Databehandleraftale

Kunden er dataansvarlig for de personoplysninger, der indtastes i eller indsamles gennem Kundens brug af tjenesten. Dette gælder både virksomheder, der opretter en portal til deres medarbejdere, og leverandører, der administrerer aftaler og modtager forespørgsler.

Avtalor er databehandler og behandler kun personoplysningerne efter dokumenteret instruks fra Kunden. Denne Aftale, vilkårene og Kundens brug af tjenestens funktioner udgør den dokumenterede instruks. Hvis Avtalor vurderer, at en instruks er i strid med GDPR eller anden databeskyttelseslovgivning, underretter vi Kunden uden unødig forsinkelse.

Formålet med behandlingen er at levere tjenesten: en portal, hvor medarbejdere finder virksomhedens aftaler, hvor virksomheden og leverandørerne vedligeholder aftaleindholdet, og hvor notifikationer og udsendelser går til dem, der har givet samtykke.

Behandlingen omfatter indsamling, opbevaring, strukturering, videregivelse ved transmission (e-mail og notifikationer), samkøring og sletning. Behandlingen varer, så længe Kunden har et aktivt kundeforhold, og ophører ved eksport eller sletning efter punkt 9.

Registrerede: Kundens medarbejdere og administratorer, leverandørers kontaktpersoner og personer, som Kunden inviterer til tjenesten.

Typer af oplysninger: navn, e-mailadresse, telefonnummer, stillingsbetegnelse, kontortilknytning, login- og samtykkehistorik, push-tokens til mobile enheder og brugsdata vedrørende aftaler (visninger og klik, samlet hvor det er muligt). Tjenesten er ikke beregnet til særlige kategorier af personoplysninger, og Kunden må ikke indtaste sådanne oplysninger.

Kunden ejer alle data, der indtastes i tjenesten, både personoplysninger og aftaleindhold. Avtalor gør ikke krav på ejerskab.

Avtalor har en begrænset ret til at bruge oplysningerne til at drive, sikre, fejlsøge og forbedre tjenesten. Forbedring sker så vidt muligt på et samlet eller anonymiseret grundlag. Avtalor sælger aldrig personoplysninger og bruger dem ikke til markedsføring for tredjemand.

Personer, der er autoriseret til at behandle personoplysningerne hos Avtalor, er underlagt tavshedspligt i kraft af aftale eller lovbestemt pligt.

Avtalor gennemfører tekniske og organisatoriske foranstaltninger efter GDPR artikel 32, herunder kryptering af data under overførsel og ved opbevaring, sikkerhed på rækkeniveau, der adskiller kundernes data, rollebaseret adgangskontrol, uigenkaldelig logning af supportadgang og løbende sikkerhedstest af adgangsreglerne i kodebasen.

Kunden giver en generel forudgående godkendelse af, at Avtalor bruger underdatabehandlere. Ved planlagte ændringer underretter Avtalor Kunden mindst 30 dage i forvejen, så Kunden kan gøre indsigelse.

Nuværende underdatabehandlere: Supabase (database, autentificering og fillagring; data opbevares i EU/EØS), Vercel (hosting af webapplikationen; EU-region til afvikling af funktioner), Resend (afsendelse af e-mail på vegne af Kunden) og Anthropic (maskinlæsning af aftaledokumenter, som Kunden uploader til AI-import; indholdet bruges ikke til at træne modeller). Planlagt underdatabehandler: Expo (650 Industries, Inc., USA; afsendelse af push-notifikationer til mobilappen med enhedens push-token og notifikationens titel, tekst og link). Expo tages i brug, når push-notifikationer i appen lanceres, tidligst 30 dage efter at Kunden er blevet underrettet.

Hvis personoplysninger overføres til lande uden for EU/EØS, sker det kun med et gyldigt overførselsgrundlag efter GDPR kapitel V, såsom EU-Kommissionens standardkontraktbestemmelser (SCC) eller en afgørelse om tilstrækkeligt beskyttelsesniveau, med supplerende foranstaltninger, hvor det er nødvendigt.

Avtalor bistår Kunden, så vidt muligt og under hensyntagen til behandlingens karakter, med at besvare anmodninger fra de registrerede efter GDPR kapitel III (indsigt, berigtigelse, sletning, dataportabilitet m.m.). Meget af dette kan Kundens medarbejdere selv gøre i tjenesten: se deres data, downloade dem og slette deres konto.

Avtalor bistår også Kunden med at opfylde forpligtelserne efter GDPR artikel 32 til 36, herunder konsekvensanalyser vedrørende databeskyttelse og forudgående høringer af Datatilsynet (den norske tilsynsmyndighed for databeskyttelse), når Kunden anmoder om det.

Ved brud på persondatasikkerheden underretter Avtalor Kunden uden unødig forsinkelse efter at være blevet bekendt med bruddet. Underretningen beskriver bruddets karakter, de berørte registrerede og oplysninger, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslået. Kunden er ansvarlig for en eventuel anmeldelse til Datatilsynet og for underretning af de registrerede.

Ved kundeforholdets ophør vælger Kunden, om personoplysningerne skal tilbageleveres i et struktureret, almindeligt anvendt og maskinlæsbart format eller slettes. Uden et aktivt valg slettes oplysningerne senest 90 dage efter ophøret. Kopier i sikkerhedskopier slettes i takt med deres rotation, senest inden for yderligere 35 dage.

Avtalor kan opbevare oplysninger, hvor opbevaring er påkrævet ved lov, for eksempel regnskabsmateriale, men kun så længe og i det omfang loven kræver.

Avtalor stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af forpligtelserne i GDPR artikel 28, og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af Kunden eller en revisor, som Kunden har bemyndiget. Revisioner varsles skriftligt mindst 14 dage i forvejen og gennemføres, så de ikke unødigt forstyrrer driften eller giver adgang til andre kunders data.

Aftalen gælder, så længe Avtalor behandler personoplysninger på vegne af Kunden. Aftalen er underlagt norsk ret, og Oslo tingrett (byretten i Oslo) er aftalt værneting i overensstemmelse med vilkårene.