Databehandleraftale

Aftalen er indgået mellem kunden (den dataansvarlige) og Talverk, CVR 00000000 (databehandleren), og er en del af aftalen om bogholderi. Den opfylder kravene i databeskyttelsesforordningens artikel 28.

1. Formål og omfang

Databehandleren behandler personoplysninger på vegne af den dataansvarlige for at levere bogholderi, løn, moms- og skatteindberetninger, årsafslutning og kundeportalen. Behandlingen omfatter indsamling, registrering, opbevaring, tilpasning, søgning, brug, videregivelse til myndigheder efter instruks og sletning.

Kategorier af registrerede

Den dataansvarliges medarbejdere, ejere og ledelse, kunder, leverandører og andre, der fremgår af regnskabsmaterialet.

Typer af personoplysninger

Almindelige oplysninger (navn, adresse, kontaktoplysninger, fakturaer, betalinger), lønoplysninger (løn, skat, pension, fravær, bankkonto) og CPR-numre. Følsomme oplysninger behandles kun, hvis de indgår i materialet (fx fagforeningskontingent eller sygdom i forbindelse med løn).

2. Instruks

Databehandleren behandler kun oplysningerne efter den dataansvarliges dokumenterede instruks, som er aftalen om bogholderi og denne aftale, medmindre EU-ret eller dansk ret kræver andet. Databehandleren giver besked, hvis en instruks efter dennes vurdering strider mod databeskyttelsesreglerne.

3. Fortrolighed

Kun medarbejdere, der har brug for det i deres arbejde, har adgang til oplysningerne. De har tavshedspligt, også efter ansættelsens ophør.

4. Sikkerhed

Databehandleren træffer passende tekniske og organisatoriske foranstaltninger (artikel 32), herunder:

• krypteret forbindelse (https) til portalen og integrationer,
• personligt login, to-trinsbekræftelse for medarbejdere, spærring efter forkerte loginforsøg og automatisk log ud,
• adgangsstyring, så hver kunde kun ser egne data, og log over adgang til følsomme dokumenter,
• server i EU med firewall, automatiske sikkerhedsopdateringer og adgang kun via nøgle,
• daglig backup, der krypteres, før den sendes til et andet datacenter, og en månedlig test af, at den kan gendannes,
• overvågning af fejl og nedbrud med besked til databehandleren,
• kontrol af filtyper ved upload.

5. Underdatabehandlere

Den dataansvarlige giver generel godkendelse til, at databehandleren bruger underdatabehandlere. Databehandleren indgår skriftlige aftaler med samme forpligtelser og giver besked mindst 30 dage før en ny underdatabehandler tages i brug, så den dataansvarlige kan gøre indsigelse. Aktuelle underdatabehandlere:

• Hetzner Online GmbH (Tyskland/Finland (EU)) - drift af portalen: server og database.
• Hetzner Online GmbH (Storage Box) (Tyskland/Finland (EU)) - backup - krypteret, før den forlader serveren, så udbyderen ikke kan læse den.
• Simply.com (Danmark) - afsendelse af mails fra portalen.
• Visma e-conomic (Danmark) - regnskabssystem, når I har givet os adgang.
• Visma Dinero (Danmark) - regnskabssystem, når I har givet os adgang.
• Functional Software, Inc. (Sentry) (EU-datacenter i Frankfurt) - fejlrapporter fra portalen - uden navne, IP-adresser, CPR-numre og formularindhold. Selskabet er amerikansk; en eventuel overførsel sker efter EU-US Data Privacy Framework og EU's standardkontraktbestemmelser.

6. Overførsel til tredjelande

Oplysningerne behandles og opbevares i EU/EØS. Fejlrapporter fra portalen håndteres af Functional Software, Inc. (Sentry) i selskabets EU-datacenter og indeholder ikke personoplysninger; skulle oplysninger alligevel blive overført til USA, sker det efter EU-US Data Privacy Framework og EU's standardkontraktbestemmelser. Anden overførsel til lande uden for EU/EØS sker kun efter den dataansvarliges instruks og med et gyldigt overførselsgrundlag.

7. Bistand til den dataansvarlige

Databehandleren hjælper den dataansvarlige med at besvare anmodninger fra de registrerede (fx indsigt og sletning), med sikkerhed, konsekvensanalyser og dialog med Datatilsynet, i det omfang det er rimeligt ud fra behandlingens art.

8. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud, med de oplysninger, der er nødvendige for, at den dataansvarlige kan anmelde bruddet til Datatilsynet inden for 72 timer.

9. Tilsyn og revision

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise, at aftalen overholdes, og giver mulighed for revision og inspektion efter rimeligt varsel.

10. Ophør, sletning og tilbagelevering

Ved aftalens ophør udleverer databehandleren efter den dataansvarliges valg oplysningerne og sletter derefter de resterende kopier - medmindre lovgivningen (fx bogføringsloven og hvidvaskloven) kræver, at de opbevares. Så opbevares de kun, så længe loven kræver, og ikke til andre formål.

11. Ikrafttræden

Aftalen gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige. Ønsker den dataansvarlige en underskrevet udgave eller Datatilsynets standardkontrakt, kan den fås ved henvendelse til kontakt@talvaerk.dk.