Databehandleraftale

Dataansvarlig: Kunden af Kontevia-tjenesten, en virksomhed eller selvstændig erhvervsdrivende, der behandler personoplysninger indeholdt i sine regnskabsdokumenter og andre data indsendt til Tjenesten.

Databehandler: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Tjekkiet, CVR-nummer 22103741, registreret i handelsregisteret ved byretten i Prag, sagsnr. C 410771. Kontakt for databeskyttelse: hello@kontevia.com.

1.1. Denne Aftale regulerer parternes rettigheder og forpligtelser, når Databehandleren behandler personoplysninger på vegne af den Dataansvarlige i forbindelse med levering af Kontevia-tjenesten ("Tjenesten").

1.2. Denne Aftale udgør en integreret del af Vilkårene og betingelserne og træder i kraft, når den Dataansvarlige tilmelder sig Tjenesten. Den gælder, så længe Databehandleren behandler personoplysninger for den Dataansvarlige.

2.1. Databehandleren behandler udelukkende personoplysninger med henblik på levering af Tjenesten, nemlig:

• modtagelse og digitalisering af regnskabsdokumenter indsendt via chat, e-mail eller upload;
• udtrækning af data fra dokumenter ved hjælp af optisk tegngenkendelse og automatiserede udtrækningsmodeller;
• kategorisering, dublet-registrering og forslag til momsbehandling;
• udstedelse af fakturaer og andre dokumenter efter den Dataansvarliges instruktion;
• import af banktransaktioner, som den Dataansvarlige tilslutter, og deres afstemning med dokumenter;
• udarbejdelse af oversigter, rapporter og eksporter til den Dataansvarliges regnskabssystem eller rådgiver;
• opbevaring af dokumenter og data i Tjenesten i kontraktens og eksportperiodens varighed.

2.2. Databehandleren behandler kun personoplysninger på dokumenteret instruks fra den Dataansvarlige, herunder instrukser vedrørende overførsler til tredjelande, medmindre det er påkrævet af EU-retten eller medlemsstaternes nationale ret; i så fald informerer Databehandleren den Dataansvarlige forud for behandlingen, medmindre loven forbyder dette.

3.1. Registrerede: den Dataansvarliges forretningspartnere (leverandører, kunder, kontaktpersoner), den Dataansvarliges medarbejdere og kontraktparter, hvor lønnings- eller udgiftsdokumenter behandles, samt den Dataansvarliges egne brugere af Tjenesten.

3.2. Kategorier af personoplysninger: identifikationsdata (navn, virksomhed, CVR- og momsnummer); kontaktdata (adresse, e-mail, telefon); finansielle data (fakturerede beløb, kontonumre, betalingsreferencer); ansættelsesdata, hvor lønningsdokumenter indsendes (jobtitel, løn, forsikringsidentifikatorer); brugsdata for den Dataansvarliges brugere.

3.3. Databehandleren har ikke brug for særlige kategorier af data i henhold til artikel 9 i databeskyttelsesforordningen. Den Dataansvarlige forpligter sig til ikke at indsende sådanne data via Tjenesten, medmindre de er indeholdt i et dokument, som den Dataansvarlige er retligt forpligtet til at opbevare, i hvilket tilfælde den Dataansvarlige er ansvarlig for det lovlige grundlag.

Databehandleren forpligter sig til at:

• kun behandle personoplysninger på dokumenteret instruks fra den Dataansvarlige og kun i det omfang, det er nødvendigt for Tjenesten;
• sikre, at personer, der er bemyndiget til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt;
• gennemføre de tekniske og organisatoriske foranstaltninger, der kræves i henhold til artikel 32 i databeskyttelsesforordningen, herunder navnlig dem, der er anført i bilaget til denne Aftale;
• ikke gøre brug af en anden databehandler uden den Dataansvarliges forudgående generelle skriftlige godkendelse, som den Dataansvarlige giver i henhold til artikel 6 i denne Aftale;
• under hensyntagen til behandlingens karakter bistå den Dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger i forbindelse med besvarelse af anmodninger fra registrerede, der udøver deres rettigheder;
• bistå den Dataansvarlige med at sikre overholdelse af artikel 32 til 36 i databeskyttelsesforordningen (sikkerhed, underretning om brud, konsekvensanalyse vedrørende databeskyttelse, forudgående høring), under hensyntagen til behandlingens karakter og de oplysninger, Databehandleren har til rådighed;
• efter den Dataansvarliges valg slette eller returnere alle personoplysninger efter afslutningen af leveringen af Tjenesten og slette eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret kræver opbevaring;
• stille alle oplysninger, der er nødvendige for at dokumentere overholdelse af artikel 28 i databeskyttelsesforordningen, til rådighed for den Dataansvarlige og muliggøre og bidrage til revisioner, herunder inspektioner, foretaget af den Dataansvarlige eller en revisor, som den Dataansvarlige har bemyndiget;
• straks informere den Dataansvarlige, hvis Databehandleren finder, at en instruks er i strid med databeskyttelsesforordningen eller andre EU-retlige eller nationale databeskyttelsesbestemmelser.

