Databehandleraftale

Hvis denne oversættelse og den engelske version afviger fra hinanden, har den engelske version forrang. Denne databehandleraftale (»Databehandleraftalen«) indgås mellem Propelos Technology S.L., et spansk selskab med begrænset ansvar med registreret hjemsted på The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spanien (»Propelos«, »vi«), og den virksomhed, der har accepteret vores brugsvilkår eller underskrevet en aftale med Propelos om Tjenesterne (»Kunden«).

Den gælder, når Propelos behandler personoplysninger på Kundens vegne ved levering af AI-boligsøgning og tilknyttede tjenester (»Tjenesterne«): chat- og søgewidgets på Kundens hjemmeside, den hostede søgeside samt indsamling af henvendelser og levering af dem til Kunden. Den er en del af brugsvilkårene og fastlægger de vilkår, der kræves efter artikel 28 GDPR og artikel 33 LOPDGDD. Hvis Kunden har underskrevet en separat databehandleraftale med Propelos, har den aftale forrang.

»GDPR« betyder forordning (EU) 2016/679. »LOPDGDD« betyder den spanske organiske lov 3/2018 af 5. december om beskyttelse af personoplysninger og garanti for digitale rettigheder. »Dataansvarlig«, »databehandler«, »personoplysninger«, »behandling«, »registreret« og »brud på persondatasikkerheden« har den betydning, der følger af GDPR. En »Køber« er en person, der bruger Boligsøgning på Kundens hjemmeside eller hostede søgeside.

For de personoplysninger, der beskrives i Databehandleraftalen, er Kunden dataansvarlig, og Propelos er databehandler. Propelos er kun selvstændigt dataansvarlig for Kundens kontooplysninger, såsom Kundens medarbejderes loginoplysninger og faktureringsoplysninger, som er omfattet af vores privatlivspolitik.

Genstanden er behandling af Køberes personoplysninger, så Propelos kan levere Tjenesterne til Kunden. Behandlingen varer, så længe Kunden bruger Tjenesterne, samt i den periode efter Tjenesternes ophør, der beskrives i afsnit 15, indtil oplysningerne slettes.

Propelos behandler kun personoplysningerne for at:

• forstå, hvad Købere søger efter, og svare dem med boliger fra Kundens portefølje ved hjælp af AI-modeller;
• transskribere en Købers taleinput, når Kunden har aktiveret stemmesøgning;
• indsamle henvendelser gennem henvendelsesformularen i Boligsøgning med eventuelle samtykker, som Køberen giver;
• levere henvendelser til Kunden via e-mail og, hvor Kunden har konfigureret det, til Kundens CRM, webhooks eller API;
• opbevare henvendelser og samtaler for Kunden og udarbejde brugsstatistik for Kunden;
• holde Tjenesterne sikre, forebygge misbrug og rette fejl.

Registrerede: Købere (potentielle boligkøbere og lejere, der bruger Boligsøgning), personer, der sender en henvendelse gennem den, og Kundens medarbejdere, hvis oplysninger Kunden tilføjer til Tjenesterne (for eksempel den mægler, der modtager henvendelser).

Personoplysninger:

• identitets- og kontaktoplysninger: navn, e-mailadresse og telefonnummer;
• beskeder: det, som Købere skriver eller siger til Boligsøgning, og det samtaleresumé, der vedlægges en henvendelse;
• søgeadfærd: søgninger, boliger, der vises og klikkes på, budget, foretrukne områder og andre præferencer;
• samtykkeoplysninger: om Køberen har samtykket til markedsføring og Kundens privatlivspolitik, samt adressen på den viste politik;
• tekniske oplysninger: en sessionsidentifikator, landet udledt af IP-adressen, enheds- og browsertype, henvisende side, landingsside og kampagneparametre.

Tjenesterne er ikke udformet til at indsamle særlige kategorier af personoplysninger. En Køber kan alligevel frivilligt give sådanne oplysninger i en besked. Propelos behandler dem da kun som en del af den besked.

