Databehandleraftale

1. Parterne og aftalens genstand

Denne aftale indgås mellem kunden (den dataansvarlige) og Firmatal (databehandleren), og regulerer databehandlerens behandling af personoplysninger på den dataansvarliges vegne, jf. databeskyttelsesforordningens artikel 28.

Aftalen gælder så længe den dataansvarlige har en konto hos databehandleren.

2. Behandlingens karakter og formål

Databehandleren stiller et opslags-API til rådighed, der returnerer oplysninger fra Erhvervsstyrelsens CVR-register og Brønnøysundregistrene. Når den dataansvarlige foretager et opslag, behandler databehandleren de returnerede personoplysninger på den dataansvarliges vegne med det formål at levere svaret og at føre forbrugsstatistik.

3. Typer af personoplysninger og kategorier af registrerede

• Registrerede: direktører, bestyrelsesmedlemmer, ejere, revisorer og andre fysiske personer med en registreret rolle i en virksomhed.
• Oplysningstyper: navn, rolle og rollebetegnelse, tiltrædelsestidspunkt, ejerandel samt virksomhedens adresse- og kontaktoplysninger.
• Ikke omfattet: databehandleren opbevarer ikke fødselsdatoer, selv om begge registre offentliggør dem, og behandler ikke særlige kategorier af personoplysninger.

4. Instruks

Databehandleren behandler alene personoplysninger efter dokumenteret instruks fra den dataansvarlige. Den dataansvarliges brug af API'et udgør instruksen. Databehandleren underretter den dataansvarlige, hvis en instruks efter databehandlerens opfattelse strider mod databeskyttelsesforordningen.

5. Fortrolighed

Databehandleren sikrer, at personer med adgang til personoplysningerne har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

6. Sikkerhed

Databehandleren har gennemført følgende tekniske og organisatoriske foranstaltninger, jf. artikel 32:

• Legitimationsoplysninger opbevares krypteret med AES-256 og vises aldrig igen i en formular.
• Adgang til API'et kræver et bearer-token. Tokens gemmes hashet og kan til enhver tid spærres af kunden.
• Al trafik til tjenesten sker over TLS.
• Adgang til produktionsdatabasen er begrænset til navngivne administratorer.
• Fødselsdatoer gemmes aldrig, selv om begge kilderegistre offentliggør dem.
• Enheder med reklamebeskyttelse udelades af enhver bulk- eller markedsføringsrettet udlæsning.

7. Underdatabehandlere

Den dataansvarlige giver hermed generel godkendelse til, at databehandleren anvender underdatabehandlere. Databehandleren underretter den dataansvarlige forud for tilføjelse eller udskiftning af en underdatabehandler, og den dataansvarlige kan gøre indsigelse.

Ufuldstændig: yderligere underdatabehandlere er endnu ikke navngivet. Aftalen kan ikke indgås, før listen er komplet.

8. Overførsel til tredjelande

Personoplysninger behandles inden for EU/EØS. Overførsel til et tredjeland sker ikke uden forudgående skriftlig aftale og et gyldigt overførselsgrundlag.

9. Bistand til den dataansvarlige

Databehandleren bistår den dataansvarlige med at opfylde forpligtelserne efter forordningens artikel 32-36 samt med at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning og begrænsning. Databehandleren videresender sådanne anmodninger uden unødig forsinkelse.

Databehandleren gør opmærksom på, at oplysningerne stammer fra offentlige registre. En berigtigelse skal ske i kilderegisteret; databehandlerens kopi opdateres ved næste synkronisering.

10. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden.

11. Sletning

Ved aftalens ophør sletter databehandleren den dataansvarliges kontooplysninger senest 30 dage efter ophør. Bogføringsmateriale opbevares i 5 år, jf. bogføringsloven, hvilket er en retlig forpligtelse efter artikel 28, stk. 3, litra g.

12. Revision

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af artikel 28, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner.

13. Kontakt

[email protected]

14. Lovvalg og værneting

Aftalen er underlagt dansk ret. Værneting er den dataansvarliges hjemting i Danmark.