Databehandleraftale for GreenlitHQ

Mellem
den virksomhed, der opretter en organisation i GreenlitHQ og accepterer brugervilkårene, med det navn, CVR-nummer og den adresse, virksomheden har oplyst (herefter "kunden" eller "den dataansvarlige")

og
Greenlit ApS, CVR 46771257, Museumsgade 20, 4. th., 8000 Aarhus C (herefter "vi" eller "databehandleren")

1. Præambel

Aftalen fastlægger, hvordan vi behandler personoplysninger på kundens vegne, når kunden bruger GreenlitHQ efter brugervilkårene.
Aftalen skal opfylde databeskyttelsesforordningens artikel 28, stk. 3.
Bilag A beskriver behandlingen. Bilag B lister underdatabehandlerne og de tjenester, der ikke er underdatabehandlere. Bilag C er kundens instruks, herunder sikkerhed, sletning og revision. Bilag D regulerer andre forhold.
Aftalen fritager ikke nogen af parterne for de forpligtelser, de har direkte efter databeskyttelsesforordningen eller anden lovgivning.
Oplysninger om kunden og dennes brugere som kontohavere (konto, login og fakturering) er ikke omfattet. Dem behandler vi som dataansvarlig efter vores privatlivspolitik.

2. Kundens rettigheder og forpligtelser

Kunden bestemmer formål og hjælpemidler for behandlingen og er ansvarlig for, at den er lovlig.
Kunden sørger for et retsgrundlag for behandlingen, for at oplyse de registrerede (artikel 13 og 14), og for at instruksen er lovlig.
Kunden sørger for, at henvendelser til de registrerede overholder markedsføringslovens § 10, og at det grundlag, kunden sætter på en e-mailadresse, er rigtigt og dokumenteret.
Kunden sørger for et grundlag for og oplysning af sine medarbejdere om de tal, analyselaget viser om dem.
Forbinder kunden egne systemer (bilag B.3), har kunden selv aftalen med udbyderen, herunder en databehandleraftale og et grundlag for overførsel uden for EU.

3. Vi handler efter instruks

Vi behandler kun personoplysninger efter kundens dokumenterede instruks. Instruksen står i bilag A og C. De indstillinger, kunden vælger i appen (hvilke funktioner der er slået til, lofter, stikord, destinationer og feltkoblinger), er en del af instruksen.
Vi må afvige fra instruksen, hvis EU-ret eller dansk ret kræver det. Så fortæller vi kunden det først, medmindre loven forbyder det.
Mener vi, at en instruks er i strid med databeskyttelsesreglerne, siger vi det straks til kunden.

4. Fortrolighed

Kun personer, der har brug for det for at levere tjenesten, har adgang til personoplysningerne. De har tavshedspligt.
Vi gennemgår løbende, hvem der har adgang, og lukker adgangen, når den ikke længere er nødvendig.

5. Behandlingssikkerhed

Vi træffer de tekniske og organisatoriske foranstaltninger, som artikel 32 kræver, ud fra risikoen for de registrerede. De konkrete foranstaltninger står i bilag C.2.
Vi hjælper kunden med oplysninger, så kunden kan vurdere sikkerheden.

6. Underdatabehandlere

Kunden giver med denne aftale en generel godkendelse af, at vi bruger underdatabehandlere. De underdatabehandlere, der er i brug ved aftalens indgåelse, står i bilag B.
Vil vi tilføje eller udskifte en underdatabehandler, giver vi kunden skriftlig besked mindst 30 dage før. Kunden kan gøre indsigelse i perioden. Kan vi ikke imødekomme den, kan kunden sige aftalen op med virkning fra ændringen.
Vi pålægger underdatabehandleren de samme databeskyttelsesforpligtelser som i denne aftale, ved kontrakt.
Opfylder en underdatabehandler ikke sine forpligtelser, er vi ansvarlige over for kunden, som hvis vi selv havde behandlet oplysningerne.

7. Overførsel til tredjelande

Vi overfører kun personoplysninger til lande uden for EU/EØS efter kundens instruks, som står i bilag C.6, eller hvis EU-ret eller dansk ret kræver det.
Uden instruks må vi ikke overføre oplysninger til et tredjeland, lade en underdatabehandler i et tredjeland behandle dem, eller behandle dem i et tredjeland selv.

