Databehandling i Aksido

Siden beskriver, hvad Aksido gør med de personoplysninger, jeres selskab lægger ind. Den er skrevet til jer som dataansvarlige, så I kan bruge den i jeres egen konsekvensanalyse og jeres fortegnelse. Den er ikke rådgivning; vurderingen af jeres behandling er jeres egen.

1. Roller

Jeres selskab er dataansvarligt for oplysningerne om kapitalejere, medarbejdere, bestyrelse, rådgivere og modtagere af warrants. Aksido (Ouverture ApS, CVR 46154487) er databehandler. Punkt 9 i servicevilkårene er databehandleraftalen efter GDPR art. 28.

2. Oplysningerne

• Kapitalejere: navn, bopæl eller hjemsted, ejerandele, erhvervelsesdato og rolle. CVR-nummer for selskaber. Ingen CPR-numre
• Modtagere af warrants: navn, e-mail, fødselsdato, ansættelsesforhold, løn hvor ordningen kræver det, tildelinger, vilkår og eventuel fratræden
• Bestyrelse og andre med adgang: navn, e-mail og rolle
• Kontrakter og dokumenter. Felter i kontrakter lavet i Aksido tager ikke imod CPR-numre. Dokumenter, I uploader, gemmes, som de er — svært CPR-numre, før I uploader

3. AI i Aksido

Tre funktioner sender oplysninger til AI-modellen Claude fra Anthropic. Alle tre kan undværes: I kan indtaste ejerbog og program selv.

• Indlæsning af en ejerbog (Excel eller PDF): teksten sendes, så ejerne kan læses ud. CPR-numre fjernes fra teksten, før den sendes; kun fødselsdatoen bliver tilbage
• Indlæsning af et eksisterende warrantprogram: samme regel for CPR-numre. Modtagernes navne, fødselsdato, ansættelse, eventuel løn og vilkår indgår i teksten
• Assistenten under "Mine warrants": en indehaver spørger om sin egen aftale. Konteksten sendes uden navne, CPR-numre og id'er. Spørgsmålene gemmes ikke; vi gemmer kun, hvilken kategori spørgsmålet hørte til, uden kobling til person eller selskab

Et scannet dokument eller et billede kan ikke renses for CPR-numre på forhånd. Det sendes kun, hvis brugeren udtrykkeligt har accepteret, at eventuelle CPR-numre følger med.

AI'en træffer ingen afgørelser om personer. Den læser og forklarer; det, den læser ud af et dokument, er et forslag, som brugeren kontrollerer og kan rette.

Anthropic behandler oplysningerne som underdatabehandler efter sin databehandleraftale, i USA, på EU-Kommissionens standardkontraktbestemmelser (modul 2 og 3), og må ikke træne sine modeller på data fra Aksido. Se Anthropics databehandleraftale.

4. Underdatabehandlere

• Lovable: drift, database (Supabase), e-mail og login. Databasen ligger i EU (Irland)
• Anthropic: AI, se afsnit 3. USA, standardkontraktbestemmelser

Leverandørernes egne underleverandører står hos dem: Lovable og Anthropic. Nye underdatabehandlere varsles efter servicevilkårenes punkt 9. Den fulde liste over leverandører, også dem der behandler oplysninger om jer som brugere, står i privatlivspolitikken.

5. Sikkerhed og sletning

• Kryptering under transport (TLS) og i hvile. Hvert selskabs data er adskilt i databasen, og adgangen styres af selskabets ejer
• Sletter ejeren selskabet, slettes dets data med det samme. Sikkerhedskopier hos driftsleverandøren slettes derefter efter dens faste rutine
• Brud på persondatasikkerheden: vi giver jer besked uden unødig forsinkelse

6. Skal I lave en konsekvensanalyse?

Det afgør I som dataansvarlige. Datatilsynets liste over behandlinger, der altid kræver en konsekvensanalyse, omfatter brug af nye teknologier sammen med mindst ét kriterium mere fra Artikel 29-gruppens retningslinjer (WP248), og retningslinjerne nævner ansatte som et eksempel på sårbare registrerede. Datatilsynet regner AI som ny teknologi og skriver i sin skabelon til konsekvensanalyser ved AI, at en analyse "normalt" er påkrævet ved brug af AI-løsninger. Bruger I AI-indlæsningen på oplysninger om medarbejdere, så lav analysen, eller indtast oplysningerne selv. Datatilsynets skabeloner står på datatilsynet.dk.

7. Kontakt

Spørgsmål til behandlingen: privacy@aksido.dk.