Databehandleraftale (DPA) – fagkalk

Aftalen følger strukturen i Datatilsynets standardkontraktbestemmelser for databehandleraftaler (standardkontraktbestemmelser efter databeskyttelsesforordningens art. 28, stk. 8; EDPB-udtalelse december 2019, senest ændret 4. marts 2024). Skabelonen findes på dansk og engelsk under datatilsynet.dk → Dataansvarlig og databehandler; ændringen i 2024 er beskrevet her. Datatilsynet anbefaler den danske skabelon, når begge parter er i Danmark (nyhed, okt. 2021). Bestemmelserne 1–14 er holdt tæt på skabelonen; bilag A–D er udfyldt for fagkalk. Afvigelser fra skabelonen er markeret "(afvigelse fra skabelonen)".

Aftalen er skrevet, så den kan accepteres med en afkrydsning i onboarding ("Jeg accepterer databehandleraftalen (v1.0)") af en person, der kan tegne malervirksomheden. Accepten logges med bruger, version, tidspunkt og IP-adresse.

Parter

Den dataansvarlige ("Kunden"): den malervirksomhed, der opretter en konto på fagkalk, identificeret ved virksomhedsnavn og CVR-nummer indtastet ved oprettelsen, og repræsenteret af den bruger, der accepterer aftalen.

Databehandleren ("fagkalk"): fagkalk v/ Sean [efternavn], CVR [kommer], [adresse kommer], Danmark, hej@fagkalk.dk.

Parterne har aftalt følgende bestemmelser med henblik på at overholde databeskyttelsesforordningen (GDPR, forordning (EU) 2016/679) og databeskyttelsesloven.

1. Indhold

1.1. Bestemmelserne fastsætter databehandlerens rettigheder og forpligtelser, når databehandleren behandler personoplysninger på vegne af den dataansvarlige.

1.2. Bestemmelserne er udformet med henblik på parternes efterlevelse af GDPR art. 28, stk. 3.

1.3. Databehandleren behandler personoplysninger i forbindelse med levering af tjenesten fagkalk (web- og mobilapp til opmåling, kalkulation og tilbudsgivning for malervirksomheder), som beskrevet i bilag A og i handelsbetingelserne (fagkalk.dk/handelsbetingelser).

1.4. Bilag A, B, C og D er en integreret del af aftalen.

1.5. Bilag A indeholder oplysninger om behandlingen: formål, karakter, typer af personoplysninger, kategorier af registrerede og varighed.

1.6. Bilag B indeholder den dataansvarliges betingelser for databehandlerens brug af underdatabehandlere og en liste over de godkendte underdatabehandlere.

1.7. Bilag C indeholder den dataansvarliges instruks: behandlingens genstand, sikkerhedsforanstaltninger, opbevaring og sletning, bistand og tilsyn.

1.8. Bilag D indeholder parternes regulering af andre forhold (ansvar, prioritet, ikrafttræden).

1.9. Aftalen med bilag opbevares skriftligt (elektronisk) af begge parter. fagkalk gemmer den accepterede version i databasen og stiller den til rådighed under Indstillinger → Juridisk.

1.10. Aftalen frigør ikke databehandleren fra forpligtelser, som påhviler databehandleren direkte efter GDPR eller anden lovgivning.

2. Den dataansvarliges rettigheder og forpligtelser

2.1. Den dataansvarlige er ansvarlig for, at behandlingen af personoplysninger sker i overensstemmelse med GDPR (jf. art. 24), databeskyttelsesretlige regler i EU-ret eller dansk ret og disse bestemmelser.

2.2. Den dataansvarlige har ret og pligt til at træffe beslutning om, til hvilke formål og med hvilke hjælpemidler der må ske behandling af personoplysninger.

2.3. Den dataansvarlige er ansvarlig for, at der foreligger et gyldigt behandlingsgrundlag for den behandling, databehandleren instrueres i at foretage. For fagkalk betyder det konkret: den dataansvarlige er ansvarlig for, at slutkunden (boligejer, lejer, erhvervskunde) er oplyst om, at dennes navn, adresse, kontaktoplysninger og eventuelle fotos af boligen behandles i et it-system til tilbudsgivning, og for at der ikke indtastes oplysninger, der ikke er nødvendige for tilbuddet (fx helbredsoplysninger, CPR-numre). (afvigelse fra skabelonen: præcisering)

3. Databehandleren handler efter instruks

3.1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller dansk ret, som databehandleren er underlagt. I så fald underretter databehandleren den dataansvarlige om dette retlige krav, inden behandlingen, medmindre loven forbyder det af hensyn til vigtige samfundsinteresser.