8. Bistand til kunden

Vi hjælper kunden med at opfylde de registreredes rettigheder (artikel 12 til 23). Det meste klarer kunden selv i appen: eksport af alle data, sletning af et lead og sletning af hele organisationen.
Modtager vi en anmodning direkte fra en registreret, sender vi den videre til kunden inden for 5 arbejdsdage. En indsigelse eller afmelding håndterer vi efter den stående instruks i bilag C.1.
Vi hjælper med sikkerhed (artikel 32), anmeldelse og underretning ved brud (artikel 33 og 34), konsekvensanalyser (artikel 35) og forudgående høring (artikel 36), i det omfang det er relevant for behandlingen.
Bistand ud over selvbetjeningen i appen betales efter bilag D.

9. Brud på persondatasikkerheden

Opdager vi et brud, underretter vi kunden uden unødig forsinkelse og senest 48 timer efter, at vi er blevet opmærksomme på det. Så kan kunden anmelde bruddet til Datatilsynet inden for de 72 timer, forordningen kræver.
Underretningen beskriver, så vidt det er muligt: hvad der er sket, hvilke oplysninger og hvor mange registrerede der er berørt, de sandsynlige konsekvenser, og hvad vi har gjort og vil gøre. Kan vi ikke give alle oplysninger på én gang, sender vi dem, efterhånden som vi har dem.

10. Sletning og returnering

Når aftalen ophører, kan kunden selv eksportere alle data i appen, indtil ophøret har virkning.
Derefter sletter vi alle personoplysninger, vi behandler for kunden, senest 30 dage efter ophør, medmindre EU-ret eller dansk ret kræver, at vi gemmer dem. Kopier i sikkerhedskopier slettes, når de roterer ud efter bilag C.4.
Oplysninger, der er leveret til kundens egne systemer, slettes af kunden dér.
Vi bekræfter sletningen skriftligt, hvis kunden beder om det.

11. Revision

Vi giver kunden de oplysninger, der skal til for at vise, at vi overholder artikel 28 og denne aftale, og vi giver adgang til revision og inspektion efter bilag C.7 og C.8.
Datatilsynet og andre myndigheder, der efter lovgivningen har adgang til kundens eller vores faciliteter, får adgang mod legitimation.

12. Parternes aftale om andre forhold

Andre forhold står i bilag D, og i brugervilkårene. De må ikke stride mod afsnit 1 til 11 eller svække de registreredes beskyttelse.

13. Ikrafttræden og ophør

Aftalen træder i kraft, når begge parter har accepteret den.
Aftalen gælder, så længe vi behandler personoplysninger for kunden. Den kan ikke opsiges alene, så længe brugervilkårene løber, men ændres, hvis lovgivningen eller behandlingen gør det nødvendigt.
Ændringer skal være skriftlige. En e-mail til ejerens adresse er skriftlig.

14. Kontaktpersoner

Kunden. Organisationens ejer i GreenlitHQ, med det navn og den e-mail, der står under Indstillinger.
Os. Tobias Madsen, direktør, kontakt@greenlithq.dk.

Parterne giver hinanden besked, hvis kontaktpersonen skifter.

Bilag A. Oplysninger om behandlingen

A.1 Formål

At levere GreenlitHQ til kunden: finde og vurdere relevante kontakter ud fra kundens kundetyper, skrive udkast til beskeder og e-mails, sende dem fra kundens sælgeres LinkedIn-konti og mailbokse efter kundens instruks, læse og vise svar, overdrage samtaler til en sælger, tage imod henvendelser fra LinkedIn og fra formularer og chat på kundens hjemmeside, svare den besøgende i chatten ud fra kundens eget værditilbud, gøre personer, der kommenterer eller reagerer på sælgernes egne opslag, til forslag om leads, når kunden har slået det til, gøre opmærksom på signaler, foreslå og booke møder, herunder tider valgt i chatten, bekræfte en besøgendes e-mailadresse med en engangskode før en direkte booking, skrive leads, virksomheder, møder og noter til kundens CRM, sende alarmer og webhooks til kundens egne destinationer, vise kunden analyser af salgsarbejdet, og give kunden eksport og sletning.

A.2 Behandlingens art

Indsamling (synkronisering af netværk og samtaler fra LinkedIn via Unipile, læsning af kommentarer og reaktioner på sælgernes egne opslag via Unipile, modtagelse af formularindsendelser via webhook, modtagelse af beskeder fra en besøgende i chatten på kundens hjemmeside, læsning af svar i e-mailtråde, GreenlitHQ selv har startet, CSV-import, manuel oprettelse og søgning), sammenligning med eksisterende leads og spærrelisten, registrering, opbevaring, vurdering mod kundetyper, tekstgenerering med en sprogmodel, validering af e-mailadresser (opslag af domænets mailserver, ingen afsendelse), afsendelse af en engangskode til en besøgende, der vil booke en tid, opslag af en mødeadresse og beregning af rejsetid hos en korttjeneste, afsendelse af beskeder og e-mails, overførsel til kundens egne systemer, beregning af tal, visning, eksport og sletning.

