Databehandleraftale

Denne databehandleraftale ("aftalen") fastsætter vilkårene for, at Acurcio (ACurcio Webservices), CVR 46182162, Jægersborggade 44, 1. th, 2200 København N ("databehandleren"), behandler personoplysninger på vegne af kunden ("den dataansvarlige").

Databehandleraftalen er en del af parternes aftale om hjemmesideydelser ("hovedaftalen") og accepteres sammen med den. Den dataansvarlige er den kunde, der er angivet i hovedaftalen.

Databehandleraftalen indgås for at opfylde kravene i artikel 28, stk. 3, i forordning (EU) 2016/679 ("GDPR") og databeskyttelsesloven.

Behandlingen er beskrevet i bilag A, de godkendte underdatabehandlere står i bilag B, og sikkerhedsforanstaltningerne er beskrevet i bilag C.

Er der modstrid mellem databehandleraftalen og hovedaftalen om behandling af personoplysninger, går databehandleraftalen forud.

Den dataansvarlige bestemmer formålet med og midlerne til behandlingen og er ansvarlig for, at den er lovlig, herunder for at have et behandlingsgrundlag, oplyse de registrerede og vedligeholde hjemmesidens privatlivspolitik.

Den dataansvarlige skal skriftligt give databehandleren besked, før hjemmesiden bruges til at behandle særlige kategorier af personoplysninger (GDPR artikel 9), fx helbredsoplysninger, eller oplysninger om strafbare forhold, så parterne kan aftale de nødvendige foranstaltninger.

Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre EU-retten eller dansk ret kræver andet. I så fald underretter databehandleren den dataansvarlige før behandlingen, medmindre den pågældende ret forbyder det.

Hovedaftalen og denne databehandleraftale, herunder bilag A, udgør den dataansvarliges instruks. Yderligere instrukser gives skriftligt; arbejde ud over hovedaftalen faktureres efter databehandlerens timepris.

Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med GDPR eller anden databeskyttelseslovgivning.

Databehandleren giver kun adgang til personoplysningerne til personer, der har brug for det for at opfylde hovedaftalen, og som har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt.

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32 under hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne, behandlingens karakter, omfang, sammenhæng og formål samt risiciene for de registreredes rettigheder og frihedsrettigheder.

Foranstaltningerne er beskrevet i bilag C. Databehandleren kan ændre dem, så længe det samlede sikkerhedsniveau ikke forringes.

Den dataansvarlige giver databehandleren generel godkendelse til at bruge underdatabehandlere. De underdatabehandlere, der er godkendt ved aftalens indgåelse, står i bilag B.

Databehandleren giver den dataansvarlige skriftlig besked mindst 30 dage, før en underdatabehandler tilføjes eller udskiftes. Den dataansvarlige kan inden for den frist gøre indsigelse med rimelig begrundelse. Kan parterne ikke blive enige, kan den dataansvarlige få hjemmesiden flyttet til sine egne konti som beskrevet i punkt 6.8 i vores handelsbetingelser.

Databehandleren pålægger ved kontrakt hver underdatabehandler de samme databeskyttelsesforpligtelser som i denne aftale og forbliver fuldt ansvarlig over for den dataansvarlige for underdatabehandlerens overholdelse.

Personoplysninger overføres kun til lande uden for EU/EØS som beskrevet i bilag B og kun i overensstemmelse med GDPR kapitel V — fx på grundlag af en tilstrækkelighedsafgørelse, herunder EU-U.S. Data Privacy Framework, eller Europa-Kommissionens standardkontraktbestemmelser.

Under hensyn til behandlingens karakter bistår databehandleren så vidt muligt den dataansvarlige med at besvare anmodninger fra registrerede, der udøver deres rettigheder efter GDPR kapitel III, fx indsigt, berigtigelse og sletning.

Databehandleren bistår den dataansvarlige med at overholde forpligtelserne i GDPR artikel 32-36 — sikkerhed, anmeldelse af brud på persondatasikkerheden, konsekvensanalyser og forudgående høring — under hensyn til de oplysninger, databehandleren har til rådighed.

Bistand ud over det, der med rimelighed følger af hovedaftalen, faktureres efter databehandlerens timepris.

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden.

Underretningen beskriver så vidt muligt bruddets karakter, kategorierne og det omtrentlige antal berørte registrerede og registreringer, de sandsynlige konsekvenser og de trufne eller foreslåede foranstaltninger, så den dataansvarlige kan anmelde bruddet til Datatilsynet inden for 72 timer, hvor det kræves.

