Databehandleraftale

Aftalen følger opbygningen i Datatilsynets standardkontraktbestemmelser for databehandleraftaler (GDPR art. 28, stk. 3).

Hvornår gælder aftalen

Viggos laver hjemmesider til din virksomhed. Når din hjemmeside indsamler oplysninger om dine kunder, for eksempel gennem en kontaktformular, behandler Viggos de oplysninger for dig. Så er du dataansvarlig, og Viggos er din databehandler.

I dag sender formularerne på Viggos-hjemmesider ingenting. De er demoer: Intet bliver sendt, gemt eller videregivet. Viggos behandler derfor endnu ingen oplysninger om dine kunder.

Aftalen træder i kraft den dag, formular-funktionen åbner for din hjemmeside. Vi giver dig besked, før det sker. Oplysninger om dig selv som Viggos-kunde står i vores privatlivspolitik.

1. Parterne

Den dataansvarlige: Virksomheden, der har en Viggos-konto (herefter "du").

Databehandleren: Kasper West ApS, CVR 40964797, Ndr. Ringvej 29, kl., 6000 Kolding (herefter "Viggos").

2. Formål og omfang

Aftalen sikrer, at Viggos behandler personoplysninger om dine kunder i overensstemmelse med databeskyttelsesforordningen (GDPR) og databeskyttelsesloven. Aftalen går forud for tilsvarende bestemmelser i andre aftaler mellem parterne. Bilag A–D er en del af aftalen.

3. Dine rettigheder og forpligtelser

Du er ansvarlig for, at behandlingen sker lovligt: at du har et retsgrundlag, at dine kunder får de oplysninger, de har krav på (fx en privatlivserklæring på din hjemmeside), og at du kun beder om de oplysninger, du har brug for.

4. Viggos handler efter instruks

• Viggos behandler kun personoplysninger efter din dokumenterede instruks. Instruksen står i Bilag C. Du kan give yderligere instrukser, så længe de er i overensstemmelse med aftalen.
• Viggos underretter dig straks, hvis en instruks efter Viggos' opfattelse strider mod GDPR eller anden databeskyttelseslovgivning.
• Kræver EU-ret eller dansk ret, at Viggos behandler oplysningerne på anden måde, fortæller Viggos dig det først, med mindre loven forbyder det.

5. Fortrolighed

Viggos giver kun adgang til oplysningerne til personer, der har brug for det, og som har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt. Adgangen lukkes, når behovet ophører.

6. Behandlingssikkerhed

Viggos gennemfører passende tekniske og organisatoriske foranstaltninger efter GDPR art. 32, under hensyn til risikoen for de registrerede. Foranstaltningerne står i Bilag C.2. Viggos hjælper dig med at overholde din egen pligt efter art. 32.

7. Underdatabehandlere

• Du giver med denne aftale Viggos generel godkendelse til at bruge underdatabehandlere. De godkendte står i Bilag B.
• Viggos giver dig skriftlig besked mindst 30 dage før, en underdatabehandler tilføjes eller udskiftes. Du kan gøre indsigelse inden for den frist. Kan vi ikke finde en løsning, kan du opsige aftalen og din konto.
• Viggos pålægger hver underdatabehandler de samme databeskyttelsesforpligtelser som i denne aftale og er fuldt ansvarlig over for dig for underdatabehandlerens opfyldelse.

8. Overførsel til tredjelande

Viggos overfører kun oplysninger til lande uden for EU/EØS efter din instruks og på et gyldigt grundlag efter GDPR kapitel V. Med denne aftale instruerer du Viggos i de overførsler, der står i Bilag C.6.

9. Bistand til dig

Viggos hjælper dig, så vidt det er muligt, med at:

• besvare dine kunders anmodninger om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse.
• overholde dine pligter efter GDPR art. 32–36: sikkerhed, anmeldelse af brud, underretning af registrerede, konsekvensanalyser og forudgående høring af Datatilsynet.

Får Viggos en anmodning direkte fra en af dine kunder, sender vi den videre til dig og svarer ikke selv.

10. Brud på persondatasikkerheden

Viggos underretter dig uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud, så du kan nå at anmelde det til Datatilsynet inden for 72 timer. Underretningen beskriver så vidt muligt bruddets art, de berørte oplysninger og registrerede, de sandsynlige konsekvenser og de foranstaltninger, Viggos har truffet.

11. Sletning og tilbagelevering

Når aftalen eller din konto ophører, sletter Viggos alle personoplysninger, der er behandlet for dig, inden for 30 dage. Vil du have dem udleveret først, skal du bede om det, før kontoen lukkes. Viggos opbevarer kun oplysningerne længere, hvis loven kræver det.

