Version 28.08.26
Ikrafttrædelsesdato: 28. august 2026
1. Formål, parter og sprog
2. Roller
3. Omfang af behandlingen
4. Instrukser
5. Den Dataansvarliges forpligtelser
6. Fortrolighed
7. Tekniske og organisatoriske sikkerhedsforanstaltninger
8. Underdatabehandlere
9. Overførsel til tredjelande
10. Bistand
11. Brud på persondatasikkerheden
12. Revision
13. Vederlag for ekstraordinær bistand
14. Opbevaring og sletning
15. Ansvar
16. Ikrafttræden og ændringer
Denne databehandleraftale (“Aftalen”) er indgået i henhold til artikel 28 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (“GDPR”) og udgør et tillæg til den aftale om levering af tjenester, der er indgået mellem parterne, herunder JED ApS’ til enhver tid gældende Terms of Service (“Hovedaftalen”).
Ved uoverensstemmelse mellem Hovedaftalen og denne Databehandleraftale har denne Databehandleraftale forrang i det omfang, uoverensstemmelsen vedrører behandling af personoplysninger eller parternes forpligtelser efter gældende databeskyttelseslovgivning.
Aftalen regulerer Databehandlerens behandling af personoplysninger på vegne af den Dataansvarlige i forbindelse med levering, drift og support af:
Omfanget af behandlingen afhænger af, hvilke af Databehandlerens ydelser den Dataansvarlige har tilkøbt.
Parterne er enige om, at ændringer i gældende databeskyttelseslovgivning, som direkte påvirker parternes rettigheder eller forpligtelser efter denne Aftale, automatisk skal anses for indarbejdet i Aftalen fra det tidspunkt, hvor ændringerne træder i kraft.
JED ApS
Bogensevej 90, 5270 Odense N
Danmark
CVR: DK35653821
Hjemmeside: www.jed-ware.com
Denne Databehandleraftale er udarbejdet på dansk.
Databehandleren stiller en engelsk oversættelse til rådighed for kunders bekvemmelighed. I tilfælde af uoverensstemmelse mellem de to sprogversioner har den danske version forrang.
Den Dataansvarlige (“kunden”) bestemmer formålene med og hjælpemidlerne til behandlingen af personoplysninger, herunder hvilke personoplysninger der behandles, hvorfor de behandles, og hvor længe de opbevares.
JED ApS (“databehandleren”) behandler alene personoplysninger på vegne af og efter dokumenteret instruks fra den Dataansvarlige og fungerer i den forbindelse som databehandler i henhold til GDPR artikel 4, nr. 8.
JED ApS må ikke behandle personoplysninger til egne formål og erhverver ingen selvstændig ret til de personoplysninger, der behandles på vegne af den Dataansvarlige.
Den Dataansvarlige er ansvarlig for, at der foreligger et gyldigt behandlingsgrundlag for behandlingen af personoplysninger, herunder eventuelle krav om information til registrerede personer, samtykke, opbevaringsperioder og øvrige forpligtelser efter gældende databeskyttelseslovgivning.
Såfremt den Dataansvarlige aktiverer 3CX’s cloudbaserede transskriberings- eller AI-funktioner, kan Databehandleren anvende 3CX som underdatabehandler i det omfang, 3CX behandler personoplysninger på Databehandlerens vegne. Anvendes disse funktioner ikke, eller sker behandlingen udelukkende lokalt, anses 3CX alene som softwareleverandør.
I det omfang Databehandleren i medfør af lovgivning er forpligtet til at registrere eller opbevare oplysninger, sker denne behandling ikke på vegne af den Dataansvarlige. Databehandleren er for denne behandling selvstændig dataansvarlig, og behandlingen er ikke omfattet af denne Aftale.
Databehandleren indsamler brugsstatistik fra JEDWare-platformen som led i leveringen af Ydelserne, jf. § 3.2. Databehandleren er berettiget til at anvende aggregerede og anonymiserede resultater heraf til drift, fejlsøgning, sikkerhed og videreudvikling af Ydelserne, forudsat at resultaterne ikke kan henføres til den Dataansvarlige eller til nogen registreret.
Databehandleren behandler personoplysninger med det formål at levere, drive, supportere og sikre Ydelserne i overensstemmelse med den Dataansvarliges dokumenterede instruks, denne Aftale og Hovedaftalen.
Behandlingen omfatter for alle Ydelser oprettelse og administration af brugerkonti, adgangsstyring, autentifikation, fejlsøgning og teknisk support samt aktivitets- og anvendelseslogs genereret ved brug af Ydelserne.
Behandlingen omfatter indsamling, sammenstilling, bearbejdning og visning af data fra den Dataansvarliges telefoni-, kommunikations- og øvrige forretningssystemer med henblik på dashboards, wallboards, rapporter, realtids- og historisk statistik, notifikationer samt integrationer og API-adgang.