A.3 Kategorier af personoplysninger

Almindelige oplysninger (artikel 6):

Navn, titel, firma, CVR og firmaadresse
LinkedIn-profil-URL og LinkedIns medlems-id
Overskrift, sted, branche og afstand i netværket (for personer fundet ved søgning)
Beskeder i LinkedIn-samtaler med kundens sælgere: tekst og tidspunkter
E-mailadresse, dens grundlag (dialog, samtykke eller kunde), dokumentation for grundlaget, hvem der satte det og hvornår, og adressens status
E-mails i tråde med kundens sælgere: emne, tekst, tidspunkter og tekniske id'er; afvisninger og afmeldinger
Formularfelter, kunden har koblet til (fx navn, e-mail, firma og besked), og en eventuel samtykketekst
Chat på kundens hjemmeside: den besøgendes beskeder, Mettes svar og tidspunkterne, samt navn, virksomhed og e-mailadresse, den besøgende selv oplyser
Mødeforslag fra chatten: den besøgendes e-mailadresse i klartekst på forslaget, den valgte tid, og for et fysisk møde den adresse, den besøgende har skrevet, og den adresse korttjenesten fandt
Engangskoder til chatten: en envejs-hash af koden og en envejs-hash af e-mailadressen, antal forsøg og tidspunkter. Hverken koden eller adressen gemmes i klartekst i kode-tabellen
Kommentarer og reaktioner på en sælgers egne opslag: at personen kommenterede eller reagerede, reaktionens type, et uddrag af kommentaren og af opslaget, opslagets id og tidspunktet
Udkast, sælgerens rettede version, vurderinger, match-score og begrundelse
Noter om en person skrevet af sprogmodellen ved søgning, og Mettes resumé og forslag til en henvendelse
Signaler: tidligere og ny overskrift ved jobskifte, nye forbindelser, CVR-ændringer
Mødeforslag, mødeadresser og bookede møder
Koblinger til kundens CRM (id og link) og status hentet derfra (ejer, pipeline og fase)
Spærreliste: envejs-hash af e-mailadresse, domæne eller LinkedIn-id
Hændelseslog knyttet til et lead (godkendt, afvist, overdraget, sendt)
Om kundens egne brugere: aktivitets- og resultattal pr. sælger i analyselaget (godkendte leads, sendte beskeder, svar, mødeforslag, bookede møder, kvalitet af udkast)

Tjenesten er ikke beregnet til følsomme oplysninger (artikel 9) eller oplysninger om strafbare forhold (artikel 10). Fritekst i samtaler, e-mails, formularer og kommentarer kan dog indeholde dem, hvis en registreret selv skriver dem.

A.4 Kategorier af registrerede

Personer i kundens sælgeres LinkedIn-netværk
Personer, kunden selv importerer eller opretter som leads, herunder med e-mailadresse
Personer, kundens sælgere finder ved søgning på LinkedIn
Personer, der selv skriver til en af kundens sælgere på LinkedIn eller svarer på en e-mail
Personer, der udfylder en formular på kundens hjemmeside, som kunden har koblet til GreenlitHQ
Besøgende, der skriver i chatten på kundens hjemmeside, og som beder om en mødetid
Personer, der kommenterer eller reagerer på en af kundens sælgeres egne opslag, når kunden har slået det til; også personer, der ikke bliver oprettet som lead, sammenlignes med eksisterende leads uden at blive gemt
Kundens egne brugere, som afsender i samtaler og udkast og som genstand for tal i analyselaget

A.5 Varighed

Behandlingen varer, så længe brugervilkårene løber, og til data er slettet efter afsnit 10.

