Databehandleraftale

1. Parterne

Databehandler: Redefine v/Morten Bang Justesen, CVR 30270444, Danmark ("Flaplist").

Dataansvarlig: Den virksomhed eller organisation, der anvender Flaplist til at behandle personoplysninger om medarbejdere, kunder, samarbejdspartnere eller andre fysiske personer.

DPA'en supplerer og udgør en integreret del af Flaplist's Handelsbetingelser og Privatlivspolitik. I tilfælde af modstrid har DPA'en forrang for så vidt angår behandlingen af personoplysninger.

2. Behandlingens formål og karakter

Flaplist behandler personoplysninger på den dataansvarliges vegne udelukkende med det formål at levere de tjenester, der er beskrevet i Handelsbetingelserne.

Behandlingen omfatter lagring, visning, organisering og opdatering af oplysninger i lister, punkter, aktivitetslogge og — for Business- og Enterprise-kunder — skemaer oprettet i tjenesten.

Behandlingen finder sted i den periode, abonnementet er aktivt, og ophører, når den dataansvarliges konto slettes.

3. Kategorier af personoplysninger og registrerede

Karakteren og omfanget af de personoplysninger, der behandles, afhænger udelukkende af den dataansvarlige og det indhold, denne vælger at oprette i tjenesten.

Følgende kategorier kan forekomme: navne, e-mailadresser, stillingsbetegnelser, brugeradfærd (afkrydsninger, tidsstempler og aktivitetslogge) samt fritekstoplysninger i lister, punkter og skemaer.

Registrerede kan være den dataansvarliges egne medarbejdere og samarbejdspartnere, repræsentanter for andre virksomheder eller organisationer, private brugere samt øvrige fysiske personer, som den dataansvarlige vælger at inddrage i sin brug af tjenesten — herunder via delte lister og offentlige links med afkrydsningsadgang.

4. Instruks og formålsbegrænsning

Flaplist behandler udelukkende personoplysninger i overensstemmelse med dokumenterede instrukser fra den dataansvarlige, medmindre EU-ret eller dansk ret kræver andet.

Den dataansvarlige er ansvarlig for lovligheden af de instrukser, der gives til Flaplist, og for at sikre, at det relevante behandlingsgrundlag er til stede.

Flaplist vil straks underrette den dataansvarlige, hvis vi modtager en instruks, der efter vores vurdering strider mod gældende databeskyttelseslovgivning.

5. Fortrolighed

Flaplist sikrer, at de medarbejdere og underleverandører, der har adgang til den dataansvarliges personoplysninger, er underlagt bindende fortrolighedsforpligtelser.

6. Tekniske og organisatoriske foranstaltninger

Flaplist implementerer og opretholder passende tekniske og organisatoriske foranstaltninger for at beskytte personoplysningerne mod uautoriseret adgang, tab, ændring eller videregivelse.

Foranstaltningerne omfatter bl.a. krypteret datatransmission (TLS/HTTPS), adgangskontrol og rollestyring, sikker hosting inden for EU, regelmæssig opdatering af systemkomponenter samt logning af adgang til systemdata.

7. Underdatabehandlere

Den dataansvarlige giver hermed generel forhåndsgodkendelse til Flaplist's brug af underdatabehandlere til hosting, autentificering og øvrig teknisk drift.

En aktuel liste over underdatabehandlere kan rekvireres ved henvendelse til support@flaplist.com. Flaplist underretter den dataansvarlige om planlagte ændringer i god tid.

Før en underdatabehandler behandler personoplysninger, skal Flaplist sikre bindende databeskyttelsesforpligtelser, der opfylder GDPR artikel 28. De særlige forudsætninger for den valgfrie EUrouter-integration fremgår af afsnit 14.

8. Overførsel til tredjelande

Flaplists kerneplatform hostes i EU. Overførsel af personoplysninger uden for EU/EØS kræver et dokumenteret grundlag efter GDPR kapitel V og en vurdering af beskyttelsen i praksis. Valgfri AI-behandling gennem EUrouter er beskrevet i afsnit 14.

9. Brud på persondatasikkerheden

Flaplist underretter den dataansvarlige uden unødig forsinkelse, og senest inden for 72 timer efter at vi er blevet opmærksomme herpå, ved brud på persondatasikkerheden, der vedrører oplysninger behandlet på den dataansvarliges vegne.

Underretningen vil som minimum indeholde en beskrivelse af brudets karakter, de berørte kategorier og omtrentlige antal registrerede, sandsynlige konsekvenser samt trufne eller planlagte afhjælpende foranstaltninger.

10. Sletning og tilbagelevering af data

Den dataansvarlige kan til enhver tid eksportere sine data via den eksportfunktion, der er tilgængelig i tjenesten.

