Databehandleraftale

Kort fortalt

• Når vi bogfører for jer og viser rapporter, svar og bilag i kundeportalen, behandler vi personoplysninger på jeres vegne. I er dataansvarlige, og vi er databehandler. Det kræver en skriftlig aftale efter databeskyttelsesforordningens artikel 28.
• Bestemmelserne 2–15 følger opbygningen i Datatilsynets standardkontraktsbestemmelser. Det, der er særligt for kundeportalen, står i bilag A–D: hvilke oplysninger, hvilke leverandører, hvilken sikkerhed, og hvornår vi sletter.
• Oplysninger om jeres brugeres login til portalen er vi selv dataansvarlige for. Det står i privatlivspolitikken.

Skal afklares: Aftalen dækker kun kundeportalen. Har parterne allerede en databehandleraftale om selve bogføringen, bør denne aftale gøres til et tillæg til den. Udfører Grønbech Revision erklæringsopgaver som godkendt revisor, er de ikke omfattet, for dér er revisor selv dataansvarlig. Juristen bør bekræfte rollefordelingen: at en bogholder er databehandler, følger af de almindelige regler, men Datatilsynet har ikke udtalt sig særskilt om bogholdere.

Parterne

Den dataansvarlige

Kunden: den virksomhed, der har en aftale med Grønbech Revision om bogføring og har fået adgang til kundeportalen. Virksomhedens navn og CVR-nummer står i kundeaftalen og i portalen.

Databehandleren

Grønbech Solutions ApS (Grønbech Revision), CVR 46289773, Glarmestervej 16A, 1. th., 8600 Silkeborg.

Parterne har aftalt følgende bestemmelser for at overholde databeskyttelsesforordningen og sikre beskyttelsen af de registreredes rettigheder.

1. Indhold

Aftalen består af bestemmelserne 2–15 og bilag A–D. Nummereringen følger Datatilsynets standardkontraktsbestemmelser, hvor afsnit 1 er indholdsfortegnelsen.

2. Præambel

1. 2.1
   Disse bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når databehandleren behandler personoplysninger på vegne af den dataansvarlige.
2. 2.2
   Bestemmelserne er udformet, så parterne efterlever artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (databeskyttelsesforordningen).
3. 2.3
   Databehandleren behandler personoplysninger på vegne af den dataansvarlige som led i, at databehandleren fører bogholderi for den dataansvarlige og stiller kundeportalen til rådighed.
4. 2.4
   Bestemmelserne har forrang for tilsvarende bestemmelser i andre aftaler mellem parterne.
5. 2.5
   Der hører fire bilag til bestemmelserne, og bilagene er en integreret del af dem.
6. 2.6
   Bilag A indeholder oplysninger om behandlingen: formål og karakter, typen af personoplysninger, kategorierne af registrerede og behandlingens varighed.
7. 2.7
   Bilag B indeholder den dataansvarliges betingelser for, at databehandleren bruger underdatabehandlere, og en liste over de underdatabehandlere, den dataansvarlige har godkendt.
8. 2.8
   Bilag C indeholder den dataansvarliges instruks om behandlingen, en beskrivelse af de sikkerhedsforanstaltninger, databehandleren som minimum skal gennemføre, og hvordan der føres tilsyn med databehandleren og underdatabehandlerne.
9. 2.9
   Bilag D indeholder bestemmelser om andre forhold, som ikke er omfattet af bestemmelserne.
10. 2.10
    Bestemmelserne med bilag opbevares skriftligt, herunder elektronisk, af begge parter.
11. 2.11
    Bestemmelserne frigør ikke databehandleren fra forpligtelser, som databehandleren har efter databeskyttelsesforordningen eller anden lovgivning.

3. Den dataansvarliges rettigheder og forpligtelser

1. 3.1
   Den dataansvarlige er ansvarlig for, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (se artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller dansk ret og disse bestemmelser.
2. 3.2
   Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må behandles personoplysninger.
3. 3.3
   Den dataansvarlige er blandt andet ansvarlig for, at der er et behandlingsgrundlag for den behandling, databehandleren instrueres i at foretage.