Bilag B. Underdatabehandlere

B.1 Godkendte underdatabehandlere

Hetzner Online GmbH (Tyskland). Server, database og sikkerhedskopier. Alle oplysninger. Overførselsgrundlag: inden for EU.
Unipile SAS (Frankrig). Forbindelsen til LinkedIn: synk af netværk og samtaler, afsendelse, og læsning af sælgerens egne opslag med kommentarer og reaktioner, når kunden har slået det til. Profiler, samtaler, beskeder, opslag, kommentarer og reaktioner. Overførselsgrundlag: inden for EU. Databehandleraftale: vi forbinder ikke en LinkedIn-konto for en kunde, uden at der er indgået en databehandleraftale med Unipile efter artikel 28.
Anthropic PBC (USA). Sprogmodellen bag Rasmus, Mette og Jonas. Ved udkast: navn, titel, firma, samtalen, e-mailtråden eller uddraget af en kommentar, sælgerens tone og ledige tider. Ved vurdering af en henvendelse: beskeden, formularens koblede felter eller den besøgendes tekst i chatten sammen med kundens eget værditilbud. Ved matching: kun titel og firma, aldrig navne. Overførselsgrundlag: EU's standardkontraktbestemmelser i Anthropics databehandleraftale, som er en del af deres Commercial Terms. Se C.6.
Resend, Inc. (USA). E-mails sendes fra Resends EU-region (Irland). To slags e-mail fra GreenlitHQs egen afsender: notifikationer til sælgeren selv (sælgerens e-mail, kort tekst med en modtagers navn og et link), og engangskoden til en besøgende, der vil booke en tid i chatten (den besøgendes e-mail, koden, kundens navn). Resend sender aldrig salgsbeskeder til modtagere; dem sender sælgeren fra sin egen mailboks. Overførselsgrundlag: Resends databehandleraftale med EU's standardkontraktbestemmelser.
HeiGIT gGmbH (OpenRouteService) (Tyskland). Adresseopslag og rejsetid. Sælgerens udgangsadresse og mødets adresse, hvad enten den kommer fra CVR eller fra en besøgende i chatten. Ingen navne. Overførselsgrundlag: inden for EU.

B.2 Ændringer

Ændringer i listen varsles efter afsnit 6.

B.3 Tjenester, der ikke er underdatabehandlere

LinkedIn. Beskederne leveres til modtagerne gennem LinkedIn fra kundens sælgeres egne konti. LinkedIn behandler dem efter sine egne vilkår over for sælgeren.
Google og Microsoft. Forbinder en sælger sin egen kalender eller Outlook-mailboks, læser vi fri/optaget, opretter de møder, sælgeren booker, sender de e-mails, sælgeren trykker Send på, og læser svar i tråde, GreenlitHQ selv har startet. Kalenderen og mailboksen er kundens egne tjenester.
Kundens CRM (HubSpot, Pipedrive, webCRM, Attio, Close, Zoho, Freshsales, SugarCRM, Odoo, Salesforce eller Microsoft Dynamics 365). Forbinder kunden sit CRM med et token, kunden selv har udstedt, skriver vi leads, virksomheder, møder og, hvis kunden har slået det til, noter med beskeder dertil, og henter status for et lead. CRM'et er kundens system og kundens databehandler. Forbindelsen til Dynamics 365 logger ind gennem GreenlitHQs egen Microsoft-app, men oplysningerne lander i kundens eget Dynamics.
Kundens alarmer og webhooks (fx Slack, Teams, Zapier, Make eller n8n). Vi leverer de hændelser, kunden har valgt, til de adresser, kunden har oprettet: hændelsestype, tidspunkt og leadets navn, firma og link, og et kort uddrag af en besked kun, hvis kunden har slået det til for destinationen.
Kundens formularudbyder (fx Typeform, Webflow, HubSpot eller kundens egen formular). Udbyderen sender indsendelsen til GreenlitHQ efter kundens opsætning.
Push-tjenester fra Apple, Google (Firebase Cloud Messaging), Microsoft og Mozilla. Notifikationen krypteres, før den sendes (Web Push, aes128gcm), så tjenesten kun ser krypteret indhold og adressen på enheden.
CVR-opslag. CVR-oplysninger om virksomheder er offentlige firmadata fra vores egen kopi af CVR-registret. Der sendes ingen persondata dertil.
Opslag af mailservere. Ved validering af en e-mailadresse slås domænets mailserver op i DNS. Kun domænet indgår, aldrig den lokale del af adressen, og opslaget går gennem den navneserver, driftsserveren selv bruger.

