Databehandleraftale

Denne DPA er indgået mellem den kunde, der bruger en af vores platforme ('Kunden', den dataansvarlige), og Windfeld Jensen Co., CVR 46591054, Lyngbyvej 83A, 2100 København Ø ('Windfeld Jensen Co.', 'vi', 'os', databehandleren).

Kunden er dataansvarlig for de personoplysninger, Kunden eller dens godkendte brugere uploader, indsender eller på anden måde behandler via en platform, hvilket betyder, at Kunden fastlægger formålet med og midlerne til behandlingen.

Windfeld Jensen Co. er databehandler for sådanne personoplysninger og behandler dem alene på vegne af og efter Kundens dokumenterede instruks, som beskrevet i denne DPA.

Til visse begrænsede formål handler Windfeld Jensen Co. som selvstændig dataansvarlig i stedet for databehandler, for eksempel ved behandling af Kundens egne virksomhedskontaktoplysninger til kontoadministration, fakturering og legitim forretningskommunikation. Sådan behandling er reguleret af vores privatlivspolitik og ikke af denne DPA.

Hvor Kunden selv er databehandler på vegne af en slutkunde eller en anden enhed, bekræfter Kunden, at den har bemyndigelse til at instruere Windfeld Jensen Co. som underdatabehandler, og at dens egen aftale med den relevante dataansvarlige tillader dette.

Denne DPA dækker den behandling af personoplysninger, som Windfeld Jensen Co. udfører i forbindelse med Kundens brug af vores softwareplatforme, heriblandt LCAB, FOUND, SAGSHUB og lignende platforme, vi fra tid til anden kan drive, samt eventuel relateret hosting af Kundens indhold uploadet til disse platforme.

Genstanden for behandlingen er hosting, opbevaring, overførsel og behandling af personoplysninger indeholdt i Kundens konto, projekter, dokumenter og andet indhold indsendt til en platform, sammen med relaterede konto- og brugsdata, der genereres gennem Kundens og dens brugeres brug af platformen.

Hvor Windfeld Jensen Co. leverer skræddersyet software eller konsulentarbejde, der indebærer behandling af personoplysninger på Kundens vegne, kan parterne aftale, at denne DPA, eller en projektspecifik databehandleraftale, også regulerer denne behandling.

Denne DPA får virkning fra den dato, hvor Kundens konto eller abonnement første gang omfatter behandling af personoplysninger via en platform, og den forbliver i kraft, så længe Windfeld Jensen Co. behandler personoplysninger på Kundens vegne.

Denne DPA ophører automatisk, når den underliggende aftale mellem parterne (abonnements- eller projektaftalen) afsluttes, og al behandling af personoplysninger på Kundens vegne er ophørt, heriblandt efter en eventuel sletning eller returnering af data som beskrevet i afsnit 14.

Forpligtelser i denne DPA, der efter deres karakter bør bestå efter ophør, heriblandt bestemmelser om fortrolighed, sikkerhed og ansvar, forbliver gældende efter ophør i det omfang, det er nødvendigt for at opfylde deres formål.

Windfeld Jensen Co. behandler personoplysninger på Kundens vegne alene med det formål at levere, drive, sikre, supportere og vedligeholde den relevante platform, i overensstemmelse med Kundens instruks som fastlagt i denne DPA og de gældende Vilkår.

Behandlingens karakter omfatter hosting og opbevaring af Kundens indhold, overførsel af data mellem Kundens brugere og vores infrastruktur, backup- og disaster recovery-processer, teknisk support, fejlfinding og, hvor det er relevant, funktioner, der anvender automatiseret databehandling til at generere output, rapporter eller beregninger inden for platformen.

Windfeld Jensen Co. anvender ikke personoplysninger behandlet på Kundens vegne til egne selvstændige formål, heriblandt markedsføring, profilering eller træning af generelle produkter, ud over hvad der er nødvendigt for at levere og forbedre den konkrete ydelse for Kunden, eller som separat aftalt.

