Databehandleraftale
Firma360 ApS

1. 1.Disse Bestemmelser regulerer databehandlerens behandling af personoplysninger på vegne af den dataansvarlige i henhold til databeskyttelsesforordningens artikel 28, stk. 3.
2. 2.Bestemmelserne består af 15 punkter og 4 bilag (A–D), der alle udgør en integreret del af aftalen.
3. 3.Parterne er henholdsvis den dataansvarlige og databehandleren, som angivet på forsiden.

1. 1.Disse Bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige.
2. 2.Disse bestemmelser er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (databeskyttelsesforordningen).
3. 3.Nærværende Aftale er Firma360 ApS' standarddatabehandleraftale, offentliggjort på https://firma360.dk/dba/. Databehandleren behandler udelukkende personoplysninger på vegne af den dataansvarlige og ikke til egne formål.
4. 4.Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.
5. 5.Der hører fire bilag til disse Bestemmelser, og bilagene udgør en integreret del af Bestemmelserne.
6. 6–9.Bilag A–D indeholder henholdsvis oplysninger om behandlingen, underdatabehandlere, instruks og andre forhold.
7. 10.Bestemmelserne med tilhørende bilag skal opbevares skriftligt af begge parter. Den gældende version er tilgængelig på firma360.dk/dba/.
8. 11.Disse Bestemmelser frigør ikke databehandleren fra forpligtelser pålagt efter databeskyttelsesforordningen eller anden lovgivning.

1. 1.Den dataansvarlige er ansvarlig for at sikre, at behandlingen sker i overensstemmelse med databeskyttelsesforordningen og disse Bestemmelser.
2. 2.Den dataansvarlige har ret og pligt til at træffe beslutninger om formål og hjælpemidler for behandlingen.
3. 3.Den dataansvarlige er ansvarlig for at sikre et lovligt behandlingsgrundlag.
4. 4.Den dataansvarlige bekræfter ved indgåelse af disse Bestemmelser, at:

• a)personoplysninger behandles i overensstemmelse med gældende databeskyttelseslovgivning;
• b)der er et lovligt grundlag for behandling og videregivelse til databehandleren;
• c)den dataansvarlige har ansvaret for nøjagtighed, integritet og lovlighed af personoplysningerne;
• d)oplysningsforpligtelser over for de registrerede er opfyldt; og
• e)de relevante garantier for tekniske og organisatoriske sikkerhedsforanstaltninger er på plads.

1. 1.Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre EU-ret eller national ret kræver andet. Instruksen er specificeret i bilag A og C.
2. 2.Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med forordningen.
3. 3.Er en instruks ulovlig efter databehandlerens rimelige vurdering, kan databehandleren ophøre med videre behandling end opbevaring, indtil supplerende instruks afgives. Ophøret anses ikke for misligholdelse.

1. 1.Databehandleren må kun give adgang til personoplysninger til personer underlagt instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt, og kun i nødvendigt omfang. Listen over adgangsberettigede gennemgås løbende.
2. 2.Databehandleren skal efter anmodning kunne påvise, at de relevante personer er underlagt tavshedspligten.
3. 3.Fortrolighedsforpligtelsen gælder ligeledes efter Bestemmelsernes ophør.

1. 1.Parterne gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau svarende til risiciene, jf. forordningens artikel 32, herunder:

• a)pseudonymisering og kryptering af personoplysninger;
• b)vedvarende fortrolighed, integritet, tilgængelighed og robusthed;
• c)evne til rettidigt at genoprette adgangen ved hændelser; og
• d)procedure for regelmæssig afprøvning og evaluering af foranstaltningernes effektivitet.

1. 2.Databehandleren vurderer uafhængigt risiciene og gennemfører foranstaltninger for at imødegå disse.
2. 3.Databehandleren bistår den dataansvarlige med overholdelse af artikel 32. Yderligere påkrævede foranstaltninger angives i bilag C.

1. 1.Databehandleren skal opfylde betingelserne i forordningens artikel 28, stk. 2 og 4, for at gøre brug af en underdatabehandler.
2. 2.Brug af underdatabehandler kræver forudgående generel skriftlig godkendelse fra den dataansvarlige.
3. 3.Den dataansvarlige har givet generel godkendelse. Databehandleren underretter med mindst 30 dages varsel om tilføjelse eller udskiftning af underdatabehandlere. Listen fremgår af bilag B.
4. 4.Underdatabehandleren pålægges de samme databeskyttelsesforpligtelser som fremgår af disse Bestemmelser.
5. 5.Underdatabehandleraftaler sendes i kopi til den dataansvarlige efter anmodning.
6. 6.Databehandleren forbliver fuldt ansvarlig over for den dataansvarlige, selvom en underdatabehandler ikke opfylder sine forpligtelser.