Når behandlingsydelserne ophører, sletter eller tilbageleverer databehandleren efter den dataansvarliges valg alle personoplysninger og sletter eksisterende kopier, medmindre EU-retten eller dansk ret kræver opbevaring.

Flyttes hjemmesiden til den dataansvarliges egne konti, overdrages de personoplysninger, der er gemt som en del af hjemmesiden, sammen med den, og databehandleren sletter derefter sine kopier.

Tages hjemmesiden offline efter punkt 6.10 i vores handelsbetingelser, opbevares personoplysninger i den gemte kopi kun i den periode, der står dér, og slettes derefter.

Databehandleren stiller alle oplysninger til rådighed, der er nødvendige for at påvise overholdelsen af GDPR artikel 28 og denne aftale, og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af den dataansvarlige eller en revisor, som den dataansvarlige har bemyndiget.

Revisioner varsles mindst 30 dage i forvejen. Hver part bærer sine egne omkostninger, og databehandlerens tid faktureres efter timepris. Det begrænser ikke tilsynsmyndighedernes adgang.

Hovedaftalens ansvarsbestemmelser gælder for denne aftale, uden at det berører de registreredes rettigheder efter GDPR artikel 82.

Aftalen træder i kraft sammen med hovedaftalen og gælder, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige. Den kan ikke opsiges særskilt, så længe behandlingen fortsætter.

Aftalen er underlagt dansk ret, og tvister afgøres som beskrevet i hovedaftalen. Den findes på engelsk og dansk; den engelske version er juridisk bindende.

Formål: hosting og drift af den dataansvarliges hjemmeside, herunder de funktioner, der er aftalt i hovedaftalen, fx kontakt- og bookingformularer og AI-supportchatbotten.

Behandlingens karakter: opbevaring og overførsel af data, herunder videresendelse af formularhenvendelser til den dataansvarlige pr. e-mail; teknisk behandling i serverlogs; og for AI-supportchatbotten behandling af chatbeskeder for at generere svar.

Typer af personoplysninger:

• kontaktoplysninger indsendt via formularer, fx navn, e-mailadresse, telefonnummer og virksomhed;
• indholdet af beskeder og chatsamtaler, som kan indeholde de oplysninger, den registrerede selv vælger at skrive;
• tekniske data som IP-adresse, browseroplysninger og tidsstempler i serverlogs.

Kategorier af registrerede: besøgende på hjemmesiden, personer, der kontakter den dataansvarlige via hjemmesiden, samt den dataansvarliges kunder og medarbejdere, hvor de bruger hjemmesiden.

Varighed: så længe databehandleren hoster hjemmesiden eller driver dens funktioner. Formularhenvendelser videresendes til den dataansvarlige og opbevares kun af databehandleren og dennes underdatabehandlere, så længe det er nødvendigt for levering og logning.

Lokation: EU/EØS, bortset fra det, der fremgår af bilag B.

Databehandleren bruger følgende underdatabehandlere:

• Vercel Inc. (USA) — hosting og levering af hjemmesiden, herunder serverlogs. Overførsel til USA sker på grundlag af EU-U.S. Data Privacy Framework og/eller Europa-Kommissionens standardkontraktbestemmelser.
• Scaleway SAS (Frankrig, EU) — hosting og drift af AI-supportchatbotten, hvor den er en del af hovedaftalen.
• Resend (USA) — afsendelse af e-mails fra hjemmesidens formularer, hvor de er en del af hovedaftalen. Overførsel til USA sker på grundlag af EU-U.S. Data Privacy Framework og/eller Europa-Kommissionens standardkontraktbestemmelser.

En underdatabehandler behandler kun den dataansvarliges personoplysninger, hvis den bruges til en funktion på den dataansvarliges hjemmeside.

Kryptering: al trafik til og fra hjemmesiden er krypteret med TLS (https), og underdatabehandlerne krypterer lagrede data.

Adgangskontrol: adgang til hostingkonti, adminområder og kildekode er begrænset til de af databehandlerens medarbejdere, der har brug for den, via personlige konti med totrinsbekræftelse.

Dataminimering: formularer spørger kun om de nødvendige oplysninger, og formularhenvendelser videresendes til den dataansvarlige i stedet for at blive gemt i en database, medmindre hovedaftalen siger andet.

Vedligeholdelse: software og afhængigheder holdes opdateret, og sikkerhedsopdateringer installeres uden unødig forsinkelse.

Genopretning: hjemmesidens kode og indhold opbevares under versionsstyring, så hjemmesiden kan genskabes ved en hændelse.

Underdatabehandlere: udvalgt blandt etablerede udbydere med anerkendt sikkerhedspraksis og bundet af databehandlervilkår, der opfylder GDPR artikel 28.