Vilkårene i GDPR art. 28, hvorefter Nextarp B.V. behandler din arbejdsplads' data. Klart, kort og offentliggjort — ikke kun tilgængeligt på anmodning.
Denne DPA er en del af Avatorials servicevilkår for erhvervskunder og gælder, hvor Nextarp B.V. behandler personoplysninger på dine vegne i henhold til GDPR art. 28. Version 1.0 — 27. juli 2026.
Du (kundens arbejdsplads) er den **dataansvarlige** for personoplysningerne i din arbejdsplads — dit teams skrivekorpus, udkast, identifikatorer for tilknyttede konti og importerede forbindelsesnavne. Nextarp B.V. (Wilhelminaplein 1, 3072 DE Rotterdam, Holland, “Avatorial”) er **databehandleren**.
Behandlingen er begrænset til at levere Avatorial-tjenesten som beskrevet i vilkårene: at lære hver brugers skrivestil fra indhold, de leverer, generere udkast, holde dem til udtrykkelig menneskelig godkendelse og publicere godkendt indhold til platforme, brugeren har tilsluttet — for abonnementets varighed plus sletteperioden nedenfor.
Avatorial behandler kun personoplysninger efter dokumenterede instruktioner fra den dataansvarlige — konfigurationen og handlingerne i produktet er disse instruktioner. Avatorial publicerer aldrig indhold uden en udtrykkelig godkendelse pr. indlæg af en autoriseret bruger; dette håndhæves i applikationens databaseskema og kode, ikke i politikken.
Foranstaltninger omfatter: EU-regionshosting (Google Cloud europe-west1); platformstokens gemt udelukkende i Google Secret Manager, aldrig i databasen; TLS under overførsel og kryptering i hvile; lejerisolation håndhævet af et databaseadgangslag, der begrænser hver forespørgsel til arbejdspladsen; rollebaseret adgang uden roller, der giver kontrol over en anden persons personlige konto; revisionslogning af godkendelser, publikationer, rolleændringer og forbindelser; personaleadgang kun efter behov.
Den dataansvarlige giver generel tilladelse til de underdatabehandlere, der er anført på avatorial.com/subprocessors. Avatorial giver mindst 30 dages varsel om tilføjelser eller udskiftninger, i hvilken periode den dataansvarlige kan gøre indsigelse på rimelige databeskyttelsesgrundlag.
Avatorial bistår den dataansvarlige med anmodninger om adgang, berigtigelse, sletning og portabilitet. Arbejdspladsejere kan selv udføre fuld sletning (Fakturering → Slet arbejdsplads), hvilket permanent fjerner alt indhold, stemmeprofiler, medlemsoptegnelser og ødelægger gemte platformstokens; resterende sikkerhedskopier udløber inden for 30 dage.
Avatorial underretter den dataansvarlige uden unødig forsinkelse, og under alle omstændigheder inden for 72 timer efter at være blevet opmærksom på et brud på persondatasikkerheden, der påvirker deres arbejdsplads, med de oplysninger, der kræves i henhold til GDPR art. 33(3), efterhånden som de bliver tilgængelige.
Primær behandling forbliver i EU. Hvor en underdatabehandler behandler data uden for EØS (se registeret), er overførsler baseret på Europa-Kommissionens standardkontraktbestemmelser og supplerende foranstaltninger.
Udkastgenerering og indlejringer kører på Google Vertex AI i EU-regionen under Google Clouds DPA. Kundeindhold bruges ikke af Avatorial eller dets underdatabehandlere til at træne grundmodeller. Hver brugers stemmeprofil er kun bygget ud fra indhold, som brugeren har leveret; Avatorial tilbyder ikke efterligning af tredjeparter.
Ved opsigelse slettes arbejdspladsdata inden for 30 dage. Under abonnementet kan den dataansvarlige eksportere sit indhold og slette arbejdspladsen når som helst.
Avatorial stiller de oplysninger til rådighed, der er rimeligt nødvendige for at demonstrere overholdelse af art. 28, og tillader revisioner — normalt opfyldt af dokumentation og tredjepartsattester fra dets infrastrukturudbydere.
For at udføre denne DPA modunderskrevet for din organisation, eller for at stille spørgsmål om den, kontakt privacy@avatorial.com.