Databehandleraftale

Parter

1. Baggrund og anvendelsesområde

1.1 Parterne har indgået en aftale på FoodVoices handelsbetingelser (»Hovedaftalen«), hvorefter FoodVoice leverer Tjenesten, som defineret i handelsbetingelserne, til Restauranten. I den forbindelse behandler FoodVoice personoplysninger på Restaurantens vegne. Henvisninger til punkter i Hovedaftalen er henvisninger til punkter i handelsbetingelserne.

1.2 Denne databehandleraftale (»Databehandleraftalen«) fastsætter parternes rettigheder og forpligtelser ved denne behandling efter databeskyttelsesforordningens artikel 28, stk. 3 og 4.

1.3 Behandlingens formål, karakter og varighed, typerne af personoplysninger og kategorierne af registrerede fremgår af Bilag A. Godkendte underdatabehandlere fremgår af Bilag B. Tekniske og organisatoriske sikkerhedsforanstaltninger fremgår af Bilag C.

1.4 Databehandleraftalen gælder forud for Hovedaftalen i spørgsmål om behandling af personoplysninger på Restaurantens vegne, herunder videregivelse til egne formål hos FoodVoice eller underdatabehandlere. Begreber, der er defineret i databeskyttelsesforordningen, har samme betydning i Databehandleraftalen. Begreber, der er defineret i Hovedaftalen, har samme betydning her.

2. Afgrænsning: FoodVoice som selvstændig dataansvarlig

2.1 Databehandleraftalen regulerer ikke FoodVoices behandling som selvstændig dataansvarlig efter Hovedaftalens pkt. 7.2. Det omfatter administration af kundeforholdet, fakturering, opfyldelse af FoodVoices egne lovkrav, sikkerhed og forebyggelse af misbrug, i det omfang FoodVoice fastlægger et selvstændigt formål, samt Forbedringsformål efter pkt. 2.2. Sikkerhed, support og fejlretning på Restaurantens vegne er omfattet af Databehandleraftalen. Parternes roller afgøres af den faktiske behandling, og FoodVoice er selv ansvarlig for, at behandlingen som selvstændig dataansvarlig overholder Databeskyttelsesreglerne.

2.2 Restauranten instruerer FoodVoice i at videregive Optagelser og Transskriptioner med tilhørende opkaldsmetadata til FoodVoice som selvstændig dataansvarlig til Forbedringsformål som defineret i Hovedaftalens pkt. 7.3 og på de vilkår, der fremgår dér. Vilkårene omfatter bl.a., at:

(a) Opkalderen informeres ved en indspillet besked i starten af opkaldet, inden optagelsen begynder, kan fravælge optagelse under opkaldet og kan gøre indsigelse efter opkaldet;

(b) opkald med oplysninger omfattet af databeskyttelsesforordningens artikel 9 eller 10 sorteres fra, inden data videregives, og direkte identifikationsoplysninger fjernes eller pseudonymiseres i Transskriptioner, inden de anvendes til træning. Pseudonymiserede data og stemmer er fortsat personoplysninger;

(c) Opkaldsdata ikke anvendes til biometrisk identifikation, stemmekloning, træning af AI-modeller på Opkalderes stemmer eller profilering af Opkaldere;

(d) underdatabehandlere ikke må træne egne AI-modeller på Opkaldsdata; og

(e) Optagelser og Transskriptioner, der anvendes til Forbedringsformål, slettes senest 30 dage efter opkaldet.

2.3 Videregivelse efter pkt. 2.2 påbegyndes først, når FoodVoice har dokumenteret:

(a) en interesseafvejning efter artikel 6, stk. 1, litra f, for både Restaurantens videregivelse og FoodVoices behandling;

(b) en konsekvensanalyse efter artikel 35;

(c) at fravalg, indsigelse og udsortering efter pkt. 2.2, litra b, er afprøvet i hele behandlingskæden; og

(d) et gyldigt overførselsgrundlag for eventuelle tredjelandsoverførsler.

FoodVoice stiller dokumentationen til rådighed for Restauranten på anmodning.

