Databehandleraftale

Denne databehandleraftale følger opbygningen i Datatilsynets standardkontrakt for databehandleraftaler. Den indgås mellem kunden og Veyro, når kunden accepterer den i kundepanelet på kunde.veyro.dk eller på et tilbudslink. Accepten gemmes med tidspunkt og version og træder i stedet for underskrift. Ønsker I en underskrevet kopi, så skriv til kontakt@veyro.dk.

Parterne

Den dataansvarlige: den virksomhed, der har accepteret aftalen ("kunden").

Databehandleren: Veyro, CVR 46857569, Albert Ibsensvej 28, 2. tv, 4200 Slagelse ("Veyro").

1. Formål og baggrund

Veyro leverer hjemmesider, webshops, bestillings-, ordre-, lager- og jobsystemer samt hosting, drift, support og udvikling til kunden (hovedaftalen, jf. vores handels- og abonnementsbetingelser). Når kunden lægger personoplysninger om sine egne kunder, medarbejdere eller samarbejdspartnere ind i løsningen, behandler Veyro dem på kundens vegne. Aftalen fastsætter parternes rettigheder og forpligtelser efter databeskyttelsesforordningens (GDPR) artikel 28, stk. 3.

Aftalen gælder, så længe Veyro behandler personoplysninger på kundens vegne. Bilag A-D er en del af aftalen. Går hovedaftalen og databehandleraftalen imod hinanden, går databehandleraftalen forud for så vidt angår beskyttelse af personoplysninger.

2. Kundens rettigheder og forpligtelser

Kunden er dataansvarlig og står inde for, at behandlingen har et lovligt grundlag, at de registrerede er oplyst om behandlingen, og at instruksen i aftalen er lovlig. Kunden må ikke lægge følsomme oplysninger (GDPR artikel 9), oplysninger om strafbare forhold (artikel 10) eller CPR-numre ind i løsningen, medmindre det er aftalt skriftligt med Veyro på forhånd.

3. Veyro handler efter instruks

Veyro behandler kun personoplysninger efter dokumenteret instruks fra kunden, som den fremgår af bilag A og C, eller som kunden senere giver skriftligt, medmindre EU-ret eller dansk ret kræver andet. I så fald underretter Veyro kunden før behandlingen, medmindre loven forbyder det. Mener Veyro, at en instruks er i strid med databeskyttelsesreglerne, underretter vi straks kunden.

4. Fortrolighed

Kun personer, der er autoriseret af Veyro, og som har brug for det for at levere ydelsen, har adgang til personoplysningerne. De har tavshedspligt efter aftale eller lov. Adgangen lukkes, når den ikke længere er nødvendig.

5. Behandlingssikkerhed

Veyro gennemfører de tekniske og organisatoriske foranstaltninger, der er nødvendige efter GDPR artikel 32, set i forhold til risikoen for de registrerede. De foranstaltninger, der som minimum er aftalt, står i bilag C.

6. Brug af underdatabehandlere

• Kunden giver Veyro en generel godkendelse til at bruge underdatabehandlere. De underdatabehandlere, der er godkendt ved aftalens indgåelse, står i bilag B.
• Veyro varsler planlagte tilføjelser eller udskiftninger af underdatabehandlere skriftligt mindst 30 dage før. Kunden kan inden da gøre indsigelse. Kan parterne ikke finde en løsning, kan kunden opsige de berørte ydelser til den dag, ændringen træder i kraft.
• Veyro pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og er over for kunden ansvarlig for, at de overholder dem.

7. Overførsel til tredjelande

Overførsel af personoplysninger til lande uden for EU/EØS sker kun efter kundens instruks. Kunden giver med denne aftale instruks om de overførsler, der står i bilag B. De sker på grundlag af EU-US Data Privacy Framework, hvor modtageren er certificeret, og ellers EU-Kommissionens standardkontraktbestemmelser.

8. Bistand til kunden

Veyro hjælper kunden, så vidt det er muligt og under hensyn til behandlingens karakter, med at

• besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse,
• overholde kundens forpligtelser om sikkerhed, anmeldelse af brud, underretning af de registrerede, konsekvensanalyser og høring af Datatilsynet.

Får Veyro en anmodning direkte fra en registreret, sender vi den videre til kunden uden unødig forsinkelse. Bistand ud over det sædvanlige afregnes efter medgået tid til Veyros gældende timepris.

9. Underretning om brud på persondatasikkerheden

Veyro underretter kunden uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden. Underretningen indeholder så vidt muligt de oplysninger, kunden har brug for til en anmeldelse til Datatilsynet efter GDPR artikel 33: hvad der er sket, hvilke kategorier og ca. hvor mange registrerede og oplysninger det drejer sig om, de sandsynlige konsekvenser og hvad der er gjort for at begrænse dem.

10. Sletning og tilbagelevering

Når aftalen om behandling ophører, sletter Veyro alle personoplysninger, der er behandlet på kundens vegne, og bekræfter det over for kunden, medmindre loven kræver, at de opbevares. Kunden kan inden for 30 dage efter ophøret bede om at få oplysningerne udleveret i et almindeligt format (fx CSV), før de slettes. Sikkerhedskopier slettes i takt med, at de udløber hos hostingudbyderen.

11. Revision og tilsyn

Veyro stiller alle oplysninger til rådighed, der er nødvendige for at vise, at aftalen og GDPR artikel 28 overholdes. Kunden kan én gang om året få en skriftlig redegørelse for Veyros sikkerhedsforanstaltninger. Ønsker kunden et fysisk tilsyn eller en revision ved en uafhængig tredjepart, aftales tidspunkt og omfang på forhånd, og kunden betaler omkostningerne. Datatilsynet har altid adgang efter loven.