Bilag C. Instruks

C.1 Behandlingens genstand og instruks

Vi behandler oplysningerne for at levere de funktioner i GreenlitHQ, kunden bruger. Hver funktion styres af en kontakt i appen, og kontaktens stilling er en del af instruksen:

LinkedIn-synk. Henter forbindelser og samtaler fra sælgerens konto. Standard: når sælgeren forbinder. Styres af sælgeren.
Søgning. Gemmer op til 100 profiler pr. søgning, sprogmodellen kan skrive en note. Standard: når sælgeren søger. Styres af sælgeren.
Matching. Vurderer nye leads mod kundetyper. Kun titel og firma sendes til sprogmodellen. Standard: kører efter import og synk. Styres af kunden via kundetyper.
Udkast. Skriver beskeder til godkendte modtagere. Standard: til. Styres af sælgeren.
Afsendelse på LinkedIn. Sender de udkast, en bruger har trykket Send på, inden for lofter og sendevindue. Standard: fra. Styres af ejeren, efter accept af risikoteksten.
Selvkørende svar (selvsvar). Sender opfølgninger og svar på indvendinger på LinkedIn i eksisterende tråde uden klik på den enkelte besked, inden for et dagligt loft. Stopper af sig selv ved faldende kvalitet eller fejl. Sætter aldrig selv et mødetidspunkt; vil en modtager mødes, overdrages samtalen til sælgeren. Standard: fra. Styres af ejeren, når betingelserne i appen er opfyldt. På e-mail kræver selvsvar desuden, at ejeren har accepteret sin egen tekst, og det sker kun til adresser med grundlaget samtykke eller kunde.
E-mail. Sender fra sælgerens egen Outlook-mailboks de e-mails, en sælger har trykket Send på, kun til adresser med grundlaget dialog, samtykke eller kunde, aldrig til adresser eller domæner på spærrelisten, og inden for lofter pr. mailboks. Læser svar, afvisninger og afmeldinger i tråde, GreenlitHQ selv har startet. Standard: fra. Styres af ejeren, efter accept af accept-teksten for e-mail; hver sælger forbinder sin egen mailboks.
Overdragelse. Markerer et lead, når modtageren vil mødes, og giver sælgeren besked. Standard: til. Styres af ejeren.
Henvendelser på LinkedIn (Mette). Opretter en ny afsender som lead, slår profilen op, sprogmodellen vurderer beskeden. Standard: til. Styres af ejeren.
Formularer (Mette). Tager imod signerede indsendelser fra en formular, kunden har koblet til. Kun de felter, kunden har koblet, gemmes. En ny e-mailadresse bliver et lead, som sprogmodellen vurderer; en gentagen indsendelse bliver en ny besked på samme lead. Det første svar sender en sælger selv. Lofter pr. time og pr. døgn pr. formular. Standard: fra for hver formular. Styres af ejeren.
Chat på kundens hjemmeside (Mette). Svarer besøgende på de adresser, kunden har skrevet op (håndhævet af browserens egen kontrol; mod et program uden browser er lofterne grænsen), ud fra kundens eget værditilbud. Chatten oplyser altid først, at Mette er en AI-assistent for kunden, og viser et link til kundens egen privatlivspolitik; uden det link kan kanalen ikke tændes. En besøgende, der oplyser navn, virksomhed og e-mail, bliver et lead, som sprogmodellen vurderer. En spærret adresse får stadig svar, men bliver aldrig et lead. Lofter pr. IP, pr. kanal og pr. døgn. Standard: fra for hver kanal. Styres af ejeren.
Mødetider i chatten. Chatten kan foreslå ledige tider efter sælgerens møderegler. Standard: fra pr. kanal. Styres af ejeren. Fysiske møder kræver desuden, at ejeren har slået dem til for kanalen; at et fysisk møde bookes uden klik, kræver også sælgerens eget valg. Adressen kommer fra den besøgende og skal kunne findes præcist, ellers oprettes intet forslag. Rundfordeling mellem flere sælgere er slukket som standard og styres af ejeren.
Direkte booking fra chatten. Booker en valgt tid i sælgerens kalender uden sælgerens klik, men kun når den besøgende har bekræftet sin e-mailadresse med en engangskode, vi sender fra GreenlitHQs egen afsender. Koden gælder 15 minutter, har et loft på antal forsøg, og adressen tjekkes mod spærrelisten, før noget sendes. Uden en gyldig kode bliver valget en anmodning til sælgeren. Standard: fra. Styres af den enkelte sælger, ikke af ejeren.
Sælgeren overtager en chat. En sælger kan tage over i en igangværende samtale. Fra det øjeblik skriver Mette ikke mere i den samtale, og sælgerens fornavn vises for den besøgende. Standard: til. Styres af sælgeren.
Kommentarer og reaktioner (Mette). Læser højst én gang i timen pr. sælger kommentarer og reaktioner på sælgerens seneste egne opslag fra de sidste 30 dage. En person, der ikke allerede er lead, oprettes som lead med et uddrag af kommentaren eller reaktionens type, inden for et dagligt loft. Personer, der ikke oprettes, gemmes ikke. Der sendes intet, før en sælger har taget leadet videre og trykket Send. Standard: fra. Styres af ejeren og kræver, at Henvendelser er slået til.
Signaler (Jonas). Følger overskrift og nye forbindelser, tjekker CVR for leads med CVR-nummer. Standard: til. Styres af ejeren.
CRM. Skriver et lead og dets virksomhed til kundens CRM, når leadet godkendes, og et møde, når det bookes; opretter en handel, hvis kunden har valgt pipeline og fase. Noter med beskeder skrives kun, hvis det er slået til. Alt sker via en kø, aldrig direkte fra en brugerhandling. Standard: fra, til ejeren forbinder; noter: fra. Styres af ejeren.
Alarmer og webhooks. Leverer de valgte hændelser til de destinationer, kunden har oprettet, uden beskedtekst, medmindre uddrag er slået til for destinationen. En destination, der fejler 5 gange i træk, slås fra af sig selv. Standard: ingen destinationer. Styres af ejeren.
Analyse. Beregner tal ud fra de hændelser, der allerede ligger i appen. Ejeren ser alle sælgeres tal, en sælger kun sine egne, medmindre ejeren har slået til, at sælgerne også ser hinandens (standard: fra, håndhævet på serveren). Den ugentlige opsummering sendes kun til en bruger, der selv har slået den til. Tallene gemmes ikke som selvstændige kopier. Standard: siden er tilgængelig; opsummering: fra. Styres af rollen og brugeren.
Læring. Bruger sælgerens egne brugte udkast som eksempler for den samme sælger. Standard: til. Styres af sælgeren.
Møder. Læser fri/optaget og opretter mødets hændelser, når det bookes: selve mødet, og for et fysisk møde også kørsel ud og kørsel hjem. Sker efter sælgerens klik, eller ved direkte booking fra chatten efter den besøgendes bekræftede valg. Standard: når sælgeren forbinder kalenderen. Styres af sælgeren.