2.4 Siger en Opkalder fra over for optagelse, slettes Optagelse og Transskription af opkaldet automatisk straks efter opkaldet hos FoodVoice og hos underdatabehandlere, der behandler dem på Restaurantens vegne. Sikkerhedskopier håndteres efter pkt. 11.3. Kun nødvendige ordreoplysninger og tekniske metadata efter Bilag A bevares, og data fra opkaldet videregives ikke til Forbedringsformål. FoodVoice afprøver jævnligt, at sletningen sker i hele behandlingskæden.

2.5 Restauranten instruerer FoodVoice i at fremstille anonymiseret driftsstatistik, når anonymiseringen er dokumenteret, så genidentifikation med rimeligt sandsynlige midler er udelukket. Det samme gælder anonymiserede eksempler på samtaleforløb uden lyd. Kun resultatet, der ikke længere er personoplysninger, må anvendes til FoodVoices egne formål efter Hovedaftalens pkt. 7.4. Rå lyd, pseudonymiseret tekst og data, der fortsat kan henføres til en person, er ikke omfattet. Forbedringsformål reguleres alene af pkt. 2.2 og 2.3.

3. Restaurantens rettigheder og forpligtelser

3.1 Restauranten er ansvarlig for lovligheden af den behandling, FoodVoice instrueres i at foretage, herunder behandlingsgrundlag efter artikel 6 og, hvor relevant, artikel 9 eller 10, samt oplysningspligt og slettefrister. FoodVoice bistår ved at indlede hvert opkald med en indspillet besked om AI og optagelse og ved at stille privatlivsinformation til rådighed via link i ordrebekræftelsen på SMS og på foodvoice.ai, så den også kan læses af Opkaldere, der ikke modtager en SMS, jf. Hovedaftalens pkt. 6. Informationen skal svare til den behandling, der faktisk er aktiveret.

3.2 Optagelse til dokumentation af bestillinger sker kun, i det omfang det er nødvendigt og lovligt, jf. Bilag A, pkt. A.1. Brugen af AI indebærer ikke i sig selv, at samtalen skal optages.

3.3 Restauranten har ret og pligt til at træffe beslutning om, til hvilke formål og med hvilke hjælpemidler personoplysninger må behandles på Restaurantens vegne.

4. FoodVoice handler efter instruks

4.1 FoodVoice behandler kun personoplysninger efter dokumenteret instruks fra Restauranten, medmindre behandlingen kræves i henhold til EU-retten eller dansk ret, som FoodVoice er underlagt. I så fald underretter FoodVoice Restauranten om det retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

4.2 Restaurantens dokumenterede instruks består af Databehandleraftalen med bilag og de valg, Restauranten træffer ved Tilmeldingen og i opsætningen af Tjenesten, herunder i dashboardet. Hovedaftalen og valg i dashboardet udgør kun instruks, i det omfang de er forenelige med Databehandleraftalen. FoodVoice registrerer instrukser og ændringer i indstillinger, så de kan dokumenteres. Yderligere instrukser gives skriftligt, herunder pr. e-mail.

4.3 FoodVoice underretter straks Restauranten, hvis en instruks efter FoodVoices opfattelse er i strid med Databeskyttelsesreglerne, og suspenderer den berørte behandling, indtil lovligheden er afklaret eller instruksen ændret. Kan lovlig behandling ikke sikres, kan Restauranten opsige den berørte ydelse med øjeblikkelig virkning.

5. Fortrolighed

5.1 FoodVoice giver kun adgang til personoplysninger, der behandles på Restaurantens vegne, til personer, der har et arbejdsbetinget behov for det, og som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. Adgangen fjernes, når behovet ophører.

5.2 FoodVoice dokumenterer på Restaurantens anmodning, at de pågældende personer er underlagt tavshedspligt.

6. Behandlingssikkerhed

6.1 FoodVoice gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, behandlingen indebærer, jf. databeskyttelsesforordningens artikel 32. FoodVoice vurderer selvstændigt risiciene og gennemfører foranstaltninger herefter, herunder som minimum de foranstaltninger, der fremgår af Bilag C.

