Databehandleraftale
1. Parter
Dataansvarlig: Kunden. Databehandler: Emballo v/Marcus Houkjær Mortensen (Enkeltmandsvirksomhed), CVR 46768787, Bolettevej 29, 9280 Storvorde ('Databehandleren'). Bilag til abonnementsvilkårene.
2. Baggrund og formål
Databehandleren stiller software til rådighed til beregning og dokumentation af emballagemængder. Den Dataansvarlige kan overføre vare-, ordre- og forsendelsesdata, som kan indeholde personoplysninger om slutkunder og medarbejdere. Se bilag 1.
3. Den Dataansvarliges forpligtelser
Den Dataansvarlige indestår for behandlingsgrundlag og begrænser overførslen til det nødvendige, herunder ved at udelade navne/adresser ved import, hvor muligt.
4. Instruks
Databehandleren behandler kun efter dokumenteret instruks. Instruksen fremgår af denne aftale, abonnementsvilkårene og Kundens brug af Platformens funktioner.
5. Fortrolighed
Kun personer med arbejdsbetinget behov har adgang, og de er underlagt tavshedspligt.
6. Behandlingssikkerhed
Passende tekniske og organisatoriske foranstaltninger, jf. GDPR artikel 32, jf. bilag 3.
7. Underdatabehandlere
7.1 Generel godkendelse gives til underdatabehandlerne i bilag 2.
7.2 Ny/skiftet underdatabehandler varsles 30 dage før. Indsigelse på sagligt grundlag kan føre til opsigelse.
7.3 Databehandleren pålægger underdatabehandlere samme forpligtelser og er ansvarlig for deres opfyldelse.
7a. Bevollmächtigter/AR-partnere er ikke underdatabehandlere
7a.1 Henviser Databehandleren Den Dataansvarlige til en uafhængig Bevollmächtigter/AR-partner (jf. abonnementsvilkårenes § 4a), sker det ved at give Den Dataansvarlige partnerens kontaktoplysninger. Databehandleren overfører ikke Kundedata eller personoplysninger til partneren i den forbindelse.
7a.2 Vælger Den Dataansvarlige at indgå aftale med en sådan partner, er det Dataansvarliges eget forhold, og partneren er selvstændig dataansvarlig for sin egen behandling. Denne aftale regulerer ikke det forhold.
8. Overførsel til tredjelande
Personoplysninger behandles som udgangspunkt i EU/EØS. Overførsel til tredjelande kun på gyldigt overførselsgrundlag og efter instruks. LLM-baseret udtræk sker uden personoplysninger eller via EU-baseret behandling med databehandleraftale.
9. Bistand til den Dataansvarlige
Databehandleren bistår med at opfylde de registreredes rettigheder, sikkerhed, brudanmeldelse og konsekvensanalyser inden for rammerne af Platformens indbyggede funktioner. Yderligere bistand kan faktureres efter medgået tid.
10. Brud på persondatasikkerheden
Underretning uden unødig forsinkelse og senest 36 timer efter Databehandleren blev bekendt med bruddet.
11. Sletning og tilbagelevering
Sletning senest 30 dage efter ophør, medmindre lovgivning kræver opbevaring. Backup slettes senest 90 dage efter ophør.
12. Dokumentation og tilsyn
Databehandleren stiller dokumentation til rådighed og muliggør revisioner med mindst 30 dages varsel, højst én gang årligt medmindre et brud giver anledning til mere.
13. Varighed og ophør
Gælder så længe Databehandleren behandler personoplysninger for Den Dataansvarlige, og bortfalder ved gennemført sletning. Fortrolighed og dokumentation består efter ophør.
Bilag 1 – Behandlingens genstand
| Formål | Beregning og dokumentation af emballagemængder pr. fraktion og land, fristovervågning, generering af indberetningsfiler. |
|---|---|
| Karakter | Elektronisk import, lagring, beregning, aggregering, eksport. Ingen profilering af fysiske personer; ingen automatiske afgørelser med retsvirkning. |
| Kategorier af registrerede | Den Dataansvarliges medarbejdere (brugere); eventuelt slutkunder, hvis ordre-/forsendelsesdata indeholder dem. |
| Kategorier af oplysninger | Brugere: navn, e-mail, telefon, login-data, logdata. Slutkunder (kun hvis medtaget): navn, leveringsadresse, land, ordrenummer/-dato. Ingen følsomme oplysninger. |
| Varighed | Abonnementsperioden + 30 dage. Aggregerede mængdedata uden personoplysninger: 5 år (dokumentationspligt). |
Bilag 2 – Underdatabehandlere (version v2.0)
| Leverandør | Ydelse | Land/lokation | Overførselsgrundlag |
|---|---|---|---|
| Supabase | Hosting, database, filer, backup | EU (Irland, eu-west-1) | Ikke relevant (EU) |
| Vercel | Applikationshosting | EU (Frankfurt, fra1) | SCC om nødvendigt |
| Resend | Transaktions-e-mails, fristnotifikationer | EU/US | SCC/DPF |
| Anthropic | Forslag til emballageprofiler ud fra varenavn/kategori – uden personoplysninger (kan slås fra) | US/EU | DPF/SCC |
Bilag 3 – Sikkerhedsforanstaltninger (minimum)
- Kryptering: TLS 1.2+ i transport, AES-256 i hvile.
- Adgang: to-faktor-login for Emballos administratorer, rollebaseret adgang, logisk adskillelse pr. kunde (Row Level Security).
- Logning: adgangs-/ændringslog i 12 måneder (audit_log).
- Backup: daglig, krypteret, EU-lokation, kvartalsvis gendannelsestest.
- Udvikling: adskilte miljøer, ingen produktionsdata i test.
- Organisation: fortrolighedsaftaler, årlig gennemgang, beredskabsplan for brud.