Databehandleraftale

Sidst opdateret: 17. oktober 2026

Denne databehandleraftale (“DPA”) supplerer Creobles vilkår og betingelser og regulerer Creobles behandling af personoplysninger på vegne af kunden.

1. Hvornår finder DPA’en anvendelse?

Denne DPA finder anvendelse, når og i det omfang Creoble behandler personoplysninger på vegne af kunden i kraft af kundens brug af Creobles tjeneste.

I praksis sker dette typisk når:

• Kunden uploader testimonials, anmeldelser eller billeder indeholdende personoplysninger om kundens egne ansatte, kunder eller andre tredjeparter
• Kunden indtaster medarbejderoplysninger (navne, kontaktoplysninger, fotos) til “om os”-sektioner
• Kundens hjemmeside efterfølgende indsamler henvendelser fra besøgende (kontaktformularer, bookings, chatbot), eller besøgende skriver med chatbotten på kundens hjemmeside (kun for kunder med chatbot)
• Kunden beder Creoble sende anmeldelsesinvitationer til sine egne kunder (Vækst)

I disse tilfælde er kunden dataansvarlig og Creoble er databehandler efter GDPR art. 4, nr. 7-8.

Køber et bureau ydelser gennem Creoble Studio til en kundes hjemmeside, er bureauet databehandler for sin kunde, og Creoble er underdatabehandler for bureauet. Aftalen gælder da mellem Creoble og bureauet, og bureauet skal have den nødvendige godkendelse fra sin kunde.

Hvis kunden alene indtaster oplysninger om sig selv (én-mandsvirksomhed med kundens egne data), gælder vores privatlivspolitik, hvor Creoble er dataansvarlig. DPA’en finder da ikke anvendelse.

2. Parter

Dataansvarlig (Kunden): Den fysiske eller juridiske person, der har indgået aftale med Creoble om brug af tjenesten, og som bestemmer formål og midler for behandlingen af de personoplysninger, der overlades til Creoble.

Databehandler:

Creoble ApS
Njalsgade 21 F, 2., 2300 København S, Danmark
CVR-nummer: 46558847
E-mail: hej@creoble.dk
Telefon: +45 20 95 00 97

3. Aftalens omfang og varighed

3.1 Omfang

DPA’en regulerer Creobles behandling af personoplysninger udelukkende i det omfang, behandlingen sker som led i leveringen af Creobles tjeneste til kunden.

3.2 Indgåelse

DPA’en anses for indgået ved kundens accept af Creobles vilkår og betingelser ved køb, herunder ved køb af tilkøb til et hostingabonnement. Ingen særskilt underskrift er nødvendig, accepten af vilkårene udgør samtidig accept af DPA’en, for så vidt en databehandler-konstruktion finder anvendelse.

For kunder med Creoble Studio anses DPA’en desuden for indgået ved kundens accept af tillægget om chatbot på kundesites ved køb af chatbotten til en slutkundes hjemmeside.

3.3 Varighed

DPA’en gælder så længe Creoble behandler personoplysninger på kundens vegne. Ved aftalens ophør anvendes pkt. 9 om sletning eller tilbagelevering af data.

4. Instruks

4.1 Behandling efter instruks

Creoble må kun behandle personoplysninger efter dokumenteret instruks fra kunden. Kundens instruks fremgår af:

• Disse vilkår og denne DPA
• Bilag A (formål, karakter, varighed, typer)
• Kundens konkrete indtastninger i Creobles wizard og edit-funktion

Creoble må ikke behandle personoplysninger til egne formål (f.eks. produktudvikling, profilering, markedsføring) uden kundens udtrykkelige skriftlige samtykke.

Creoble behandler kun personoplysninger efter kundens instruks, medmindre EU-ret eller dansk ret kræver det. I så fald underretter Creoble kunden før behandlingen, medmindre loven forbyder det.

