Databehandleraftale

Denne aftale er indgået mellem Kunden (den dataansvarlige) og FlowOS I/S, CVR 46857003 (databehandleren), og er en del af aftalen om brug af FlowOS. Den accepteres ved oprettelse af konto og gælder, så længe databehandleren behandler personoplysninger for Kunden.

1. Behandlingens formål og karakter

Databehandleren opbevarer og behandler personoplysninger, som Kunden lægger ind i tjenesten, alene for at levere tjenesten til Kunden: lagring, visning, redigering, udskrift og afsendelse af beskeder på Kundens anmodning samt teknisk drift og support.

2. Kategorier af oplysninger og personer

• Registrerede: Kundens kunder og kundeemner, Kundens medarbejdere og brugere samt kontaktpersoner.
• Oplysninger: navn, telefonnummer, e-mail, adresse, noter, tilbud og fakturaer, billeder af opgaver, arbejdstider og vagter samt navn, tidspunkt og IP-adresse, når en modtager accepterer et tilbud online.
• Systemet er ikke beregnet til følsomme personoplysninger (fx helbred eller CPR-numre). Kunden må ikke registrere sådanne oplysninger.

3. Instruks

Databehandleren behandler kun oplysninger efter Kundens dokumenterede instruks, som består af denne aftale, vilkårene og Kundens brug af tjenestens funktioner. Hvis Databehandleren mener, at en instruks strider mod databeskyttelsesreglerne, underrettes Kunden.

4. Fortrolighed

Personer med adgang til oplysningerne hos Databehandleren er underlagt tavshedspligt og får kun adgang, hvis det er nødvendigt for at levere tjenesten.

5. Sikkerhed

Databehandleren har indført passende tekniske og organisatoriske foranstaltninger, bl.a.:

• Adskillelse af hver kundes data i databasen (rækkeniveau-sikkerhed pr. virksomhed).
• Krypteret forbindelse (HTTPS); data krypteres i hvile hos databaseleverandøren.
• Adgangskontrol med individuelle logins og rettigheder pr. medarbejder: Kunden vælger selv, hvilke sider og data hver bruger kan se og ændre, og det håndhæves i selve databasen.
• Regelmæssige sikkerhedskopier og overvågning af fejl og driftsstop uden at fejllogs indeholder Kundens persondata.
• Værktøjer til at hjælpe Kunden med de registreredes rettigheder: udtræk af data om en enkelt kunde, anonymisering, udtræk af alle data og sletning af hele kontoen.
• Data opbevares i EU (Frankfurt). Betalingskortdata håndteres udelukkende af Stripe.
• Adgang til produktionsdata er begrænset til nødvendige personer, som bruger personlige logins med to-faktor-godkendelse hos vores leverandører.

6. Underdatabehandlere

Kunden giver generel godkendelse til brug af følgende underdatabehandlere: Supabase (database og login, EU), Vercel (hosting), GatewayAPI (SMS, EU), Anthropic (AI-tilbudsudkast, kun hvis de bruges; der sendes kun den opgavebeskrivelse, Kunden selv skriver, og virksomhedens tidligere linjetekster og priser, aldrig kunders kontaktoplysninger) og Stripe (betaling af abonnement; kun oplysninger om Kunden selv og dennes brugere). Databehandleren pålægger dem tilsvarende databeskyttelsesforpligtelser. Kobler Kunden selv tjenesten til egne tjenester (fx regnskabsprogrammet Dinero), sender Databehandleren oplysninger dertil efter Kundens instruks; de er Kundens egne databehandlere og ikke underdatabehandlere under denne aftale. Ændringer i listen varsles pr. e-mail med mindst 30 dages varsel, og Kunden kan gøre indsigelse inden for varslingsperioden.

7. Overførsel til tredjelande

Overførsler uden for EU/EØS sker kun til underdatabehandlere, der har et gyldigt overførselsgrundlag, fx EU-Kommissionens standardkontraktbestemmelser.

8. Bistand til Kunden

Databehandleren bistår, så vidt muligt, Kunden med at besvare de registreredes anmodninger om deres rettigheder, med sikkerhed, med konsekvensanalyser og med forudgående høring af Datatilsynet.

9. Brud på persondatasikkerheden

Databehandleren underretter Kunden uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud, og giver de oplysninger, Kunden skal bruge til sin egen anmeldelse til Datatilsynet.

10. Sletning og udlevering

Ved ophør af aftalen sletter eller udleverer Databehandleren efter Kundens valg alle personoplysninger inden for 30 dage, medmindre lovgivningen kræver fortsat opbevaring. Sikkerhedskopier overskrives inden for 90 dage.

11. Revision og kontrol

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af aftalen, og giver mulighed for revision, herunder inspektioner, foretaget af Kunden eller en af Kunden bemyndiget revisor, efter rimeligt varsel og for Kundens regning.

12. Ansvar, lovvalg og kontakt

Ansvar følger vilkårene og databeskyttelsesreglerne. Aftalen er underlagt dansk ret. Kontakt vedrørende databeskyttelse: kontakt@flowos.dk.