6.2 FoodVoice stiller de oplysninger til rådighed, som Restauranten har brug for til at opfylde sin egen forpligtelse efter artikel 32, herunder dokumentation for de aftalte sikkerhedsforanstaltninger og den løbende vurdering og afprøvning af dem.

7. Underdatabehandlere

7.1 Restauranten giver FoodVoice en generel forudgående skriftlig godkendelse til at anvende underdatabehandlere efter proceduren i dette punkt. Ved Databehandleraftalens indgåelse omfatter godkendelsen de juridiske enheder og behandlingsaktiviteter, der er identificeret i Bilag B og i registret efter Bilag B, pkt. B.4.

7.2 FoodVoice underretter Restauranten pr. e-mail om planlagte tilføjelser eller udskiftninger af underdatabehandlere med mindst 30 dages varsel for FoodVoices egne direkte underdatabehandlere og mindst 10 dages varsel for ændringer længere nede i kæden, dog så snart FoodVoice selv er underrettet, hvis en underdatabehandler giver kortere varsel. Meddelelsen angiver enhed, opgave, datatyper, lande, overførselsgrundlag og startdato. Restauranten kan inden for varslet gøre indsigelse af saglige databeskyttelsesmæssige grunde. En ny direkte underdatabehandler tages ikke i brug for Restaurantens data, mens en rettidig indsigelse er uafklaret. Kan parterne ikke finde en lovlig løsning, kan Restauranten opsige Hovedaftalen med virkning fra ændringens ikrafttræden og får forudbetalt vederlag for tiden efter ophøret tilbage.

7.3 FoodVoice pålægger ved skriftlig kontrakt hver underdatabehandler de samme databeskyttelsesforpligtelser som dem, der følger af Databehandleraftalen, tilpasset den konkrete behandling, jf. databeskyttelsesforordningens artikel 28, stk. 4, herunder om sikkerhed, fortrolighed, bistand, sletning og tilsyn. FoodVoice udleverer på anmodning de relevante aftaler. Forretningshemmeligheder og uvedkommende oplysninger kan overstreges, når Restauranten fortsat kan kontrollere forpligtelsernes indhold.

7.4 Underdatabehandlere må ikke anvende personoplysninger, som de behandler på Restaurantens vegne, til egne formål, herunder egen AI-træning eller generel produktudvikling. En teleudbyders særskilte behandling som selvstændig dataansvarlig er alene godkendt i det omfang, den er beskrevet i Bilag B, pkt. B.2.

7.5 Opfylder en underdatabehandler ikke sine databeskyttelsesforpligtelser, er FoodVoice fuldt ansvarlig over for Restauranten for underdatabehandlerens opfyldelse af forpligtelserne.

8. Overførsel til tredjelande

8.1 FoodVoice overfører kun personoplysninger til lande uden for EU/EØS (»tredjelande«) eller til internationale organisationer efter dokumenteret instruks fra Restauranten og i overensstemmelse med databeskyttelsesforordningens kapitel V, medmindre overførslen kræves efter EU-retten eller dansk ret, jf. pkt. 4.1.

8.2 Restaurantens instruks om tredjelandsoverførsel omfatter alene de modtagere, behandlingsaktiviteter, lande og overførselsgrundlag, der er identificeret i Bilag B og i registret efter Bilag B, pkt. B.4.

8.3 Før en overførsel påbegyndes, skal et gyldigt overførselsgrundlag og de nødvendige supplerende foranstaltninger være etableret. Bortfalder grundlaget, fx fordi EU-Kommissionens afgørelse om EU-U.S. Data Privacy Framework ophæves eller kendes ugyldig, indstiller FoodVoice den berørte overførsel, medmindre et andet gyldigt grundlag allerede kan anvendes. FoodVoice orienterer straks Restauranten og dokumenterer løsningen. EU-Kommissionens standardkontraktbestemmelser (gennemførelsesafgørelse (EU) 2021/914) kan kun anvendes med korrekt modul, udfyldte bilag og den nødvendige vurdering af beskyttelsen i modtagerlandet.