4. Databehandleren handler efter instruks

1. 4.1
   Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves efter EU-ret eller dansk ret, som databehandleren er underlagt. Instruksen står i bilag A og C. Den dataansvarlige kan give yderligere instruks, mens behandlingen står på, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med bestemmelserne.
2. 4.2
   Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller dansk ret.

5. Fortrolighed

1. 5.1
   Databehandleren må kun give adgang til personoplysninger, der behandles på den dataansvarliges vegne, til personer, som er underlagt databehandlerens instruktionsbeføjelse, og som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Listen over personer med adgang gennemgås løbende, og adgangen lukkes, når den ikke længere er nødvendig.
2. 5.2
   Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer er underlagt tavshedspligt.

6. Behandlingssikkerhed

1. 6.1

   Efter databeskyttelsesforordningens artikel 32 gennemfører den dataansvarlige og databehandleren passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til risiciene. Det sker under hensyn til det aktuelle tekniske niveau, omkostningerne, behandlingens karakter, omfang, sammenhæng og formål og risiciene for fysiske personers rettigheder og frihedsrettigheder.

   Den dataansvarlige vurderer risiciene og gennemfører foranstaltninger for at imødegå dem. Afhængigt af relevansen kan det omfatte:

   • pseudonymisering og kryptering af personoplysninger,
   • evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af systemerne,
   • evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger efter en fysisk eller teknisk hændelse,
   • en procedure for regelmæssig afprøvning, vurdering og evaluering af, om foranstaltningerne virker.
2. 6.2
   Efter artikel 32 skal databehandleren også selv, uafhængigt af den dataansvarlige, vurdere risiciene ved behandlingen og gennemføre foranstaltninger for at imødegå dem. Den dataansvarlige stiller den nødvendige information til rådighed, så databehandleren kan identificere og vurdere risiciene.
3. 6.3
   Databehandleren bistår den dataansvarlige med at overholde artikel 32 ved blandt andet at oplyse om de foranstaltninger, databehandleren allerede har gennemført, og give anden information, der er nødvendig. Vurderer den dataansvarlige, at der skal mere til end det, databehandleren har gennemført, angiver den dataansvarlige de yderligere foranstaltninger i bilag C.

7. Anvendelse af underdatabehandlere

1. 7.1
   Databehandleren opfylder betingelserne i databeskyttelsesforordningens artikel 28, stk. 2 og 4, for at bruge en anden databehandler (en underdatabehandler).
2. 7.2
   Databehandleren må ikke bruge en underdatabehandler til at opfylde bestemmelserne uden forudgående generel skriftlig godkendelse fra den dataansvarlige.
3. 7.3
   Databehandleren har den dataansvarliges generelle godkendelse til at bruge underdatabehandlere. Databehandleren underretter skriftligt den dataansvarlige om planlagte tilføjelser eller udskiftninger med mindst Skal afklares: 30 dages varsel, så den dataansvarlige kan gøre indsigelse, før underdatabehandleren tages i brug. De underdatabehandlere, den dataansvarlige allerede har godkendt, står i bilag B.
4. 7.4
   Bruger databehandleren en underdatabehandler til bestemte behandlingsaktiviteter på vegne af den dataansvarlige, pålægger databehandleren i en kontrakt eller et andet retligt dokument underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der står i disse bestemmelser. Underdatabehandleren skal navnlig give tilstrækkelige garantier for at gennemføre passende tekniske og organisatoriske foranstaltninger.
5. 7.5
   Underdatabehandleraftaler og senere ændringer af dem sendes efter anmodning i kopi til den dataansvarlige, som dermed kan sikre sig, at underdatabehandleren er pålagt tilsvarende forpligtelser. Kommercielle vilkår, der ikke påvirker databeskyttelsen, skal ikke sendes.
6. 7.6
   Databehandleren skal i sin aftale med underdatabehandleren indføje den dataansvarlige som begunstiget tredjemand, hvis databehandleren går konkurs, så den dataansvarlige kan indtræde i databehandlerens rettigheder og gøre dem gældende over for underdatabehandleren, fx instruere underdatabehandleren i at slette eller tilbagelevere personoplysningerne. Skal afklares: Underdatabehandlerne i bilag B bruges på deres standardvilkår, som normalt ikke har denne ret. Juristen bør tage stilling til, om bestemmelsen skal tilpasses.
7. 7.7
   Opfylder underdatabehandleren ikke sine databeskyttelsesforpligtelser, er databehandleren fuldt ansvarlig over for den dataansvarlige for, at underdatabehandlerens forpligtelser opfyldes. Det påvirker ikke de registreredes rettigheder efter databeskyttelsesforordningen, herunder artikel 79 og 82, over for den dataansvarlige og databehandleren, herunder underdatabehandleren.