4.2 Ulovlig instruks

Hvis Creoble vurderer, at en instruks fra kunden er i strid med GDPR eller dansk databeskyttelseslovgivning, skal Creoble underrette kunden uden unødigt ophold.

4.3 Overførsel til tredjelande

Creoble må kun overføre personoplysninger til tredjelande uden for EU/EØS i overensstemmelse med GDPR kap. V og som beskrevet i Bilag B (underdatabehandlere).

5. Fortrolighed

5.1 Tavshedspligt

Creobles personale, der har adgang til kundens personoplysninger, er pålagt tavshedspligt enten ved ansættelseskontrakt eller ved tilsvarende juridisk bindende aftale.

5.2 Adgangsbegrænsning

Adgang til personoplysninger er begrænset til personer, der har behov herfor i kraft af deres arbejde med leveringen af Creobles tjeneste, jf. princippet om mindste privilegium.

6. Sikkerhed

Creoble træffer passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der svarer til risikoen, jf. GDPR art. 32. Konkrete foranstaltninger fremgår af Bilag C.

7. Underdatabehandlere

7.1 Generel godkendelse

Kunden giver hermed Creoble generel godkendelse til at anvende de underdatabehandlere, der fremgår af Bilag B.

7.2 Ændringer

Creoble underretter kunden på e-mail om planlagte tilføjelser eller udskiftninger af underdatabehandlere i Bilag B senest 30 dage før ændringen træder i kraft, så kunden kan gøre indsigelse. Kan en ændring ikke vente af hensyn til sikkerhed eller drift, underretter Creoble kunden hurtigst muligt og oplyser grunden.

7.3 Indsigelse

Hvis kunden gør begrundet indsigelse mod en ny underdatabehandler, kan kunden opsige aftalen med Creoble. Creoble vil i så fald hjælpe med eksport af kundens data, jf. pkt. 9.

7.4 Krav til underdatabehandlere

Creoble indgår skriftlig databehandleraftale med alle underdatabehandlere, der pålægger underdatabehandleren forpligtelser, der svarer til Creobles forpligtelser overfor kunden. Creoble forbliver fuldt ansvarlig over for kunden for underdatabehandlerens opfyldelse af sine forpligtelser.

8. Bistand til den dataansvarlige

Creoble bistår kunden i fornødent omfang og under hensyntagen til behandlingens karakter med:

8.1 Registreredes rettigheder (GDPR art. 12-23)

Hvis Creoble modtager en henvendelse fra en registreret om udøvelse af rettigheder vedrørende data, kunden er dataansvarlig for, videresender Creoble henvendelsen til kunden uden unødigt ophold og bistår kunden med besvarelse i fornødent omfang.

8.2 Sikkerhed og DPIA (GDPR art. 32, 35-36)

Creoble stiller relevant information til rådighed for kundens udførelse af konsekvensanalyser (DPIA) i forhold til Creobles del af behandlingen.

8.3 Brud på persondatasikkerheden (GDPR art. 33-34)

Hvis Creoble bliver opmærksom på et brud på persondatasikkerheden, der vedrører kundens personoplysninger, underretter Creoble kunden uden unødigt ophold og senest inden for 48 timer, så kunden har tid til at underrette Datatilsynet inden for den 72-timers frist, der gælder for kunden som dataansvarlig.

Underretningen indeholder:

• Karakteren af bruddet og antallet af berørte registrerede
• Sandsynlige konsekvenser
• Foranstaltninger, Creoble har truffet eller foreslår

9. Sletning og tilbagelevering

Ved aftalens ophør sletter eller tilbageleverer Creoble efter kundens valg alle personoplysninger, der er behandlet på kundens vegne, medmindre EU-ret eller dansk ret kræver opbevaring. Har kunden købt en hjemmeside, kan kunden selv downloade den fra kvitteringsmailen og det link, kunden fik ved købet, så længe siden opbevares. Personoplysninger slettes senest 3 måneder efter hostingabonnementets ophør og for køb uden hosting senest 6 måneder efter købet. Samtaler, henvendelser og oplysninger om anmeldelsesinvitationer slettes efter fristerne i Bilag A.