1. 1.Overførsel til tredjelande må kun ske på baggrund af dokumenteret instruks og i overensstemmelse med forordningens kapitel V.
2. 2.Kræves overførsel af EU-ret eller national ret, underrettes den dataansvarlige herom, medmindre retten forbyder det.
3. 3.Uden dokumenteret instruks må databehandleren ikke overføre oplysninger til tredjelande, overlade behandling til underdatabehandlere i tredjelande eller behandle oplysninger i tredjelande.
4. 4.Instruksen vedrørende tredjelande fremgår af bilag C.6.
5. 5.Disse Bestemmelser udgør ikke i sig selv et overførselsgrundlag jf. forordningens kapitel V.

1. 1.Databehandleren bistår med opfyldelse af de registreredes rettigheder (forordningens kapitel III). Anmodninger fra registrerede videresendes omgående til den dataansvarlige. Bistand omfatter bl.a.:

• a–b)Oplysningspligter ved indsamling og uden for indsamling
• c)Indsigtsretten
• d)Retten til berigtigelse
• e)Retten til sletning ("retten til at blive glemt")
• f)Retten til begrænsning af behandling
• g)Underretningspligten ved berigtigelse/sletning
• h)Retten til dataportabilitet
• i)Retten til indsigelse
• j)Retten til ikke at være genstand for automatiske afgørelser

1. 2.Databehandleren bistår endvidere med anmeldelse af brud (72 timer), underretning af registrerede, konsekvensanalyser og forudgående høring af Datatilsynet.
2. 3.Nærmere foranstaltninger fremgår af bilag C.

1. 1.Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at have konstateret et brud på persondatasikkerheden.
2. 2.Underretning sker om muligt senest 48 timer efter bruddet er konstateret, så den dataansvarlige kan overholde 72-timers anmeldepligten til Datatilsynet (artikel 33).
3. 3.Databehandleren bistår med at tilvejebringe oplysninger om: bruddets karakter, omfang og sandsynlige konsekvenser samt trufne og foreslåede foranstaltninger.
4. 4.Nærmere information fremgår af bilag C.

1. 1.Ved ophør slettes alle personoplysninger fra aktive systemer senest 30 dage efter aftalens ophør. Oplysninger kan forekomme i krypterede sikkerhedskopier i op til 90 dage, hvorefter de overskrives automatisk. Sletning bekræftes skriftligt over for den dataansvarlige.
2. 2.Databehandleren behandler udelukkende personoplysningerne til de formål og under de betingelser, som disse regler foreskriver.

1. 1.Databehandleren stiller alle nødvendige oplysninger til rådighed og bidrager til revisioner og inspektioner foretaget af den dataansvarlige eller en bemyndiget revisor.
2. 2.Procedurerne for revisioner fremgår af bilag C.7 og C.8.
3. 3.Databehandleren giver tilsynsmyndigheder adgang til faciliteter mod behørig legitimation.

1. 1.Parterne kan aftale andre bestemmelser, fx om erstatningsansvar, så længe disse ikke strider mod Bestemmelserne eller forringer de registreredes grundlæggende rettigheder.

1. 1.Bestemmelserne træder i kraft ved indgåelsen af Hovedaftalen og accepteres automatisk heri.
2. 2.Firma360 ApS kan opdatere denne Aftale med 30 dages varsel via offentliggørelse på firma360.dk/dba/.
3. 3.Bestemmelserne er gældende så længe Hovedaftalen løber og kan ikke opsiges selvstændigt.
4. 4.Når tjenesten ophører og data er slettet jf. punkt 11, kan Bestemmelserne opsiges med skriftligt varsel.
5. 5.Aftalen er underlagt dansk ret, og tvister afgøres ved dansk domstol.

1. 1.Parterne kontakter hinanden via kontaktpersoner. Databehandlerens kontakt: Jim Sandholm, dba@firma360.dk. Den dataansvarliges kontaktperson fremgår af Hovedaftalen.
2. 2.Parterne orienterer løbende hinanden om ændringer vedrørende kontaktpersoner.

¹ Henvisninger til "medlemsstat" skal forstås som en henvisning til "EØS-medlemsstater".

• Webhosting og drift – hosting, backup, overvågning og support
• Webudvikling og appudvikling – design, udvikling og vedligehold
• Marketing og annoncering – e-mailmarketing, annoncering og analyse
• Konsulentydelser – rådgivning og implementering af digitale løsninger

Organisering, opbevaring, filtrering, genfinding, brug, sammenstilling, begrænsning og/eller sletning af personoplysninger.

Almindelige (artikel 6):

• Kontaktoplysninger (navn, e-mail, telefon, adresse)
• Loginoplysninger og brugerdata
• Transaktions- og ordredata
• IP-adresser og cookie-/sporingsdata
• Adfærdsdata fra hjemmesider og apps
• CPR-nummer via EAN-fakturering (fortrolig oplysning)

Særlige kategorier (artikel 9): Kun ved særskilt skriftlig aftale.

