Databehandleraftale for Platformen

Denne databehandleraftale ("Bestemmelserne") er indgået i henhold til artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (databeskyttelsesforordningen) med henblik på databehandlerens behandling af personoplysninger mellem:

• den dataansvarlige: Kunden, der har oprettet en konto på Platformen (herefter "den dataansvarlige"), og
• databehandleren: Numina Technologies ApS, CVR-nr. 44991225, Kanonbådsvej 2, 1437 København K (herefter "databehandleren"),

der hver især er en "part" og sammen udgør "parterne".

Bestemmelserne fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige. Bestemmelserne udgør en integreret del af Aftalen, jf. Platformsvilkårene, og finder anvendelse i det omfang, databehandleren behandler personoplysninger på den dataansvarliges vegne. Begreber, der er defineret i Platformsvilkårene, har samme betydning her.

1. Præambel

1.1: Disse Bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige.

1.2: Bestemmelserne er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i databeskyttelsesforordningen.

1.3: I forbindelse med at stille Platformen til rådighed behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med disse Bestemmelser.

1.4: Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne, for så vidt angår behandling af personoplysninger.

1.5: Der hører tre appendikser (Appendiks A–C) til disse Bestemmelser, og de udgør en integreret del heraf. Appendiks A indeholder nærmere oplysninger om behandlingen, herunder formål, karakter, typen af personoplysninger, kategorierne af registrerede og behandlingens varighed. Appendiks B indeholder betingelserne for databehandlerens brug af underdatabehandlere og en liste over godkendte underdatabehandlere. Appendiks C indeholder den dataansvarliges instruks samt en beskrivelse af de sikkerhedsforanstaltninger, som databehandleren som minimum gennemfører.

1.6: Bestemmelserne med tilhørende bilag opbevares skriftligt, herunder elektronisk, af begge parter.

1.7: Disse Bestemmelser frigør ikke databehandleren fra forpligtelser, som databehandleren er pålagt efter databeskyttelsesforordningen eller enhver anden lovgivning.

2. Den dataansvarliges rettigheder og forpligtelser

2.1: Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (se forordningens artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.

2.2: Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler der må ske behandling af personoplysninger.

2.3: Den dataansvarlige er blandt andet ansvarlig for at sikre, at der er et behandlingsgrundlag for den behandling, som databehandleren instrueres i at foretage.

3. Databehandleren handler efter instruks

3.1: Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. I så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

3.2: Den dataansvarliges instruks fremgår af disse Bestemmelser med appendikser og af Platformsvilkårene, herunder af de indstillinger og integrationer, den dataansvarlige vælger i Platformen. En foreløbig instruks er beskrevet i Appendiks C. Instruksen kan til enhver tid ændres eller konkretiseres nærmere af den dataansvarlige ved skriftlig meddelelse til databehandleren.

3.3: Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med databeskyttelsesforordningen eller anden databeskyttelsesretlig regulering.

4. Fortrolighed

4.1: Databehandleren sikrer, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på den dataansvarliges vegne. Adgangen til oplysningerne lukkes derfor straks ned, hvis autorisationen fratages eller udløber.

4.2: Databehandleren giver kun adgang til personoplysningerne til de personer, for hvem det er nødvendigt at have adgang for at kunne opfylde databehandlerens forpligtelser over for den dataansvarlige.

4.3: Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

4.4: Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer er underlagt ovennævnte tavshedspligt.

5. Behandlingssikkerhed

5.1: Databehandleren gennemfører — under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder — passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, jf. databeskyttelsesforordningens artikel 32. De foranstaltninger, databehandleren som minimum gennemfører, fremgår af Appendiks C.

5.2: Databehandleren bistår den dataansvarlige med dennes overholdelse af forpligtelsen efter forordningens artikel 32 ved bl.a. at stille den nødvendige information til rådighed for den dataansvarlige vedrørende de tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren allerede har gennemført.

6. Anvendelse af underdatabehandlere

6.1: Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2 og stk. 4, for at gøre brug af en anden databehandler (en underdatabehandler).

6.2: Databehandleren har den dataansvarliges generelle godkendelse til brug af underdatabehandlere. Listen over underdatabehandlere, som den dataansvarlige har godkendt, fremgår af Appendiks B.