8.4 FoodVoice dokumenterer videreoverførsler og adgang fra tredjelande, herunder support- og konsulentadgang. Hvor kapitel V kræver det, fremlægger FoodVoice overførselsgrundlag, vurdering af beskyttelsen i modtagerlandet og nødvendige supplerende foranstaltninger for Restauranten. Lagring i EU udelukker ikke i sig selv, at der sker overførsel til et tredjeland.

9. Bistand til Restauranten

9.1 Under hensyntagen til behandlingens karakter bistår FoodVoice så vidt muligt Restauranten ved hjælp af passende tekniske og organisatoriske foranstaltninger med at opfylde Restaurantens forpligtelse til at besvare anmodninger fra registrerede efter databeskyttelsesforordningens kapitel III, herunder om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse.

9.2 Modtager FoodVoice direkte en anmodning fra en registreret om behandling på Restaurantens vegne, videresender FoodVoice den til Restauranten uden unødig forsinkelse og senest 3 arbejdsdage efter modtagelsen. FoodVoice besvarer ikke selv anmodningen, medmindre Restauranten instruerer herom, eller lovgivningen kræver det. Anmodninger, der vedrører FoodVoices behandling som selvstændig dataansvarlig, besvarer FoodVoice selv. Anmodninger, der vedrører begge dele, koordineres uden at svække den registreredes rettigheder.

9.3 FoodVoice bistår endvidere Restauranten med at overholde forpligtelserne i databeskyttelsesforordningens artikel 32-36 under hensyntagen til behandlingens karakter og de oplysninger, FoodVoice har til rådighed, herunder ved:

(a) brud på persondatasikkerheden, jf. pkt. 10;

(b) konsekvensanalyser vedrørende databeskyttelse; og

(c) forudgående høring af Datatilsynet.

9.4 FoodVoice kan kræve betaling efter medgået tid for bistand efter pkt. 9.3, litra b og c, i det omfang bistanden går ud over, hvad der med rimelighed kan forventes som led i Tjenesten. Bistand, der skyldes forhold hos FoodVoice eller FoodVoices underdatabehandlere, ydes uden beregning.

9.5 FoodVoice skal efter instruks kunne fremsøge og udlevere relevante data, herunder lydfiler, gennemføre berigtigelse, sletning og begrænsning og videreføre instrukserne til underdatabehandlere. Bistanden ydes uden unødig forsinkelse og i så god tid, at Restauranten kan overholde sine lovbestemte frister. Identiteten kontrolleres på en forholdsmæssig måde før udlevering. Uenighed om betaling efter pkt. 9.4 må ikke forsinke lovpligtig bistand.

10. Brud på persondatasikkerheden

10.1 FoodVoice underretter Restauranten uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, der vedrører personoplysninger behandlet på Restaurantens vegne. En foreløbig underretning må ikke afvente, at alle oplysninger foreligger. Underretning gives til kontaktpersonen efter pkt. 16 og ved hastende forhold også telefonisk.

10.2 Underretningen skal så vidt muligt indeholde:

(a) en beskrivelse af bruddets karakter, herunder de berørte kategorier og det omtrentlige antal registrerede og registreringer;

(b) de sandsynlige konsekvenser af bruddet;

(c) de foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet og begrænse dets skadevirkninger; og

(d) navn og kontaktoplysninger på en kontaktperson hos FoodVoice.

Kan oplysningerne ikke gives samtidig, gives de trinvis uden yderligere unødig forsinkelse.

10.3 FoodVoice bistår Restauranten med at anmelde bruddet til Datatilsynet og om nødvendigt underrette de registrerede, herunder ved at udarbejde et udkast til anmeldelsen.

10.4 FoodVoice begrænser bruddet, sikrer relevante beviser, undersøger årsagen og dokumenterer hændelsen og afhjælpningen. FoodVoice koordinerer med underdatabehandlere, giver løbende status og meddeler nye væsentlige oplysninger uden unødig forsinkelse. Restauranten træffer beslutning om anmeldelser og underretninger for sin behandling, medmindre lovgivningen kræver andet.