8. Overførsel til tredjelande eller internationale organisationer

1. 8.1
   Databehandleren må kun overføre personoplysninger til tredjelande eller internationale organisationer efter dokumenteret instruks fra den dataansvarlige og altid i overensstemmelse med databeskyttelsesforordningens kapitel V.
2. 8.2
   Kræves en overførsel, som databehandleren ikke er instrueret i, efter EU-ret eller dansk ret, som databehandleren er underlagt, underretter databehandleren den dataansvarlige om kravet inden behandlingen, medmindre retten forbyder det af hensyn til vigtige samfundsinteresser.
3. 8.3

   Uden dokumenteret instruks fra den dataansvarlige kan databehandleren altså ikke inden for bestemmelserne:

   • overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland eller en international organisation,
   • overlade behandlingen af personoplysninger til en underdatabehandler i et tredjeland,
   • behandle personoplysningerne i et tredjeland.
4. 8.4
   Den dataansvarliges instruks om overførsel af personoplysninger til et tredjeland, herunder overførselsgrundlaget i databeskyttelsesforordningens kapitel V, står i bilag C.6.
5. 8.5
   Bestemmelserne må ikke forveksles med standardkontraktbestemmelser efter databeskyttelsesforordningens artikel 46, stk. 2, litra c og d, og de kan ikke være et overførselsgrundlag efter kapitel V.

9. Bistand til den dataansvarlige

1. 9.1

   Databehandleren bistår, under hensyn til behandlingens karakter, så vidt muligt den dataansvarlige med passende tekniske og organisatoriske foranstaltninger, så den dataansvarlige kan besvare anmodninger fra registrerede, der vil bruge deres rettigheder efter databeskyttelsesforordningens kapitel III. Det gælder:

   • oplysningspligten, når personoplysninger indsamles hos den registrerede og hos andre,
   • indsigtsretten,
   • retten til berigtigelse,
   • retten til sletning,
   • retten til begrænsning af behandling,
   • underretningspligten ved berigtigelse, sletning eller begrænsning,
   • retten til dataportabilitet,
   • retten til indsigelse,
   • retten til ikke at være genstand for en afgørelse, der alene bygger på automatisk behandling.
2. 9.2

   Databehandleren bistår derudover, under hensyn til behandlingens karakter og de oplysninger, databehandleren har, den dataansvarlige med:

   • at anmelde brud på persondatasikkerheden til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at den dataansvarlige har fået kendskab til bruddet, medmindre det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder,
   • at underrette de registrerede om bruddet, når det sandsynligvis indebærer en høj risiko for dem,
   • at analysere konsekvenserne for databeskyttelsen forud for en behandling (konsekvensanalyse),
   • at høre Datatilsynet inden behandlingen, hvis konsekvensanalysen viser en høj risiko, som den dataansvarlige ikke har begrænset.
3. 9.3
   Parterne angiver i bilag C, hvordan og i hvilket omfang databehandleren bistår den dataansvarlige efter 9.1 og 9.2.

