Databehandleraftale (udkast)

Den dataansvarlige: [KUNDENS NAVN], CVR [KUNDENS CVR], [KUNDENS ADRESSE] (herefter "den dataansvarlige" eller "kunden").

Databehandleren: AI Optimize ApS, CVR 44389908, Midtager 33, 2605 Brøndby, support@autora.nu (herefter "databehandleren"), som driver tjenesten Autora Shop.

Parterne har indgået denne databehandleraftale (herefter "aftalen") for at opfylde kravene i artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (databeskyttelsesforordningen, "GDPR").

Databehandleren stiller Autora Shop til rådighed som en onlinetjeneste (software as a service). Tjenesten henter ordrer, refunderinger, udbetalinger og gebyrer fra kundens webshop og de betalingsløsninger, kunden selv forbinder, danner bilag ud fra dem og afleverer bilagene til kundens bogføringssystem eller som en CSV-fil. Oplysningerne bruges desuden til fakturaer til kundens slutkunder (faktura-mode), når kunden har slået den funktion til.

Kunden er dataansvarlig for de personoplysninger om sine egne kunder (slutkunder), som tjenesten henter og behandler på kundens vegne. Databehandleren behandler oplysningerne efter kundens instruks.

Databehandleren er selvstændigt dataansvarlig for oplysninger om de brugere, der har adgang til kunden i tjenesten (navn, e-mail, adgangskode i hashet form, tofaktor-opsætning, login-tidspunkter og IP-adresser til begrænsning af forsøg), og for oplysninger til fakturering af abonnementet, i det omfang behandlingen sker for at drive, sikre og fakturere tjenesten. Den behandling er beskrevet i databehandlerens privatlivspolitik.

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves efter EU-ret eller national ret, som databehandleren er underlagt. I så fald underretter databehandleren den dataansvarlige om retskravet før behandlingen, medmindre loven forbyder det af vægtige samfundsmæssige hensyn.

Instruksen er kundens brug af tjenestens funktioner: forbindelse af webshop, betalingsløsninger og bogføringssystem, kørsler (startet af en bruger eller efter en tidsplan, kunden har sat op), visning og eksport, invitation og fjernelse af brugere samt opbevaring og sletning efter fristerne i punkt 12. Databehandleren behandler ikke oplysningerne til egne formål.

Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens opfattelse strider mod GDPR eller anden databeskyttelsesret.

Behandlingen omfatter følgende kategorier af registrerede personer og oplysninger, afhængigt af de kilder, kunden forbinder. Kopierne af ordrer og udbetalinger fra kilderne opbevares i 24 måneder (bag et bilag, der ikke er bogført, til det er bogført), og en slutkunde eller butikkens data slettes også, når Shopify beder om det på kundens vegne, og 30 dage efter, at Shopify-appen er afinstalleret (punkt 12):

• Kundens slutkunder (dem, der handler i webshoppen), fra ordren: ordrenummer, beløb, datoer, varer og rabatter, betalingsmåde, momsoplysninger, land og landekode for levering og fakturering samt navn, e-mail og adresse (herunder by og postnummer). Navn, e-mail og adresse bruges kun til fakturaer, når kunden har slået faktura-mode til. Telefonnumre hentes aldrig.
• Slutkunder, der køber som virksomhed: den købende virksomhed, momsnummer og momsfritagelse fra Shopifys B2B-felter, når kunden har givet appen adgang til dem, og værdien af det ene felt på ordren (metafelt eller ordre-egenskab fra checkout), som kunden selv har valgt til momsnummeret. Værdierne af ordrens andre felter gemmes ikke.
• Udbetalinger og gebyrer fra betalingsløsningerne: beløb, datoer og henvisninger til de ordrer, de dækker.
• Kundens brugere i tjenesten (ejer, bogholdere og læsere): navn, e-mail, rolle og handlinger i kundens log.

Databehandleren behandler kun oplysningerne til de formål og med de midler, instruksen angiver, og kun så længe aftalen gælder.

Databehandleren sikrer, at adgangen til personoplysninger er begrænset til de personer, der har brug for den for at levere og drive tjenesten (databehandlerens administratorer), og at disse personer er underlagt fortrolighed. En administrator kan se og ændre det samme som en bogholder hos kunden for at yde support og drift. Alt, hvad en administrator gør hos kunden, står i kundens log, og at en administrator åbner kunden, står i adgangsloggen.

Databehandleren fører en fortegnelse over de kategorier af behandling, der foretages på vegne af den dataansvarlige, jf. GDPR artikel 30, stk. 2.

Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. Fortroligheden gælder også efter ansættelsens eller samarbejdets ophør.

Databehandleren giver kun adgang til personoplysninger til personer, der har et arbejdsbetinget behov, og kan på anmodning dokumentere, hvem der har adgang til driftsmiljøet.

