Databehandleraftale for Pedelnet

1. Aftalegrundlag

Denne Databehandleraftale ("DPA") er en integreret del af Pedelnets Handels- og abonnementsbetingelser.

DPA'en gælder mellem:

Den Dataansvarlige: Den virksomhed eller organisation, som har tegnet abonnement på Pedelnet

og

Databehandleren:

Creactiveit
Teglværksvej 15
2990 Nivå
CVR-nr. 34955182

DPA'en træder i kraft, når Den Dataansvarlige accepterer Pedelnet-aftalen ved oprettelse af abonnementet.

DPA'en udgør det bindende aftalegrundlag mellem parterne for Creactiveits behandling af personoplysninger på Den Dataansvarliges vegne.

2. Roller

Den Dataansvarlige bestemmer formålene med og de væsentlige midler til behandlingen af de personoplysninger, som Den Dataansvarlige gør tilgængelige i Pedelnet.

Creactiveit behandler disse oplysninger som databehandler på vegne af Den Dataansvarlige.

Creactiveit må alene behandle personoplysninger i overensstemmelse med denne DPA, Bilag 2 og Den Dataansvarliges dokumenterede instrukser.

3. Genstand og formål

Behandlingen sker med henblik på levering, drift, vedligeholdelse og support af Pedelnet.

Behandlingen kan omfatte:

• brugeradministration,
• login og adgangsstyring,
• opgavehåndtering,
• opgavehistorik,
• kommentarer og fritekst,
• billeder,
• teknisk logning,
• sikkerhed,
• support,
• produktanalyse,
• analyse af brugeradfærd,
• adfærdsbaseret produktkommunikation,
• backup og gendannelse,
• sletning.

4. Instrukser

Den Dataansvarlige instruerer Creactiveit i at udføre de behandlinger, der er beskrevet i denne DPA, Bilag 1 og Bilag 2.

Creactiveit må ikke behandle personoplysninger til egne uforenelige formål.

Hvis Creactiveit vurderer, at en instruks er i strid med databeskyttelseslovgivningen, skal Creactiveit underrette Den Dataansvarlige.

5. Adgang hos Creactiveit

Autoriserede medarbejdere hos Creactiveit kan have adgang til kundens oplysninger, når dette er nødvendigt eller relevant for levering, drift, support, fejlfinding, vedligeholdelse, sikkerhed eller administration af Pedelnet.

Personer, der har adgang til personoplysninger, er underlagt fortrolighedsforpligtelser.

6. Sikkerhedsforanstaltninger

Creactiveit gennemfører passende tekniske og organisatoriske foranstaltninger under hensyntagen til risikoen for de registreredes rettigheder.

Foranstaltningerne kan blandt andet omfatte:

• adgangskontrol,
• autentifikation,
• begrænsning af medarbejderadgang,
• fortrolighed,
• backup,
• logning,
• overvågning,
• sikkerhedsopdateringer,
• beskyttelse af kommunikation og systemer,
• procedurer for håndtering af sikkerhedshændelser.

7. Underdatabehandlere

Den Dataansvarlige giver Creactiveit generel forudgående skriftlig godkendelse til at anvende de underdatabehandlere, der er angivet i Bilag 1.

Creactiveit sikrer, at underdatabehandlerne pålægges relevante databeskyttelsesforpligtelser.

Creactiveit er ansvarlig for underdatabehandlernes behandling i overensstemmelse med gældende regler.

8. Ændringer i underdatabehandlere

Creactiveit kan tilføje eller erstatte underdatabehandlere.

Den Dataansvarlige underrettes om planlagte ændringer med rimeligt varsel.

Den Dataansvarlige kan gøre en begrundet indsigelse mod en ny underdatabehandler, hvis ændringen efter Den Dataansvarliges rimelige vurdering indebærer en væsentlig databeskyttelsesrisiko.

Hvis parterne ikke kan finde en rimelig løsning, kan den relevante behandling bringes til ophør efter nærmere aftale.