Ved ophør af abonnementet sletter Flaplist den dataansvarliges personoplysninger i overensstemmelse med vores sletningsprocedurer som beskrevet i privatlivspolitikken, medmindre opbevaring er påkrævet af lovgivningsmæssige årsager.

11. Revision og dokumentation

Flaplist stiller den dokumentation til rådighed, som er nødvendig for at påvise overholdelse af nærværende DPA. Den dataansvarlige kan anmode om en revision med rimeligt varsel; eventuelle omkostninger afholdes af den dataansvarlige.

12. Business og Enterprise — særlige vilkår

Kunder på Business- og Enterprise-abonnementet har adgang til yderligere funktioner, herunder skemaer, der kan udfyldes og afkrydses af interne brugere eller — via offentlige links — af eksterne parter. Oplysninger, der indsamles via skemaer, er underlagt de samme databeskyttelsesforpligtelser som øvrige oplysninger behandlet under denne DPA.

Enterprise-kunder kan ved henvendelse til Flaplist få opsat et eget domæne (f.eks. checklist.dinorg.dk), der peger på Flaplist-infrastrukturen, og anvende eget logo og udvalgte tilpasninger af brugerfladen (white-label). Tjenesten fremtræder i disse tilfælde under Enterprise-kundens brand, men den underliggende behandling foretages fortsat af Flaplist som databehandler under nærværende DPA.

Flaplist påtager sig ikke ansvar for indhold eller kommunikation, der præsenteres under Enterprise-kundens branding.

13. Ikrafttrædelse og kontakt

Nærværende DPA er gyldig fra det tidspunkt, den dataansvarlige accepterer Flaplist's Handelsbetingelser og anvender tjenesten til behandling af personoplysninger om tredjeparter. DPA'en kan opdateres i overensstemmelse med den ændringsprocedure, der er beskrevet i Handelsbetingelserne.

Erhvervsbrugere, der ønsker en underskrevet version af DPA'en eller har spørgsmål hertil, kan kontakte os på support@flaplist.com.

14. Valgfrie AI-funktioner og EUrouter

AI er et særskilt tilvalg inde i løsningen og er slået fra som standard for organisationer. En ejer eller administrator kan aktivere funktionen under organisationens administration → AI-funktioner. Et abonnement aktiverer ikke AI automatisk. Tilvalget registreres i Flaplist og erstatter ikke kravene til lovlig behandling af personoplysninger.

AI bruges til forslag og svar om lister samt forklaringer og forslag i skemaanalyse. Dataomfanget er beskrevet i privatlivspolitikkens afsnit 5.1 og kan omfatte listeindhold, synlige personoplysninger og brugerreferencer, destinationslisters oplysninger, forespørgsler, linkindhold og udvalgte analysetal. Registrerede er de personer, som er omfattet af afsnit 3. Brugeren gennemgår listeændringer før gemning.

EUrouter B.V., Nederlandene, modtager AI-forespørgsler og videresender dem til de valgte modeludbydere. Ved behandling på kundens vegne er EUrouter underdatabehandler. Flaplist skal dokumentere kundens godkendelse og bindende databehandlervilkår før behandling af personoplysninger. EUrouter offentliggør sin databehandleraftale og liste over underleverandører på nedenstående link.

Flaplists AI-kald afgrænses til behandling i EU. Modeller vælges gennem routingregler efter opgavens type. Alle modeller og eventuelle alternative udbydere skal overholde de samme krav. Overførsler uden for EU/EØS, herunder eventuelle overførsler af driftsmetadata, kræver dokumenterede garantier efter reglerne i afsnit 8.

Kravet til modeludbyderne er, at forespørgsler og svar ikke opbevares eller bruges til træning. EUrouters behandling af drifts- og faktureringsmetadata beskrives særskilt i privatlivspolitikkens afsnit 5.1.

Aftalegrundlaget skal fastlægge formålsbegrænsning, opbevaring, sletning, videreleverandører, sikkerhed og bistand til registreredes rettigheder samt kravene om ingen træning og ingen opbevaring af AI-indhold. Flaplist skal have disse forhold dokumenteret, før kundens personoplysninger behandles gennem integrationen.

Tilvalget kan trækkes tilbage i løsningen. Nye og ventende AI-forespørgsler stoppes, gemte AI-resultater hos Flaplist fjernes, og igangværende forespørgsler afbrydes, hvor det er muligt. Allerede anvendte ændringer bevares. Sletning hos AI-leverandøren skal håndteres efter det dokumenterede aftalegrundlag; data kan ikke kaldes tilbage ved deaktivering.

EUrouters databehandleraftale og liste over underleverandører

Se dataomfang og tilvalg i privatlivspolitikken