6.3: Databehandleren skal skriftligt underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer, inden den pågældende underdatabehandler tages i brug.

6.4: Når databehandleren gør brug af en underdatabehandler, pålægger databehandleren gennem en kontrakt underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der fremgår af disse Bestemmelser, herunder de fornødne garantier for passende tekniske og organisatoriske foranstaltninger.

6.5: Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

7. Overførsel til tredjelande eller internationale organisationer

7.1: Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V.

7.2: Numina behandler alle personoplysninger, der er omfattet af denne Databehandleraftale, inden for EU/EØS, herunder AI-behandling, på Microsoft Azure-datacentre i EU. Samtlige underdatabehandlere i Appendiks B behandler personoplysninger inden for EU/EØS. Databehandleren overfører ikke personoplysninger til tredjelande eller internationale organisationer uden den dataansvarliges dokumenterede instruks, medmindre det kræves i henhold til EU-ret eller national ret; i så fald underretter databehandleren den dataansvarlige om kravet inden behandling, medmindre underretning er forbudt. Sker en sådan overførsel, gennemføres den på et gyldigt overførselsgrundlag efter kapitel V, f.eks. EU-Kommissionens standardkontraktbestemmelser (SCC).

8. Bistand til den dataansvarlige

8.1: Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder, jf. databeskyttelsesforordningens kapitel III, herunder:

• oplysningspligten ved indsamling af oplysninger hos den registrerede
• oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede
• indsigtsretten
• retten til berigtigelse
• retten til sletning ("retten til at blive glemt")
• retten til begrænsning af behandling
• underretningspligten i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
• retten til dataportabilitet
• retten til indsigelse
• retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering

8.2: Databehandleren bistår endvidere, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, den dataansvarlige med overholdelse af forpligtelserne efter databeskyttelsesforordningens artikel 32-36, herunder:

• anmeldelse af brud på persondatasikkerheden til Datatilsynet, om muligt senest 72 timer efter, at den dataansvarlige er blevet bekendt med bruddet
• underretning af de registrerede om brud på persondatasikkerheden
• gennemførelse af en konsekvensanalyse vedrørende databeskyttelse (DPIA)
• forudgående høring af Datatilsynet

8.3: Databehandleren har krav på betaling efter medgået tid for bistand efter dette afsnit, i det omfang bistanden går ud over, hvad databehandleren selv er forpligtet til efter forordningen.

9. Underretning om brud på persondatasikkerheden

9.1: Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden. Underretningen skal om muligt ske senest 72 timer efter, at databehandleren er blevet bekendt med bruddet, så den dataansvarlige kan overholde sin eventuelle forpligtelse til at anmelde bruddet til Datatilsynet, jf. forordningens artikel 33.

9.2: Databehandleren bistår den dataansvarlige med at tilvejebringe den information, der efter artikel 33, stk. 3, skal indgå i den dataansvarliges anmeldelse, herunder:

• karakteren af bruddet, herunder om muligt kategorierne og det omtrentlige antal berørte registrerede samt registreringer af personoplysninger
• de sandsynlige konsekvenser af bruddet
• de foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet, herunder for at begrænse dets mulige skadevirkninger

10. Sletning og returnering af oplysninger

10.1: Som udbyder af et registreret digitalt standardbogføringssystem er databehandleren efter bogføringsloven og bekendtgørelse om krav til digitale standardbogføringssystemer forpligtet til at opbevare den dataansvarliges bogførte transaktioner og bilag i 5 år fra udgangen af det regnskabsår, de vedrører, også efter Aftalens ophør. I den periode behandler databehandleren alene oplysningerne med henblik på opbevaringen og udlevering til den dataansvarlige. Den dataansvarlige kan desuden eksportere sit regnskabsmateriale fra Platformen, så længe Aftalen løber, og i 30 dage efter dens ophør, jf. Platformsvilkårene afsnit 10.5.