11. Sletning og tilbagelevering

11.1 I Databehandleraftalens løbetid sletter FoodVoice automatisk personoplysninger efter de opbevaringsperioder, der fremgår af Bilag A.

11.2 Ved ophør af Hovedaftalen tilbageleverer eller sletter FoodVoice efter Restaurantens valg alle personoplysninger, der er behandlet på Restaurantens vegne, herunder kopier hos underdatabehandlere. Tilbagelevering sker i et almindeligt anvendt og maskinlæsbart format, med lydfiler i et almindeligt lydformat, hvorefter de resterende kopier slettes. FoodVoice oplyser skriftligt ved ophøret om muligheden for tilbagelevering. Restauranten kan anmode om tilbagelevering inden 30 dage efter ophøret. Vælger Restauranten ikke inden da, er instruksen sletning. Aktive kopier slettes senest 30 dage efter ophøret eller, hvis Restauranten har valgt tilbagelevering, senest 30 dage efter tilbageleveringen. I perioden anvendes oplysningerne kun til udlevering, sletning og nødvendig beskyttelse. FoodVoice bekræfter sletningen skriftligt, herunder de resterende frister for sikkerhedskopier. Opbevaring, som EU-retten eller dansk ret kræver, er undtaget, og FoodVoice oplyser Restauranten om grundlag, data og varighed, medmindre loven forbyder det.

11.3 Sikkerhedskopier, hvor individuel sletning ikke kan foretages straks, opbevares alene indtil overskrivning i en dokumenteret backupcyklus, og højst i følgende perioder: FoodVoice (Hetzner Online GmbH, EU): krypterede sikkerhedskopier af databasen med opkaldslog, ordredata, kundeoplysninger og Transskriptioner, højst 30 dage. ElevenLabs: Optagelser og Transskriptioner i ElevenLabs' sikkerhedskopier efter ElevenLabs' dokumenterede backupcyklus, som fremgår af registret efter Bilag B, pkt. B.4. OpenAI: input og output fra efterbehandlingen af opkald, højst 30 dage til misbrugsovervågning. Indtil udløbet er kopierne adgangsbegrænsede og anvendes ikke i den normale drift. Genetableres data fra en sikkerhedskopi, gennemføres alle slette- og begrænsningsinstrukser igen, inden den almindelige behandling genoptages.

11.4 Undtagelsen for FoodVoices behandling som selvstændig dataansvarlig omfatter kun oplysninger, der allerede lovligt behandles til de formål, der fremgår af pkt. 2. Ophør eller en sletteinstruks giver ikke FoodVoice ret til at kopiere Restaurantens data til egne formål.

12. Revision og tilsyn

12.1 FoodVoice stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og Databehandleraftalen, til rådighed for Restauranten og giver mulighed for og bidrager til revisioner, herunder inspektioner, som foretages af Restauranten eller af en uafhængig revisor, som Restauranten har bemyndiget.

12.2 FoodVoice leverer på Restaurantens anmodning, normalt én gang årligt, en redegørelse og relevante eksisterende revisionsrapporter for overholdelsen af Databehandleraftalen og Bilag C. Begrænsningen gælder ikke nødvendige yderligere oplysninger eller revisioner ved væsentlige ændringer, begrundet mistanke om manglende overholdelse, brud på persondatasikkerheden eller krav fra en myndighed.

12.3 Rutinemæssige inspektioner varsles som udgangspunkt med 30 dage og tilrettelægges under hensyn til drift, sikkerhed og andre kunders fortrolighed. Kortere varsel eller yderligere inspektioner skal være mulige, når det er nødvendigt ved begrundet mistanke om manglende overholdelse, væsentlige ændringer, brud på persondatasikkerheden eller krav fra en myndighed. Revisor skal være underlagt tavshedspligt. Restauranten afholder sine egne omkostninger. FoodVoices dokumenterede og rimelige meromkostninger kan kun kræves betalt efter forudgående oplysning og må ikke hindre en effektiv revision. FoodVoice afholder selv sine omkostninger, hvis revisionen afdækker væsentlig misligholdelse.