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32 under hensyn til det aktuelle tekniske niveau, omkostningerne og behandlingens karakter, omfang, sammenhæng og formål samt risiciene for de registrerede. Foranstaltningerne omfatter mindst:

• Hosting i EU med adskillelse mellem kunderne i applikationslaget: alle forespørgsler filtreres på kundens id, og adskillelsen afprøves automatisk i testkørsler.
• Kryptering under transport (TLS) og kryptering i hvile (AES-256-GCM) af adgangsnøgler til kundens systemer og af indholdet i mailkøen, med mulighed for at skifte krypteringsnøglen uden nedetid.
• Adgangskoder gemmes kun i hashet form; tofaktor-login (TOTP) er et krav for administratorer og bogholdere og et tilvalg for ejere og læsere; loginforsøg begrænses.
• Faste roller pr. kunde (ejer, bogholder og læser) med en fast rolletabel, som håndhæves på serveren.
• Revisionslog pr. kunde over alle ændringer, også administratorernes og systemets egne, som kundens ejer og bogholdere kan se, og en adgangslog over al visning af persondata og alle eksporter med persondata.
• Krypterede sikkerhedskopier af databasen hos underdatabehandleren i EU.
• Overvågning af tjenesten, fejlrapportering uden kundedata og personlige engangslinks i mails, der ikke gemmes i læsbar form.
• Sletning og anonymisering af en person som en funktion i tjenesten og faste opbevaringsfrister med automatisk oprydning (punkt 12).

Den dataansvarlige giver en generel godkendelse til, at databehandleren anvender underdatabehandlere. Databehandleren indgår en skriftlig aftale med hver underdatabehandler, der pålægger denne de samme databeskyttelsesforpligtelser som denne aftale, og forbliver fuldt ansvarlig over for den dataansvarlige for underdatabehandlerens opfyldelse af dem.

Databehandleren underretter den dataansvarlige om påtænkte tilføjelser eller udskiftninger af underdatabehandlere mindst 30 dage, før ændringen får virkning (via en ny version af denne aftale i tjenesten og en besked til kundens ejer). Den dataansvarlige kan gøre indsigelse inden ændringen; kan parterne ikke blive enige, kan den dataansvarlige opsige aftalen og få sine data udleveret og slettet, jf. punkt 12.

Kundens egen webshop (fx Shopify), betalingsløsninger og bogføringssystem (fx Billy, e-conomic eller Dinero) er ikke underdatabehandlere: de er kundens egne systemer, som kunden selv har aftaler med og selv forbinder. Databehandleren henter fra og afleverer til dem efter kundens instruks.

Følgende underdatabehandlere og modtagere anvendes ved aftalens indgåelse:

• Railway Corporation (underdatabehandler): Hosting af applikationen og databasen (Postgres) med Railways egne, krypterede sikkerhedskopier. Placering: Datacenter i EU (Railways region europe-west4, Amsterdam, Nederlandene). Overførsel: Oplysningerne lagres i EU. Selskabet er amerikansk; eventuel adgang fra USA (fx support) sker på grundlag af EU-Kommissionens standardkontraktsbestemmelser (afgørelse 2021/914) i Railways databehandleraftale.
• Simply.com (mails, SMTP) (underdatabehandler): Afsendelse af tjenestens mails (bekræftelse af mail, invitationer, besked om ejerskab og driftsbeskeder): modtagerens adresse og navn, emne og indhold. Placering: Danmark (EU). Overførsel: Ingen overførsel uden for EU/EØS.
• cvrapi.dk (Online Gateway ApS, CVR 36421231) (modtager af opslag): Opslag af offentlige virksomhedsdata (navn og adresse) ud fra CVR-nummeret, når en kunde oprettes eller rettes. Placering: Danmark. Overførsel: Ingen overførsel til tredjelande. Kun CVR-nummeret sendes; der sendes aldrig oplysninger om personer.

Personoplysninger lagres og behandles som udgangspunkt i EU/EØS. Overførsel til et tredjeland sker kun via de underdatabehandlere, der er nævnt i punkt 8, og kun på et gyldigt overførselsgrundlag efter GDPR kapitel V (EU-U.S. Data Privacy Framework eller EU-Kommissionens standardkontraktsbestemmelser med fornødne supplerende foranstaltninger).

Databehandleren overfører ikke oplysninger til tredjelande på eget initiativ og uden instruks i øvrigt.

Databehandleren bistår, under hensyn til behandlingens karakter og så vidt muligt gennem funktioner i tjenesten, den dataansvarlige med at opfylde dennes forpligtelser til at besvare anmodninger om udøvelse af de registreredes rettigheder (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse), herunder med eksport og med sletning eller anonymisering af en person.

Databehandleren bistår desuden den dataansvarlige med at sikre overholdelse af GDPR artikel 32-36 (sikkerhed, underretning om brud, konsekvensanalyser og forudgående høring) med de oplysninger, databehandleren råder over.