De personoplysninger, Windfeld Jensen Co. behandler på Kundens vegne, afhænger af, hvordan Kunden og dens brugere konfigurerer og bruger en platform, og består typisk af almindelige kategorier af personoplysninger, såsom:

• Kontaktoplysninger for Kundens medarbejdere og godkendte brugere: navn, e-mailadresse, telefonnummer og jobtitel
• Konto- og autentificeringsdata: brugernavne, hashede adgangskoder, loginhistorik og adgangslogs
• Indhold uploadet til platformen af Kunden, som kan omfatte personoplysninger om Kundens egne medarbejdere, kunder, leverandører eller andre personer, afhængigt af Kundens anvendelse
• Brugs- og tekniske data: IP-adresse, enheds- og browseroplysninger samt aktivitetslogs genereret ved brug af platformen
• Kommunikation med vores supportteam vedrørende Kundens brug af platformen

Kategorierne af registrerede, hvis personoplysninger kan blive behandlet, omfatter typisk:

Windfeld Jensen Co. kræver ikke, at Kunden indsender særlige kategorier af personoplysninger (følsomme data, som helbredsoplysninger, fagforeningsmedlemskab eller biometriske data) for at bruge vores platforme. Hvis Kunden alligevel vælger at uploade sådanne data som en del af sit eget indhold, er Kunden alene ansvarlig for at sikre et gyldigt retsgrundlag, og Windfeld Jensen Co. vil anvende de samme tekniske og organisatoriske sikkerhedsforanstaltninger beskrevet i afsnit 8 på disse data.

Windfeld Jensen Co. behandler kun personoplysninger efter dokumenteret instruks fra Kunden, medmindre vi er forpligtet til andet i henhold til EU-ret eller dansk ret, i hvilket fald vi informerer Kunden om dette retlige krav forud for behandlingen, medmindre loven forbyder en sådan meddelelse.

Kundens instruks fremgår i første omgang af denne DPA, de gældende Vilkår og Kundens konfiguration og brug af platformens funktioner. Kunden kan give yderligere skriftlig instruks i aftalens løbetid, for eksempel via e-mail til info@windfeldjensen.com.

Hvis Windfeld Jensen Co. vurderer, at en instruks fra Kunden er i strid med GDPR eller anden gældende databeskyttelseslovgivning, informerer vi Kunden uden ugrundet ophold og kan sætte udførelsen af den konkrete instruks i bero, indtil forholdet er afklaret.

Windfeld Jensen Co. behandler ikke personoplysninger til andet formål end det, Kunden har instrueret, med undtagelse af hvor gældende lovgivning kræver det.

Windfeld Jensen Co. sikrer, at enhver medarbejder, kontraktpart eller anden person, der handler under vores bemyndigelse, og som har adgang til personoplysninger behandlet på Kundens vegne, er underlagt en passende fortrolighedsforpligtelse, hvad enten den er kontraktuel eller lovbestemt.

Adgang til personoplysninger er begrænset til personale, der har behov herfor for at levere, supportere eller sikre platformen, efter et need-to-know-princip.

Fortrolighedsforpligtelser vedrørende Kundens data fortsætter, efter at en persons ansættelse eller samarbejde med Windfeld Jensen Co. er ophørt.

Windfeld Jensen Co. anvender passende tekniske og organisatoriske foranstaltninger ('TOM'er') for at sikre et sikkerhedsniveau, der passer til risikoen, under hensyntagen til det aktuelle tekniske niveau, implementeringskostninger samt behandlingens karakter, omfang, sammenhæng og formål, som krævet af GDPR artikel 32.

Vores nuværende TOM'er omfatter blandt andet:

• Kryptering af personoplysninger under overførsel ved brug af branchestandardprotokoller (TLS)
• Kryptering af data i hvile, hvor det understøttes af vores hosting- og databaseudbydere
• Rollebaseret adgangskontrol og princippet om mindste privilegium for interne systemer
• Multifaktorautentificering til administrativ adgang til produktionssystemer, hvor det understøttes
• Logning og overvågning af adgang til produktionssystemer og usædvanlig aktivitet
• Løbende sikkerhedsopdateringer og opdatering af afhængigheder
• Adskillelse af Kundens data efter konto eller workspace inden for vores platforme
• Dokumenterede procedurer for backup og disaster recovery
• Procedurer for hændelsesrespons, heriblandt processen beskrevet i afsnit 12
• Oplæring af medarbejdere i databeskyttelse og sikkerhedsbevidsthed

Vi gennemgår og opdaterer løbende, hvor det er nødvendigt, disse foranstaltninger for at afspejle udviklingen i teknologi, trusler og god praksis. Et mere detaljeret overblik over vores sikkerhedspraksis er tilgængeligt efter anmodning eller på vores side om datasikkerhed.