12. Andre forhold

Parternes ansvar efter denne aftale følger hovedaftalens regler om ansvar og ansvarsbegrænsning, i det omfang det er foreneligt med GDPR artikel 82. Veyro kan ændre aftalen efter samme regler som handelsbetingelserne, dog aldrig så beskyttelsen af personoplysningerne bliver ringere.

13. Ikrafttræden og ophør

Aftalen træder i kraft, når kunden har accepteret den, og gælder, så længe Veyro behandler personoplysninger på kundens vegne. Aftalen kan ikke opsiges særskilt, så længe hovedaftalen løber. Parterne kan til enhver tid genforhandle aftalen, hvis lovgivningen eller behandlingen ændrer sig.

14. Kontaktpersoner

Veyro: kontakt@veyro.dk, telefon +45 61 66 39 31. Kunden: den e-mail, kunden er registreret med i kundepanelet. Parterne giver hinanden besked, hvis kontaktpersonen ændres.

Bilag A: Oplysninger om behandlingen

Formål: at levere hovedaftalens ydelser til kunden, dvs. hosting, drift, vedligeholdelse, support, fejlretning og videreudvikling af kundens hjemmeside, webshop og bestillings-, ordre-, lager- og jobsystemer, herunder afsendelse af e-mails fra løsningen.

Behandlingens karakter: opbevaring, organisering, hentning, visning, ændring, afsendelse og sletning af oplysninger i løsningen. Veyro ser kun oplysningerne, når det er nødvendigt for at levere ydelsen, fx ved support og fejlretning.

Kategorier af registrerede:

• kundens egne kunder og deres kontaktpersoner (fx bestillere og modtagere af ordrer)
• kundens medarbejdere og brugere af løsningen
• kontaktpersoner hos kundens leverandører og samarbejdspartnere
• besøgende på kundens hjemmeside og personer, der udfylder formularer der

Typer af personoplysninger (almindelige oplysninger, GDPR artikel 6):

• navn, firmanavn, CVR-nummer, adresse, leveringsadresse, e-mail og telefonnummer
• ordrer, bestillinger, kvitteringer, job, arbejdsadresser, noter og beskeder
• brugerkonti, roller og loggede handlinger (hvem gjorde hvad og hvornår)
• medarbejderes registrerede timer og de timesatser, kunden selv lægger ind
• tekniske oplysninger som IP-adresse i forbindelse med sikkerhed og misbrugsbeskyttelse

Varighed: så længe hovedaftalen løber, og derefter indtil sletning efter punkt 10.

Bilag B: Underdatabehandlere

Ved aftalens indgåelse er følgende underdatabehandlere godkendt:

• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Hosting af hjemmesider og systemer, database, filer og beskyttelse mod angreb. Data kan behandles i Cloudflares datacentre i og uden for EU/EØS.
• Resend (Plus Five Five, Inc.), USA. Afsendelse af e-mails fra løsningen, fx ordrebekræftelser, login-links og advarsler.
• Google Cloud EMEA Limited, Irland (Google Workspace). Veyros e-mail, hvis kunden sender personoplysninger til os, fx i forbindelse med support.

Den aktuelle liste findes altid på denne side.

Bilag C: Instruks og sikkerhed

C.1 Behandlingens genstand og instruks: Veyro behandler personoplysningerne for at levere ydelserne i bilag A og kun efter kundens instruks. Kundens brug og indstilling af løsningen udgør en del af instruksen.

C.2 Sikkerhed: Veyro har som minimum disse foranstaltninger:

• al trafik er krypteret med HTTPS (TLS)
• hver kunde har sin egen database, så kunders data ikke blandes
• login sker med personlige konti; login-links, engangskoder og sessioner gemmes kun som hash-værdier
• roller begrænser, hvad den enkelte bruger kan se og ændre
• beskyttelse mod forfalskede formularer, misbrug og for mange forsøg (rate-limiting)
• adgang til hosting, database og kode er begrænset til Veyros autoriserede personer
• databasen kan gendannes til et tidligere tidspunkt via hostingudbyderens gendannelsesfunktion
• hemmelige nøgler opbevares krypteret hos hostingudbyderen og aldrig i koden
• sikkerhedsopdateringer installeres løbende

C.3 Bistand: Veyro bistår efter punkt 8 og 9 med de foranstaltninger, der står i C.2. Kunden kan selv rette og slette de fleste oplysninger i løsningen.

C.4 Opbevaring og sletning: Oplysningerne opbevares, så længe hovedaftalen løber, eller til kunden selv sletter dem. Ved ophør gælder punkt 10.

C.5 Lokalitet: Behandlingen sker hos Veyro i Danmark og hos underdatabehandlerne i bilag B.

C.6 Overførsel til tredjelande: se punkt 7 og bilag B. Andre overførsler kræver kundens skriftlige instruks.

C.7 Tilsyn med underdatabehandlere: Veyro fører tilsyn ved at gennemgå underdatabehandlernes databehandleraftaler, sikkerhedsdokumentation og revisionserklæringer (fx SOC 2 eller ISO 27001), når de opdateres.

Bilag D: Parternes regulering af andre forhold

Bistand efter punkt 8 og tilsyn efter punkt 11, der går ud over det sædvanlige, afregnes efter medgået tid. Øvrige forhold reguleres af hovedaftalen.