Behandlingen omfatter herunder opkaldsmetadata såsom tidspunkt, varighed, retning, kø- og agentstatus samt telefonnumre på de involverede parter, i det omfang sådanne oplysninger tilgår platformen fra den Dataansvarliges systemer.
Behandlingen omfatter endvidere indsamling af brugsstatistik med henblik på drift, fejlsøgning, sikkerhed og videreudvikling af platformen. Statistikken registrerer, hvilke sider og funktioner der anvendes, samt tekniske oplysninger såsom browser, styresystem, skærmstørrelse og sprog.
Brugsstatistikken indsamles med Umami, en open source-analyseplatform, som Databehandleren hoster på egne servere. Der anvendes hverken cookies eller browserlagring, og statistikken indgår derfor ikke i cookie-samtykke. Der oprettes ingen brugerprofil. Brugere adskilles ved en anonymiseret identifikator, der genberegnes dagligt, og som hverken kan følges på tværs af dage eller henføres til en navngiven brugerkonto. IP-adressen behandles kortvarigt med henblik på at udlede identifikatoren og en placering på landeniveau og gemmes ikke.
Der indsamles ikke navn, brugernavn eller e-mailadresse, indtastet indhold, skærm- eller sessionsoptagelser eller lagrede IP-adresser.
Statistikken er aggregeret og identificerer ikke enkeltpersoner. Behandlingen sker som led i leveringen af Ydelserne og efter den Dataansvarliges instruks. Databehandleren er berettiget til at anvende aggregerede og anonymiserede resultater heraf til videreudvikling af platformen, jf. § 2.
Har den Dataansvarlige købt hostet 3CX-telefoni hos Databehandleren, omfatter behandlingen endvidere drift af telefonianlægget, opkaldsafvikling, opkaldsoptagelse, transskribering af opkald, voicemail, replikering, backup, overvågning og teknisk support.
Behandlingen kan omfatte personoplysninger om:
Behandlingen kan omfatte:
Behandlingen omfatter registrering, opbevaring, organisering, tilgængeliggørelse, transskribering, replikering og sletning.
Databehandleren må ikke anvende oplysningerne til egne formål.
Databehandleren må alene behandle personoplysninger efter dokumenterede instrukser fra den Dataansvarlige, medmindre behandling er påkrævet efter EU-ret eller dansk lovgivning.
Den Dataansvarliges dokumenterede instrukser udgøres af Hovedaftalen, denne Databehandleraftale samt eventuelle efterfølgende skriftlige instrukser fra den Dataansvarlige.
Den Dataansvarlige er ansvarlig for at fastlægge formålene med behandlingen, herunder hvorvidt telefonsamtaler optages, om transskribering aktiveres, hvilke personer der gives adgang til oplysningerne, samt hvor længe oplysningerne opbevares inden for de rammer, der følger af §14.
Hvis Databehandleren vurderer, at en instruks strider mod gældende databeskyttelseslovgivning, skal Databehandleren straks orientere den Dataansvarlige.
Den Dataansvarlige er ansvarlig for, at:
Databehandleren sikrer, at medarbejdere med adgang til personoplysninger:
Tavshedspligten gælder også efter ansættelsesforholdets ophør.
Databehandleren har etableret passende tekniske og organisatoriske sikkerhedsforanstaltninger under hensyntagen til:
Foranstaltningerne omfatter blandt andet:
Databehandleren gennemgår løbende sikkerhedsforanstaltningerne og tilpasser dem efter behov under hensyntagen til den teknologiske udvikling og risikobilledet.
JED ApS kan anvende følgende underdatabehandlere til at udføre specifikke behandlingsaktiviteter på vegne af den Dataansvarlige.
| Underdatabehandler | Serviceafsnit | Formål | Placering |
|---|---|---|---|
| 3CX Ltd. | B | Cloudbaseret transskribering og AI-funktioner | EØS og eventuelle tredjelande i overensstemmelse med GDPR |
| OVHcloud | B | Replikeringsserver og backup | Polen |
| Google Cloud | A | Hosting af JEDWare-platformen | Belgien |
Databehandleren sikrer, at alle underdatabehandlere pålægges databeskyttelsesforpligtelser, der mindst svarer til de forpligtelser, som følger af denne Databehandleraftale og gældende databeskyttelseslovgivning.
Databehandleren hæfter over for den Dataansvarlige for underdatabehandleres behandling i samme omfang, som hvis behandlingen var udført af Databehandleren selv.
Ved indgåelse af Hovedaftalen giver den Dataansvarlige generel godkendelse til Databehandlerens anvendelse og udskiftning af underdatabehandlere. Ved væsentlige ændringer orienteres den Dataansvarlige med rimeligt varsel.
Databehandleren overfører som udgangspunkt ikke personoplysninger uden for EU/EØS.
