Databehandleraftale

1. Formål og omfang

Databehandleren behandler personoplysninger på den dataansvarliges vegne for at levere rating.nu: at sende én sms til den dataansvarliges kunder med en opfordring til at give en anmeldelse, og at vise, om den er sendt, leveret og åbnet.

2. Oplysninger og registrerede

De registrerede er den dataansvarliges kunder. Der behandles disse almindelige personoplysninger:

• Fornavn eller navn.
• Mobilnummer.
• Fakturanummer og fakturabeløb, hvis sms'en udløses fra et regnskabsprogram.
• Status for afsendelse, levering og klik.

Har den dataansvarlige forbundet sit regnskabsprogram, læser databehandleren bogførte fakturaer med kundens navn, kontaktperson, mobilnummer og beløb for at kunne vise dem og sende sms. Databehandleren læser kun og ændrer aldrig noget i regnskabet, fakturaerne gemmes ikke, og adgangsnøglen opbevares krypteret og slettes, når forbindelsen afbrydes.

Har den dataansvarlige forbundet sin Google-profil, henter databehandleren profilens offentlige anmeldelser (anmelderens navn og billede, stjerner, tekst og dato) og poster de svar, den dataansvarlige selv sender. Forslag til svar skrives af underdatabehandleren Anthropic ud fra anmeldelsens tekst.

Der behandles ingen følsomme oplysninger.

3. Instruks

Databehandleren behandler kun oplysningerne efter den dataansvarliges instruks, som består af denne aftale og de valg, den dataansvarlige træffer på rating.nu (tekst, tidspunkt, udelukkede numre m.m.). Mener databehandleren, at en instruks er i strid med lovgivningen, underrettes den dataansvarlige straks.

4. Fortrolighed

Kun medarbejdere, der har brug for adgang for at levere tjenesten, har adgang til oplysningerne, og de har tavshedspligt.

5. Sikkerhed

Databehandleren træffer passende tekniske og organisatoriske foranstaltninger efter artikel 32, herunder:

• Krypteret forbindelse (https) til al trafik.
• Adgang til systemerne kun med personligt login.
• Telefonnumre og navne slettes automatisk 90 dage efter afsendelsen; kundelister fra CSV 90 dage efter indlæsningen.
• IP-adresser gemmes ikke, kun en hash.
• Data opbevares i EU.

6. Underdatabehandlere

Den dataansvarlige giver generel godkendelse til, at databehandleren bruger underdatabehandlere. Databehandleren pålægger dem de samme databeskyttelsesforpligtelser som i denne aftale. Nuværende underdatabehandlere:

• Laravel Cloud (Laravel Holdings Inc.) på Amazon Web Services: Drift af applikation og database. Frankfurt, Tyskland (EU).
• Cloudflare, Inc.: Netværk, beskyttelse mod angreb og fillager til logoer. EU-jurisdiktion for fillageret; netværket er globalt.
• OnlineCity ApS (GatewayAPI): Afsendelse af sms. EU (GatewayAPI.eu, Hetzner i Tyskland).
• Brevo (Sendinblue SAS): Afsendelse af e-mail fra rating.nu. EU (Frankrig).
• Stripe Payments Europe Ltd.: Betaling af abonnement og standere. Irland (EU); Stripe kan behandle data i USA.
• Anthropic Ireland, Limited: Forslag til svar på anmeldelser (teksten fra den anmeldelse, ejeren beder om et forslag til). Irland (EU); Anthropic kan behandle data i USA.

Databehandleren varsler ændringer i listen mindst 30 dage i forvejen på e-mail, så den dataansvarlige kan gøre indsigelse.

7. Overførsel til tredjelande

Oplysningerne opbevares i EU. Hvor en underdatabehandler kan give adgang fra et land uden for EU/EØS, sker det på grundlag af EU-U.S. Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser.

8. Bistand

Databehandleren hjælper den dataansvarlige med at besvare anmodninger fra registrerede, fx om indsigt eller sletning, og med at overholde artikel 32-36, i det omfang det er relevant for tjenesten.

9. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse, og senest 48 timer efter at have fået kendskab til et brud, så den dataansvarlige kan anmelde det til Datatilsynet inden for 72 timer.

10. Sletning ved ophør

Når kontoen slettes, sletter databehandleren oplysningerne inden for 5 hverdage, medmindre lovgivningen kræver, at de gemmes. Den dataansvarlige kan få en kopi af sine oplysninger udleveret før sletning.

11. Kontrol

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at vise, at aftalen overholdes, og giver mulighed for revision foretaget af den dataansvarlige eller en uafhængig revisor. Revision varsles med mindst 30 dage.

12. Øvrigt

Aftalen er en del af betingelserne for rating.nu. Ved uoverensstemmelse går denne aftale forud, når det gælder persondata. Dansk ret gælder.