5.1. Databehandleren underretter den Dataansvarlige om ethvert brud på persondatasikkerheden uden unødigt ophold og senest 48 timer efter, at Databehandleren er blevet opmærksom på det.

5.2. Underretningen indeholder som minimum: en beskrivelse af bruddets karakter, herunder, hvor det er muligt, kategorierne og det omtrentlige antal berørte registrerede og registreringer; navn og kontaktoplysninger på den ansvarlige person; en beskrivelse af de sandsynlige konsekvenser; og en beskrivelse af de trufne eller foreslåede foranstaltninger til at håndtere bruddet og begrænse dets virkninger.

5.3. Databehandleren samarbejder med den Dataansvarlige om at opfylde den Dataansvarliges underretningsforpligtelser over for den kompetente tilsynsmyndighed og de registrerede.

6.1. Den Dataansvarlige giver en generel godkendelse til, at Databehandleren kan gøre brug af underdatabehandlere til behandling af personoplysninger.

6.2. Den aktuelle liste over underdatabehandlere, med formål og placering for hver enkelt, offentliggøres på siden Underdatabehandlere på Databehandlerens hjemmeside og udgør et bilag til denne Aftale.

6.3. Databehandleren informerer den Dataansvarlige om enhver planlagt tilføjelse eller udskiftning af underdatabehandlere mindst 14 dage i forvejen, via e-mail til den Dataansvarliges kontaktadresse eller via meddelelse i Tjenesten, hvilket giver den Dataansvarlige mulighed for at gøre indsigelse.

6.4. Hvis den Dataansvarlige rejser en berettiget indsigelse inden for 14 dage efter meddelelsen, undlader Databehandleren enten den påtænkte ændring eller tilbyder den Dataansvarlige mulighed for at opsige aftalen uden sanktion og med refusion af forudbetalte gebyrer for den ubrugte periode.

6.5. Databehandleren pålægger hver underdatabehandler ved kontrakt de samme databeskyttelsesforpligtelser, som er fastsat i denne Aftale, herunder navnlig tilstrækkelige garantier for gennemførelse af passende tekniske og organisatoriske foranstaltninger. Hvis en underdatabehandler ikke opfylder sine forpligtelser, forbliver Databehandleren fuldt ansvarlig over for den Dataansvarlige for opfyldelsen af den pågældende underdatabehandlers forpligtelser.

7.1. Personoplysninger opbevares på servere placeret i Den Europæiske Union. Databehandleren overfører ikke personoplysninger uden for Det Europæiske Økonomiske Samarbejdsområde, bortset fra til underdatabehandlere anført på siden Underdatabehandlere, og kun med passende garantier i henhold til kapitel V i databeskyttelsesforordningen.

7.2. Sådanne overførsler baseres på en tilstrækkelighedsafgørelse fra Europa-Kommissionen (herunder EU-US Data Privacy Framework for certificerede modtagere), de standardkontraktbestemmelser, som Kommissionen har vedtaget i henhold til artikel 46, stk. 2, litra c, i databeskyttelsesforordningen, eller andre passende garantier, suppleret med yderligere foranstaltninger, hvor en vurdering af overførslens konsekvenser kræver det.

8.1. Databehandleren yder den Dataansvarlige rimelig bistand ved håndtering af anmodninger fra registrerede om at udøve deres rettigheder i henhold til artikel 15 til 22 i databeskyttelsesforordningen (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse). Tjenesten indeholder søge-, eksport- og sletningsfunktioner, der gør det muligt for den Dataansvarlige selv at håndtere de fleste anmodninger.

8.2. Hvis en registreret henvender sig direkte til Databehandleren, henviser Databehandleren den registrerede til den Dataansvarlige uden unødigt ophold og informerer den Dataansvarlige, medmindre anmodningen vedrører data, hvor Databehandleren selv er dataansvarlig.

9.1. Databehandleren giver den Dataansvarlige eller en revisor, som den Dataansvarlige har bemyndiget, mulighed for at gennemføre revisioner og inspektioner for at verificere overholdelse af denne Aftale og databeskyttelsesforordningen.