12.4 FoodVoice fører risikobaseret tilsyn med underdatabehandlere og stiller relevant dokumentation til rådighed. Revisionsrapporter og certificeringer, fx SOC 2 Type II eller ISO 27001, anvendes som udgangspunkt. Er materialet ikke tilstrækkeligt, indhenter FoodVoice yderligere oplysninger og udøver på Restaurantens anmodning de revisionsrettigheder, FoodVoice har over for underdatabehandleren.

12.5 Datatilsynet og andre myndigheder, der efter lovgivningen har adgang til FoodVoices faciliteter og oplysninger, får adgang i overensstemmelse med gældende ret.

13. Ansvar

13.1 Parternes kontraktuelle ansvar over for hinanden efter Databehandleraftalen er reguleret af Hovedaftalens pkt. 12, herunder ansvarsbegrænsningen, i det omfang det lovligt kan aftales. Ansvarsbegrænsning, reklamationsfrist og force majeure begrænser ikke parternes ufravigelige pligter efter Databeskyttelsesreglerne, herunder om instruks, bistand, revision, underretning og sletning.

13.2 Databehandleraftalen begrænser ikke parternes ansvar over for de registrerede efter databeskyttelsesforordningens artikel 82. En bøde, der pålægges en part, bæres af den pågældende part.

14. Ikrafttræden, ændringer og ophør

14.1 Databehandleraftalen indgås elektronisk, når Restauranten ved Tilmeldingen aktivt accepterer denne version ved afkrydsning. FoodVoice sender Restauranten en kopi af den accepterede version pr. e-mail og opbevarer dokumentation for accepten, herunder version, tidspunkt og den person, der har accepteret. Databehandleraftalen skal være indgået, før FoodVoice første gang behandler personoplysninger på Restaurantens vegne, herunder under opsætning og test med rigtige personoplysninger. Den gælder, indtil tilbagelevering og sletning, herunder af sikkerhedskopier, er gennemført. Den kan ikke opsiges særskilt, så længe Hovedaftalen løber, medmindre Databehandleraftalen giver ret til suspension eller ophør.

14.2 Hver part kan kræve Databehandleraftalen tilpasset ændringer i lovgivning eller krav fra myndigheder. Materielle ændringer kræver Restaurantens aktive accept, fx ved afkrydsning i dashboardet, bortset fra ajourføringer efter pkt. 14.3. Et ufravigeligt retligt krav gælder fra det tidspunkt, loven fastsætter, og FoodVoice orienterer straks Restauranten om betydningen. Det giver ikke FoodVoice ret til ensidigt at udvide formål, datatyper, egne anvendelser eller tredjelandsoverførsler. Kan lovlig levering ikke fortsætte, suspenderes den berørte behandling.

14.3 Bilag B og registret efter Bilag B, pkt. B.4, ajourføres alene efter proceduren i pkt. 7 og 8. FoodVoice kan ajourføre Bilag C med tilsvarende eller stærkere sikkerhedsforanstaltninger uden at ændre formål eller instruks. FoodVoice stiller gældende og tidligere daterede versioner af bilagene til rådighed og orienterer Restauranten om ændringer.

15. Lovvalg og værneting

15.1 Databehandleraftalen er underlagt dansk ret. En tvist afgøres efter reglerne i Hovedaftalens pkt. 18.

16. Kontaktpersoner

16.1 Restauranten: den kontaktperson og e-mailadresse, Restauranten har angivet ved Tilmeldingen eller senere i dashboardet.

16.2 FoodVoice: privacy@foodvoice.ai, som overvåges af mindst to personer. Henvendelser om databeskyttelse og brud på persondatasikkerheden sendes hertil. Kontaktoplysningerne holdes ajour.