3.2. Instruksen fremgår af bilag C og af den dataansvarliges brug af tjenesten: hver handling, en bruger foretager i appen (opret kunde, upload foto, diktér rum, send tilbud), er en instruks om at behandle de pågældende oplysninger med henblik på at levere den funktion.

3.3. Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med GDPR eller databeskyttelsesbestemmelser i anden EU-ret eller dansk ret.

4. Fortrolighed

4.1. Databehandleren må kun give adgang til personoplysninger, som behandles på den dataansvarliges vegne, til personer, der er underlagt databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Listen over personer, der har adgang, gennemgås løbende; adgangen inddrages, når den ikke længere er nødvendig.

4.2. Databehandleren kan på anmodning påvise, at de pågældende personer er underlagt tavshedspligt.

4.3. Konkret for fagkalk: adgang til produktionsdata har alene founderen og personer med skriftlig fortrolighedsaftale; AI-agenter og udviklingsværktøjer arbejder mod en adskilt udviklingsdatabase, ikke mod kundedata (jf. intern dokumentation §3.3). (afvigelse fra skabelonen: præcisering)

5. Behandlingssikkerhed

5.1. GDPR art. 32 fastslår, at den dataansvarlige og databehandleren under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene for fysiske personers rettigheder gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.

5.2. Den dataansvarlige skal vurdere risiciene for de registrerede og gennemføre foranstaltninger til at imødegå disse risici. Afhængig af relevans kan det omfatte pseudonymisering og kryptering, evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed, evne til rettidigt at genoprette tilgængelighed og adgang ved en hændelse samt en procedure for regelmæssig afprøvning og vurdering af foranstaltningernes effektivitet.

5.3. Databehandleren skal, uafhængigt af den dataansvarlige, foretage en tilsvarende vurdering og gennemføre de foranstaltninger, der fremgår af bilag C, afsnit C.2. Databehandlerens vurdering af risikoen ved fagkalks behandling: middel til høj for slutkunder, fordi adresse kombineret med fotos af en privat bolig kan udgøre en reel risiko ved et læk (indbrud, chikane), selv om der ikke behandles følsomme oplysninger (art. 9).

5.4. Databehandleren bistår den dataansvarlige med at overholde art. 32 ved bl.a. at stille den nødvendige dokumentation om de gennemførte foranstaltninger til rådighed (bilag C.2 og intern dokumentation).

6. Anvendelse af underdatabehandlere

6.1. Databehandleren skal opfylde betingelserne i GDPR art. 28, stk. 2 og 4, for at gøre brug af en anden databehandler (underdatabehandler).

6.2. Databehandleren må ikke gøre brug af en underdatabehandler uden forudgående generel skriftlig godkendelse fra den dataansvarlige. Den dataansvarlige giver ved accept af denne aftale generel godkendelse af de underdatabehandlere, der er anført i bilag B.

6.3. Databehandleren underretter den dataansvarlige om planlagte ændringer (tilføjelse eller udskiftning af underdatabehandlere) mindst 30 dage før ændringen træder i kraft, ved e-mail til kontoens ejer(e) og ved opdatering af listen på fagkalk.dk/underdatabehandlere. Den dataansvarlige kan gøre indsigelse inden ændringen træder i kraft. Kan parterne ikke nå til enighed, kan den dataansvarlige opsige abonnementet til ophør senest på ikrafttrædelsesdatoen, med sletning/udlevering efter bestemmelse 11, uden yderligere betaling for den resterende periode.

6.4. Databehandleren pålægger underdatabehandleren de samme databeskyttelsesforpligtelser som i denne aftale gennem en skriftlig aftale, så underdatabehandleren giver tilstrækkelige garantier for art. 32. Databehandleren er ansvarlig for at kræve, at underdatabehandleren mindst overholder databehandlerens egne forpligtelser.

6.5. Kopi af underdatabehandleraftaler (eller leverandørens offentlige DPA-vilkår, når aftalen er accepteret som standardvilkår) fremsendes til den dataansvarlige på anmodning; kommercielle vilkår kan overstreges.

6.6. Hvis underdatabehandleren ikke opfylder sine forpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

7. Overførsel til tredjelande og internationale organisationer

7.1. Enhver overførsel af personoplysninger til tredjelande må kun foretages af databehandleren på grundlag af dokumenteret instruks fra den dataansvarlige og skal altid ske i overensstemmelse med GDPR kapitel V.