10. Underretning om brud på persondatasikkerheden

1. 10.1
   Databehandleren underretter den dataansvarlige uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden.
2. 10.2
   Underretningen sker om muligt senest Skal afklares: 48 timer efter, at databehandleren er blevet opmærksom på bruddet, så den dataansvarlige kan nå at anmelde det til Datatilsynet inden for 72 timer.
3. 10.3

   Databehandleren bistår den dataansvarlige med anmeldelsen til Datatilsynet. Det kan betyde, at databehandleren skal hjælpe med at skaffe de oplysninger, anmeldelsen skal indeholde efter artikel 33, stk. 3:

   • bruddets karakter, herunder om muligt kategorierne og det omtrentlige antal af berørte registrerede og af berørte registreringer,
   • de sandsynlige konsekvenser af bruddet,
   • de foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet og begrænse dets skadevirkninger.
4. 10.4
   Parterne angiver i bilag C de oplysninger, databehandleren skal skaffe, når databehandleren bistår den dataansvarlige med at anmelde et brud.

11. Sletning og returnering af oplysninger

1. 11.1
   Når tjenesterne om behandling af personoplysninger ophører, tilbageleverer databehandleren de personoplysninger, den dataansvarlige beder om, og sletter derefter alle personoplysninger, der er behandlet på vegne af den dataansvarlige, medmindre EU-ret eller dansk ret kræver, at de opbevares. Databehandleren bekræfter sletningen over for den dataansvarlige. Hvordan og hvornår står i bilag C.4.

12. Revision, herunder inspektion

1. 12.1
   Databehandleren stiller alle oplysninger, der er nødvendige for at påvise, at databeskyttelsesforordningens artikel 28 og disse bestemmelser overholdes, til rådighed for den dataansvarlige. Databehandleren giver mulighed for og bidrager til revisioner, herunder inspektioner, som foretages af den dataansvarlige eller en revisor, den dataansvarlige har bemyndiget.
2. 12.2
   Procedurerne for den dataansvarliges revisioner, herunder inspektioner, hos databehandleren og underdatabehandlerne står i bilag C.7 og C.8.
3. 12.3
   Databehandleren giver tilsynsmyndigheder, som efter lovgivningen har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter for dem, adgang til sine fysiske faciliteter mod behørig legitimation.

13. Parternes aftale om andre forhold

1. 13.1
   Parterne kan aftale andre bestemmelser om tjenesten, fx om erstatningsansvar, så længe de ikke direkte eller indirekte strider mod disse bestemmelser eller forringer de registreredes grundlæggende rettigheder og frihedsrettigheder efter databeskyttelsesforordningen. De står i bilag D.

14. Ikrafttræden og ophør

1. 14.1
   Bestemmelserne træder i kraft, når begge parter har tiltrådt dem. Skal afklares: Hvordan kunden tiltræder aftalen, er ikke besluttet: ved underskrift, som en del af kundeaftalen eller ved en aktiv accept i portalen. Portalen registrerer i dag ikke en accept.
2. 14.2
   Begge parter kan kræve bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i bestemmelserne giver anledning til det.
3. 14.3
   Bestemmelserne gælder, så længe tjenesten om behandling af personoplysninger varer. I den periode kan de ikke opsiges, medmindre parterne aftaler andre bestemmelser, der regulerer tjenesten.
4. 14.4
   Ophører tjenesten, og er personoplysningerne slettet eller returneret til den dataansvarlige efter 11.1 og bilag C.4, kan hver part opsige bestemmelserne skriftligt.

15. Kontaktpersoner hos den dataansvarlige og databehandleren

1. 15.1
   Parterne kan kontakte hinanden gennem kontaktpersonerne herunder.
2. 15.2
   Parterne orienterer løbende hinanden om ændringer i kontaktpersonerne.

Den dataansvarlige

Kundens kontaktperson efter kundeaftalen. Meddelelser sendes til den e-mail, kunden har oplyst.

Databehandleren

Grønbech Revision, kontor@gronbechrevision.dk, +45 71 74 17 47. Skal afklares: Navn og stilling på kontaktpersonen mangler.

Bilag A. Oplysninger om behandlingen

A.1 Formålet med behandlingen

At databehandleren kan føre bogholderi for den dataansvarlige og bruge kundeportalen til det: vise månedsrapporter for den dataansvarliges brugere, modtage deres svar og bilag til åbne punkter og skrive med dem om punkterne.