Den aktuelle version af Bilag 1 er løbende tilgængelig på Pedelnets hjemmeside sammen med DPA'en (https://pedelnet.dk/databehandleraftale), med angivelse af versionsnummer og seneste opdateringsdato, så Den Dataansvarlige kan se den gældende liste over underdatabehandlere.

9. Sikkerhedsbrud

Creactiveit underretter Den Dataansvarlige uden unødig forsinkelse, hvis Creactiveit bliver bekendt med et brud på persondatasikkerheden vedrørende personoplysninger behandlet på Den Dataansvarliges vegne.

Underretningen gives med de oplysninger, som er rimeligt tilgængelige på tidspunktet, herunder om bruddets karakter, berørte oplysninger, mulige konsekvenser og afhjælpende foranstaltninger.

10. Bistand til Den Dataansvarlige

Creactiveit bistår Den Dataansvarlige i det omfang, det følger af GDPR artikel 28, stk. 3, litra e og f, og under hensyntagen til behandlingens karakter og de oplysninger, som Creactiveit har adgang til.

Bistanden kan blandt andet bestå i tekniske og organisatoriske funktioner, der er indbygget i Pedelnet, fremsendelse af relevante oplysninger, beskrivelse af sikkerhedsforanstaltninger og anden rimelig bistand, som er nødvendig for Den Dataansvarliges opfyldelse af sine forpligtelser.

Den Dataansvarlige er ansvarlig for vurderingen af, om en anmodning fra en registreret skal imødekommes, og for øvrige beslutninger, som efter GDPR påhviler den dataansvarlige.

Almindelig og teknisk bistand, som kan ydes gennem Pedelnets eksisterende funktioner og Creactiveits normale support, er inkluderet i abonnementet.

Hvis Den Dataansvarlige anmoder om ekstraordinær manuel bistand, omfattende dataudtræk, specialrapporter, juridisk vurdering, konsulentbistand, særlige undersøgelser eller andre ydelser, der ligger uden for Pedelnets normale funktionalitet og support, kan Creactiveit opkræve betaling efter medgået tid.

Creactiveit skal så vidt muligt oplyse Den Dataansvarlige om forventet omfang og pris, før den ekstraordinære bistand udføres.

11. Kontrol og audit

Creactiveit stiller de oplysninger til rådighed, som er nødvendige for, at Den Dataansvarlige kan føre tilsyn med Creactiveits behandling af personoplysninger og kontrollere overholdelsen af denne DPA og GDPR artikel 28.

Creactiveit kan blandt andet stille relevante beskrivelser af tekniske og organisatoriske sikkerhedsforanstaltninger, oplysninger om underdatabehandlere samt relevante sikkerheds- eller revisionsrapporter til rådighed, hvor sådanne foreligger.

Hvis de tilgængelige oplysninger ikke er tilstrækkelige, har Den Dataansvarlige ret til at gennemføre eller lade gennemføre en audit eller inspektion i det omfang, det følger af GDPR og er nødvendigt for at føre tilsyn med behandlingen.

Audit eller inspektion skal varsles med rimeligt varsel og gennemføres på en måde, der er forholdsmæssig og ikke unødigt forstyrrer Creactiveits drift eller medfører risiko for andre kunders fortrolighed eller sikkerhed.

Den Dataansvarlige og eventuelle tredjeparter, der udfører audit eller inspektion, skal være underlagt passende fortrolighedsforpligtelser.

Creactiveit kan af hensyn til sikkerhed og fortrolighed kræve, at en ekstern auditor opfylder rimelige krav til uafhængighed, kompetence og fortrolighed.

Almindelig fremsendelse af eksisterende dokumentation og besvarelse af rimelige spørgsmål om Creactiveits behandling og sikkerhedsforanstaltninger er inkluderet i abonnementet.