Stående instrukser:

Indsigelse og afmelding. Gør en registreret indsigelse over for os, eller afmelder hun sig en e-mail, stopper vi henvendelser til personen fra kundens organisation på alle kanaler, sætter hendes e-mailadresse eller LinkedIn-id på organisationens spærreliste, sletter personen som lead, hvis hun beder om det, og giver kunden besked. Spærrelisten gemmes kun som hash og slettes ikke med leadet.
Minimering. Ved matching sendes kun titel og firma til sprogmodellen, aldrig navne. Formularfelter uden kobling gemmes ikke. Afviste formularkald gemmes uden indhold.
Ingen egne formål. Vi bruger ikke oplysningerne til egne formål, træner ikke sprogmodeller på dem og deler ingen spærreliste eller statistik om registrerede på tværs af kunder.

C.2 Behandlingssikkerhed

Foranstaltningerne er valgt ud fra, at behandlingen omfatter almindelige oplysninger om mange personer i arbejdsrolle, at en fejl kan føre til beskeder eller e-mails, modtageren ikke ønsker, og at oplysninger kan leveres til systemer uden for tjenesten.

Kryptering. Al trafik er krypteret med TLS. Adgangsnøgler til Google og Microsoft, CRM-tokens, adresser og hemmeligheder for alarmer og webhooks og formularhemmeligheder gemmes krypteret (Fernet) med en nøgle, der kun findes på serveren. De vises aldrig igen i appen, i eksporten eller i logfiler.
LinkedIn. Der ligger ingen LinkedIn-nøgle i vores database, hverken adgangskode eller token. Forbindelsen ligger hos Unipile. Vi gemmer kontoens id, visningsnavn og status.
Adgangskontrol. Adgangskoder gemmes som argon2-hash. Sessioner og invitationslinks gemmes kun som hash. Login er rate-begrænset. Kun ejeren kan slå afsendelse, selvsvar, e-mail og integrationer til.
Adskillelse. Hver organisations data er adskilt fra alle andres i hvert opslag. For en bruger, der er logget ind, udledes organisationen altid af sessionen, aldrig af data, brugeren sender. De offentlige flader (chat, formular-webhook og udbyderens webhook) har ingen session og finder organisationen ud fra kanalens eller kontoens id, som kun kan pege på én organisation.
Serveradgang. Kun driftsansvarlige har adgang til serveren, og log-ins registreres i serverens systemlog.
Indgående webhooks. Kald fra Unipile kræver et hemmeligt token, som sammenlignes i konstant tid. Formularkald skal være signeret med formularens hemmelighed eller bære den som bearer-token; for gamle og gentagne signaturer afvises, der er lofter pr. IP og pr. formular, og alle afvisninger giver samme svar uden at gengive indholdet.
Chatten. En chat-kanal har ingen hemmelighed, fordi kanalens id står i kundens egen HTML. Beskyttelsen er kundens egen liste over tilladte adresser, håndhævet både på serveren og af browseren, plus lofter pr. IP, pr. kanal og pr. nye samtaler. En ukendt eller slukket kanal svarer præcis som en, der ikke findes.
Engangskoder. Koden er seks cifre fra en kryptografisk tilfældig kilde og gemmes aldrig. Kun en HMAC over koden og netop den kanal, samtale, tid og adresse, den blev udstedt til, gemmes, og adressen kun som hash. Koden udløber efter 15 minutter, kan kun bruges én gang, har loft på antal forsøg, og der er lofter pr. adresse pr. døgn og pr. IP pr. time, så en fremmed adresse ikke kan bombarderes. Er en grænse ramt, sendes intet, og svaret ser ud som ethvert andet.
Udgående leverancer. Alarmer og webhooks sendes kun over https, adressen tjekkes mod interne netværk ved hver levering, omdirigeringer følges ikke, og webhooks signeres med HMAC-SHA256.
