi modtager en anmodning direkte fra en Registreret, videresender vi den straks til dig, medmindre du instruerer os anderledes.

4.6 Hjælp til overholdelse

Vi hjælper dig med at sikre overholdelse af dine forpligtelser efter GDPR artikel 32 til 36 under hensyntagen til behandlingens karakter og de oplysninger, vi har til rådighed.

5. NOTIFIKATION OM DATABRUD

5.1 Tidsfrist for notifikation

Vi underretter dig om et Databrud uden unødig forsinkelse og under alle omstændigheder inden for 72 timer efter, at vi er blevet opmærksomme på bruddet. Underretningen sendes til den e-mailadresse, der er knyttet til din konto.

5.2 Indhold i notifikationen

Underretningen vil, i det omfang oplysningerne er tilgængelige, indeholde:

• En beskrivelse af Databruddets karakter, herunder kategorierne af og det omtrentlige antal Registrerede og berørte registreringer.
• Navn og kontaktoplysninger på vores kontaktpunkt for databeskyttelse.
• En beskrivelse af de sandsynlige konsekvenser af Databruddet.
• En beskrivelse af de foranstaltninger, der er truffet eller foreslået for at håndtere Databruddet, herunder foranstaltninger til at begrænse mulige negative virkninger.

5.3 Løbende samarbejde

Vi samarbejder med dig og yder rimelig assistance til at undersøge, begrænse og afhjælpe et Databrud samt til at foretage de underretninger til tilsynsmyndigheder eller Registrerede, som du er forpligtet til at foretage.

6. INTERNATIONALE DATAOVERFØRSLER

6.1 Datalokation

Personoplysninger lagres og behandles primært i EU:

• Frankrig (EU) via Scaleway
• Nederlandene (EU) via DigitalOcean

6.2 Overførsler uden for EU/EØS

Nogle af vores underdatabehandlere er placeret uden for EU/EØS, primært i USA. For disse overførsler baserer vi os på:

• EU-US Data Privacy Framework: Hvor relevant, for overførsler til USA-baserede udbydere, der er certificeret under ordningen.
• Standard Contractual Clauses (SCC’er): Vi indarbejder de af Europa-Kommissionen godkendte SCC’er (Kommissionens gennemførelsesafgørelse (EU) 2021/914) i vores aftaler med underdatabehandlere uden for EU/EØS, hvor Data Privacy Framework ikke finder anvendelse.

6.3 Transfer Impact Assessment

Vi gennemfører transfer impact assessments for overførsler til tredjelande og implementerer supplerende foranstaltninger, hvor det er nødvendigt, for at sikre et tilstrækkeligt databeskyttelsesniveau.

7. AUDITS OG INSPEKTIONER

7.1 Auditrettigheder

Du har ret til at auditere vores overholdelse af denne DPA. Vi stiller alle nødvendige oplysninger til rådighed for at dokumentere overholdelse og giver mulighed for samt bidrager til audits, herunder inspektioner, udført af dig eller en revisor, du har bemyndiget.

7.2 Auditproces

Audits er underlagt følgende betingelser:

• Du skal give mindst 30 dages skriftligt varsel før en audit.
• Audits kan højst gennemføres én gang om året, medmindre det kræves af en tilsynsmyndighed eller efter et Databrud.
• Audits skal gennemføres i normal arbejdstid og må ikke urimeligt forstyrre vores drift.
• Du afholder omkostningerne ved en audit, medmindre auditten afslører en væsentlig overtrædelse af denne DPA.
• Fortrolige oplysninger om vores andre kunder må ikke blive eksponeret under auditten.

8. OPBEVARING OG SLETNING AF DATA

8.1 Under aftalen

Vi opbevarer Personoplysninger i Aftalens løbetid i det omfang, det er nødvendigt for at levere Tjenesterne.

8.2 Ved ophør

Ved ophør af Aftalen eller efter din skriftlige anmodning:

• Sletter vi Personoplysninger fra vores aktive systemer inden for 30 dage.
• Personoplysninger i backup-arkiver slettes inden for 6 måneder.
• Vi kan opbevare Personoplysninger i det omfang, det kræves efter gældende lov (fx skatte- og regnskabsforpligtelser). I så fald isolerer og beskytter vi sådanne data og begrænser videre behandling til det, der kræves efter loven.

8.3 Bekræftelse

Efter din anmodning giver vi en skriftlig bekræftelse på, at Personoplysninger er slettet i overensstemmelse med dette afsnit.

9. ANSVAR

Hver Parts ansvar efter denne DPA er underlagt de ansvarsbegrænsninger, der fremgår af Aftalen. Intet i denne DPA begrænser nogen Parts ansvar over for Registrerede eller tilsynsmyndigheder efter gældende databeskyttelseslov.

10. LOVVALG

Denne DPA er underlagt fransk ret. For Registrerede i EU gælder GDPR. For Registrerede i Storbritannien gælder UK GDPR. Eventuelle tvister, der opstår som følge af denne DPA, afgøres i overensstemmelse med Aftalens bestemmelser om tvistløsning.

11. SÅDAN UNDERSKRIVER DU DENNE DPA

Denne DPA er indarbejdet i og udgør en del af Servicevilkår. Ved at bruge QR Code AI-tjenesterne accepterer du denne DPA.

Hvis du har brug for en separat underskrevet kopi af denne DPA til dine arkiver, kan du kontakte os på [email protected], så leverer vi en inden for 10 arbejdsdage.

12. KONTAKT

Hvis du har spørgsmål om denne DPA eller vores databehandlingspraksis:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Frankrig [email protected]