Hvis Den Dataansvarlige anmoder om en ekstraordinær manuel audit, omfattende særskilt dokumentation, særlige undersøgelser eller anden bistand, der ligger væsentligt ud over Creactiveits normale kontrol- og dokumentationsforpligtelser, kan Creactiveit opkræve rimelige omkostninger forbundet hermed. Creactiveit skal så vidt muligt oplyse Den Dataansvarlige om forventet omfang og pris på forhånd.

12. Internationale overførsler

Personoplysninger må kun overføres til tredjelande eller internationale organisationer, når der foreligger et gyldigt overførselsgrundlag efter GDPR kapitel V.

For underdatabehandlere med behandling uden for EU/EØS skal det relevante overførselsgrundlag være identificeret og kunne dokumenteres.

13. Ophør, tilbagelevering og sletning

Ved behandlingens ophør (herunder ved abonnementets ophør) skal Creactiveit efter Den Dataansvarliges valg enten tilbagelevere/eksportere personoplysningerne eller slette dem, og slette eksisterende kopier, medmindre EU-ret eller dansk ret kræver fortsat opbevaring, jf. GDPR artikel 28, stk. 3, litra g.

Den Dataansvarlige har 30 dage fra ophørsdatoen til at anmode om tilbagelevering/eksport af personoplysninger. Hvis Den Dataansvarlige ikke anmoder om eksport inden fristen, anses Den Dataansvarlige for at have valgt sletning, med forbehold for lovpligtig opbevaring og nedenstående undtagelser.

Almindelige kundedata slettes senest 60 dage efter abonnementets ophør, medmindre:

• Den Dataansvarlige har anmodet om eksport inden for 30-dagesfristen (i så fald gennemføres eksport, og sletning sker efterfølgende i overensstemmelse med denne bestemmelse),
• lovgivningen kræver fortsat opbevaring,
• oplysningerne er nødvendige for at fastlægge, gøre gældende eller forsvare et retskrav, eller
• andet følger af en særskilt aftale.

Backupkopier håndteres efter Creactiveits almindelige backup- og rotationsprocedurer og slettes eller anonymiseres i overensstemmelse med rotationscyklussen, medmindre lovgivningen kræver fortsat opbevaring.

14. Aftalens varighed

DPA'en gælder så længe Creactiveit behandler personoplysninger på Den Dataansvarliges vegne.

Når den relevante behandling ophører, finder bestemmelserne om sletning, tilbagelevering, fortrolighed og eventuelle lovpligtige opbevaringsforpligtelser fortsat anvendelse i det omfang, det er nødvendigt.

---

Bilag 1 – Godkendte underdatabehandlere

Dette bilag er en integreret del af DPA'en.

Afgrænsning: Bilaget omfatter kun underdatabehandlere, der behandler personoplysninger på Den Dataansvarliges vegne i Pedelnet. Leverandører, som Creactiveit anvender til egne dataansvarlige formål (fx CRM, website-tracking, salgs- og supportkommunikation og nyhedsbreve), er ikke underdatabehandlere efter denne DPA. Sådanne behandlinger er beskrevet i Creactiveits persondatapolitik.

Offentliggørelse: Den aktuelle version af dette bilag offentliggøres sammen med DPA'en på https://pedelnet.dk/databehandleraftale med versionsnummer og seneste opdateringsdato.

1. SiteGround

Formål:

Hosting og teknisk drift af Pedelnet. Tjenesten leveres på Google Cloud-infrastruktur.

Personoplysninger:

De oplysninger, der behandles og opbevares i Pedelnet, herunder navn, e-mail, telefon, jobfunktion, organisation, brugeroplysninger, opgaver, opgavehistorik, kommentarer, billeder og tekniske logoplysninger.

Registrerede:

Pedelnet-brugere og andre personer, hvis oplysninger registreres i Pedelnet.

Behandlingslokation:

Eemshaven, Nederlandene. SiteGrounds backup for Eemshaven-hosting er placeret i Frankfurt, Tyskland. Begge lokationer er beliggende i EU.

Tredjeland:

Den valgte hosting- og backuplokation er i EU/EØS. Eventuelle yderligere behandlinger, som indebærer en overførsel til et tredjeland, skal være omfattet af et gyldigt overførselsgrundlag.

