QR Code AI databehandleraftale

DATABEHANDLERAFTALE (DPA)

Senest opdateret den 2. marts 2026

Denne databehandleraftale (»DPA’en«) udgør en del af Servicevilkårene (»Aftalen«) mellem Supernovae, et selskab registreret i Frankrig med adresse på 27 Rue Wurtz, Juvisy-sur-Orge 91260, momsnummer FR67948452891 (»Databehandleren«, »vi«, »os«), og den enhed, der tiltræder denne DPA (»Den dataansvarlige«, »du«), samlet benævnt »Parterne«.

Denne DPA gælder, når vi behandler personoplysninger på dine vegne i forbindelse med vores QR Code AI-tjenester, herunder via API’et.

1. DEFINITIONER

• »Personoplysninger« betyder enhver form for information om en identificeret eller identificerbar fysisk person som defineret i GDPR’s artikel 4, nr. 1.
• »Behandling« betyder enhver aktivitet eller række af aktiviteter, som Personoplysninger gøres til genstand for, som defineret i GDPR’s artikel 4, nr. 2.
• »Den registrerede« betyder den identificerede eller identificerbare fysiske person, som Personoplysningerne vedrører.
• »Underdatabehandler« betyder enhver tredjepart, som Databehandleren engagerer til at behandle Personoplysninger på Den dataansvarliges vegne.
• »GDPR« betyder Europa-Parlamentets og Rådets forordning (EU) 2016/679.
• »UK GDPR« betyder den britiske generelle forordning om databeskyttelse, som gælder i britisk ret og skal læses sammen med Data Protection Act 2018.
• »SCC’er« betyder de standardkontraktbestemmelser, som Europa-Kommissionen har godkendt til overførsel af Personoplysninger til tredjelande.
• »Brud på persondatasikkerheden« betyder et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til Personoplysninger.

2. ANVENDELSESOMRÅDE OG ROLLER

2.1 Dataansvarlig og databehandler

I denne DPA gælder følgende:

• Du (Den dataansvarlige): Du fastlægger formålene med og hjælpemidlerne til behandling af Personoplysninger, når du bruger vores Tjenester, navnlig når du bruger vores API til at generere QR-koder til dine egne kunder eller integrerer vores Tjenester i dine produkter.
• Vi (Databehandleren): Vi behandler Personoplysninger på dine vegne efter dine instrukser som beskrevet i denne DPA og Aftalen.

2.2 Hvornår denne DPA gælder

Denne DPA gælder, når:

• Du bruger QR Code AI’s API til at generere QR-koder, der behandler dine slutbrugeres oplysninger (f.eks. URL’er med personoplysninger, vCard-data eller kontaktoplysninger kodet i QR-koder).
• Du bruger QR Code AI’s sporings- og analysefunktioner, der indsamler scanningsdata fra dine slutbrugere.
• Vi i enhver anden situation behandler Personoplysninger på dine vegne som databehandler.

Når du bruger QR Code AI som privatperson til dine egne formål, handler vi som selvstændig dataansvarlig, og vores Privatlivspolitik regulerer behandlingen af oplysninger.

3. OPLYSNINGER OM BEHANDLINGEN

3.1 Genstand og varighed

Vi behandler Personoplysninger i Aftalens løbetid for at levere QR Code AI-tjenesterne, herunder generering af QR-koder, sporing, analyse og tilknyttede funktioner.

3.2 Behandlingens karakter og formål

• Generering af QR-koder på grundlag af inputdata fra Den dataansvarlige
• Sporing af QR-kodescanninger og indsamling af analysedata
• Opbevaring af QR-kodekonfigurationer og tilknyttede metadata
• Behandling af anmodninger om AI-genererede kunstneriske QR-koder
• Levering af rapporter og analysedashboards

3.3 Typer af personoplysninger

De typer Personoplysninger, der behandles, kan omfatte:

• Kontaktoplysninger (navne, e-mailadresser, telefonnumre) kodet i QR-koder
• URL’er og webadresser
• Lokationsdata fra QR-kodescanninger
• Enhedsoplysninger og IP-adresser fra QR-kodescanninger
• Tekstprompter og billeder, der leveres til AI-generering af QR-koder
• Alle andre oplysninger, som Den dataansvarlige vælger at kode i QR-koder

3.4 Kategorier af registrerede

• Slutbrugere, der scanner QR-koder oprettet af Den dataansvarlige
• Personer, hvis kontaktoplysninger er kodet i QR-koder
• Brugere af Den dataansvarliges produkter eller tjenester, der interagerer med QR-koder

4. DATABEHANDLERENS FORPLIGTELSER

4.1 Behandlingsinstrukser

Vi behandler kun Personoplysninger efter dine dokumenterede instrukser, medmindre EU-ret eller national ret i en medlemsstat, som vi er underlagt, kræver det. I så fald underretter vi dig om dette retlige krav inden behandlingen, medmindre lovgivningen forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

Vi underretter dig straks, hvis en instruks efter vores opfattelse er i strid med GDPR eller andre gældende databeskyttelsesbestemmelser i EU-retten eller en medlemsstats nationale ret.