Kunden giver Windfeld Jensen Co. en generel skriftlig bemyndigelse til at anvende underdatabehandlere til at understøtte leveringen af en platform, forudsat at hver underdatabehandler er underlagt databehandlingsvilkår, der pålægger forpligtelser svarende til dem, der fremgår af denne DPA.

Windfeld Jensen Co. er fuldt ansvarlig over for Kunden for opfyldelsen af en underdatabehandlers forpligtelser vedrørende behandlingen af personoplysninger.

Vores nuværende kategorier af underdatabehandlere omfatter blandt andet:

• Cloud-hosting- og infrastrukturudbydere, til hosting af vores platforme, applikationer og backend-tjenester
• Database- og backend-infrastrukturudbydere, heriblandt Supabase, til databasehosting, autentificering og filopbevaring
• Betalingsudbydere, heriblandt Stripe, til fakturering og abonnementshåndtering, hvor Kundens konto omfatter betalte abonnementer
• E-mail- og kommunikationstjenesteudbydere, til afsendelse af transaktions- og supportrelaterede e-mails
• Analyse- og overvågningsudbydere, til at vedligeholde sikkerheden, stabiliteten og ydeevnen i vores platforme

Navne og kategorier på underdatabehandlere fremgår også af vores privatlivspolitik, som vi opdaterer løbende, når vores leverandørlandskab ændres. Vi informerer Kunden, for eksempel via e-mail eller en meddelelse på vores hjemmeside, om enhver planlagt tilføjelse eller udskiftning af en underdatabehandler med rimeligt forudgående varsel.

Har Kunden en rimelig, dokumenteret indsigelse mod en ny underdatabehandler baseret på reelle databeskyttelseshensyn, kan Kunden gøre indsigelse skriftligt inden rimelig tid efter meddelelsen. I sådanne tilfælde arbejder vi i god tro sammen med Kunden på at adressere bekymringen, for eksempel ved at justere konfigurationen af Kundens brug af platformen. Kan der ikke findes en rimelig løsning, kan begge parter opsige det påvirkede abonnement eller den påvirkede aftale i overensstemmelse med de gældende Vilkår.

Hvor det er muligt, opbevarer og behandler Windfeld Jensen Co. personoplysninger inden for EU/EØS.

Hvor en underdatabehandler overfører eller opbevarer personoplysninger uden for EU/EØS, for eksempel i USA, sikrer Windfeld Jensen Co., at overførslen sker på et gyldigt overførselsgrundlag i henhold til GDPR, som eksempelvis en adækvansbeslutning fra Europa-Kommissionen, Europa-Kommissionens standardkontraktbestemmelser (SCC'er) eller et andet gyldigt værn, sammen med eventuelle supplerende foranstaltninger, der med rimelighed er nødvendige for at beskytte de overførte data.

På anmodning stiller vi rimeligt tilgængelig information til rådighed for Kunden om de sikkerhedsforanstaltninger, der gælder for en konkret international overførsel relevant for Kundens data.

Under hensyntagen til behandlingens karakter bistår Windfeld Jensen Co. Kunden, i det omfang det er rimeligt muligt, med at opfylde sin forpligtelse til at besvare anmodninger fra registrerede, der udøver deres rettigheder i henhold til GDPR, heriblandt indsigt, rettelse, sletning, begrænsning, dataportabilitet og indsigelse.

Hvor det er rimeligt muligt, giver vores platforme Kunden selvbetjeningsværktøjer til at se, rette, eksportere eller slette data direkte, hvilket ofte er den hurtigste måde at besvare en anmodning fra en registreret.

