TVIXEL DATABEHANDLERAFTALE (DPA)

Version 2.0 — Senest opdateret: 08-12-2025

Mellem:

Kunden (“Den Dataansvarlige”)
og
Tvixel ApS, CVR 45665151, Gyvelhøjvej 7, Søballe, 8660 Skanderborg, Danmark
(“Databehandleren”)

Denne Databehandleraftale (“Aftalen” eller “DPA”) udgør en integreret og juridisk bindende del af Hovedaftalen (“Handelsbetingelserne”) mellem parterne.

1. Formål, Omfang og Varighed

1.1
Formålet med denne Aftale er at sikre overholdelse af artikel 28 i Forordning (EU) 2016/679 (“GDPR”) og regulere Tvixels behandling af personoplysninger på vegne af den Dataansvarlige.

1.2
Tvixel behandler personoplysninger udelukkende med det formål at levere, vedligeholde, sikre og forbedre Tvixels kundekommunikationsplatform (“Tjenesten”), herunder relateret support, analyser, diagnosticering og driftsmæssige aktiviteter.

1.3
Behandling i henhold til denne Aftale påbegyndes, når den Dataansvarlige tager Tjenesten i brug, og fortsætter, indtil Tvixel ikke længere behandler personoplysninger på vegne af den Dataansvarlige.

2. Behandlingens Art og Formål

2.1
Behandlingsaktiviteterne omfatter, men er ikke begrænset til:

Modtagelse, routing og lagring af kundebeskeder
Synkronisering med e-mail, livechat, kontaktformularer og beskedkanaler (såsom Messenger, Instagram, WhatsApp, hvis aktiveret)
Udgående kommunikation via e-mail og notifikationer
Logning til sikkerhed, revision, diagnosticering og driftsstabilitet
Databackup, redundans og disaster recovery
Brugerstyring og autentifikation
Teknisk support anmodet af den Dataansvarlige

2.2
Tvixel må ikke behandle personoplysninger til egne formål eller kommercielle interesser.
Tvixel sælger, deler, profilerer eller anvender ikke personoplysninger til markedsføring eller reklame.

3. Kategorier af Registrerede

Følgende kategorier af registrerede kan behandles under denne Aftale:

Slutbrugere/kunder, der kontakter den Dataansvarlige via Tvixel
Medarbejdere, agenter og autoriserede brugere hos den Dataansvarlige
Besøgende, der anvender livechatværktøjer integreret af den Dataansvarlige
Personer, hvis oplysninger fremgår i indgående eller udgående kommunikation

4. Kategorien af Personoplysninger

Behandlingen kan omfatte følgende kategorier af personoplysninger:

4.1. Almindelige personoplysninger:

Navn
E-mailadresse
Telefonnummer (hvis oplyst)
Beskedindhold (tekst)
Vedhæftede filer (billeder, dokumenter, screenshots)
Metadata for samtaler (tidsstempler, kanaler, identifikatorer)
IP-adresser og enheds-/browserinformation
Brugeradgangslogfiler

4.2. Følsomme oplysninger (GDPR artikel 9)

Den Dataansvarlige må ikke behandle særlige kategorier af personoplysninger via Tvixel, medmindre lovligt behandlingsgrundlag og passende sikkerhedsforanstaltninger er etableret.

Tvixel stiller ikke miljøer til rådighed til behandling af fortrolige helbredsoplysninger, biometriske data, politiske holdninger mv.

4.3. Oplysninger om strafbare forhold

Indhold, der indeholder oplysninger om strafbare forhold (herunder materiale om seksuelt misbrug af børn, trusler, ulovlige aktiviteter), er strengt forbudt.
Sådant materiale vil blive indberettet til relevante myndigheder.

5. Databehandlerens Forpligtelser (Tvixel)

Tvixel skal:

5.1
Behandle personoplysninger alene efter dokumenterede instrukser fra den Dataansvarlige, herunder gennem konfiguration og brug af Tjenesten.

5.2
Sikre, at alle medarbejdere, kontraktansatte og personer, der er autoriseret til at behandle personoplysninger, er underlagt fortrolighedsforpligtelser.

5.3
Træffe alle foranstaltninger, der kræves i henhold til artikel 32 i GDPR (sikkerhed ved behandling).

5.4
Bistå den Dataansvarlige med opfyldelse af dennes forpligtelser vedrørende:

Registreredes rettigheder (indsigt, berigtigelse, sletning, indsigelse mv.)
Underretning om brud på persondatasikkerheden
Konsekvensanalyser (DPIA)
Forhåndshøring hos tilsynsmyndigheder

5.5
Opretholde en sikker og robust infrastruktur, der sikrer tilgængelighed, integritet og fortrolighed af data.

5.6
Ikke engagere nye underdatabehandlere uden at opfylde kravene i afsnit 8.

5.7
Straks underrette den Dataansvarlige, hvis Tvixel bliver opmærksom på instrukser, der strider mod GDPR.

6. Den Dataansvarliges Forpligtelser

Den Dataansvarlige er ansvarlig for:

6.1
At sikre et lovligt behandlingsgrundlag for al behandling via Tvixel.

6.2
At sikre, at personoplysninger indtastet i Tjenesten er indsamlet og behandlet i overensstemmelse med gældende lovgivning.