Afsendelse. På LinkedIn: lofter pr. døgn og pr. time, sendevindue på hverdage, tilfældige mellemrum, en dødemandsknap og automatisk stop ved tre fejl i træk. På e-mail: tjek af grundlag, status og spærreliste før hver afsendelse og lofter pr. mailboks.
Sprogmodellen. Tekst fra registrerede, også e-mails, formularer, kommentarer og beskeder i chatten, gives til modellen som data med besked om, at den aldrig er en instruks. Serveren læser kun de aftalte felter i svaret og udfører aldrig noget, modellen selv beder om, så en besked højst kan ændre indholdet af de felter — aldrig hvad tjenesten gør.
Sikkerhedskopier. Der tages to slags kopier hver nat. En fuld kopi af hele databaseserveren kl. 3, hvor de to nyeste beholdes, og en kopi af GreenlitHQs egen database kl. 3.30, som tjekkes for, at den kan læses, og beholdes i omkring en uge. Kopierne ligger adskilt fra driftsserveren, i Tyskland. Den daglige kopi af vores egen database er der, så vi kan gendanne GreenlitHQ uden at røre andet på serveren; vi lover ingen bestemt gendannelsestid.
Udrulning. Ny kode rulles kun ud med et script, der tjekker, at tjenesten svarer, og ruller tilbage, hvis den ikke gør.

C.3 Bistand til kunden

Eksport af alle organisationens data som én JSON-fil i appen.
Sletning af et lead med tilhørende e-mailadresser, udkast, samtaler, CRM-koblinger og kø i appen.
Sletning af en bruger eller hele organisationen i appen.
Anmodninger, vi modtager direkte, sendes videre efter afsnit 8.

C.4 Opbevaring og sletning

Oplysningerne opbevares, så længe aftalen løber, eller til kunden sletter dem.
Sletning i appen rammer den aktive database med det samme. Sletter kunden et lead, følger alt om modtageren med: e-mailadresser, udkast, samtaler, mødeforslag, signaler, CRM-koblinger, ventende alarm-leverancer og hændelserne i loggen.
Spærrelisten slettes ikke med leadet, men med organisationen.
Kommentarer og reaktioner, der ikke bliver til et lead, gemmes ikke. Et lead fra en kommentar eller en reaktion, som ingen sælger har taget videre, slettes automatisk 30 dage efter oprettelsen med alt om personen.
Chat-samtaler, der ikke er blevet til et lead, slettes efter 30 dage uden aktivitet. Bliver samtalen til et lead, følger den leadet. Engangskoder og deres tællere slettes efter 2 dage. Et mødeforslag fra chatten, den besøgende ikke vælger en tid på, udløber efter 45 minutter.
Afviste formularkald: kun grunden, et antal og tidspunktet, slettet, når grunden ikke er set i 30 dage. Hash af formularsignaturer til beskyttelse mod gentagne kald: 10 minutter.
Alarm- og webhook-leverancer ligger i køen, til de er leveret eller opgivet, og slettes derefter. Destinationen gemmer kun tidspunkt og status for seneste levering.
Sikkerhedskopier: der tages to slags kopier hver nat. En fuld kopi af hele databaseserveren kl. 3, hvor de to nyeste beholdes, og en kopi af GreenlitHQs egen database kl. 3.30, som tjekkes for, at den kan læses, og beholdes i omkring en uge. Kopierne ligger adskilt fra driftsserveren, i Tyskland. Den daglige kopi af vores egen database er der, så vi kan gendanne GreenlitHQ uden at røre andet på serveren; vi lover ingen bestemt gendannelsestid. Slettede oplysninger forsvinder helt, når den sidste kopi med dem er rullet ud, typisk omkring en uge efter sletningen.
Anthropic sletter data sendt via API'et efter 30 dage. Sager, der flages for misbrug, kan gemmes i op til 2 år.
Afbryder sælgeren LinkedIn-forbindelsen, beder vi Unipile slette kontoen. Afbrydes en kalender, mailboks eller et CRM, slettes adgangsnøglerne med det samme.
Ved ophør slettes alt efter afsnit 10.