A.2 Behandlingens karakter

• Bogholderen lægger månedsrapporten op som PDF. Rapporten gemmes både som PDF og som struktureret indhold.
• PDF'en læses af en sprogmodel (Claude fra Anthropic), som omsætter den til det strukturerede indhold. Portalen tjekker tallene mod PDF'en, og en bogholder gennemgår og godkender rapporten, før den udgives.
• Den dataansvarliges brugere læser rapporten, henter PDF'en, skriver svar og sender bilag (filer).
• Bogholderne læser svar og bilag, markerer punkter som behandlet og skriver beskeder til brugerne.
• Portalen sender mails til brugerne om en ny rapport og om en ny besked.
• Oplysningerne opbevares, til de slettes efter bilag C.4.

A.3 Typer af personoplysninger

Portalen har ingen felter til bestemte personoplysninger om andre end brugerne. Hvilke oplysninger der behandles, afhænger af, hvad rapporterne, svarene og bilagene indeholder. Det vil typisk være almindelige personoplysninger:

• navne og kontaktoplysninger på personer, der er nævnt i rapporter, svar og bilag,
• økonomiske oplysninger, fx omsætning, resultat, moms, skat, bankbevægelser, tilgodehavender og gæld. I en enkeltmandsvirksomhed er virksomhedens økonomi oplysninger om ejeren,
• oplysninger på fakturaer, kvitteringer, kontoudtog og andre bilag, fx køb, betalinger og kontonumre,
• brugernes e-mail og tidspunkterne for deres svar og bilag.

Skal afklares: Bekræft, om bilagene også kan indeholde lønoplysninger og CPR-numre (fx lønsedler). I så fald skal det stå her. Portalen er ikke beregnet til følsomme oplysninger efter databeskyttelsesforordningens artikel 9, fx helbredsoplysninger, og den dataansvarlige bør ikke sende dem i portalen.

A.4 Kategorier af registrerede

• den dataansvarliges ejere og ledelse,
• den dataansvarliges medarbejdere,
• den dataansvarliges kunder, leverandører og andre forretningsforbindelser, når de er enkeltpersoner eller kontaktpersoner,
• den dataansvarliges brugere af kundeportalen.

A.5 Behandlingens varighed

Behandlingen varer, så længe den dataansvarlige er kunde hos databehandleren og har adgang til kundeportalen, og indtil oplysningerne er slettet efter bilag C.4.

Bilag B. Underdatabehandlere

B.1 Godkendte underdatabehandlere

Når bestemmelserne træder i kraft, har den dataansvarlige godkendt disse underdatabehandlere:

Den dataansvarlige har godkendt, at de nævnte underdatabehandlere bruges til den beskrevne behandling. Databehandleren må ikke bruge en underdatabehandler til en anden behandling eller lade en anden underdatabehandler udføre den uden at følge B.2.

B.2 Varsel for nye underdatabehandlere

Databehandleren giver den dataansvarlige besked på mail til kundens kontaktperson mindst Skal afklares: 30 dage før, en underdatabehandler tilføjes eller udskiftes, og retter listen her på siden. Gør den dataansvarlige indsigelse inden for varslet, finder parterne en løsning. Kan de ikke det, kan den dataansvarlige opsige brugen af kundeportalen.

Bilag C. Instruks vedrørende behandling af personoplysninger

C.1 Behandlingens genstand og instruks

Databehandleren behandler personoplysninger på vegne af den dataansvarlige ved at udføre det, der står i bilag A.2: opbevare og vise rapporter, svar, bilag og beskeder i kundeportalen for den dataansvarliges brugere og for de bogholdere, der arbejder med den dataansvarlige, lade rapportens PDF læse af sprogmodellen, sende mails til brugerne og slette oplysningerne efter C.4.