Personoplysninger må kun overføres til lande uden for det område, hvor den pågældende databeskyttelseslovgivning anerkender et tilstrækkeligt beskyttelsesniveau, når der foreligger et gyldigt overførselsgrundlag, herunder en tilstrækkelighedsafgørelse, standardkontraktbestemmelser (SCC’er) eller anden lovlig overførselsmekanisme.
Databehandleren bistår den Dataansvarlige med rimelige og nødvendige foranstaltninger vedrørende:
Ved brud på persondatasikkerheden underretter Databehandleren den Dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med bruddet.
Underretningen skal som minimum indeholde:
Databehandleren bistår den Dataansvarlige med håndtering af sikkerhedsbruddet.
Underretning efter denne bestemmelse sendes til den kontaktperson, som den Dataansvarlige har registreret hos Databehandleren. Det er den Dataansvarliges ansvar, at kontaktoplysningerne er korrekte og opdaterede.
Den Dataansvarlige har én gang årligt ret til at anmode om rimelig dokumentation for Databehandlerens overholdelse af denne aftale, herunder oplysninger om tekniske og organisatoriske sikkerhedsforanstaltninger, anvendte underdatabehandlere samt relevante procedurer for behandling af personoplysninger.
Hvis den fremlagte dokumentation efter den Dataansvarliges rimelige vurdering ikke er tilstrækkelig, kan den Dataansvarlige anmode om gennemførelse af revision eller tilsyn.
Revision skal varsles skriftligt med mindst 30 dages varsel og gennemføres på en måde, der ikke unødigt forstyrrer Databehandlerens drift eller kompromitterer andre kunders sikkerhed eller fortrolighed.
Den Dataansvarlige afholder egne omkostninger i forbindelse med revisionen. Databehandlerens tidsforbrug i forbindelse med revision og tilsyn faktureres efter §13.
Databehandleren yder den bistand, som følger af denne aftale og gældende databeskyttelseslovgivning.
Hvis den Dataansvarlige anmoder om bistand, dokumentation, undersøgelser, rapportering, revisioner, mødedeltagelse eller andre ydelser, som går ud over Databehandlerens lovbestemte eller aftalte forpligtelser, er Databehandleren berettiget til at opkræve rimeligt vederlag herfor.
Underretning og bistand efter §11 i forbindelse med brud på persondatasikkerheden faktureres ikke særskilt, i det omfang bistanden følger af Databehandlerens forpligtelser efter GDPR.
Eventuelt vederlag reguleres i hovedaftalen mellem parterne eller, hvis intet andet er aftalt, efter Databehandlerens til enhver tid gældende timepriser.
Data i JEDWare-platformen opbevares, så længe abonnementet er aktivt, og slettes ved ophør i overensstemmelse med §14.3.
Brugsstatistik efter §3.2 opbevares i op til 12 måneder og slettes derefter.
Medmindre andet er aftalt, opbevares opkaldsoptagelser, voicemail og transskriptioner i op til 90 dage på Databehandlerens server.
Den Dataansvarlige kan aftale en kortere eller længere opbevaringsperiode med Databehandleren. Ændring af opbevaringsperioden kan medføre særskilt vederlag efter § 13 samt eventuelle meromkostninger til lagring.
Replikering af 3CX-serveren foretages til separat replikeringsserver og overskrives hvert 15. minut. Denne replikeringsserver er placeret hos enten Databehandleren eller hos den underdatabehandler, der i § 8 er angivet for replikering og backup.
Databehandleren oplyser på anmodning den Dataansvarlige om, hvilken placering der anvendes for den Dataansvarliges data.
Ved ophør af Hovedaftalen kan den Dataansvarlige inden 30 dage anmode om tilbagelevering af personoplysninger.
Hvis den Dataansvarlige ikke instruerer Databehandleren om andet, er Databehandleren berettiget og forpligtet til at slette personoplysningerne efter udløbet af opbevaringsperioden.
Medmindre andet aftales eller følger af lovgivningen, slettes alle personoplysninger senest 90 dage efter aftalens ophør, uanset om der efter § 14.2 er aftalt en længere opbevaringsperiode.
Parterne er hver især ansvarlige for overholdelse af deres respektive forpligtelser efter GDPR.
Ansvar reguleres i øvrigt af hovedaftalen mellem parterne.
Denne Databehandleraftale træder i kraft samtidig med Kundens indgåelse af Hovedaftalen og gælder, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige.
Ved indgåelse af Hovedaftalen accepterer Kunden samtidig denne Databehandleraftale.
Databehandleren kan opdatere denne Databehandleraftale, når det er nødvendigt som følge af ændringer i gældende lovgivning, myndighedskrav, sikkerhedsforhold, tjenesternes funktionalitet eller Databehandlerens anvendelse af underdatabehandlere.
Væsentlige ændringer meddeles Kunden med rimeligt varsel før ikrafttræden.
Den til enhver tid gældende version af Databehandleraftalen er tilgængelig på jed-ware.com/da/databehandleraftale, hvor både den danske og den engelske version findes. Den danske version er den bindende, jf. §1.2.