2. PostHog

Formål:

Produktanalyse, analyse af brugeradfærd og adfærdsbaseret produktkommunikation i Pedelnet.

Personoplysninger:

• bruger-ID,
• navn,
• e-mailadresse,
• organisation,
• relevante profiloplysninger,
• sidevisninger,
• udvalgte events,
• oplysninger om brugerens interaktion med Pedelnet,
• oplysninger om anvendelse af funktioner.

Registrerede:

Brugere af Pedelnet.

Behandlingslokation:

PostHogs EU-region valgt og konfigureret for Pedelnet.

Sessionsoptagelser:

Creactiveit anvender ikke sessionsoptagelser som en del af den beskrevne behandling.

Tredjeland:

Creactiveit har valgt EU-regionen. Hvis en relevant behandling alligevel indebærer overførsel til et tredjeland, skal overførslen ske efter GDPR kapitel V.

3. Brevo

Formål:

Modtagelse og teknisk behandling af indgående e-mails sendt til Pedelnet samt udtræk af relevante oplysninger fra e-mails og videresendelse af disse oplysninger til Pedelnet via API (Inbound Email Parsing).

Personoplysninger:

Personoplysninger, der fremgår af de indgående e-mails, herunder navn, e-mailadresse, telefonnummer, organisation, arbejdsrelaterede oplysninger, fritekst, oplysninger i e-mailens indhold og eventuelle vedhæftede oplysninger, i det omfang disse sendes til Pedelnet.

Registrerede:

Personer, der sender e-mails til kunden gennem den pågældende Pedelnet-funktion, samt andre personer, hvis personoplysninger fremgår af e-mailens indhold.

Behandlingslokation:

Brevos europæiske infrastruktur, i det omfang den relevante Inbound Email Parsing-tjeneste er konfigureret til og leveres fra denne infrastruktur.

Tredjeland:

Creactiveit anvender europæisk infrastruktur for denne tjeneste, hvor den er tilgængelig. Hvis en relevant behandling alligevel indebærer overførsel til et tredjeland, skal overførslen ske efter GDPR kapitel V.

Bemærkning:

Brevo anvendes også af Creactiveit til egne nyhedsbreve og e-mailkommunikation. Den behandling er Creactiveits egen dataansvarlige aktivitet og er ikke underdatabehandling efter denne DPA (se Creactiveits persondatapolitik).

---

Bilag 2 – Behandlingsinstruks og behandlingsoversigt

1. Genstand

Creactiveit behandler personoplysninger på vegne af Den Dataansvarlige som led i levering af Pedelnet.

2. Varighed

Behandlingen finder sted, så længe Den Dataansvarlige har et aktivt abonnement, samt i den periode efter ophør, hvor data endnu ikke er slettet i henhold til DPA'en.

3. Behandlingens karakter

Behandlingen kan omfatte:

• indsamling,
• registrering,
• opbevaring,
• organisering,
• strukturering,
• søgning,
• visning,
• ændring,
• opdatering,
• anvendelse i Pedelnets funktioner,
• teknisk logning,
• backup,
• fejlfinding,
• support,
• sikkerhed,
• produktanalyse,
• analyse af brugeradfærd,
• automatisering af produktrelateret kommunikation,
• transmission til godkendte underdatabehandlere,
• sletning.

4. Formål

Behandlingen sker for at:

1. levere Pedelnet,
2. administrere brugere og adgange,
3. håndtere opgaver,
4. opbevare opgavehistorik og dokumentation,
5. håndtere kommentarer og billeder,
6. sikre teknisk drift,
7. yde support,
8. forebygge og håndtere sikkerhedshændelser,
9. analysere anvendelsen af Pedelnet,
10. forstå brugeradfærd,
11. sende relevant produktkommunikation baseret på brugerens anvendelse af Pedelnet.