Databehandleren underretter uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på det den dataansvarlige om brud på persondatasikkerheden, der berører kundens oplysninger, med de oplysninger, der er nødvendige for, at den dataansvarlige kan anmelde bruddet til Datatilsynet inden for 72 timer (artikel 33) og underrette de registrerede (artikel 34). Underretning sker til kundens ejer på e-mail. Databehandlerens hændelsespolitik beskriver forløbet.

Databehandleren stiller alle oplysninger til rådighed, der er nødvendige for at påvise overholdelse af GDPR artikel 28 og denne aftale, og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af den dataansvarlige eller en revisor bemyndiget af den dataansvarlige.

Revision varsles med mindst 30 dage og gennemføres i almindelig arbejdstid uden unødig forstyrrelse af driften, højst én gang årligt, medmindre der er konkret mistanke om brud. Den dataansvarlige bærer egne omkostninger. Som dokumentation stiller databehandleren først sin beskrivelse af sikkerhedsforanstaltninger, underdatabehandleraftaler og eventuelle uafhængige revisionserklæringer til rådighed.

Kundens ejer kan slette kunden i tjenesten. Før sletningen får ejeren alle bilag og ordrer som CSV-filer. Ved sletningen mister alle brugere adgangen, kørsler og tidsplaner stopper, og adgangsnøgler til kundens systemer slettes med det samme. 90 dage efter sletningen slettes alle oplysninger om kunden undtagen bogføringsdata; indtil da kan kunden genskabes efter anmodning.

Efter kundens instruks opbevares bogføringsdata (bilag og registret over, hvilke transaktioner der indgår i hvilket bilag) i 5 år fra den dag, tjenesten bogførte bilaget i kundens bogføringssystem eller sendte det som CSV, og slettes derefter automatisk. Bogføringspligten er kundens, og bilagene ligger i kundens eget bogføringssystem. Et bilag, der ikke er bogført, slettes ikke, og kopierne af ordrer og udbetalinger bag det bevares, til det er bogført. Andre kopier af ordrer og udbetalinger fra kilderne slettes efter 24 måneder. Revisionsloggen gemmes i 5 år og adgangsloggen i 2 år.

Afinstalleres Shopify-appen, og installeres den ikke igen inden 30 dage, slettes butikkens data i tjenesten, også bilagene og andre bogføringsdata fra butikken. Tilbage bliver kun en liste over bogførte transaktions-id'er og bilagsnumre uden personoplysninger, så en senere geninstallation aldrig bogfører det samme igen.

Databehandleren sletter eller anonymiserer efter anmodning en enkelt person i alle kundens oplysninger (navne, e-mails, adresser og telefonnumre); beløb, datoer, ordrenumre og bilag bliver stående af hensyn til bogføringen. Det sker også, når Shopify på kundens vegne beder om sletning af en slutkunde (customers/redact). Beder Shopify om sletning af butikkens data (shop/redact), slettes alle kopier af butikkens data, mens bogføringen bliver stående, til den slettes 30 dage efter afinstallationen som beskrevet ovenfor.

Kopier i sikkerhedskopier slettes, efterhånden som sikkerhedskopierne udløber. Databehandleren bekræfter sletningen skriftligt på anmodning.

Parternes ansvar følger GDPR artikel 82 og dansk rets almindelige regler. Databehandleren er ansvarlig for skade forårsaget af behandling, hvor databehandleren ikke har opfyldt de forpligtelser, der specifikt er rettet mod databehandlere, eller har handlet uden for eller i strid med den dataansvarliges lovlige instruks. Ansvarsbegrænsningen i vilkårene for Autora Shop (det beløb, den dataansvarlige har betalt for tjenesten i de seneste 12 måneder) gælder også mellem parterne efter denne aftale, i det omfang lovgivningen tillader det. Den begrænser ikke de registreredes rettigheder efter GDPR artikel 82.

Aftalen gælder, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige, og kan ikke opsiges særskilt fra brugen af tjenesten. Den ophører, når oplysningerne er slettet efter punkt 12.

Ændres aftalen, udgives en ny version med ny dato i tjenesten. Kundens ejer bliver bedt om at acceptere den nye version; den hidtidige version gælder, indtil den nye er accepteret. Accepterer kunden ikke en ny version, kan hver part opsige med 30 dages varsel, og punkt 12 finder anvendelse.

Aftalen accepteres elektronisk af kundens ejer i tjenesten: når kunden oprettes, når der kommer en ny version af aftalen, og når ejerskabet af kunden skifter (den nye ejer accepterer den gældende version). Tjenesten registrerer aftalens version, tidspunktet, den accepterende bruger og IP-adressen og skriver accepten i kundens log.

Spørgsmål om aftalen rettes til support@autora.nu.