7.2. Den dataansvarlige instruerer ved accept af denne aftale databehandleren i at overføre personoplysninger til de underdatabehandlere i tredjelande (USA), der fremgår af bilag B, på det overførselsgrundlag, der er angivet der: EU-Kommissionens standardkontraktbestemmelser af 4. juni 2021 (gennemførelsesafgørelse (EU) 2021/914, modul 2 "dataansvarlig til databehandler" og modul 3 "databehandler til databehandler"), suppleret af EU-US Data Privacy Framework (Kommissionens tilstrækkelighedsafgørelse af 10. juli 2023), hvor underdatabehandleren er certificeret.

7.3. Databehandleren har foretaget en vurdering af overførslerne (transfer impact assessment) og konkluderer, at overførslerne kan ske med de supplerende foranstaltninger, der fremgår af bilag B (EU-regioner valgt, minimering af data, der sendes til USA, kryptering under transport og i hvile, kontraktlig forbud mod træning på data).

7.4. Databehandleren vælger EU-region hos alle underdatabehandlere, hvor det er muligt (bilag B), og holder den mængde oplysninger, der sendes til tredjelande, til det nødvendige minimum (bilag C.2).

8. Bistand til den dataansvarlige

8.1. Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder (GDPR kapitel III: indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse).

8.2. Konkret: den dataansvarlige kan selv rette og slette slutkundens oplysninger i appen. Indtil eksport- og sletteflowet er bygget (intern dokumentation B15), udfører databehandleren eksport (JSON + PDF'er + fotos) og sletning/anonymisering af en slutkunde på skriftlig anmodning til hej@fagkalk.dk inden 10 arbejdsdage, så den dataansvarlige kan overholde sin frist på en måned. Databehandleren besvarer aldrig en registreret direkte, men videresender henvendelsen til den dataansvarlige.

8.3. Databehandleren bistår endvidere den dataansvarlige med at sikre overholdelse af art. 32 (sikkerhed), art. 33–34 (brud, se bestemmelse 9), art. 35 (konsekvensanalyse) og art. 36 (forudgående høring) ved at stille dokumentation (intern dokumentation, bilag C) og oplysninger om de faktisk gennemførte foranstaltninger til rådighed.

8.4. Bistand efter 8.1–8.3 er inkluderet i abonnementet i normalt omfang (anslået op til 2 timer pr. kalenderår pr. kunde). Bistand ud over det faktureres efter medgået tid til 950 kr. ekskl. moms pr. time.

9. Underretning om brud på persondatasikkerheden

9.1. Databehandleren underretter uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, der vedrører den dataansvarliges oplysninger, så den dataansvarlige kan overholde sin frist på 72 timer til anmeldelse til Datatilsynet (art. 33, stk. 1).

9.2. Underretningen sker pr. e-mail til kontoens ejer(e) og indeholder, i det omfang det er muligt: (a) bruddets karakter, herunder kategorier og omtrentligt antal berørte registrerede og registreringer, (b) de sandsynlige konsekvenser, (c) de foranstaltninger, databehandleren har truffet eller foreslår, og (d) kontaktpunkt. Oplysninger, der ikke er tilgængelige samtidig, eftersendes trinvist.

9.3. Databehandleren bistår den dataansvarlige med anmeldelsen til Datatilsynet (via virk.dk) ved at levere en teknisk beskrivelse, der kan indsættes i anmeldelsen, og med underretning af de registrerede (art. 34), hvis bruddet indebærer høj risiko. Databehandlerens interne hændelsesplan er intern dokumentation §3.10.

9.4. Databehandleren fører en log over alle brud, herunder brud, der ikke er anmeldelsespligtige.

10. Sletning og tilbagelevering af oplysninger

10.1. Ved ophør af tjenesten (opsigelse, ophævelse eller lukning af konto) sletter databehandleren alle personoplysninger, der er behandlet på den dataansvarliges vegne, senest 90 dage efter ophør, og sletter eksisterende kopier, medmindre EU-ret eller dansk ret kræver opbevaring. Den dataansvarlige kan inden for de 90 dage anmode om udlevering (eksport i maskinlæsbart format: JSON samt PDF'er og fotos) og vil få den, før sletningen sker.

10.2. Undtagelser: oplysninger, der er nødvendige for databehandlerens egen bogføring (fakturaer til den dataansvarlige, billing_events), opbevares i 5 år efter regnskabsårets udløb (bogføringsloven § 12). Tilbuds-PDF'er, som den dataansvarlige har sendt, er den dataansvarliges regnskabsmateriale og indgår i eksporten; databehandleren opbevarer dem ikke ud over de 90 dage. Revisionslog (audit_log) anonymiseres (bruger-id fjernes) i stedet for at slettes, da den er nødvendig for sikkerhedsdokumentation. Backups overskrives rullende inden for 8 uger efter sletningen i produktionsdatabasen (jf. intern dokumentation §3.7).

