Databehandleraftale

1. Omfang

1.1 Denne aftale er indgået mellem Kunden og Docentra ApS, CVR-nr. 46853539, efter artikel 28 i forordning (EU) 2016/679 (databeskyttelsesforordningen). Den er en del af aftalen på Docentras vilkår ("vilkårene") og accepteres sammen med dem. Vilkårene definerer Kunden og Tjenesten. Underskriver parterne en anden databehandleraftale, gælder den i stedet for denne.

1.2 For de personoplysninger, der er beskrevet i bilag 1, er Kunden dataansvarlig og Docentra databehandler. Er Kunden selv databehandler, fx for et andet selskab i koncernen, er Docentra Kundens underdatabehandler, og Kunden bekræfter at have ret til at bruge Docentra som underdatabehandler.

1.3 Docentra er selv dataansvarlig, ikke databehandler, for de oplysninger, Docentra behandler til egne formål, fx fakturering, kontakt med Kunden og sikkerhedslogning. Privatlivspolitikken beskriver den behandling.

1.4 Er der modstrid mellem denne aftale og vilkårene, når det gælder personoplysninger, har denne aftale forrang.

2. Kundens ansvar

Kunden har ansvaret for, at den behandling, Kunden giver Docentra instruks om, er lovlig. Det indebærer bl.a., at Kunden skal have et behandlingsgrundlag og opfylde sin oplysningspligt over for de registrerede.

3. Instruks

3.1 Docentra behandler kun personoplysninger efter Kundens dokumenterede instruks, også når oplysningerne overføres til lande uden for EU og EØS, medmindre EU-retten eller dansk ret kræver andet. I så fald underretter Docentra Kunden om kravet, før behandlingen sker, medmindre loven forbyder det.

3.2 Instruksen består af denne aftale, vilkårene og den måde, Kunden bruger og indstiller Tjenesten på, dvs. hvad Kundens brugere uploader, sender, forbinder og godkender.

3.3 Instruksen omfatter, at Docentra må bruge Kundens dokumenter og resultater til at teste Tjenesten og rette fejl i den, uden at videregive dem, og udarbejde statistik, der hverken identificerer Kunden eller nogen enkeltperson.

3.4 Docentra bruger ikke personoplysningerne til at træne AI-modeller. Docentra bruger kun AI-tjenester på vilkår, der ikke tillader udbyderne at træne modeller med oplysningerne.

3.5 Docentra underretter straks Kunden, hvis en instruks efter Docentras vurdering er i strid med databeskyttelsesreglerne.

4. Fortrolighed

Kun personer, der har brug for adgang for at levere Tjenesten, har adgang til personoplysningerne. De har alle tavshedspligt.

5. Sikkerhed

Docentra træffer de foranstaltninger, som databeskyttelsesforordningens artikel 32 kræver, bl.a. dem i bilag 2. Docentra kan ændre foranstaltningerne, så længe beskyttelsesniveauet ikke falder.

6. Underdatabehandlere

6.1 Kunden giver Docentra en generel godkendelse til at bruge underdatabehandlere. De underdatabehandlere, der står på Docentras liste, når Kunden accepterer aftalen, er godkendt. Listen oplyser for hver underdatabehandler navn, land, opgave og behandlingssted, og bilag 3 sammenfatter den. Kundens ejere og administratorer kan se listen i Tjenesten under Indstillinger › Juridisk. Listen hører til de fortrolige oplysninger efter vilkårene.

6.2 Docentra giver mindst 14 dages varsel på mail til Kundens brugere med rollen Ejer, før Docentra tager en ny underdatabehandler i brug eller udskifter en. I varslingsperioden kan Kunden gøre indsigelse af rimelige grunde, der vedrører databeskyttelse. Finder parterne ikke en løsning, kan Kunden bringe aftalen til ophør, inden ændringen træder i kraft, og få tilbagebetalt det, Kunden har forudbetalt for tiden efter ophøret.

6.3 Skal en underdatabehandler udskiftes med det samme for at beskytte personoplysningerne eller holde Tjenesten i gang, fx efter et sikkerhedsbrud, eller fordi underdatabehandleren lukker sin tjeneste, kan Docentra udskifte den uden varsel. Docentra giver i så fald Kundens brugere med rollen Ejer besked uden unødig forsinkelse. Kunden kan gøre indsigelse inden for 14 dage efter beskeden. Finder parterne ikke en løsning, kan Kunden opsige aftalen med øjeblikkelig virkning og få tilbagebetalt det, Kunden har forudbetalt for tiden efter ophøret.

6.4 Docentra pålægger ved kontrakt hver underdatabehandler de samme databeskyttelsesforpligtelser og hæfter fortsat fuldt ud for, at underdatabehandlerne opfylder dem.

6.5 Systemer, som Kunden selv forbinder til Tjenesten, fx Kundens regnskabssystem, er ikke Docentras underdatabehandlere.

7. Overførsel uden for EU og EØS

7.1 Docentra overfører kun personoplysninger til lande uden for EU og EØS som angivet i bilag 3. Det sker kun med et gyldigt overførselsgrundlag efter databeskyttelsesforordningens kapitel V, fx en tilstrækkelighedsafgørelse som den om EU-U.S. Data Privacy Framework eller Europa-Kommissionens standardkontraktbestemmelser.

7.2 Kunden kan på anmodning få Docentras vurdering af overførslerne.

8. Bistand

8.1 Kunden kan selv finde, eksportere, rette og slette personoplysninger i Tjenesten. Er det ikke nok til at besvare en anmodning fra en registreret, bistår Docentra Kunden.

8.2 Henvender en registreret sig til Docentra om Kundens data, sender Docentra henvendelsen videre til Kunden og besvarer den ikke selv.