C.5 Lokalitet

Behandlingen sker på serveren tora-01 hos Hetzner Online GmbH, datacenter i Tyskland, og hos underdatabehandlerne i bilag B. Drift og support sker fra Danmark.

C.6 Overførsel til tredjelande

Kunden instruerer os i at overføre oplysninger til Anthropic PBC i USA til tekstgenerering og vurdering, som beskrevet i bilag B. Anthropics databehandleraftale med EU's standardkontraktbestemmelser er en del af Anthropics kommercielle vilkår. Resend, Inc. er et amerikansk selskab, der sender fra EU-regionen, under Resends databehandleraftale med standardkontraktbestemmelser.

Forbinder kunden et af sine egne systemer i bilag B.3, der behandler oplysninger uden for EU/EØS, instruerer kunden os i at levere oplysningerne dertil. Grundlaget for den overførsel følger af kundens aftale med udbyderen.

Anden overførsel til tredjelande sker ikke uden ny instruks.

C.7 Revision af os

Én gang om året kan kunden uden beregning få en skriftlig redegørelse for, hvordan vi overholder denne aftale.
Kunden kan desuden, med 30 dages varsel og for egen regning, inspicere behandlingen selv eller ved en uafhængig revisor med tavshedspligt.

C.8 Revision af underdatabehandlere

Vi fører tilsyn med underdatabehandlerne ud fra deres databehandleraftaler og den sikkerhedsdokumentation, de offentliggør (fx certificeringer og revisionsrapporter). Kunden kan få en kort redegørelse for tilsynet sammen med redegørelsen i C.7.

Bilag D. Parternes regulering af andre forhold

Aftalen er et bilag til brugervilkårene for GreenlitHQ. Ansvaret mellem parterne følger vilkårenes afsnit 7, i det omfang databeskyttelsesforordningen tillader det.
Bistand efter afsnit 8 og revision efter C.7, ud over det der er uden beregning, betales med 1.000 kr pr. påbegyndt time uden moms.
Bestemmelsen om, at kunden er begunstiget tredjemand i en underdatabehandleraftale, hvis vi går konkurs, er udeladt. Den er valgfri i Datatilsynets skabelon efter ændringen i marts 2024.

Gældende fra 18. september 2026, version 2. Version 1 gjaldt fra 11. september 2026.

Hvad der er nyt i version 2

Bilag A og C dækker nu e-mail, formularer, chat på kundens hjemmeside, kommentarer og reaktioner, CRM, alarmer og webhooks og analyselaget.
Ny kategori af registrerede: besøgende i chatten, herunder dem, der beder om en mødetid. Engangskoden, vi sender til en besøgende, og det, der gemmes om den, står i bilag A.3, B.1 og C.2.
Kundens egne systemer (CRM, Slack, Teams, webhooks, formularudbydere, Google og Microsoft) er beskrevet som kundens, ikke som vores underdatabehandlere. CRM-listen er udvidet til elleve systemer.
Ny stående instruks om spærrelisten, og kundens pligter efter markedsføringslovens § 10 og artikel 13 og 14.
Opbevaring pr. datatype i bilag C.4, herunder chat-samtaler, engangskoder og opslags-leads, ingen har taget videre.
Nyt afsnit om overførsel efter kundens instruks til kundens egne systemer uden for EU.
Rettet i forhold til version 1: der ligger ingen LinkedIn-nøgle i databasen, og Resend sender også til en besøgende, ikke kun til sælgeren.
Alle henvisninger peger på greenlithq.dk, og kontaktadressen er kontakt@greenlithq.dk.