• Den dataansvarliges slutbrugere og kunder
• Den dataansvarliges kunders slutbrugere
• Den dataansvarliges medarbejdere
• Kontaktpersoner og samarbejdspartnere

Behandlingen påbegyndes ved Hovedaftalens ikrafttræden og ophører ved Hovedaftalens ophør, jf. punkt 11 og bilag C.4.

Den til enhver tid gældende liste er tilgængelig på firma360.dk/dba/.

DPF = EU-U.S. Data Privacy Framework · SCC = EU-standardkontraktbestemmelser. AI-tjenester anvendes via API/Business-planer med indgået DPA. Apple App Store og Google Play Store agerer som selvstændige dataansvarlige.

Underretning om tilføjelse eller udskiftning sker med minimum 30 dages varsel via e-mail og offentliggørelse på firma360.dk/dba/. Indsigelse kan ske ved rimelige og konkrete databeskyttelsesrelaterede årsager.

Levering af webhosting, webudvikling, appudvikling, marketing/annoncering og/eller konsulentydelser i overensstemmelse med Hovedaftalen.

• Dokumenteret informationssikkerhedspolitik
• Fortrolighedsforpligtelser og løbende undervisning i databeskyttelse
• Databeskyttelse gennem design og standardindstillinger
• Sikker skrotning af dataudstyr

• Fysisk adgangskontrol til lokationer med personoplysninger
• Sikker bortskaffelse af datamedier
• Logning af fysisk adgang

• Opdateret antivirus på alle systemer
• Firewalls og indbrudssikringssystemer
• Netværkssegmentering
• Løbende sårbarhedsscanninger og penetrationstests
• Kryptering ved transmission (minimum TLS 1.2)

• Least privilege-princippet
• MFA ved fjernadgang
• Logdata opbevares i minimum 12 måneder

• Regelmæssig krypteret backup, adskilt fra primær databehandling
• Personoplysninger i backups i op til 90 dage, herefter automatisk sletning

• Dokumenterede procedurer for sikkerhedshændelser
• Pseudonymiserede/anonymiserede data i testmiljøer
• Produktionsmiljøer adskilt fra test

• Videresendelse af registrerede anmodninger
• Bistand med rettigheder, brud, konsekvensanalyser og høringer
• Ekstra bistand afregnes jf. Bilag D.5

Sletning fra aktive systemer senest 30 dage efter ophør. Backups overskrives automatisk efter max. 90 dage. Skriftlig bekræftelse gives til den dataansvarlige.

• Firma360 ApS, Vandtårnsvej 106B, 2860 Søborg
• Lokationer hos godkendte underdatabehandlere (jf. Bilag B)
• Den dataansvarliges lokationer ved behov

Generel godkendelse til lande med tilstrækkeligt beskyttelsesniveau (artikel 45) og DPF-certificerede organisationer i USA. Specifikke modtagere fremgår af Bilag B. Databehandleren anvender gældende SCC ved behov.

• Koncept 1 – Egenkontrol: Skriftlig dokumentationsanmodning til dba@firma360.dk
• Koncept 2 – Fysisk inspektion: Skriftlig aftale mindst 4 uger forud
• Koncept 3 – Spørgeskema: Primær tilsynsform; skriftlig besvarelse inden aftalt frist

Eksisterende ISAE/ISO 27001-erklæringer (seneste 12 mdr.) kan erstatte ny revision. Databehandleren stiller tid og ressourcer til rådighed; den dataansvarliges egne omkostninger afholdes af denne.

Løbende risikobaseret tilsyn via revisionserklæringer, spørgeskemaer og evt. fysisk inspektion. Dokumentation fremsendes til den dataansvarlige efter anmodning.

Bilag D har forrang over Bestemmelserne, medmindre bestemmelsen er ufravigelig efter forordningen.

Databehandleren kan ophøre med behandling ved ulovlig instruks. Den dataansvarlige skadesløsholder databehandleren for krav som følge heraf.

Databehandleren kan implementere alternativer med mindst samme sikkerhedsniveau.

Standardvilkår fra underdatabehandlere gælder, i det omfang de er forenelige med forordningen. Den dataansvarlige accepterer hermed sådanne vilkår.

Inkluderet uden ekstra vederlag:

• Grundlæggende bistand til anmodninger fra registrerede
• Underretning om persondatasikkerhedsbrud
• Spørgeskematilsyn (koncept 3) én gang om året

Afregnes efter medgået tid:

• Udvidet bistand til anmodninger og tilsynsmyndigheder
• Fysisk inspektion (koncept 2) og dokumentationsudarbejdelse
• Konsekvensanalyser og instruksændringer

Ansvarsbegrænsningen i Hovedaftalen finder anvendelse. Den dataansvarlige skadesløsholder databehandleren for krav, der overstiger ansvarsloftet og skyldes den dataansvarliges egne handlinger.