Databehandlingsaftale

"Kontrolansvarlig" betyder den fysiske person, der opretter og ejer dataene i sin Clavitor-boks. Du er altid kontrolansvarlig for dine egne loginoplysninger og personlige data.

"Databehandler" betyder Clavitor.ai, den enhed, der leverer hostinginfrastruktur, orkestrering af kryptering og datalagringstjenester på vegne af den kontrolansvarlige.

"Registreret" betyder den fysiske person, hvis personlige data behandles – dette kan være dig (kontrolansvarlig) eller andre, hvis data du gemmer i din boks (familiemedlemmer, medarbejdere, kunder).

"Personoplysninger" betyder enhver information, der vedrører en identificeret eller identificerbar fysisk person, gemt i din boks, herunder, men ikke begrænset til: loginoplysninger, adgangskoder, API-nøgler, betalingskortdata, identitetsdokumenter og kontaktoplysninger.

"Behandling" betyder enhver operation, der udføres på personoplysninger, herunder indsamling, lagring, kryptering, transmission, backup og sletning.

3.1 Behandl kun efter dokumenterede instruktioner. Clavitor behandler personoplysninger udelukkende for at levere bokstjenesten som beskrevet i vores servicevilkår. Vi bruger ikke data til egne formål, træner ikke AI-modeller, udleder ikke indsigt og tjener ikke penge ud over abonnementsgebyrer.

3.2 Sikr fortrolighed. Alt Clavitor-personale med potentiel adgang til infrastruktur er bundet af fortrolighedsaftaler. Adgang tildeles efter princippet om mindst privilegium og logges.

3.3 Implementer sikkerhedsforanstaltninger. Vi implementerer:

• End-to-end-kryptering: Data krypteret i hvile og under transmission
• Lagdelt kryptering (L2/L3): Identitetsfelter krypteret med nøgler afledt af din enhed (WebAuthn PRF) – kan ikke dekrypteres af os
• Nul-viden-arkitektur: Vi kan ikke dekryptere boksindhold; kun metadata (post-ID'er, typer, tidsstempler) kan læses
• Enhedsbaseret godkendelse (WebAuthn): Ingen adgangskoder gemt på serversiden
• Geografisk distribution: 21 Points of Presence (POP'er) med krypteret replikering
• Hændelsesrespons: 24/7 overvågning, automatiserede alarmer, dokumenterede brudprocedurer

3.4 Gennemsigtighed om underdatabehandlere. Vi bruger kun de underdatabehandlere, der er angivet i vores Liste over underdatabehandlere. Vi underretter abonnenter 30 dage før tilføjelse af en ny underdatabehandler.

3.5 Bistå med registreredes rettigheder. Efter din anmodning vil vi bistå dig med at besvare anmodninger fra registrerede, der udøver rettigheder i henhold til GDPR/FADP (adgang, berigtigelse, sletning, portabilitet, begrænsning, indsigelse). Bemærk: På grund af krypteringsarkitekturen kan vi ikke få adgang til eller ændre krypteret boksindhold; bistand er begrænset til operationer på kontoniveau.

3.6 Bistå med sikkerhedsforpligtelser. Vi leverer sikkerhedsdokumentation, opsummeringer af penetrationstest (NDA kræves for detaljer) og auditlogs efter anmodning.

3.7 Slet eller returner data. Ved abonnementsophør bliver dine bokse skrivebeskyttede i 30 dage. Efter 30 dage slettes boksdata permanent. Overholdelses-backups destrueres 30 dage efter sletning. For konti, der er suspenderet på grund af manglende betaling, slettes data 30 dage efter suspension, og backups roteres 60 dage derefter. Øjeblikkelig sletning er tilgængelig efter anmodning til enhver tid. Data kan ikke returneres i dekrypteret form (vi har ikke nøglerne). Fuldstændige detaljer i vores Servicevilkår.

3.8 Revision og inspektion. Med 30 dages skriftlig varsel kan du revidere vores overholdelse af denne DPA. Revisioner udføres på vores hovedkvarter i Zürich eller virtuelt. Vi leverer relevant dokumentation; direkte adgang til infrastruktur kræver sikkerhedsgodkendelse.