10.3. Opbevaringstider under aftalens løbetid fremgår af bilag C.3.

11. Tilsyn og revision

11.1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af GDPR art. 28 og denne aftale, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

11.2. Konkret model, tilpasset et selvbetjent SaaS-produkt: (a) databehandleren offentliggør én gang årligt en kort sikkerhedserklæring (hvilke foranstaltninger i bilag C.2 er gennemført, hvilke underdatabehandlere er brugt, hvilke brud er registreret) under Indstillinger → Juridisk; (b) den dataansvarlige kan stille skriftlige spørgsmål, som besvares inden 30 dage; (c) den dataansvarlige kan højst én gang pr. kalenderår, med 30 dages skriftligt varsel og for egen regning, lade en uafhængig revisor gennemføre en revision af databehandlerens overholdelse, under hensyn til andre kunders fortrolighed; (d) tilsyn med underdatabehandlere sker gennem leverandørernes egne revisionsrapporter (SOC 2 Type II mv.), som databehandleren indhenter og stiller til rådighed under NDA, hvis leverandøren kræver det.

11.3. Datatilsynet har til enhver tid adgang til databehandlerens og underdatabehandlernes fysiske faciliteter mod behørig legitimation (jf. databeskyttelsesloven § 29).

12. Parternes aftale om andre forhold

12.1. Parterne kan aftale andre bestemmelser om behandlingen (ansvar, erstatning mv.), så længe de ikke strider mod denne aftale eller GDPR. Sådanne forhold fremgår af bilag D og af handelsbetingelserne.

13. Ikrafttræden og ophør

13.1. Aftalen træder i kraft, når den dataansvarliges repræsentant accepterer den i onboarding (afkrydsning), og gælder så længe databehandleren behandler personoplysninger på den dataansvarliges vegne.

13.2. Begge parter kan kræve aftalen genforhandlet, hvis lovændringer eller uhensigtsmæssigheder giver anledning til det. Databehandleren kan udgive en ny version med 30 dages varsel; fortsat brug af tjenesten efter varslets udløb udgør accept, dog kræver væsentlige ændringer (nye kategorier af oplysninger, nye tredjelandsoverførsler, kortere sletningsfrister) aktiv genaccept ved næste login.

13.3. Aftalen kan ikke opsiges, så længe tjenesten leveres; den ophører automatisk, når oplysningerne er slettet eller tilbageleveret efter bestemmelse 10.

13.4. Aftalen gælder forud for handelsbetingelserne i spørgsmål om behandling af personoplysninger.

14. Kontaktpersoner

Ingen af parterne har pligt til at udpege en databeskyttelsesrådgiver (DPO) efter art. 37 i det nuværende omfang.

Bilag A – Oplysninger om behandlingen

A.1 Formål: Databehandleren behandler personoplysninger for at levere tjenesten fagkalk til den dataansvarlige: registrering af slutkunder og opgaver, opmåling af rum (manuelt, ved diktat eller ved upload af foto/tegning), beregning af materialer og timer, udarbejdelse og afsendelse af tilbud (PDF), opfølgning på tilbudsstatus, samt drift, support, sikkerhed og fejlfinding af tjenesten.

A.2 Behandlingens karakter: Indsamling via den dataansvarliges brugeres indtastning og upload; strukturering og lagring i database; automatiseret udtræk af mål fra tale og foto ved hjælp af sprogmodeller (AI) – uden at der træffes automatiserede afgørelser med retsvirkning for den registrerede; generering af dokumenter; afsendelse af e-mail; visning for den dataansvarliges brugere; sletning. Databehandleren foretager ingen profilering af slutkunder og bruger ikke oplysningerne til egne formål, herunder ikke til træning af AI-modeller.

A.3 Typer af personoplysninger (almindelige, art. 6):

Ingen følsomme oplysninger (art. 9) eller oplysninger om straffedomme (art. 10) er omfattet af instruksen. CPR-numre må ikke indtastes. Den dataansvarlige instrueres i ikke at registrere helbredsoplysninger (fx "kunden er allergisk over for …") i noter; databehandleren viser en advarsel i notefeltet.

A.4 Varighed: Behandlingen begynder ved kontooprettelse og varer, indtil den dataansvarlige opsiger tjenesten eller sletter sin virksomhed i appen, plus sletningsfristen i bestemmelse 10 (90 dage).