4.2 Fortrolighed

Vi sikrer, at personer, der er bemyndiget til at behandle Personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

4.3 Sikkerhedsforanstaltninger

Vi gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen, herunder:

• Kryptering af Personoplysninger under overførsel (TLS/HTTPS) samt kryptering af følsomme oplysninger under opbevaring
• Adgangskontrol og rollebaseret autentifikation til interne systemer
• Regelmæssige sikkerhedsvurderinger og sårbarhedsscanninger
• Infrastruktur hostet af Scaleway og DigitalOcean med sikkerheds- og complianceforanstaltninger, der afhænger af udbyderen og hostingtjenesten
• DDoS-beskyttelse og webapplikationsfirewall (Cloudflare)
• Regelmæssige sikkerhedskopier med krypteret opbevaring
• Logning og overvågning af adgangen til Personoplysninger

4.4 Underdatabehandlere

Vi bruger de underdatabehandlere, der er opført på vores side om underdatabehandlere. Vi vil aktivt underrette dig skriftligt om enhver planlagt tilføjelse eller udskiftning af en underdatabehandler og give dig 30 dage fra underretningen til at gøre indsigelse, inden ændringen træder i kraft. Du kan gøre indsigelse ved at kontakte os på [email protected] inden for denne frist. Hvis du gør indsigelse, og vi ikke med rimelighed kan imødekomme din indsigelse, kan hver af parterne opsige den berørte del af Tjenesterne.

Vi engagerer kun en underdatabehandler til at behandle Personoplysninger på dine vegne på grundlag af en skriftlig kontrakt, herunder gældende elektroniske vilkår, som pålægger de databeskyttelsesforpligtelser, der kræves efter GDPR’s artikel 28, stk. 4. Vi forbliver ansvarlige for vores underdatabehandlere i det omfang, denne artikel kræver.

4.5 De registreredes rettigheder

Vi bistår dig med at besvare anmodninger fra registrerede, der udøver deres rettigheder efter gældende databeskyttelseslovgivning (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse). Hvis vi modtager en anmodning direkte fra en registreret, henviser vi straks vedkommende til dig, medmindre vi har modtaget andre instrukser.

4.6 Bistand med overholdelse af reglerne

Vi bistår dig med at sikre overholdelse af dine forpligtelser efter GDPR’s artikel 32 til 36 under hensyntagen til behandlingens karakter og de oplysninger, vi har til rådighed.

5. UNDERRETNING OM BRUD PÅ PERSONDATASIKKERHEDEN

5.1 Frist for underretning

Vi underretter dig om et Brud på persondatasikkerheden uden unødig forsinkelse og under alle omstændigheder senest 72 timer, efter at vi er blevet bekendt med bruddet. Underretningen sendes til den e-mailadresse, der er knyttet til din konto.

5.2 Underretningens indhold

Underretningen omfatter, i det omfang oplysningerne foreligger:

• En beskrivelse af karakteren af Bruddet på persondatasikkerheden, herunder kategorierne og det omtrentlige antal berørte registrerede og registreringer.
• Navn og kontaktoplysninger på vores kontaktperson for databeskyttelse.
• En beskrivelse af de sandsynlige konsekvenser af Bruddet på persondatasikkerheden.
• En beskrivelse af de foranstaltninger, der er truffet eller foreslås truffet for at håndtere Bruddet på persondatasikkerheden, herunder foranstaltninger til at begrænse dets mulige skadevirkninger.

5.3 Løbende samarbejde

Vi samarbejder med dig og yder rimelig bistand ved undersøgelse, begrænsning og afhjælpning af ethvert Brud på persondatasikkerheden samt ved de underretninger til tilsynsmyndigheder eller registrerede, som du er forpligtet til at foretage.

