Databehandleraftale – LULLU
Denne aftale gælder, når en virksomhed (Kunden) bruger LULLUs AI-receptionist og LULLU derfor behandler persondata på Kundens vegne efter GDPR artikel 28. Aftalen gælder automatisk for alle kunder hos LULLU.
1. Parter og behandlingen
| Rolle | Part |
|---|---|
| Dataansvarlig | Kunden, dvs. virksomheden der bruger LULLU |
| Databehandler | Markesting ApS, CVR 46281942, Vesterbro 19B, 2. tv, 9000 Aalborg, som driver LULLU |
| Emne | Indhold |
|---|---|
| Formål | LULLUs AI-receptionist besvarer telefonopkald for Kunden, giver oplysninger fra Kundens egen viden, noterer beskeder og ønsker og sender et resumé til Kunden. |
| Registrerede | Personer, der ringer til Kunden. |
| Persondata | Navn, telefonnummer, opkaldets lyd og udskrift og det, den der ringer, selv fortæller. |
| Følsomme data | Agenten spørger aldrig efter følsomme oplysninger, kortoplysninger eller CPR-nummer. Kan opkald hos Kunden indeholde følsomme oplysninger, fx helbred, aftales det særskilt. |
| Åbenhed | Agenten siger i starten af hvert opkald, at den er en AI-assistent. |
| Varighed | Så længe Kunden bruger LULLU. |
2. Databehandlerens pligter
- Instruks: LULLU behandler kun persondata efter Kundens instruks. Instruksen er denne aftale og den aftalte opsætning af AI-receptionisten. Er en instruks efter LULLUs vurdering i strid med databeskyttelsesreglerne, siger LULLU det straks.
- Fortrolighed: Kun de personer hos LULLU, der har brug for det for at levere tjenesten, har adgang til persondata. De har tavshedspligt.
- Sikkerhed: LULLU træffer passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32. Adgang til systemerne kræver personligt login, og data opbevares kun hos de underdatabehandlere, der står i punkt 3.
- Bistand: LULLU hjælper Kunden med at svare på anmodninger fra registrerede, fx om indsigt, rettelse eller sletning, og med Kundens øvrige forpligtelser efter GDPR artikel 32–36.
- Brud på persondatasikkerheden: LULLU underretter Kunden uden unødig forsinkelse og senest 24 timer efter at have opdaget et brud. Underretningen indeholder det, Kunden skal bruge for selv at kunne anmelde bruddet til Datatilsynet.
3. Underdatabehandlere og overførsel uden for EU
Kunden godkender, at LULLU bruger disse underdatabehandlere:
| Underdatabehandler | Bruges til | Data |
|---|---|---|
| ElevenLabs | AI-stemme, samtale og udskrift. Sprogmodellen kører via ElevenLabs. | Lyd, udskrift, navn, nummer |
| Twilio | Telefonnummer og viderestilling af opkald | Telefonnummer, opkaldsdata |
| Make | Automatisk afsendelse af resumé efter opkaldet | Navn, nummer, besked |
| Google (Gmail) | E-mail med resumé til Kunden | Navn, nummer, besked |
LULLU pålægger underdatabehandlerne de samme databeskyttelsesforpligtelser som i denne aftale. LULLU giver Kunden besked, før en ny underdatabehandler tages i brug, og Kunden kan gøre indsigelse.
Nogle underdatabehandlere er amerikanske. Overførsel sker kun på et gyldigt grundlag efter GDPR kapitel V, fx EU-Kommissionens standardkontraktbestemmelser, som står i den enkelte leverandørs egen databehandleraftale.
4. Sletning, kontrol, ansvar og varighed
- Sletning: Senest 30 dage efter, at Kunden er stoppet med at bruge LULLU, sletter LULLU alle samtaler, udskrifter og beskeder hos sig selv og hos underdatabehandlerne, medmindre Kunden før da beder om at få dem udleveret, eller lovgivningen kræver, at de gemmes.
- Kontrol: Kunden kan til enhver tid få oplyst, hvilke persondata der er gemt, og hvordan de behandles. LULLU stiller de oplysninger til rådighed, som Kunden skal bruge for at dokumentere, at reglerne overholdes.
- Ansvar: Hver part hæfter efter GDPR artikel 82 og dansk rets almindelige regler.
- Varighed: Aftalen gælder, så længe LULLU behandler persondata for Kunden.
- Lovvalg og værneting: Dansk ret. Tvister afgøres ved de danske domstole.
- Kontakt: Spørgsmål om databeskyttelse sendes til hey@lullu.ai.