10.2: 30 dage efter Aftalens ophør sletter databehandleren de personoplysninger, der ikke er omfattet af opbevaringen i afsnit 10.1, og når opbevaringsperioden i afsnit 10.1 er udløbet, sletter databehandleren de resterende personoplysninger, herunder eksisterende kopier, medmindre EU-ret eller national ret foreskriver fortsat opbevaring. Sikkerhedskopier slettes i takt med, at de udløber efter databehandlerens almindelige procedurer.

10.3: Den dataansvarlige kan anmode om nødvendig dokumentation for, at sletning eller tilbagelevering er sket.

11. Revision, herunder inspektion

11.1: Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og disse Bestemmelser, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

11.2: Revisioner og inspektioner gennemføres med rimeligt varsel, i normal arbejdstid og uden unødig forstyrrelse af databehandlerens drift. Databehandleren kan dokumentere overholdelsen ved hjælp af aktuelle revisionserklæringer eller certificeringer, hvor sådanne foreligger.

11.3: Databehandleren giver tilsynsmyndigheder, der efter gældende lovgivning har adgang hertil, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

12. Parternes aftale om andre forhold

12.1: Bestemmelser om f.eks. erstatningsansvar mellem parterne er reguleret i Platformsvilkårene. Sådanne bestemmelser må ikke direkte eller indirekte stride imod disse Bestemmelser eller forringe de registreredes grundlæggende rettigheder og frihedsrettigheder, som følger af databeskyttelsesforordningen.

13. Ikrafttræden og ophør

13.1: Bestemmelserne træder i kraft samtidig med Aftalen, jf. Platformsvilkårene, og er gældende, så længe behandlingen af personoplysninger på den dataansvarliges vegne varer.

13.2: Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder giver anledning hertil.

13.3: Bestemmelserne kan ikke opsiges særskilt, så længe behandlingen varer. Når behandlingen ophører, og personoplysningerne er slettet eller tilbageleveret i overensstemmelse med afsnit 10, ophører Bestemmelserne automatisk.

13.4: Afsnit 4 (Fortrolighed) og de forpligtelser, der efter deres natur skal have virkning efter ophør, forbliver i kraft efter Bestemmelsernes ophør.

Appendiks A – Oplysninger om behandlingen

A.1. Formål og karakter

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige sker med henblik på at stille Platformen til rådighed, herunder til bogføring, bankafstemning, bilags- og udgiftshåndtering, fakturering, momsindberetning, de integrationer, den dataansvarlige selv forbinder, samt support. Behandlingen omfatter indsamling, registrering, organisering, opbevaring, brug, sammenstilling (herunder automatisk ved hjælp af kunstig intelligens), eksport samt sletning af oplysningerne.

A.2. Typer af personoplysninger

Behandlingen omfatter blandt andet almindelige personoplysninger såsom navn, kontaktoplysninger (e-mail, telefon, adresse) og stilling, samt økonomiske oplysninger, transaktions- og fakturadata og bankoplysninger (f.eks. kontonumre). Behandlingen kan i regnskabsmaterialet undtagelsesvis omfatte CPR-numre. I det omfang scanning og filtrering af den dataansvarliges e-mailtrafik (f.eks. Gmail) indgår i ydelsen, kan behandlingen desuden omfatte følsomme personoplysninger, jf. forordningens artikel 9, samt oplysninger om strafbare forhold, jf. artikel 10, hvis sådanne oplysninger forekommer i den e-mailtrafik, der scannes på den dataansvarliges vegne.

A.3. Kategorier af registrerede

Behandlingen omfatter personoplysninger om den dataansvarliges ledelse, ejere og ansatte samt om den dataansvarliges egne kunder, leverandører og øvrige forretningsforbindelser, i det omfang sådanne oplysninger indgår i regnskabsmaterialet.

A.4. Varighed

Behandlingen påbegyndes ved Bestemmelsernes ikrafttræden og varer, så længe Aftalen løber. Herefter opbevares bogførte transaktioner og bilag i den lovpligtige periode, og øvrige oplysninger slettes, jf. afsnit 10.