Bilag A - Behandlingen

A.1 Formål

FoodVoice behandler personoplysninger på Restaurantens vegne for at levere Tjenesten, herunder for at:

• besvare og gennemføre indgående opkald til Restaurantens telefonnummer;
• modtage, registrere og bekræfte bestillinger, reservationer og beskeder;
• overføre ordrer til Restaurantens POS-, kasse- eller leveringssystem;
• sende ordrebekræftelse og, hvis funktionen er aktiveret, betalingslink til Opkalderen på SMS. SMS'er indeholder ikke følsomme oplysninger;
• viderestille opkald til Restaurantens personale;
• genkende tilbagevendende Opkaldere ud fra telefonnummeret og foreslå navn, seneste leveringsadresse og tidligere bestillinger, så Opkalderen ikke skal gentage dem. Funktionen er slået til som standard og kan slås fra i dashboardet. Helbredsoplysninger indgår ikke;
• stille opkaldslog og, når det er lovligt og nødvendigt, Optagelser og Transskriptioner til rådighed i dashboardet for at dokumentere konkrete bestillinger, reservationer og fejl. Forbedringsformål er ikke omfattet, jf. pkt. 2.2; og
• yde support og fejlrette Tjenesten for Restauranten.

A.2 Behandlingens karakter

Modtagelse af opkald via telefoni, løbende omsætning af tale til tekst, behandling i sprogmodeller, generering af syntetisk tale, registrering og strukturering af ordreoplysninger, opbevaring, overførsel til Restaurantens systemer, afsendelse af SMS, visning i dashboard og sletning.

A.3 Kategorier af registrerede

• Opkaldere, herunder Restaurantens kunder og andre personer, der ringer til Restauranten.
• Restaurantens medarbejdere og kontaktpersoner, der bruger dashboardet eller modtager viderestillede opkald. Optagelsen ophører, når et opkald viderestilles til personalet.

A.4 Typer af personoplysninger

Almindelige personoplysninger (databeskyttelsesforordningens artikel 6):

• telefonnummer (nummervisning) og opkaldsmetadata (tidspunkt, varighed og opkaldsforløb);
• navn, leveringsadresse og eventuelle andre kontaktoplysninger, som Opkalderen oplyser;
• bestillingens indhold, særlige ønsker, afhentnings- eller leveringstidspunkt, reservationsoplysninger og betalingsstatus (betalt eller ikke betalt);
• Optagelser og Transskriptioner af opkald, herunder Opkalderens stemme;
• kundeoplysninger til genkendelse af tilbagevendende Opkaldere: telefonnummer, navn, leveringsadresse og de seneste bestillinger; og
• for Restaurantens medarbejdere: navn, e-mail, brugerlogin og logdata.

Følsomme oplysninger (artikel 9): Opkaldere kan selv nævne helbredsforhold, typisk en allergi eller intolerance. Tjenesten spørger ikke efter diagnoser eller sygehistorie. Før en allergi noteres på ordren og videregives til køkkenet, oplyser Tjenesten Opkalderen om, at oplysningen noteres på ordren, deles med Restauranten og slettes senest 7 dage efter ekspeditionen, og beder om et udtrykkeligt ja. FoodVoice dokumenterer tidspunkt, ordlyd og formål for tilkendegivelsen uden at gentage helbredsoplysningen. Restauranten er ansvarlig for behandlingsgrundlaget efter artikel 6 og artikel 9, stk. 2.

Siger Opkalderen nej eller trækker samtykket tilbage, noteres oplysningen ikke, og Opkalderen tilbydes at tale med personalet. Uopfordrede artikel 9-oplysninger bevares ikke automatisk i fulde Optagelser eller Transskriptioner. Kan følsomt indhold ikke pålideligt udskilles, slettes hele den pågældende Optagelse eller Transskription inden for fristen i A.5. Følsomme oplysninger indgår ikke i Forbedringsformål, i ordrehistorik til genkendelse eller i SMS'er. Sletning ændrer ikke ved, at en oplyst allergi skal håndteres efter fødevarereglerne.

Tjenesten beder ikke om CPR-numre, oplysninger om strafbare forhold eller betalingskortoplysninger. Modtages sådanne oplysninger alligevel, stoppes yderligere indsamling, og oplysningerne fjernes uden unødig forsinkelse fra Optagelser og Transskriptioner hos FoodVoice og underdatabehandlere. Kan de ikke udskilles, slettes det berørte samtaleindhold.