12. Revision og tilsyn

• Viggos stiller alle oplysninger til rådighed, der er nødvendige for at vise, at aftalen overholdes, og giver mulighed for revision, herunder inspektion, udført af dig eller en revisor, du har udpeget.
• Tilsyn sker som udgangspunkt ved, at Viggos én gang om året på anmodning sender en skriftlig redegørelse. Fysisk inspektion aftales med rimeligt varsel og betales af dig, med mindre den afslører væsentlige brud.
• Viggos fører tilsyn med underdatabehandlerne, typisk ved at gennemgå deres revisionserklæringer (fx SOC 2 eller ISO 27001).

13. Ikrafttræden og ophør

Aftalen træder i kraft, når formular-funktionen åbnes for din hjemmeside, og gælder, så længe Viggos behandler personoplysninger for dig. Den kan ikke opsiges særskilt, så længe Viggos leverer tjenesten. Ændringer skal ske skriftligt.

14. Kontakt

Viggos: kontakt@viggos.dk. Du: den e-mailadresse, der er knyttet til din konto.

Bilag A — Oplysninger om behandlingen

Formål: At modtage, opbevare og videresende henvendelser, som dine kunder sender gennem formularer på din hjemmeside, så du kan svare dem.

Behandlingens karakter: Indsamling via formular, opbevaring, videresendelse til dig (fx på e-mail), visning i din Viggos-konto og sletning.

Typer af personoplysninger: Almindelige oplysninger (GDPR art. 6): navn, telefonnummer, e-mailadresse, adresse, beskedens indhold og tidspunkt. Formularerne er ikke beregnet til følsomme oplysninger (art. 9) eller CPR-numre.

Kategorier af registrerede: Dine kunder og andre, der kontakter dig gennem din hjemmeside.

Varighed: Så længe din konto er aktiv, og formular-funktionen er slået til, med de opbevaringsfrister der står i Bilag C.4.

Bilag B — Godkendte underdatabehandlere

Bilag C — Instruks

C.1 Behandlingens genstand

Viggos modtager formularindsendelser fra din hjemmeside, gemmer dem i din konto og sender dem videre til den e-mailadresse, du har angivet. Viggos bruger ikke oplysningerne til egne formål og sælger dem ikke.

C.2 Sikkerhed

Sikkerhedsniveauet afspejler, at der er tale om almindelige personoplysninger i et begrænset omfang. Viggos gennemfører som minimum:

• Kryptering af al trafik (HTTPS/TLS) og af forbindelsen til databasen (TLS med verificeret certifikat).
• Adskillelse af kunder i databasen med række-baseret adgangskontrol, så én konto aldrig kan se en anden kontos data.
• Mindst mulige rettigheder: appens databasebruger kan ikke oprette brugere, databaser eller omgå adgangskontrollen.
• Nøgler og adgangskoder opbevares uden for koden og læses kun af den proces, der skal bruge dem.
• Servertjenesten kører med begrænsede rettigheder og et skrivebeskyttet filsystem.
• Hastighedsbegrænsning mod misbrug.
• Sikkerhedskopiering af databasen hos Supabase.
• Adgang til produktionen kun for navngivne personer med personlig nøgle.

C.3 Bistand

Viggos bistår efter punkt 9 og 10. Viggos kan tage betaling for bistand, der går ud over det sædvanlige, efter forudgående aftale.

C.4 Opbevaring og sletning

Henvendelser slettes automatisk 12 måneder efter modtagelse, med mindre du sletter dem før. Når kontoen lukkes, slettes alle henvendelser inden for 30 dage.

C.5 Lokalitet

Behandlingen sker hos Viggos og på de lokaliteter, der står i Bilag B.

C.6 Overførsel til tredjelande

Til Resend (Plus Five Five, Inc.) i USA på grundlag af EU-US Data Privacy Framework (Resend er certificeret) og EU-Kommissionens standardkontraktbestemmelser. Supabase Pte. Ltd kan have adgang fra lande uden for EU; det sker på grundlag af standardkontraktbestemmelser i Supabases databehandleraftale.

C.7 Tilsyn med Viggos

Se punkt 12.

Bilag D — Andre forhold

• Ansvar: Parternes ansvar følger vilkårene for brug af Viggos, herunder ansvarsbegrænsningen, med mindre andet følger af GDPR art. 82.
• Lovvalg og værneting: Dansk ret. Tvister afgøres ved retten i den retskreds, hvor Kasper West ApS har hjemsted.