Data Processing Agreement (DPA) GDPR art. 28

Version 1.3 | Versionsdato: 24. august 2026 | Gælder fra accept af Brugsbetingelserne


Dataansvarlig	Den juridiske enhed, på hvis vegne der er oprettet konto og accepteret Verbus Brugsbetingelser, jf. definitionen af "Customer" i Brugsbetingelserne.
Databehandler	Verbu ApS, CVR-nr. 45855309, Nymarksvej 57, 5800 Nyborg, Danmark ("Verbu").
Ikrafttrædelse	DPA'en bliver bindende, når en bemyndiget repræsentant for Dataansvarlig accepterer DPA'en elektronisk som led i aktivering af Tjenesten, eller når DPA'en på anden måde indgås mellem parterne.

1. Instruks og formål

Verbu behandler udelukkende personoplysninger efter dokumenteret instruks fra Dataansvarlig. Denne DPA og Verbus Brugsbetingelser udgør den primære instruks. Verbu anvender ikke personoplysninger til egne formål, herunder profilering, markedsføring eller modeltræning. Behandlingens genstand er beskrevet i Bilag A. Denne DPA supplerer Verbus Brugsbetingelser og udgør en integreret del af aftalegrundlaget. Ved uoverensstemmelse mellem DPA'en og Brugsbetingelserne vedrørende behandling af personoplysninger har DPA'en forrang.

2. Dataansvarligs forpligtelser

Dataansvarlig er ansvarlig for at der foreligger gyldigt behandlingsgrundlag for alle personoplysninger der behandles via Tjenesten, at registrerede er behørigt informeret, og at Tjenesten ikke anvendes til behandling af særlige kategorier af personoplysninger uden forudgående skriftlig aftale med Verbu.

3. Sikkerhed (TOMs)

Verbu har implementeret og opretholder tekniske og organisatoriske sikkerhedsforanstaltninger passende til risikoniveauet ved behandlingen, jf. GDPR art. 32 og Bilag B. Sikkerhedsforanstaltningerne tilpasses løbende i takt med teknologisk udvikling og ændringer i trusselsbilledet.

4. Transkriptioner og dataopbevaring

Verbu optager ikke opkald. Opkald transskriberes til tekst og stilles til rådighed for Dataansvarlig via platformen.

Dataansvarlig fastlægger selv opbevaringsperioden for transkriptioner. Verbu opbevarer transkriptioner, indtil Dataansvarlig anmoder om sletning, eller indtil kundeforholdet ophører, jf. § 9.

Dataansvarlig kan til enhver tid anmode om sletning, helt eller for en afgrænset periode, via legal@verbu.com. Verbu efterkommer anmodningen uden unødigt ophold og senest 30 dage efter modtagelsen.

5. Underdatabehandlere

Dataansvarlig godkender herved Verbus brug af de underdatabehandlere der fremgår af Bilag C. Verbu giver skriftligt varsel ved tilføjelse eller udskiftning af underdatabehandlere. Dataansvarlig har 10 dage fra varslet til at gøre skriftlig indsigelse.

Kan parterne ikke opnå enighed inden udløbet af indsigelsesperioden, ophører denne DPA og den tilknyttede aftale automatisk ved indsigelsesperiodens udløb. Betalinger for allerede leverede ydelser refunderes ikke.

Verbu pålægger alle underdatabehandlere forpligtelser svarende til denne DPA og forbliver fuldt ansvarlig for deres overholdelse.

6. Internationale overførsler

Overførsler til underdatabehandlere i tredjelande sker på grundlag af EU-Kommissionens standardkontraktbestemmelser (SCCs, Kommissionens gennemførelsesafgørelse (EU) 2021/914) eller et andet gyldigt overførselsgrundlag efter GDPR kap. V. Verbu udfører overførselsrisikovurdering (TIA) for behandling i tredjelande. Verbu benytter altid EU endpoint/server, hvor dette er tilgængeligt.

7. Registreredes rettigheder og sikkerhedsbrud

Verbu bistår Dataansvarlig med at imødekomme anmodninger fra registrerede om udøvelse af rettigheder efter GDPR kap. III og videresender anmodninger modtaget direkte inden 3 hverdage.

Ved sikkerhedsbrud der vedrører Dataansvarligs personoplysninger notificerer Verbu Dataansvarlig uden unødigt ophold og senest inden 24 timer med de oplysninger der er tilgængelige på notifikationstidspunktet.

8. Revision og dokumentation

Verbu stiller den dokumentation til rådighed der er nødvendig for at påvise overholdelse af denne DPA. Dataansvarlig har ret til revision maksimalt én gang om året med 30 dages varsel, i normal arbejdstid og mod afholdelse af Verbus dokumenterede omkostninger.

9. Ophør og sletning

DPA'en er gyldig så længe Verbu behandler personoplysninger på vegne af Dataansvarlig. Ved ophør sletter eller tilbageleverer Verbu efter Dataansvarliges valg alle Dataansvarliges personoplysninger senest 30 dage efter ophørstidspunktet. Skriftlig bekræftelse fremsendes på anmodning.

10. Ansvar, lovvalg og kontakt

Parternes ansvar er underlagt de begrænsninger der fremgår af Brugsbetingelserne, medmindre ufravigelig lovgivning kræver andet. DPA'en er underlagt dansk ret. Tvister afgøres ved Odense Byret. Datatilsynets tilsynskompetence berøres ikke.