6. INTERNATIONALE DATAOVERFØRSLER

6.1 Oplysningernes placering

Personoplysninger opbevares og behandles hovedsageligt i Den Europæiske Union:

• Frankrig (EU) via Scaleway
• Nederlandene (EU) via DigitalOcean

6.2 Overførsler uden for EU/EØS

Nogle af vores underdatabehandlere er etableret uden for EU/EØS, hovedsageligt i USA. Ved disse overførsler anvender vi følgende grundlag:

• EU-US Data Privacy Framework: Hvor det finder anvendelse, ved overførsler til udbydere i USA, som er certificeret under ordningen.
• Standardkontraktbestemmelser (SCC’er): Vi indarbejder Europa-Kommissionens godkendte SCC’er (Kommissionens gennemførelsesafgørelse (EU) 2021/914) i vores aftaler med underdatabehandlere uden for EU/EØS, når Data Privacy Framework ikke finder anvendelse.

6.3 Vurdering af overførslers konsekvenser

Vi foretager vurderinger af konsekvenserne af overførsler til tredjelande og gennemfører supplerende foranstaltninger, når det er nødvendigt for at sikre et tilstrækkeligt databeskyttelsesniveau.

7. REVISION OG INSPEKTION

7.1 Ret til revision

Du har ret til at revidere vores overholdelse af denne DPA. Vi stiller alle nødvendige oplysninger til rådighed for dig for at påvise overholdelsen og muliggør og bidrager til revisioner, herunder inspektioner, der foretages af dig eller en revisor, som du har bemyndiget.

7.2 Revisionsprocedure

Følgende ordninger gælder kun for revisioner, i det omfang de ikke begrænser rettigheder eller forpligtelser efter gældende databeskyttelseslovgivning:

• Du skal varsle enhver revision skriftligt mindst 30 dage i forvejen.
• Revisioner kan højst foretages én gang om året, medmindre en tilsynsmyndighed kræver det, eller der er sket et Brud på persondatasikkerheden.
• Revisioner skal gennemføres i normal arbejdstid og må ikke forstyrre vores drift urimeligt.
• Du afholder omkostningerne ved en revision, medmindre den afslører en væsentlig overtrædelse af denne DPA.
• Fortrolige oplysninger om vores øvrige kunder må ikke blive eksponeret under revisionen.

8. OPBEVARING OG SLETNING AF OPLYSNINGER

8.1 I Aftalens løbetid

Vi opbevarer Personoplysninger i Aftalens løbetid, i det omfang det er nødvendigt for at levere Tjenesterne.

8.2 Ved ophør

Ved Aftalens ophør eller på din skriftlige anmodning:

• Sletter vi efter dit valg Personoplysningerne eller returnerer dem til dig og sletter de resterende kopier fra vores aktive systemer inden for 30 dage.
• Slettes Personoplysninger i sikkerhedskopiarkiver inden for 6 måneder. Indtil da forbliver de beskyttede og bruges ikke til andre formål, medmindre gældende lov kræver andet.
• Kan vi opbevare Personoplysninger, i det omfang gældende lov kræver det (f.eks. skatte- eller regnskabspligter). I så fald isolerer og beskytter vi oplysningerne og begrænser den videre behandling til det, loven kræver.

8.3 Bekræftelse

På din anmodning giver vi skriftlig bekræftelse på, at Personoplysningerne er slettet i overensstemmelse med dette afsnit.

9. ANSVAR

Hver parts ansvar efter denne DPA er underlagt de ansvarsbegrænsninger, der er fastsat i Aftalen. Intet i denne DPA begrænser nogen af parternes ansvar over for registrerede eller tilsynsmyndigheder efter gældende databeskyttelseslovgivning.

10. LOVVALG

Denne DPA er underlagt fransk ret. GDPR og UK GDPR finder anvendelse, i det omfang behandlingen er omfattet af deres respektive retlige anvendelsesområder. Tvister, der udspringer af denne DPA, løses i overensstemmelse med Aftalens bestemmelser om tvistløsning.

11. SÅDAN INDGÅS DENNE DPA

Denne DPA er indarbejdet i og udgør en del af Servicevilkårene. Ved at bruge QR Code AI’s Tjenester accepterer du denne DPA.

Hvis du har brug for et særskilt underskrevet eksemplar af denne DPA til dit arkiv, kan du kontakte os på [email protected], så sender vi et inden for 10 arbejdsdage.

12. KONTAKT

Ved spørgsmål om denne DPA eller vores behandling af oplysninger:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Frankrig [email protected]