Databehandleraftale

Version 0 · udkast af 21. oktober 2026

1. Parter og baggrund

Aftalen er indgået mellem kunden (den dataansvarlige) og Rigsdata (databehandleren) som en del af kundens abonnement på Rigsdata. Den gælder, når kunden bruger Rigsdata gennem kundeportalen, en AI-klient eller API'et, og Rigsdata derved behandler personoplysninger på kundens vegne.

2. Behandlingens genstand og varighed

Rigsdata behandler de personoplysninger, der er nødvendige for at levere tjenesten:

• brugernes navn, e-mailadresse, organisation og rolle;
• loginoplysninger (adgangskode som hash, eller kundens egen identitetsudbyder ved SSO);
• opslag og søgninger, som brugerne og kundens egne agenter foretager, og det, der kom tilbage (auditloggen);
• forbrug pr. dag og de AI-klienter og API-nøgler, der er forbundet til organisationen.

Behandlingen varer, så længe abonnementet løber. Auditloggen gemmes i 12 måneder, og det samme gør dækningsattesterne, som er en del af den (hvad der blev søgt, hvornår, og hvad kilderne dækkede). Et delt link til en attest viser søgningen til den, der får linket, indtil det tilbagekaldes eller attesten slettes.

3. Instruks

Rigsdata behandler kun personoplysningerne efter kundens dokumenterede instruks, som er denne aftale og kundens brug af tjenesten. Rigsdata bruger ikke kundens søgninger eller auditlog til at træne sprogmodeller og sender dem ikke til tredjepart ud over de underdatabehandlere, der er nævnt i punkt 5.

4. Sikkerhed

Rigsdata træffer passende tekniske og organisatoriske foranstaltninger, herunder:

• kryptering af forbindelser (TLS) og af hemmeligheder som SSO-klientnøgler;
• adgang til data efter rolle, og at kundens administratorer kan se og eksportere auditloggen;
• data om kunden opbevares i EU;
• sikkerhedskopier med 35 dages gendannelse.

5. Underdatabehandlere

Rigsdata bruger de underdatabehandlere, der står på rigsdata.dk/privatliv under «Databehandlere og overførsler». Rigsdata giver kunden besked, før en ny underdatabehandler tages i brug, så kunden kan gøre indsigelse.

6. Bistand og tilsyn

Rigsdata bistår kunden med at opfylde de registreredes rettigheder og med at dokumentere, at aftalen overholdes. Rigsdata underretter kunden uden unødig forsinkelse, hvis Rigsdata bliver opmærksom på et brud på persondatasikkerheden.

7. Sletning og tilbagelevering

Når abonnementet ophører, sletter Rigsdata kundens personoplysninger, medmindre lovgivning kræver opbevaring. Kunden kan forinden eksportere auditloggen fra kundeportalen.

8. Accept

Aftalen accepteres af en ejer af organisationen i kundeportalen. Rigsdata gemmer, hvem der accepterede, hvornår og hvilken version.