Verbu DPA-kontakt: Daniel Petersen, Direktør, legal@verbu.com

Kunder med behov for en tilpasset DPA kan rette henvendelse til legal@verbu.com.

Bilag A: Behandlingens genstand

GDPR art. 28, stk. 3 | Integreret del af DPA'en


Genstand	Levering af Verbus AI-drevne voice agent-platform ("Tjenesten")
Varighed	Fra ikrafttrædelse til ophør af kundeforholdet
Behandlingens art	Indsamling, transmission, realtidsanalyse, transkribering og struktureret output af taledata og tekstindhold. Taledata behandles transient; transkriptioner gemmes og stilles til rådighed for Dataansvarlig via platformen.
Formål	Levering, fejlretning og sikring af Tjenesten i overensstemmelse med Dataansvarligs instruks
Typer af personoplysninger	Telefonnummer, samtalemetadata, transkriptionsindhold, virksomhedsspecifikt konfigurationsindhold, brugerkonto- og logindata
Kategorier af registrerede	Slutbrugere og opkaldere der interagerer med Dataansvarligs voice agent; Dataansvarligs medarbejdere med adgang til platformen; importeret kundedata.
Særlige kategorier	Ingen. Tjenesten må ikke anvendes til behandling af særlige kategorier jf. GDPR art. 9 uden forudgående skriftlig aftale.

Bilag B: Sikkerhedsforanstaltninger (TOMs)

GDPR art. 32 | Integreret del af DPA'en

Principbaseret tilgang: Verbu implementerer og løbende tilpasser sikkerhedsforanstaltninger svarende til risikoniveauet ved behandlingen, det aktuelle tekniske niveau og implementeringsomkostningerne, jf. GDPR art. 32. Specifikke tekniske løsninger kan ændres uden forudgående varsel, forudsat at det samlede sikkerhedsniveau opretholdes eller forbedres.


Adgangskontrol	Adgang til systemer der behandler personoplysninger begrænses til autoriserede personer med tjenstligt behov. Stærk autentificering (MFA) kræves for adgang til produktionsmiljøer.
Kryptografi	Personoplysninger krypteres under transmission (TLS 1.3, HSTS) og i hvile (AES-256 via cloud key management). Krypteringsnøgler forvaltes sikkert og roteres regelmæssigt.
Dataminimering og opbevaring	Verbu optager ikke opkald. Transkriptioner opbevares, indtil Dataansvarlig anmoder om sletning, eller kundeforholdet ophører. Dataansvarlig fastlægger selv opbevaringsperioden. Sprogmodeller og realtidstjenester er konfigureret med zero data retention.
Fortrolighed	Alle medarbejdere og underleverandører med adgang til personoplysninger er underlagt skriftlig fortrolighedsforpligtelse og modtager relevant databeskyttelsestræning.
Hændelseshåndtering	Verbu overvåger systemer løbende og opretholder procedurer for detektering, håndtering og notifikation af sikkerhedsbrud. Dataansvarlig notificeres senest 24 timer efter Verbu er blevet bekendt med et brud, jf. GDPR art. 33-34.
Leverandørstyring	Underdatabehandlere er underlagt forpligtelser svarende til denne DPA. Verbu vurderer underdatabehandleres sikkerhedsniveau forud for engagement. Verbu benytter altid EU endpoint/server, hvor dette er tilgængeligt.

Bilag C: Kategorier af underdatabehandlere

Integreret del af DPA'en | Generel godkendelse jf. § 5 | Fortroligt, udleveret under NDA

Verbu offentliggør ikke navnene på individuelle underdatabehandlere som en del af denne DPA. Alle underdatabehandlere er underlagt forpligtelser svarende til denne DPA. Den aktuelle liste udleveres på forespørgsel: www.verbu.com/da/juridisk/underdatabehandlere.

Kategori	Behandlingssted	Aktivitet	Garantier
Telefoninfrastruktur og opkaldsrouting	EU/EØS	Opkaldsrouting og telefonnumre	Individuelle DPA'er
Stemmesyntese og realtidstranskription	EU/EØS	Realtidstranskription (STT) og tekst-til-tale (TTS)	Dataminimeret
Sprogmodeller (LLM) og AI-infrastruktur	EU/EØS (enkelte optionelle modeller i USA)	Samtalegenerering og strukturerede outputs	Zero data retention hvor tilgængeligt; SCCs ved behandling uden for EU/EØS
Realtidsinfrastruktur og agent-framework	EU/EØS	Realtidslyd og core agent-framework	Underlagt DPA svarende til denne
Applikationshosting og compute	EU/EØS	Hosting af platformkomponenter	SOC 2-certificerede
Infrastruktur og dedikeret hosting	EU/EØS	Hosting af infrastrukturkomponenter	EU-inkorporeret
Databasehosting (inkl. transkriptioner)	EU/EØS	Lagring af brugerdata, metadata og transkriptioner	Kryptering
Transaktionel e-mailinfrastruktur	EU/EØS	Systemnotifikationer	Underlagt DPA svarende til denne
Error logging	EU/EØS	System alerts and performance monitoring	Data scrubbing
LLM-observability / tracing	EU/EØS	Logning af model-input/-output til fejlsøgning	Underlagt DPA svarende til denne