Appendiks B – Underdatabehandlere

B.1. Godkendte underdatabehandlere

Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af følgende underdatabehandlere:

• Numina Regnskab ApS (CVR-nr. 46553705) — databehandlerens datterselskab, hvis medarbejdere yder support til brugere af Platformen og i den forbindelse kan få adgang til den dataansvarliges data. Behandling sker inden for EU/EØS.
• Microsoft (Microsoft Azure) — AI-inferens. Behandling sker inden for EU/EØS.
• Google (Google Workspace) — e-mail og kommunikation. Behandling sker inden for EU/EØS (EU-dataregion).
• Enable Banking (Enable Banking Oy) — sikker kontoadgang (PSD2) til at hente banktransaktioner. Behandling sker inden for EU/EØS.
• Supabase — database, autentificering og fillagring. Behandling sker inden for EU/EØS.
• Render — hosting. Behandling sker inden for EU/EØS.
• Trigger.dev — baggrundsjobs. Behandling sker inden for EU/EØS.
• Resend — e-mail. Behandling sker inden for EU/EØS.
• PostHog — produktanalyse og logning. Behandling sker inden for EU/EØS.

Databehandleren konfigurerer sine AI-leverandører, så den dataansvarliges data ikke gemmes hos eller bruges til at træne leverandørens modeller. En opdateret liste over underdatabehandlere kan til enhver tid rekvireres ved at kontakte support@numina.app.

Tredjepartstjenester, som den dataansvarlige selv vælger at forbinde til platformen (f.eks. bank, Stripe og Gmail), er ikke databehandlerens underdatabehandlere, men er underlagt den pågældende udbyders egne vilkår, jf. Platformsvilkårene.

Leverandører, der alene behandler personoplysninger, hvor Numina selv er dataansvarlig — f.eks. hosting af hjemmesiden og webstatistik — er ikke underdatabehandlere efter denne Databehandleraftale og fremgår i stedet af Persondatapolitikken.

B.2. Varsel ved nye underdatabehandlere

Databehandleren underretter den dataansvarlige skriftligt om planlagte tilføjelser eller udskiftninger af underdatabehandlere med mindst 30 dages varsel, så den dataansvarlige kan gøre indsigelse, jf. afsnit 6.3.

Appendiks C – Instruks og sikkerhedsforanstaltninger

C.1. Behandlingens genstand

Databehandleren behandler personoplysninger på vegne af den dataansvarlige med det formål at stille Platformen til rådighed efter Platformsvilkårene, herunder den automatiske behandling i Platformens AI-funktioner samt support, hvor vores medarbejdere kan få adgang til den dataansvarliges data. Anonymiserede og aggregerede data, der ikke længere kan henføres til nogen enkeltperson, kan anvendes til at forbedre Platformen og dens AI-funktioner; dette udgør en del af den dataansvarliges instruks, og den dataansvarlige kan til enhver tid gøre indsigelse herimod, jf. Platformsvilkårene afsnit 5.3. For data, der hidrører fra Google-tjenester, gælder desuden de særlige Limited Use-begrænsninger, der er beskrevet i Persondatapolitikken.

C.2. Sikkerhedsforanstaltninger

Databehandleren gennemfører som minimum følgende tekniske og organisatoriske foranstaltninger, jf. forordningens artikel 32:

• al behandling, herunder AI-behandling, sker inden for EU/EØS, på Microsoft Azure-datacentre i EU
• kryptering af personoplysninger under transmission og ved lagring
• adgangsstyring efter mindste-privilegie-princippet og brug af flerfaktorgodkendelse for at forhindre uautoriseret adgang
• adgang til den dataansvarliges data begrænses til autoriserede medarbejdere og lukkes, når adgangen ikke længere er nødvendig
• logning og overvågning af adgang til og behandling af oplysningerne
• regelmæssig sikkerhedskopiering og afprøvede procedurer for genoprettelse af data
• fortrolighedsforpligtelse for alle medarbejdere, der behandler oplysningerne
• konfiguration af AI-leverandører, så oplysningerne ikke gemmes hos eller bruges til at træne leverandørens modeller

C.3. Opbevaring og sletning

Personoplysninger opbevares, så længe Aftalen løber. Den dataansvarlige kan eksportere dem under Aftalen og i 30 dage efter dens ophør. Bogførte transaktioner og bilag opbevares herefter i 5 år fra udgangen af det regnskabsår, de vedrører, og øvrige oplysninger slettes, jf. afsnit 10.