Hvis Windfeld Jensen Co. modtager en anmodning direkte fra en registreret vedrørende personoplysninger, vi behandler på Kundens vegne, informerer vi uden ugrundet ophold Kunden om anmodningen og undlader at besvare den registrerede selv, medmindre Kunden instruerer andet, eller lovgivningen kræver det.

Kunden er ansvarlig for at vurdere og besvare anmodninger fra registrerede inden for de tidsfrister, GDPR kræver. Windfeld Jensen Co. stiller rimelig teknisk bistand til rådighed for at hjælpe Kunden med at nå disse tidsfrister.

Hvis Windfeld Jensen Co. bliver bekendt med et brud på persondatasikkerheden, der påvirker personoplysninger behandlet på Kundens vegne, underretter vi Kunden uden ugrundet ophold efter at være blevet bekendt med bruddet.

Underretningen vil, i det omfang det er kendt på tidspunktet, beskrive bruddets karakter, kategorierne og det tilnærmelsesvise antal berørte registrerede og personoplysninger, de sandsynlige konsekvenser af bruddet samt de foranstaltninger, der er truffet eller foreslået for at afhjælpe det og begrænse dets skadevirkninger.

Hvor oplysninger ikke er fuldt tilgængelige med det samme, giver vi dem løbende, uden yderligere ugrundet ophold, i takt med at de bliver tilgængelige.

Windfeld Jensen Co. dokumenterer alle brud på persondatasikkerheden, heriblandt forholdene, virkningerne og de afhjælpende foranstaltninger, og samarbejder med Kunden ved at give rimelig bistand, så Kunden kan efterleve sine egne underretningsforpligtelser til tilsynsmyndigheder og berørte registrerede i henhold til GDPR artikel 33 og 34.

Under hensyntagen til behandlingens karakter og de oplysninger, der med rimelighed er tilgængelige for os, stiller Windfeld Jensen Co. rimelig bistand til rådighed for Kunden ved udarbejdelse af en konsekvensanalyse vedrørende databeskyttelse (DPIA), hvor Kunden vurderer, at en sådan er nødvendig i henhold til GDPR artikel 35 i forbindelse med brugen af vores platforme.

Hvor en DPIA indikerer, at den påtænkte behandling ville medføre en høj risiko, hvis Kunden ikke træffer foranstaltninger til at begrænse denne risiko, stiller Windfeld Jensen Co. rimelig bistand til rådighed for Kunden i forbindelse med en eventuel forudgående høring af den relevante tilsynsmyndighed, som krævet i henhold til GDPR artikel 36.

Bistand under dette afsnit kan gives i form af dokumentation om vores behandlingsaktiviteter og sikkerhedsforanstaltninger samt, hvor det med rimelighed er nødvendigt, direkte input fra vores team.

Ved ophør eller udløb af Kundens abonnement eller aftale, og efter Kundens valg, sletter eller returnerer Windfeld Jensen Co. alle personoplysninger behandlet på Kundens vegne, medmindre gældende lovgivning kræver fortsat opbevaring af personoplysningerne.

Forud for sletning giver vi, hvor det er muligt, Kunden en rimelig periode efter ophør til at eksportere sine data direkte fra platformen ved brug af tilgængelig eksportfunktionalitet.

Anmoder Kunden ikke om returnering eller eksport inden for en rimelig periode efter ophør, sletter Windfeld Jensen Co. Kundens data inden for en rimelig tidsramme derefter, i overensstemmelse med vores standardpraksis for opbevaring.

Personoplysninger kan opbevares efter ophør, i det omfang gældende lovgivning kræver det, som eksempelvis den danske bogføringslovgivning for fakturarelaterede data, i hvilket fald de kun behandles til dette lovbestemte formål og beskyttes i overensstemmelse med sikkerhedsforanstaltningerne beskrevet i afsnit 8.

Kopier af Kundens data indeholdt i rutinemæssige backups slettes i overensstemmelse med vores standardcyklus for opbevaring og rotation af backups, snarere end umiddelbart efter en anmodning om sletning, i lyset af backupsystemers karakter.

Windfeld Jensen Co. stiller alle oplysninger, der med rimelighed er nødvendige for at dokumentere efterlevelse af forpligtelserne i denne DPA og GDPR artikel 28, til rådighed for Kunden, og giver mulighed for og bidrager til revisioner, heriblandt inspektioner, udført af Kunden eller en revisor bemyndiget af Kunden.