Bilag B – Underdatabehandlere

B.1 Godkendte underdatabehandlere (status 2026-10-28):

Planlagte (ikke godkendt endnu; varsles efter bestemmelse 6.3 før ibrugtagning): Sentry (fejlovervågning, EU-org i Frankfurt, uden PII), Inngest (baggrundsjobs; region afklares). Disse må ikke tages i brug med kundedata, før de står i tabellen.

B.2 Varslingsregel: Databehandleren varsler nye eller udskiftede underdatabehandlere 30 dage før ibrugtagning pr. e-mail til kontoens ejere og på fagkalk.dk/underdatabehandlere, jf. bestemmelse 6.3. Nødudskiftning (leverandør ophører eller sikkerhedsbrud hos leverandør) kan ske med kortere varsel; den dataansvarlige underrettes straks og har samme indsigelsesret.

B.3 Supplerende foranstaltninger ved overførsel til USA: (a) EU-region valgt hos Neon, Vercel (fra1), Resend (afsendelse) og Deepgram; (b) kun mål, rumbeskrivelser og fotos – aldrig navn/adresse/kontakt – sendes til Anthropic; (c) TLS under transport, AES-256 i hvile hos alle leverandører; (d) kontraktligt forbud mod brug til træning (Anthropic, Deepgram ved opt-out); (e) korte opbevaringstider hos leverandøren (Anthropic ≤ 30 dage, Resend 30 dage); (f) årlig gennemgang af leverandørernes DPA, underdatabehandlerlister og certificeringer.

Bilag C – Instruks vedrørende behandling af personoplysninger

C.1 Behandlingens genstand og instruks: Databehandleren må behandle oplysningerne i bilag A udelukkende for at levere, drive, sikre og supportere tjenesten for den dataansvarlige som beskrevet i A.1, samt for at opfylde retlige forpligtelser. Databehandleren må ikke: bruge oplysningerne til egne kommercielle formål, markedsføring over for slutkunder, benchmarking på personniveau, salg eller deling med tredjeparter uden for bilag B, eller træning af AI-modeller. Aggregerede, anonymiserede statistikker (fx gennemsnitligt materialeforbrug pr. m²), der ikke kan føres tilbage til en virksomhed eller person, er tilladt.

C.2 Behandlingssikkerhed – foranstaltninger, databehandleren har gennemført eller gennemfører: Udgangspunktet er intern dokumentation §3. Status er markeret: ✔ gennemført, ◐ planlagt før pilot, ○ planlagt før betalende kunder. Databehandleren opdaterer listen ved hver ny version af aftalen.

C.3 Opbevaring og sletning under aftalen:

C.4 Behandlingssted: EU (Frankfurt) som hovedregel; USA for de underdatabehandlere, der er anført i bilag B, med de angivne begrænsninger.

C.5 Instruks om bistand: Se bestemmelse 8. Frister: bekræftelse af modtagelse inden 2 arbejdsdage; eksport/sletning inden 10 arbejdsdage; dokumentation til konsekvensanalyse inden 20 arbejdsdage.

C.6 Instruks om tilsyn: Se bestemmelse 11.2.

Bilag D – Parternes regulering af andre forhold

D.1 Ansvar og erstatning: Parternes indbyrdes ansvar for overtrædelse af denne aftale følger ansvarsbegrænsningen i handelsbetingelserne (fagkalk.dk/handelsbetingelser §9), dog således at begrænsningen ikke gælder for den dataansvarliges krav om regres for bøder eller erstatning til registrerede, der skyldes databehandlerens forsætlige eller groft uagtsomme overtrædelse af aftalen eller GDPR. Ansvaret over for de registrerede følger GDPR art. 82.

D.2 Prioritet: Ved uoverensstemmelse gælder denne aftale forud for handelsbetingelserne i spørgsmål om personoplysninger; handelsbetingelserne gælder i alle andre spørgsmål.

D.3 Lovvalg og værneting: Dansk ret; retten ved databehandlerens hjemsted (jf. handelsbetingelserne §13).

D.4 Databehandlerens egen behandling: fagkalk er selvstændig dataansvarlig for den dataansvarliges brugeres kontooplysninger (navn, e-mail, login, betaling) og for anonymiserede driftsstatistikker, jf. privatlivspolitikken (fagkalk.dk/privatliv). Denne aftale omfatter ikke den behandling.

D.5 Sprog: Aftalen findes kun på dansk. En engelsk oversættelse kan udleveres som service; den danske tekst gælder.

Versionshistorik