10. Tilsyn og dokumentation

10.1 Audit-rettighed

Kunden har ret til at føre tilsyn med Creobles overholdelse af denne DPA, herunder:

• Anmode om dokumentation for tekniske og organisatoriske foranstaltninger
• Modtage relevante revisions- eller certificeringsrapporter (hvis tilgængelige)
• Få besvaret skriftlige spørgsmål om databehandlingen

10.2 Audit-grundlag

For at minimere driftsforstyrrelser kan Creoble opfylde sin audit-forpligtelse ved at fremlægge:

• Dokumentation for sikkerhedsforanstaltninger (jf. Bilag C)
• Underleverandørers SOC 2-rapporter eller ISO 27001-certifikater
• Skriftlige svar på kundens spørgsmål

Fysiske inspektioner kan aftales særskilt mod rimelig varsel og kundens omkostning, hvor konkret begrundet.

11. Konkurs eller ophør

Går Creoble konkurs eller ophører Creoble med at eksistere, kan kunden instruere Creobles underdatabehandlere i at slette eller tilbagelevere kundens personoplysninger, i det omfang underdatabehandlerens vilkår giver mulighed for det. Creoble søger at sikre denne ret, men kan ikke garantere den, hvor underdatabehandleren kun tilbyder standardvilkår. Bestemmelsen svarer til den valgfrie bestemmelse i Datatilsynets standardkontraktbestemmelser, som blev ændret i marts 2024.

12. Ansvar

Parternes ansvar reguleres af Creobles vilkår og betingelser, herunder den ansvarsbegrænsning, der fremgår af vilkårenes pkt. 6. Ansvarsbegrænsningen gælder dog ikke i det omfang, ufravigelig databeskyttelseslovgivning foreskriver andet.

13. Lovvalg og værneting

Denne DPA er underlagt dansk ret. Tvister afgøres ved Retten i København, jf. vilkårenes pkt. 11.

14. Ændringer

Creoble kan opdatere denne DPA i takt med ændringer i lovgivning eller praksis. Væsentlige ændringer meddeles kunden med 30 dages varsel via e-mail eller ved opdatering af denne side.

Bilag A: Oplysninger om behandlingen

A.1 Formål

At levere Creobles AI-baserede hjemmesidegenereringstjeneste til kunden, herunder:

• Generere HTML-fil baseret på kundens indtastninger
• Levere fil til download og evt. hosting
• Sende ordrebekræftelse og support-kommunikation
• Forebygge misbrug og svindel
• For kunder med chatbot: at drive en AI-chatbot på kundens hjemmeside eller på en slutkundes hjemmeside, som kunden hoster gennem Creoble Studio, som besvarer besøgendes spørgsmål ud fra hjemmesidens indhold og kundens egne noter, videregiver henvendelser til den virksomhed, hvis hjemmeside chatbotten ligger på, og gemmer samtalerne, så kunden kan læse dem i sit kontrolpanel eller i Creoble Studio.
• For kunder med Vækst: at sende invitationer til at skrive en anmeldelse til personer, som kunden angiver, i kundens navn.
• Videresende henvendelser fra kontaktformularer på hjemmesider, som Creoble hoster.