5. Personoplysninger

Identifikationsoplysninger

• navn,
• bruger-ID,
• e-mailadresse,
• telefonnummer.

Arbejdsrelaterede oplysninger

• jobtitel,
• funktion,
• organisation,
• arbejdsplads.

Kontooplysninger

• loginoplysninger,
• brugerstatus,
• brugerrettigheder,
• tekniske identifikatorer.

Opgaveoplysninger

• opgaver,
• opgavehistorik,
• status,
• kommentarer,
• fritekst,
• billeder,
• øvrige oplysninger, som brugere registrerer i Pedelnet.

Tekniske oplysninger

• IP-adresse,
• logoplysninger,
• sidevisninger,
• udvalgte events,
• oplysninger om brugerens interaktion med Pedelnet.

6. Kategorier af registrerede

Behandlingen kan omfatte:

• medarbejdere,
• ledere,
• pedeller,
• drifts- og servicepersonale,
• administratorer,
• øvrige brugere af Pedelnet,
• kontaktpersoner hos Den Dataansvarlige,
• personer, hvis oplysninger indgår i kundens opgaver, kommentarer eller øvrige registreringer.

7. Særlige kategorier

Pedelnet er ikke udviklet med henblik på behandling af særlige kategorier af personoplysninger efter GDPR artikel 9.

Den Dataansvarlige skal derfor som udgangspunkt undgå at registrere sådanne oplysninger i Pedelnet.

Hvis sådanne oplysninger behandles, er Den Dataansvarlige ansvarlig for at sikre et passende retsgrundlag og øvrige lovkrav.

Creactiveit må ikke anvende oplysninger i Pedelnet til at udlede særlige kategorier af personoplysninger.

8. Oplysninger om strafbare forhold

Pedelnet er ikke udviklet med henblik på behandling af oplysninger om strafbare forhold.

Den Dataansvarlige skal som udgangspunkt undgå at registrere sådanne oplysninger i Pedelnet.

9. Autoriseret adgang hos Creactiveit

Creactiveits autoriserede medarbejdere kan få adgang til personoplysninger, når dette er nødvendigt eller relevant for levering, drift, support, fejlfinding, vedligeholdelse, sikkerhed eller administration af Pedelnet.

10. Underdatabehandlere

Behandlingen kan udføres gennem de underdatabehandlere, der er angivet i Bilag 1.

11. Internationale overførsler

Der må kun ske overførsel til tredjelande med et gyldigt overførselsgrundlag efter GDPR kapitel V.

De underdatabehandlere, der aktuelt er angivet i Bilag 1 (SiteGround med behandling/backup i EU/EØS, PostHog i EU-region og Brevo Inbound Email Parsing på europæisk infrastruktur, hvor den er tilgængelig), er som udgangspunkt konfigureret til behandling i EU/EØS.

12. Tilbagelevering og sletning

Ved behandlingens ophør vælger Den Dataansvarlige mellem tilbagelevering/eksport og sletning i overensstemmelse med DPA'ens §13 og GDPR artikel 28, stk. 3, litra g. Manglende anmodning om eksport inden 30 dage anses som valg af sletning, med forbehold for lovpligtig opbevaring.

Almindelige kundedata slettes senest 60 dage efter ophør, medmindre andet følger af DPA'en eller lovgivningen.

Backupkopier håndteres efter Creactiveits almindelige backup- og rotationsprocedurer.

13. Den Dataansvarliges ansvar

Den Dataansvarlige er ansvarlig for:

• at have et lovligt grundlag for den behandling, der foretages gennem Pedelnet,
• at opfylde sin oplysningspligt over for registrerede,
• at give lovlige instrukser til Creactiveit,
• at sikre, at de oplysninger, der lægges i Pedelnet, er relevante og lovlige.

14. Samlet aftale

Bilag 1 og Bilag 2 er en integreret del af DPA'en.

Ved konflikt mellem DPA'ens hovedtekst og et bilag har DPA'ens hovedtekst forrang, medmindre andet udtrykkeligt fremgår.