3.9 Underret om brud. Vi underretter dig inden for 24 timer efter opdagelse af et brud, der påvirker dine personoplysninger. Vi vil aldrig forsinke underretning til undersøgelse eller juridisk gennemgang.

3.10 Dokumenter behandlingsaktiviteter. Vi vedligeholder optegnelser over behandlingsaktiviteter og stiller opsummeringer til rådighed efter anmodning.

Du garanterer, at:

• Du har et lovligt grundlag for at behandle personoplysninger i din boks
• Du har givet passende privatlivsmeddelelser til registrerede, hvis data du gemmer
• Du ikke vil gemme data i strid med gældende love
• Du vil straks underrette os om anmodninger fra registrerede eller regulatoriske henvendelser

Dine boksdata gemmes krypteret i det Point of Presence (POP), der geografisk er tættest på dit adgangsmønster. Primære og backup POP'er er i forskellige regioner for modstandsdygtighed. Den komplette liste over 21 POP'er med byer, udbydere og overensstemmelsescertificeringer vedligeholdes i vores POP-database.

Infrastrukturudbydere, der bruges til POP'er, inkluderer: Amazon Web Services (17 POP'er, primær udbyder for de fleste regioner), ISHosting (Istanbul, Almaty, Bogotá) og HostAfrica (Lagos). Zürich HQ-operationer (fakturering, administration) bruger Hostkey.

Alle POP'er er enten:

• I jurisdiktioner med tilstrækkelighedsafgørelser (EU, EØS, Schweiz, Storbritannien, Canada osv.)
• Bundet af standardklausuler (SCC'er), hvor der ikke findes en tilstrækkelighedsafgørelse

På grund af vores krypteringsarkitektur (nul-viden) er selv data gemt i ikke-tilstrækkelige jurisdiktioner teknisk beskyttet. Vi kan ikke dekryptere det; det kan lokale myndigheder heller ikke. DNS-opløsning håndteres af Cloudflare; ingen boksdata passerer nogensinde gennem deres netværk.

Ingen data kan dekrypteres af os i hvile. Boksen er krypteret, og krypteringsnøglen er ikke gemt på serveren. Når en agent eller bruger opretter forbindelse, bærer de L1-nøglen med sig – vi kunne teknisk set opsnappe den under transmission (selvom vi ikke gør det, og TLS forhindrer tredjeparter i at gøre det). Selv med L1 er kun metadata synlige. Loginoplysninger og identitetsfelter forbliver forseglede.

• L1 (Bokskryptering): Boksen er krypteret i hvile med AES-256-GCM. Den 8-byte L1-nøgle bæres af agenten eller brugeren ved hver anmodning – den er ikke gemt på serveren. Med L1 er posttitler, typer og tidsstempler synlige. Dette er det operationelle minimum, der kræves for at betjene anmodninger.
• L2 (Loginoplysningsfelter): Adgangskoder, API-nøgler, TOTP-frø, OAuth-tokens – krypteret pr. felt med en 16-byte nøgle, der aldrig findes på serveren. L2 er kun tilgængelig for brugerens browser og deres registrerede agenter. Vi kan ikke dekryptere loginoplysningsfelter, og ingen server-side proces har nogensinde adgang til L2.
• L3 (Identitetsfelter): Kreditkort, CVV, pasnumre, personnumre, gendannelseskoder – krypteret med en 32-byte nøgle af ren tilfældig entropi, genereret ved oprettelse af boksen. Brugeren kender ikke denne nøgle. Vi har den ikke. L3 findes aldrig på nogen server. Den er beskyttet ved at wrappe den med 32-byte outputtet fra din hardwarenøgles PRF (fingeraftryk, ansigt eller sikkerhedsnøgle via WebAuthn PRF). Uden den fysiske enhed kan L3 ikke pakkes ud. Vi kan matematisk ikke dekryptere identitetsfelter, og vi kan ikke tvinges til at producere en nøgle, vi ikke har.

Ved DPA-relaterede henvendelser:

Databeskyttelsesrådgiver (DPO) Clavitor LLC c/o Johan Jongsma

Denne DPA er gældende fra din abonnementsstartdato og forbliver gældende indtil opsigelse. Ændringer meddeles 30 dage i forvejen. Fortsat brug udgør accept.

Sidst opdateret: 25. maj 2026 · Version 1.1