• Kunden er ansvarlig for at have et retsgrundlag for behandlingen og for at oplyse Købere om den, især i sin egen privatlivspolitik. Boligsøgning kan linke til Kundens privatlivspolitik og bede om samtykke i henvendelsesformularen. Kunden er ansvarlig for at konfigurere dette.
• Kundens instrukser skal overholde databeskyttelseslovgivningen.
• Kunden er ansvarlig for de systemer, som Kunden beder Propelos sende henvendelser til, såsom sit CRM, e-mailadresser og webhook-endpoints.

Propelos behandler kun personoplysningerne efter Kundens dokumenterede instrukser. Brugsvilkårene, Databehandleraftalen og Kundens indstillinger i Tjenesterne udgør disse instrukser. Hvis EU-retten eller en medlemsstats lovgivning kræver, at Propelos behandler oplysningerne på anden måde, informerer Propelos Kunden, inden det sker, medmindre lovgivningen forbyder det. Propelos informerer Kunden, hvis en instruks efter Propelos' vurdering er i strid med databeskyttelseslovgivningen.

Propelos sikrer, at alle, som bemyndiges til at behandle personoplysningerne, er underlagt tavshedspligt ved aftale eller lov og kun har adgang til det, deres arbejde kræver.

Propelos anvender passende tekniske og organisatoriske foranstaltninger efter artikel 32 GDPR, herunder:

• kryptering under overførsel: Tjenesterne leveres via HTTPS, og forbindelser til vores database krypteres med TLS;
• CRM-loginoplysninger og hemmeligheder til signering af webhooks krypteres ved lagring med AES-256-GCM med en nøgle, der opbevares adskilt fra databasen;
• adgangskoder gemmes kun som bcrypt-hashes, og loginsessioner kun som hashes af sessionstokenet. Sessioner udløber efter 24 timer;
• adgangskontrol: hver kundes brugere kan kun tilgå den pågældende kundes oplysninger, fordi kontoen hentes fra loginsessionen på vores server og aldrig fra anmodningen. Administrativ adgang er begrænset til autoriserede medarbejdere hos Propelos;
• widgetens adgangstokens signeres, knyttes til Kundens hjemmesideadresse og udløber efter 24 timer;
• begrænsninger på antallet af anmodninger til offentlige endpoints og ved login;
• fejlrapporter filtreres for at fjerne kontaktoplysninger og beskedindhold, før de forlader vores servere.

Propelos kan opdatere disse foranstaltninger, så længe det samlede sikkerhedsniveau ikke reduceres.

Kunden giver Propelos en generel tilladelse til at bruge underdatabehandlere. Propelos bruger følgende underdatabehandlere til Tjenesterne:

• Replit (USA): hoster applikationen på Google Cloud og videresender vores anmodninger til OpenAI og OpenRouter
• Neon (USA): driver vores database, som leveres gennem Replit på Amazon Web Services (us-east-1)
• OpenAI (USA): AI-modeller, som forstår søgninger, skriver svar og resuméer af henvendelser, transskriberer taleinput og slår steder op, som en køber nævner; bruges også til rapporter om AI-synlighed
• OpenRouter (USA): sender nogle AI-anmodninger videre til Googles Gemini-modeller og Jev-modellen fra TypeSafe AI
• Google (USA): Gemini-AI-modeller, som tilgås gennem OpenRouter (og direkte til rapporter om AI-synlighed), samt Google Maps Platform, som kun modtager navnet på et sted, en køber nævner
• TypeSafe AI (USA): AI-modellen Jev, som tilgås gennem OpenRouter og rangerer og klassificerer søgeresultater
• Resend (USA): sender vores e-mails, herunder kontomeddelelser og beskeder om henvendelser til mæglervirksomheder
• Sentry (Tyskland, EU): fejlovervågning; kontaktoplysninger og beskedindhold filtreres fra, før en fejlrapport sendes

Propelos giver Kunden besked via e-mail mindst 30 dage før tilføjelse eller udskiftning af en underdatabehandler. Kunden kan gøre indsigelse på rimelige databeskyttelsesgrunde inden for denne periode. Hvis vi ikke kan løse indsigelsen, kan Kunden opsige sit abonnement, inden ændringen træder i kraft. Propelos pålægger hver underdatabehandler de samme databeskyttelsesforpligtelser som i Databehandleraftalen ved skriftlig aftale og er fortsat ansvarlig over for Kunden for deres opfyldelse.