8.3 Docentra bistår Kunden med behandlingssikkerhed, anmeldelse og underretning ved brud på persondatasikkerheden, konsekvensanalyser og forudgående høring (databeskyttelsesforordningens artikel 32–36), så vidt behandlingens karakter og de oplysninger, Docentra har adgang til, tillader det.

9. Brud på persondatasikkerheden

9.1 Docentra underretter Kunden om et brud på persondatasikkerheden, der berører Kundens data, uden unødig forsinkelse og senest 48 timer efter, at Docentra er blevet opmærksom på bruddet.

9.2 Underretningen beskriver, så vidt det er kendt, hvad der er sket, hvem og hvad der er berørt, hvilke konsekvenser bruddet sandsynligvis får, hvad Docentra har gjort, og hvem Kunden kan kontakte. Docentra eftersender oplysninger, der endnu ikke er kendt, så snart de foreligger.

10. Sletning og tilbagelevering

10.1 Kunden kan når som helst eksportere sine data.

10.2 En bruger med rollen Ejer kan slette Kundens virksomhed i Docentra under Indstillinger. Docentra sletter så virksomhedens data med det samme og fjerner dem fra backups inden for 30 dage.

10.3 Når aftalen ophører, har Kunden 30 dage til at eksportere sine data. Derefter sletter Docentra dem som beskrevet i punkt 10.2, medmindre loven kræver, at de opbevares. Docentra bekræfter sletningen, hvis Kunden beder om det.

11. Revision

11.1 Docentra giver Kunden de oplysninger, der er nødvendige for at påvise, at Docentra overholder denne aftale og databeskyttelsesforordningens artikel 28.

11.2 Er det ikke nok, kan Kunden foretage revision hos Docentra, enten selv eller gennem en uafhængig revisor med tavshedspligt. Revision kan ske højst én gang om året og med 30 dages varsel, medmindre et brud eller en tilsynsmyndighed kræver hyppigere revision. Hver part betaler sine egne omkostninger.

12. Ansvar

Parternes ansvar følger af vilkårene. Krav fra registrerede afgøres efter databeskyttelsesforordningens artikel 82.

13. Varighed og ændringer

13.1 Aftalen gælder, så længe Docentra behandler personoplysninger for Kunden.

13.2 Docentra kan med 30 dages varsel opdatere aftalen for at tilpasse den til en ændring i lovgivningen eller i Tjenesten. Sænker en opdatering beskyttelsen af personoplysningerne, kan Kunden opsige aftalen, så den ophører, inden opdateringen træder i kraft.

13.3 Aftalen er underlagt dansk ret, og tvister afgøres som beskrevet i vilkårene.

Bilag 1. Behandlingen

Formål. At levere Tjenesten: at modtage og læse Kundens leverandørdokumenter og mails, holde dem op mod Kundens aftaler og offentlige kilder, vise fund, besvare spørgsmål, eksportere data, forbinde Tjenesten med Kundens systemer, styre brugeradgang, yde support og sørge for sikkerheden.

Registrerede.

• Kundens brugere;
• kontaktpersoner hos Kundens leverandører og andre modparter;
• leverandører, der er fysiske personer, fx indehavere af enkeltmandsvirksomheder og private udlejere;
• andre, der er nævnt i dokumenterne, fx underskrivere, kautionister og Kundens egne medarbejdere; og
• personer, der sender mail til Kundens Docentra-adresse.

Personoplysninger.

• Brugere: navn, mailadresse, rolle og deres handlinger i Kundens virksomhed (aktivitetsloggen).
• Andre: navn, stilling, erhvervsmæssige kontaktoplysninger, underskrift og andre oplysninger om dem i dokumenterne, fx beløb, enkeltmandsvirksomheders bankoplysninger og CPR-numre, hvis et dokument indeholder dem.

Følsomme oplysninger. Ingen er tilsigtet. Bortset fra det, der står i Kundens leverandørdokumenter, sender Kunden ikke CPR-numre, følsomme oplysninger (databeskyttelsesforordningens artikel 9) eller oplysninger om strafbare forhold (artikel 10) til Docentra.

Varighed og opbevaring.

Sted. Kundens data opbevares i EU. Nogle underdatabehandlere behandler dele af dataene uden for EU, jf. bilag 3.

Bilag 2. Sikkerhedsforanstaltninger

• Adgang: kun personer, som Kunden har inviteret, og som har bekræftet deres mailadresse. Ejere og administratorer styrer indstillinger og brugere.
• Adskillelse: hver virksomheds data holdes adskilt fra andre kunders data. Docentras egne medarbejdere får kun adgang til Kundens data, når det er nødvendigt for at hjælpe Kunden, teste Tjenesten eller rette fejl i den.
• Kryptering: al trafik går over HTTPS. Originaldokumenter krypteres med en særskilt nøgle pr. virksomhed, og backups er krypterede.
• Hosting: serveren bruges kun af Docentra og tager ikke imod forbindelser fra internettet. Den administreres kun over et privat netværk med personlige nøgler.
• Logning: ændringer og beslutninger registreres i en aktivitetslog, som Kunden kan eksportere, og usædvanlig brug udløser en alarm.
• Backup: der tages backup af databasen løbende og hver nat. Backups kontrolleres hver dag, og det er afprøvet, at de kan gendannes.
• Udvikling: alle ændringer skal bestå automatiske test, før de sættes i drift, og afhængigheder overvåges for sårbarheder.
• Databeskyttelse gennem standardindstillinger: fejlrapporter og statistik indeholder ikke dokumenternes indhold, og i optagelser af Tjenesten er al tekst skjult.

Bilag 3. Underdatabehandlere