6.3
At implementere egne organisatoriske og adgangskontroller, herunder sikker håndtering af brugeradgange.

6.4
At sikre, at registrerede personer er informeret om de behandlingsaktiviteter, der udføres gennem Tvixel.

6.5
At konfigurere Tjenesten i overensstemmelse med egne compliance-krav.

7. Sikkerhedsforanstaltninger

Tvixel skal implementere og vedligeholde omfattende tekniske og organisatoriske sikkerhedsforanstaltninger, herunder:

7.1. Tekniske sikkerhedsforanstaltninger

Kryptering af al data under overførsel (TLS 1.2+)
Infrastruktur-firewalls, netværksisolering og adgangsrestriktioner
Zero-trust principper for interne systemer
Stærk autentifikation og rollebaseret adgangskontrol
Kontinuerlig overvågning og indbrudsdetektion
Regelmæssige sårbarhedsscanninger og patch management

7.2. Organisatoriske sikkerhedsforanstaltninger

Fortrolighedsaftaler for alle medarbejdere
Sikker udviklingspraksis (SDLC)
Regelmæssig sikkerhedstræning
Dokumenterede backup- og genoprettelsesprocedurer
Logging og revisionsspor i hele Tjenesten

7.3. Hostingmiljø

Al infrastruktur er placeret udelukkende inden for EU og hostes af:

Hetzner Online GmbH
Industriestr. 25, 91710 Gunzenhausen, Tyskland
(Primær hosting- og datacenterleverandør)

Ingen data overføres uden for EU/EØS.

8. Underdatabehandlere

Tvixel er autoriseret til at anvende følgende EU-baserede underdatabehandlere:

Underdatabehandler	Lokation	Formål
Hetzner Online GmbH	Tyskland	Hosting, compute, netværk, storage
G-Core Labs S.A.	Luxembourg (EU)	DNS, CDN, sikkerhed og WAF
Heysender ApS	Danmark	Udgående e-mailafsendelse
InMobile ApS (hvis aktiveret)	Danmark	SMS-afsendelsestjenester
Mistral AI (EU-infrastruktur)	Frankrig/EU	AI-behandling udelukkende inden for EU

8.1
Databehandleren skal varsle den Dataansvarlige om ændringer i listen over underdatabehandlere.

8.2
Tvixel skal sikre, at de samme databeskyttelsesforpligtelser som i denne Aftale pålægges alle underdatabehandlere via skriftlige aftaler.

8.3
Tvixel er fuldt ansvarlig for handlinger og undladelser fra underdatabehandlere.

9. Internationale Overførsler

9.1
Tvixel foretager ingen internationale overførsler uden for EU/EØS.

9.2
Hvis den Dataansvarlige aktiverer integrationer (f.eks. beskedkanaler), der indebærer databehandling i tredjelande, sker dette udelukkende efter den Dataansvarliges eget ansvar og instruktion.

10. Registreredes Rettigheder

10.1
Tvixel skal bistå den Dataansvarlige med at besvare anmodninger fra registrerede om:

Indsigt
Berigtigelse
Sletning
Begrænsning
Indsigelse
Dataportabilitet

10.2
Anmodninger, der modtages direkte af Tvixel, videresendes til den Dataansvarlige uden unødig forsinkelse.

11. Underretning om Brud på Persondatasikkerheden

11.1
I tilfælde af brud på persondatasikkerheden skal Tvixel uden unødig forsinkelse underrette den Dataansvarlige og oplyse:

En beskrivelse af bruddet
Kategorier og omtrentlige antal berørte registrerede og poster
Sandsynlige konsekvenser
Foranstaltninger truffet eller foreslået

11.2
Tvixel skal dokumentere alle sikkerhedshændelser til brug for audit.

12. Audit og Inspektion

12.1
Den Dataansvarlige kan efter rimeligt varsel gennemføre audit eller inspektion.

12.2
Audits begrænses til det, der er nødvendigt for at verificere overholdelse.

12.3
Tvixel kan fakturere den Dataansvarlige for væsentligt ressourceforbrug ved omfattende audits, medmindre Tvixel findes ikke-compliant.

13. Opbevaring og Sletning af Data

13.1
Ved ophør af Hovedaftalen kan den Dataansvarlige anmode om eksport af personoplysninger.

13.2
Tvixel skal slette alle personoplysninger behandlet på vegne af den Dataansvarlige senest 90 dage efter ophør, medmindre EU-lovgivning kræver længere opbevaring.

13.3
Sletning omfatter backups efter deres normale rotationscyklus.

13.4
Efter anmodning skal Tvixel give skriftlig bekræftelse på sletning.

14. Ansvar og Erstatning

14.1
Tvixels ansvar under denne Aftale er begrænset til ansvarsbegrænsningen defineret i Hovedaftalen.

14.2
Intet i denne Aftale begrænser ansvar for forsætlig handling eller grov uagtsomhed.

15. Lovvalg og Værneting

15.1
Denne Aftale er underlagt dansk ret.

15.2
Enhver tvist afgøres ved Retten i Horsens som første instans.