Nogle underdatabehandlere behandler personoplysninger uden for Det Europæiske Økonomiske Samarbejdsområde, primært i USA. Propelos foretager kun disse overførsler med en beskyttelsesforanstaltning, der anerkendes efter GDPR: standardkontraktbestemmelser vedtaget af Europa-Kommissionen (afgørelse (EU) 2021/914) eller, hvis modtageren er certificeret, EU-US Data Privacy Framework. Kunden godkender disse overførsler.

• Under hensyntagen til behandlingens karakter hjælper Propelos Kunden med at besvare anmodninger fra Købere, der udøver deres rettigheder (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse). Hvis en Køber kontakter Propelos direkte, videresender vi anmodningen til Kunden uden unødig forsinkelse og besvarer den ikke selv, medmindre Kunden beder os om det.
• Propelos hjælper Kunden med at opfylde sine forpligtelser vedrørende sikkerhed, anmeldelse af brud, konsekvensanalyser vedrørende databeskyttelse og forudgående høring af tilsynsmyndigheden under hensyntagen til de oplysninger, som Propelos har til rådighed.

Propelos underretter Kunden uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden, der berører Kundens oplysninger, og tilstræber at gøre det inden for 72 timer. Underretningen beskriver, så vidt det er kendt på tidspunktet: bruddets karakter, kategorierne af og det omtrentlige antal berørte registrerede og personoplysningsposter, de sandsynlige konsekvenser, trufne eller foreslåede foranstaltninger samt et kontaktpunkt. Propelos supplerer med oplysninger, efterhånden som de bliver tilgængelige.

Når Kundens abonnement ophører, opbevarer Propelos personoplysningerne i 90 dage, så Kunden kan genstarte Tjenesterne eller bede om en kopi, og sletter dem derefter, medmindre EU-retten eller spansk lov kræver, at Propelos beholder dem. I løbet af disse 90 dage kan Kunden bede os tilbagelevere henvendelserne i et almindeligt format (CSV) eller slette oplysningerne tidligere. Kopier i vores udbyderes backupsystemer slettes, når disse backups udløber.

Propelos stiller de oplysninger til rådighed for Kunden, som er nødvendige for at påvise overholdelse af artikel 28 GDPR, og giver mulighed for revisioner, herunder inspektioner, udført af Kunden eller en revisor, som Kunden udpeger. Kunden giver skriftligt varsel mindst 30 dage i forvejen. Revisioner finder sted i normal arbejdstid, højst én gang om året (medmindre en tilsynsmyndighed kræver det, eller der har været et brud på persondatasikkerheden), under tavshedspligt og for Kundens regning. Propelos kan først svare ved at fremlægge dokumentation, når det er tilstrækkeligt til at påvise overholdelse.

Hver parts ansvar efter Databehandleraftalen er underlagt begrænsningerne i brugsvilkårene, undtagen hvor loven ikke tillader ansvarsbegrænsning. Hvis Databehandleraftalen og brugsvilkårene er i modstrid vedrørende behandling af personoplysninger, har Databehandleraftalen forrang.

Databehandleraftalen er underlagt spansk lov. Tvister, der opstår som følge af eller i forbindelse med den, er underlagt enekompetence for domstolene i Málaga, Spanien.

Ved spørgsmål om Databehandleraftalen eller for at udøve Kundens rettigheder efter den: privacy@propelos.com

Adresse: Propelos Technology S.L., The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spanien

Skatteidentifikationsnummer (NIF): B27624980

Registreret i handelsregistret i Málaga, registerblad MA-197845 (elektronisk bind og folio), IRUS 1000471597682