Databehandleraftale

Kunden er dataansvarlig, og ADD SmartDrift ApS er databehandler. Aftalen er en del af hovedaftalen. Ved modstrid om behandling af personoplysninger har denne databehandleraftale forrang.

Behandlingen består i hosting, organisering, generering, analyse, transmission, support, sikkerhedskopiering og sletning, som er nødvendig for kundens brug af platformen. Behandlingen varer fra kontoens aktivering til data er slettet eller tilbageleveret efter ophør.

• Formål: websites, leadhåndtering, marketing, AI-assistance, fakturering, bilag, bank, bogføring og de funktioner kunden aktiverer.
• Registrerede: kundens medarbejdere, kontaktpersoner, websitebesøgende, leads, kunder, leverandører og andre personer i kundens materiale.
• Datatyper: identitets- og kontaktoplysninger, online-id’er, kommunikation, virksomhedsdata, faktura- og betalingsoplysninger, bilag, brugerindhold og tekniske metadata. Kunden må ikke uden særskilt aftale anvende platformen til følsomme oplysninger efter artikel 9 eller strafbare forhold.

Databehandleren behandler kun oplysninger efter dokumenteret instruks i hovedaftalen, denne aftale, kundens konfiguration og lovlige handlinger i platformen. Hvis en instruks efter databehandlerens vurdering strider mod databeskyttelsesreglerne, orienteres kunden, og behandlingen kan sættes i bero.

Personer med adgang er underlagt fortrolighed og får kun adgang efter arbejdsbetinget behov. Foranstaltninger omfatter rollebaseret adgang, krypteret transport, kryptering af hemmeligheder og backups, brugerafgrænsning, logning, integritetskontrol, ratebegrænsning, backup og beredskab. Foranstaltningerne justeres efter risiko og teknologisk udvikling.

Kunden giver generel skriftlig godkendelse til leverandørerne på den aktuelle liste. Væsentlige nye underdatabehandlere varsles normalt 30 dage før. Kunden kan gøre en sagligt begrundet databeskyttelsesindsigelse. Kan en løsning ikke findes, kan den berørte funktion eller aftalen ophøre.

Overførsel uden for EU/EØS sker kun med et gyldigt grundlag efter GDPR kapitel V. Databehandleren indgår nødvendige standardkontraktbestemmelser og anvender relevante supplerende foranstaltninger.

Databehandleren bistår, under hensyn til behandlingens karakter, med registreredes rettigheder, konsekvensanalyser, forhåndshøringer, sikkerhed og dokumentation. Omfattende bistand ud over normal drift kan faktureres efter forudgående aftale.

Bekræftede brud, der berører kundens data, meddeles uden unødig forsinkelse med de tilgængelige oplysninger om hændelsen, berørte data, sandsynlige konsekvenser og afhjælpning. Databehandleren dokumenterer og begrænser hændelsen. Kunden er ansvarlig for eventuel anmeldelse til tilsyn og registrerede.

Ved ophør kan kunden eksportere data. Derefter slettes eller anonymiseres data efter de offentliggjorte frister, medmindre EU- eller dansk ret kræver fortsat opbevaring. Sikkerhedskopier udfases efter deres rotations- eller lovpligtige periode og er beskyttet mod almindelig aktiv brug.

Databehandleren stiller rimelig dokumentation om sikkerhed og efterlevelse til rådighed. Kunden kan én gang årligt gennemføre eller få gennemført en saglig revision med mindst 30 dages varsel, uden adgang til andre kunders data og uden unødig driftsforstyrrelse. Revision efter en konkret hændelse kan gennemføres med kortere varsel.