A.2 Karakter af behandlingen

• Indsamling (via wizard samt via kontaktformular og chatbot på kundens hjemmeside)
• Strukturering (AI-generering via Anthropics Claude API)
• Besvarelse (kun for kunder med chatbot): besøgendes spørgsmål sendes sammen med hjemmesidens indhold og kundens hilsen og noter til Anthropics Claude API, og svaret vises i chatbotten. Creoble gemmer den besøgendes beskeder og chatbottens svar pr. samtale i 90 dage fra samtalens start, uden IP-adresse eller andre tekniske oplysninger, så kunden kan læse og slette dem i sit kontrolpanel eller i Creoble Studio.
• Visning (kun for kunder med chatbot): chatbottens hilsen og et eventuelt billede, som kunden vælger til chatbotten, vises for alle besøgende. Udskiftes eller slettes billedet, forsvinder det fra Creoble med det samme og fra mellemlageret hos Vercel inden for et døgn. En besøgendes browser kan have gemt en kopi.
• Opbevaring (i Creobles database hos Upstash i EU og, for sider med hosting, på 20i’s europæiske servere)
• Transmission (levering til kunden via e-mail og download)
• Sletning (automatisk efter opbevaringsperiode)
• Udsendelse (kun for kunder med Vækst): anmeldelsesinvitationer sendes via Resend fra et særskilt afsenderdomæne. Creoble opbevarer ikke modtagerens e-mailadresse i læsbar form.

A.3 Varighed

DPA’en gælder så længe kunden anvender tjenesten, og indtil alle data er slettet eller tilbageleveret, jf. pkt. 9.

Samtaler slettes 90 dage efter, at de blev startet. Henvendelser slettes 90 dage efter afsendelse til kunden, højst 180 dage, hvis afsendelsen mislykkes. Oplysninger om anmeldelsesinvitationer slettes 730 dage efter invitationen eller tidligere, hvis kundens side slettes.

A.4 Typer af personoplysninger

Almindelige personoplysninger:

• Navn
• E-mailadresse
• Telefonnummer
• Adresse
• Stillingsbetegnelse
• Fotografier
• Eventuelle anmeldelser eller testimonials
• Tekst som besøgende skriver i chatbotten, og chatbottens svar (kun for kunder med chatbot)
• Oplysninger, som kunden selv skriver i chatbottens noter og hilsen, for eksempel navne og telefonnumre på medarbejdere (kun for kunder med chatbot)
• Et billede, som kunden vælger til chatbotten, og som kan være et portræt (kun for kunder med chatbot)
• Navn, telefonnummer, eventuelt e-mail og besked fra besøgende, der beder om at blive kontaktet via chatbotten eller kontaktformularen
• Navn og e-mailadresse på personer, som kunden beder Creoble sende en anmeldelsesinvitation (kun for kunder med Vækst)

Besøgende kan skrive helbredsoplysninger eller andre følsomme oplysninger i chatten, selv om chatbotten beder dem lade være. Creoble behandler i så fald oplysningerne alene for at opbevare og vise samtalen for kunden og sletter dem efter fristerne ovenfor. Kunden må ikke selv lægge følsomme oplysninger (GDPR art. 9) eller oplysninger om straffedomme (GDPR art. 10) i chatbottens noter eller i hjemmesidens indhold uden lovligt grundlag. Kunden sletter en samtale med følsomme oplysninger, når kunden har set den, jf. Creobles vilkår §5.8 eller, for chatbotten på en slutkundes hjemmeside, tillægget om chatbot på kundesites i Creoble Studio.

A.5 Kategorier af registrerede

• Kundens eller slutkundens ansatte (hvis de vises eller nævnes på hjemmesiden, i chatbottens noter eller på chatbottens billede)
• Kundens egne kunder (hvis testimonials/anmeldelser uploades)
• Eventuelle øvrige personer afbilledet eller nævnt i indholdet
• Besøgende på kundens eller slutkundens hjemmeside, der bruger kontaktformularen eller chatbotten
• Kundens egne kunder, som kunden beder Creoble sende en anmeldelsesinvitation

Bilag B: Underdatabehandlere

Følgende underdatabehandlere anvendes af Creoble til behandling af personoplysninger på kundens vegne og, når kunden er databehandler for en slutkunde, på slutkundens vegne:

Alle underdatabehandlere er pålagt skriftlige databehandleraftaler, der opfylder kravene i GDPR art. 28.