9.2. Revisioner gennemføres for den Dataansvarliges regning, med rimeligt forudgående varsel på mindst 14 arbejdsdage, i normal arbejdstid og på en måde, der ikke forstyrrer Databehandlerens drift eller kompromitterer sikkerheden for andre kunders data. Revisoren skal være underlagt tavshedspligt.

9.3. I stedet for en revision på stedet kan Databehandleren fremlægge aktuelle certificeringer, rapporter fra uafhængige revisorer eller anden dokumentation, der viser overholdelse af sikkerhedsforanstaltningerne, hvor disse er tilstrækkelige til at besvare den Dataansvarliges spørgsmål.

10.1. Denne Aftale er gældende i hele varigheden af kontraktforholdet mellem den Dataansvarlige og Databehandleren, det vil sige, så længe den Dataansvarlige bruger Tjenesten.

10.2. Efter afslutningen af kontraktforholdet vil Databehandleren: give den Dataansvarlige mulighed for at eksportere sine data i 90 dage; efter 90-dages perioden uigenkaldeligt slette alle den Dataansvarliges personoplysninger; slette backupkopier senest 45 dage efter sletning af primærdata; og bekræfte sletningen efter anmodning fra den Dataansvarlige. Data, som Databehandleren skal opbevare i henhold til EU-retten eller medlemsstaternes nationale ret (navnlig fakturaregistre), er undtaget.

10.3. Forpligtelserne i denne Aftale, herunder navnlig fortrolighed og sikkerhed, gælder fortsat efter afslutningen af kontraktforholdet, så længe Databehandleren opbevarer personoplysninger tilhørende den Dataansvarlige.

11.1. Databehandleren er ansvarlig for skader forårsaget af behandling i strid med denne Aftale eller databeskyttelsesforordningen i overensstemmelse med artikel 82 i databeskyttelsesforordningen, navnlig hvor Databehandleren ikke har overholdt forpligtelser i databeskyttelsesforordningen, der specifikt retter sig mod databehandlere, eller har handlet uden for eller i strid med den Dataansvarliges lovlige instrukser.

11.2. Ansvarsbegrænsningerne i Vilkårene og betingelserne gælder for denne Aftale i det omfang, loven tillader det; de begrænser ikke de registreredes rettigheder.

12.1. Denne aftale er underlagt lovgivningen i Tjekkiet og den direkte gældende EU-lovgivning, navnlig GDPR.

12.2. Ved uoverensstemmelse mellem denne aftale og handelsbetingelserne har denne aftale forrang i spørgsmål om beskyttelse af personoplysninger.

12.3. Ændringer til denne aftale kræver skriftlig form, hvilket omfatter en opdateret version offentliggjort på hjemmesiden og meddelt den dataansvarlige i overensstemmelse med handelsbetingelserne.

12.4. Tvister, der udspringer af denne aftale, afgøres af de tjekkiske domstole, der er kompetente ud fra databehandlerens hjemsted, uden at det berører rettighederne for registrerede og tilsynsmyndigheder.

Kryptering

• AES-256-kryptering af data i hvile, herunder backuper.
• TLS 1.2 eller højere for alle data under overførsel, herunder forbindelser til underleverandører.

Adgangskontrol

• Adgang efter princippet om mindste privilegium; hver medarbejder og hvert system har kun de tilladelser, der er nødvendige for dets rolle.
• Multifaktorautentificering til administrativ adgang og infrastrukturadgang.
• Adskillelse af kundernes arbejdsområder i applikations- og databaselaget.
• Regelmæssig gennemgang og hurtig tilbagekaldelse af adgangsrettigheder.

Tilgængelighed og modstandsdygtighed

• Regelmæssige automatiske backuper med testede genoprettelsesprocedurer.
• Redundant hostinginfrastruktur inden for Den Europæiske Union.
• Overvågning af tilgængelighed og ydeevne med alarmering.

Integritet og logning

• Logning af adgang til personoplysninger og af administrative handlinger.
• Revisionsspor for dokumenter: hvem der har indsendt, ændret, godkendt eller eksporteret dem, og hvornår.
• Registrering af uregelmæssigheder og sikkerhedshændelser.

Organisatoriske foranstaltninger

• Fortrolighedsforpligtelser for alle medarbejdere og kontrahenter med adgang til personoplysninger.
• Uddannelse af medarbejdere i databeskyttelse og sikkerhed.
• Dokumenterede interne procedurer for behandling af personoplysninger og håndtering af anmodninger fra registrerede.
• Beredskabsplan med definerede roller og meddelelsesfrister.
• Databeskyttelsesgennemgang af nye underleverandører før tilknytning.