C.2 Behandlingssikkerhed

Sikkerhedsniveauet skal afspejle, at der behandles almindelige, men fortrolige oplysninger om virksomheders og personers økonomi. Databehandleren har ret og pligt til at beslutte, hvilke tekniske og organisatoriske foranstaltninger der skal til, og skal som minimum gennemføre disse, som er aftalt med den dataansvarlige:

• Adskillelse af kunder. Adgangen håndhæves i databasen for hver række: en kundes brugere kan kun hente deres egen virksomheds udgivne rapporter, svar, bilag og beskeder. Reglerne afprøves med automatiske tests.
• Adgang efter behov hos databehandleren. En bogholder ser kun de kunder, bogholderen er tildelt, og kun svar og bilag med en særskilt rettighed. Kun én administrator kan tildele adgang, afslutte og slette kunder. Adgangen fjernes, når en bogholder ikke længere skal arbejde med kunden.
• Personlige logins. Et login oprettes kun med et invitationslink, der virker i 7 dage og kun én gang, og som er bundet til den e-mail, invitationen blev sendt til. Kun en hashværdi af linkets nøgle gemmes. Adgangskoden skal være på mindst 8 tegn og gemmes kun som hashværdi. Gentagne loginforsøg begrænses.
• Kryptering. Al trafik mellem brugeren, portalen og underdatabehandlerne er krypteret (TLS). Skal afklares: Kryptering af de lagrede data hos Supabase skal bekræftes i Supabases dokumentation.
• Filer. Rapporternes PDF'er og bilagene ligger i lukkede lagre uden offentlig adgang. De hentes kun gennem links, der virker i 60 sekunder, og som portalen først laver, når den har tjekket adgangen. Et bilag må højst fylde 20 MB, og kun almindelige dokument- og billedformater modtages. Der kan være op til 30 bilag til et punkt.
• Beskyttelse i browseren. Portalen kører kun sine egne scripts, kan ikke vises inde i andre sider og er lukket for søgemaskiner. Der bruges ingen statistik- eller sporingsværktøjer.
• Nøgler. Nøglerne til databasen, mailtjenesten og sprogmodellen ligger kun på serveren og aldrig i browseren eller i kildekoden.
• Logning. Portalens egen driftslog indeholder fejl og tekniske id'er, men ikke indholdet af rapporter, svar eller bilag.
• Sprogmodellen. Kun rapportens PDF sendes til sprogmodellen. Brugernes logins, svar og bilag sendes ikke. En bogholder gennemgår altid resultatet, før rapporten udgives.
• Sikkerhedskopi. Der tages dagligt en sikkerhedskopi af databasen. Filerne (rapporternes PDF'er og bilagene) er ikke med i sikkerhedskopien. Den dataansvarlige skal derfor selv gemme originalerne af de bilag, der sendes i portalen.

C.3 Bistand til den dataansvarlige

Databehandleren bistår så vidt muligt den dataansvarlige efter bestemmelse 9.1 og 9.2 på denne måde:

• Den dataansvarliges brugere kan selv se virksomhedens rapporter, svar, bilag og beskeder i portalen og selv rette et svar og fjerne et bilag.
• Efter anmodning til kontor@gronbechrevision.dk finder, udleverer, retter eller sletter databehandleren oplysninger om en bestemt person og udleverer rapporter og bilag som filer.
• Ved et brud på persondatasikkerheden oplyser databehandleren det, der står i bestemmelse 10.3, så langt databehandleren kender det: hvad der er sket og hvornår, hvilke kunder, brugere og oplysninger der er berørt, de sandsynlige konsekvenser, og hvad der er gjort og bør gøres.

C.4 Opbevaringsperiode og sletterutine

• Oplysningerne opbevares i kundeportalen, så længe den dataansvarlige er kunde og har adgang.
• Når kundeforholdet ophører, aftaler parterne den sidste dag, den dataansvarliges brugere har adgang. Til og med den dag kan brugerne hente rapporternes PDF'er. Bilagene kan databehandleren udlevere som samlede filer.
• Efter den dag kan den dataansvarliges brugere ikke se noget i portalen. Databehandleren sletter derefter alt om den dataansvarlige i portalen Skal afklares: senest [antal] dage efter, at adgangen er lukket: brugernes logins, rapporterne med PDF'er, svar, bilag, beskeder, invitationer og oplysningerne om abonnementet. Sletningen kan ikke fortrydes, og databehandleren bekræfter den efter anmodning.
• Sikkerhedskopier af databasen gemmes hos Supabase i 7 dage og overskrives derefter. Slettede oplysninger kan derfor findes i en sikkerhedskopi i op til 7 dage efter sletningen.
• Beder den dataansvarlige om det, sletter databehandleren tidligere, eller sletter en enkelt bruger, en rapport eller et bilag.
• Skal afklares: Bogføringsmateriale, som databehandleren opbevarer uden for kundeportalen, er ikke omfattet af denne sletterutine. Juristen bør beskrive, hvad der gælder for det, herunder pligter efter bogføringsloven og hvidvaskloven.