Creoble bruger desuden leverandører til egne formål, hvor Creoble selv er dataansvarlig, bl.a. Stripe, Openprovider, Punktum.dk, GoHighLevel (LeadConnector), Meta Platforms Ireland Ltd, Cloudflare, Google og Recraft. De behandler ikke personoplysninger på kundens vegne og står i vores privatlivspolitik.

Ændringer i denne liste meddeles kunden med 30 dages varsel, jf. pkt. 7.2.

Bilag C: Tekniske og organisatoriske foranstaltninger

Creoble har implementeret følgende foranstaltninger til opfyldelse af GDPR art. 32:

C.1 Adgangskontrol

• Administratoradgang kræver login med et engangslink til en godkendt e-mailadresse eller en nødadgangskode, og en session udløber automatisk efter 7 dage
• Princippet om mindste privilegium for adgang til produktion
• Adgang logges og monitoreres
• API-nøgler og credentials krypteret i Vercel environment variables

C.2 Kryptering

• HTTPS/TLS 1.3 på alle data-transmissioner mellem klient og server
• Kryptering “at rest” af datalagring hos underdatabehandlere (Vercel, Upstash, Anthropic, Stripe, Resend)
• Krypterede backups

C.3 Driftssikkerhed

• Automatiske sikkerhedsopdateringer af platform og afhængigheder
• Regelmæssig sårbarhedsscanning af afhængigheder
• Adskillelse af udviklings-, test- og produktionsmiljøer

C.4 Backup og kontinuitet

• Upstash tager backup af databasen efter sin standardprocedure
• Backup hos vores underdatabehandlere efter deres standardprocedurer
• Underdatabehandlere har egne backup-procedurer (Vercel og Upstash)

C.5 Logning og monitorering

• Adgangslogning af systemets brug
• Anomalidetektion via Vercel og Upstash
• Centraliseret fejllogning (uden persondata)

C.6 Personalesikkerhed

• Tavshedspligt for alle med adgang til kundens data
• Begrænset adgangsret baseret på rolle
• Alle med adgang til kundedata er instrueret i databeskyttelse

C.7 Hændelseshåndtering

• Defineret procedure for håndtering af sikkerhedsbrud
• Underretning af kunden inden for 48 timer (jf. pkt. 8.3)
• Dokumentation og evaluering efter hver hændelse

C.8 Sletning

• Automatisk sletning af midlertidige genereringsdata efter 30 dage
• Sletning af leads efter 24 måneder uden interaktion
• Sletning af bestillingsdata efter 5 år (bogføringsloven § 10)
• Sikker sletning ved kundens anmodning, jf. pkt. 9
• Samtaler med chatbotten slettes automatisk 90 dage efter, at samtalen blev startet, og kunden kan slette en samtale før i sit kontrolpanel eller i Creoble Studio. Henvendelser via chatbotten og kontaktformularen slettes automatisk 90 dage efter, at de er sendt videre, og senest 180 dage efter, at afsendelsen er opgivet. Chatbottens noter, hilsen og billede slettes, når kunden ændrer eller fjerner dem, og ellers sammen med kundens øvrige data om siden.
• Oplysninger om anmeldelsesinvitationer (navn, envejskode af e-mailadressen og dato) slettes automatisk 730 dage efter invitationen. Creoble fører som selvstændig dataansvarlig en spærreliste over afmeldte og afviste adresser, jf. Creobles privatlivspolitik afsnit 2.7, og den er ikke omfattet af denne aftale.

Kontakt

Spørgsmål til denne DPA kan rettes til:

Creoble ApS
E-mail: hej@creoble.dk
Telefon: +45 20 95 00 97

Denne DPA er senest opdateret 17. oktober 2026. Den til enhver tid gældende version offentliggøres på creoble.dk/dpa.