A.5 Varighed og opbevaring

Behandlingen varer fra første behandling på Restaurantens vegne, herunder under opsætning og test med rigtige data, og indtil tilbagelevering og sletning efter pkt. 11. Fristerne er maksimumsfrister og gælder også afledte kopier og logs. Restauranten kan instruere om kortere frister.

A.6 Behandlingssted

FoodVoices platform driftes hos Hetzner Online GmbH i Tyskland (datacenter Falkenstein). Krypterede sikkerhedskopier af databasen opbevares hos Hetzner i EU, adskilt fra driftsserveren. FoodVoices medarbejdere tilgår personoplysninger fra Danmark eller via sikker fjernadgang under ophold i udlandet. Udviklere i Danmark og Bangladesh tilgår produktionsmiljøet på grundlag af EU-standardkontraktbestemmelser (modul 3) og kun, når opgaven kræver det. Daglig udvikling sker uden rigtige kundedata. Support-, model- og fjernadgang fremgår af Bilag B og registret efter pkt. B.4. Adgang fra tredjelande vurderes efter pkt. 8.

A.7 Restaurantens egne leverandører

Restaurantens egne leverandører, fx udbydere af POS-, kasse- og leveringssystemer, betalingsudbyder og teleselskab, er ikke FoodVoices underdatabehandlere, når Restauranten selv har antaget dem. FoodVoice overfører kun de nødvendige oplysninger til de modtagere og formål, Restauranten har instrueret om. Antager FoodVoice selv en sådan leverandør til behandling på Restaurantens vegne, er leverandøren omfattet af pkt. 7 og Bilag B. Restauranten er ansvarlig for sine egne leverandøraftaler.

Bilag B - Godkendte underdatabehandlere

Særlige forhold

B.1 ElevenLabs, sprogmodeludbydere og andre underdatabehandlere må ikke anvende personoplysninger til egen modeltræning eller andre egne formål, jf. pkt. 7.4. FoodVoice har fravalgt, at ElevenLabs må anvende data fra FoodVoices konto til træning og produktforbedring, og anvender OpenAIs API, hvor data efter OpenAIs vilkår ikke anvendes til træning. OpenAI kan opbevare input og output i op til 30 dage til misbrugsovervågning. FoodVoice dokumenterer for hver konto gældende databehandleraftale, fravalg af træning, dataregion og indstillinger for opbevaring og sletning.

B.2 Twilio kan efter sin egen databehandleraftale behandle visse konto- og trafikdata som selvstændig dataansvarlig til drift, informationssikkerhed, forebyggelse af misbrug og opfyldelse af telelovgivningen. Denne behandling er godkendt, i det omfang den er nødvendig til disse formål. Twilios anvendelse af samtaleindhold til egen produktudvikling eller AI-træning er ikke godkendt. FoodVoice konfigurerer Tjenesten, så samtaleindhold ikke lagres hos Twilio, og sletter indholdet af SMS'er hos Twilio efter fristen i Bilag A.

B.3 For hver overførsel angives ét konkret grundlag og dets dækningsområde. EU-U.S. Data Privacy Framework kan kun anvendes for en amerikansk modtager, der er aktivt certificeret, så længe Kommissionens afgørelse er gældende. Standardkontraktbestemmelser eller bindende virksomhedsregler kræver dokumentation for, at de relevante enheder, datatyper, roller og aktiviteter er omfattet. Skift til et andet grundlag kræver forudgående dokumentation efter pkt. 8.

B.4 FoodVoice fører et dateret register over hele behandlingskæden med juridiske navne, adresser, kontaktoplysninger, opgaver, datatyper, behandlings- og adgangslande og overførselsgrundlag. Registret findes på foodvoice.ai/underdatabehandlere med dato for seneste opdatering. Leverandørernes offentlige lister over underdatabehandlere, herunder ElevenLabs' og Twilios, bruges som kilder, men erstatter ikke registret og varslingen efter pkt. 7.2.

Bilag C - Tekniske og organisatoriske sikkerhedsforanstaltninger

FoodVoice gennemfører og dokumenterer følgende minimumsforanstaltninger.