C.5 Lokalitet for behandling

Personoplysningerne behandles hos databehandleren på Glarmestervej 16A, 1. th., 8600 Silkeborg, og hos underdatabehandlerne på de steder, der står i bilag B. Behandlingen må ikke uden den dataansvarliges forudgående skriftlige godkendelse ske andre steder.

C.6 Instruks om overførsel af personoplysninger til tredjelande

Den dataansvarlige instruerer databehandleren i at overføre personoplysninger til de underdatabehandlere i tredjelande, der står i bilag B, med det overførselsgrundlag, der står ved hver af dem:

• Supabase: Portalens data ligger i Stockholm, men Supabase og Supabases egne underleverandører uden for EU/EØS (bl.a. i Singapore og USA) kan få adgang, fx ved support og drift. Grundlaget er EU-Kommissionens standardkontraktbestemmelser, som er en del af Supabases databehandleraftale.
• Vercel: Oplysninger kan blive behandlet i USA. Vercel Inc. er certificeret under EU-U.S. Data Privacy Framework (EU-Kommissionens afgørelse om tilstrækkeligt beskyttelsesniveau), og Vercels databehandleraftale indeholder desuden EU-Kommissionens standardkontraktbestemmelser.
• Resend: Mails og oplysninger om dem gemmes i USA. Plus Five Five, Inc. står på listen over deltagere i EU-U.S. Data Privacy Framework, og Resends databehandleraftale indeholder desuden EU-Kommissionens standardkontraktbestemmelser.
• Anthropic (Claude): Rapportens PDF behandles og gemmes i op til 30 dage i USA og kan blive behandlet i andre lande uden for EU/EØS. Grundlaget er EU-Kommissionens standardkontraktbestemmelser, som er en del af Anthropics databehandleraftale. Anthropic er ikke certificeret under EU-U.S. Data Privacy Framework.

Har den dataansvarlige ikke i bestemmelserne eller senere givet en dokumenteret instruks om en overførsel til et tredjeland, må databehandleren ikke foretage den inden for bestemmelserne.

C.7 Den dataansvarliges revision og inspektion hos databehandleren

Databehandleren giver efter anmodning den dataansvarlige en skriftlig redegørelse for, hvordan bestemmelserne og foranstaltningerne i C.2 overholdes. Den dataansvarlige eller en repræsentant for den dataansvarlige kan derudover med rimeligt varsel føre tilsyn hos databehandleren, herunder en fysisk inspektion, når den dataansvarlige vurderer, at der er behov for det. Skal afklares: Databehandleren får ikke udarbejdet en revisionserklæring (fx ISAE 3000) om portalen. Juristen bør vurdere, om redegørelse og inspektion er nok, og hvem der betaler for en inspektion.

C.8 Revision og inspektion hos underdatabehandlere

Databehandleren fører tilsyn med underdatabehandlerne ved at gennemgå de revisionserklæringer, certificeringer og sikkerhedsbeskrivelser, underdatabehandlerne stiller til rådighed, og ved at følge deres meddelelser om sikkerhedshændelser og ændringer i deres egne underdatabehandlere. Den dataansvarlige kan efter anmodning få oplyst, hvad tilsynet har vist.

Bilag D. Parternes regulering af andre forhold

Skal afklares: Her skrives det, parterne i øvrigt aftaler, fx betaling for bistand efter bestemmelse 9 og 12, og hvordan ansvar og ansvarsbegrænsning i kundeaftalen gælder for databehandlingen. Intet er aftalt i dette udkast.