På grund af vores platformes multi-tenant-karakter udføres revisioner i første omgang gennem levering af dokumentation, sikkerhedsoversigter og rimelig skriftlig spørgsmål-svar-udveksling snarere end fysiske inspektioner, medmindre et konkret forhold med rimelighed kræver andet.

Hvor en fysisk eller mere omfattende revision med rimelighed er nødvendig, giver Kunden rimeligt forudgående varsel, og parterne aftaler omfang, tidsplan og fortrolighedsforanstaltninger, så revisionen ikke unødigt forstyrrer Windfeld Jensen Co.s drift eller udsætter andre kunders fortrolige oplysninger.

Kunden bærer selv sine omkostninger ved en revision og kan blive opkrævet for rimelig tid, Windfeld Jensen Co. bruger på at understøtte en revision, der går ud over den standarddokumentation, vi stiller til rådighed, medmindre revisionen afdækker en væsentlig overtrædelse af denne DPA fra Windfeld Jensen Co.s side.

Ansvar, der udspringer af eller er forbundet med denne DPA, heriblandt ansvar for overtrædelse af GDPR fra begge parters side, er underlagt ansvarsbegrænsningen i Kundens gældende Vilkår og betingelser med Windfeld Jensen Co., i det omfang gældende lovgivning tillader det.

Intet i denne DPA har til hensigt at begrænse eller udelukke en parts ansvar over for registrerede eller tilsynsmyndigheder i henhold til GDPR artikel 82, eller ansvar, der ikke lovligt kan begrænses eller udelukkes, heriblandt ansvar for grov uagtsomhed eller forsætlig fejl.

Hver part forbliver ansvarlig for sin egen efterlevelse af gældende databeskyttelseslovgivning i forhold til de behandlingsaktiviteter, hvor den handler som henholdsvis dataansvarlig eller databehandler, som beskrevet i denne DPA.

Denne DPA løber i samme periode som Kundens underliggende abonnement eller aftale med Windfeld Jensen Co. og ophører automatisk, når den aftale afsluttes, jf. afsnit 3.

Hver part kan opsige denne DPA sammen med den underliggende aftale i overensstemmelse med opsigelsesbestemmelserne i de gældende Vilkår.

Afhjælpes en væsentlig overtrædelse af denne DPA fra en parts side ikke inden for en rimelig periode efter skriftlig meddelelse, der beskriver overtrædelsen, kan den ikke-misligholdende part opsige denne DPA og den underliggende aftale i overensstemmelse med bestemmelserne om misligholdelse og opsigelse i de gældende Vilkår.

Denne DPA er underlagt dansk ret, med undtagelse af dens lovvalgsregler, og er underlagt samme værneting som Kundens underliggende Vilkår og betingelser med Windfeld Jensen Co., nemlig de danske domstole med København som aftalt værneting, medmindre ufravigelig lovgivning bestemmer andet.

Opstår der en konflikt mellem denne DPA og de underliggende Vilkår om forhold specifikt relateret til databeskyttelse, har denne DPA forrang i det omfang, konflikten omfatter.

Denne webpublicerede DPA gælder automatisk for kunder, der behandler personoplysninger via vores platforme, sammen med de gældende Vilkår, og kræver ikke en separat underskrift for at få virkning.

Enterprise-kunder, eller kunder hvis interne compliance- eller indkøbsproces kræver en individuelt underskrevet databehandleraftale, kan til enhver tid anmode om en sådan ved brug af nedenstående kontaktoplysninger. Vi udleverer en underskrevet version, der afspejler vilkårene i denne DPA, kun tilpasset i det omfang, det med rimelighed er nødvendigt for kundens specifikke opsætning.

Spørgsmål om denne DPA, vores rolle som databehandler eller vores underdatabehandlere kan rettes til os på nedenstående oplysninger:

• Windfeld Jensen Co., CVR 46591054
• Lyngbyvej 83A, 2100 København Ø
• E-mail: info@windfeldjensen.com
• Telefon: +45 23 97 94 91