Databehandleraftale

Denne databehandleraftale ("Aftalen") er indgået mellem kunden, der har accepteret qlim8's handelsbetingelser ("den dataansvarlige"), og qlim8, CVR-nr. DK46033736, Stenløkkevej 12, 5450 Otterup ("databehandleren"). Aftalen accepteres sammen med handelsbetingelserne, når kunden opretter en konto, og gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige. Aftalen bygger på Datatilsynets standardkontraktbestemmelser efter databeskyttelsesforordningens artikel 28, stk. 3.

1. Formål og anvendelse

1.1 Aftalen fastsætter parternes rettigheder og forpligtelser, når databehandleren behandler personoplysninger på vegne af den dataansvarlige for at levere ESG-platformen ("Tjenesten") efter handelsbetingelserne.

1.2 Aftalen er udformet for at sikre, at parterne overholder databeskyttelsesforordningen (EU) 2016/679 ("forordningen") og databeskyttelsesloven.

1.3 Behandlingen er beskrevet i bilag A, de godkendte underdatabehandlere står i bilag B, og den dataansvarliges instruks og sikkerhedskravene står i bilag C.

1.4 Aftalen har forrang for tilsvarende bestemmelser i handelsbetingelserne, for så vidt angår behandling af personoplysninger.

2. Den dataansvarliges rettigheder og forpligtelser

2.1 Den dataansvarlige er ansvarlig for, at behandlingen sker i overensstemmelse med forordningen, og har både ret og pligt til at træffe beslutninger om formålet med og hjælpemidlerne til behandlingen.

2.2 Den dataansvarlige er ansvarlig for, at der er hjemmel til den behandling, databehandleren instrueres i at foretage, og for de oplysninger, den dataansvarlige lægger i Tjenesten.

3. Databehandleren handler efter instruks

3.1 Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller national ret. Instruksen fremgår af bilag C. Den dataansvarliges brug og opsætning af Tjenesten, herunder valg af integrationer, udgør også instruks.

3.2 Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens vurdering er i strid med forordningen eller anden databeskyttelseslovgivning.

4. Fortrolighed

4.1 Databehandleren giver kun adgang til personoplysningerne til personer, der har behov for det, og som har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt. Adgangen fratages, når behovet ophører.

5. Behandlingssikkerhed

5.1 Databehandleren gennemfører de tekniske og organisatoriske foranstaltninger, der kræves efter forordningens artikel 32, under hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål samt risiciene for de registrerede. Foranstaltningerne er beskrevet i bilag C.2.

6. Anvendelse af underdatabehandlere

6.1 Den dataansvarlige giver med Aftalen generel godkendelse til, at databehandleren anvender underdatabehandlere. De underdatabehandlere, der anvendes ved Aftalens indgåelse, står i bilag B.

6.2 Databehandleren underretter den dataansvarlige pr. e-mail eller i Tjenesten om planlagte ændringer i form af tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel. Den dataansvarlige kan inden for varslet gøre indsigelse. Kan parterne ikke finde en løsning, kan den dataansvarlige opsige aftalen om Tjenesten med virkning fra ændringens ikrafttræden.

6.3 Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i Aftalen og forbliver over for den dataansvarlige ansvarlig for underdatabehandlernes opfyldelse af dem.

7. Overførsel til tredjelande

7.1 Overførsel af personoplysninger til lande uden for EU/EØS sker kun efter dokumenteret instruks fra den dataansvarlige og i overensstemmelse med forordningens kapitel V. Den dataansvarlige instruerer hermed databehandleren i at foretage de overførsler, der følger af bilag B og C.6.

8. Bistand til den dataansvarlige

8.1 Databehandleren bistår så vidt muligt den dataansvarlige med passende tekniske og organisatoriske foranstaltninger med at besvare anmodninger fra registrerede om udøvelse af deres rettigheder efter forordningens kapitel III. Modtager databehandleren en sådan anmodning direkte, videresender databehandleren den til den dataansvarlige uden ugrundet ophold.

8.2 Databehandleren bistår den dataansvarlige med at overholde forpligtelserne i forordningens artikel 32-36 om behandlingssikkerhed, anmeldelse og underretning ved brud, konsekvensanalyser og forudgående høring, under hensyntagen til behandlingens karakter og de oplysninger, databehandleren har adgang til.

9. Underretning om brud på persondatasikkerheden

9.1 Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden hos databehandleren eller en underdatabehandler.

9.2 Underretningen beskriver så vidt muligt bruddets karakter, de berørte kategorier og det omtrentlige antal registrerede og registreringer, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslås for at håndtere bruddet.

10. Sletning og returnering af oplysninger

10.1 Ved ophør af aftalen om Tjenesten kan den dataansvarlige i 30 dage eksportere sine data i et standardformat. Herefter sletter databehandleren personoplysningerne, medmindre EU-ret eller national ret foreskriver opbevaring. Sikkerhedskopier slettes, efterhånden som de udløber.

11. Revision og inspektion

11.1 Databehandleren stiller alle oplysninger til rådighed, der er nødvendige for at påvise overholdelsen af forordningens artikel 28 og Aftalen, og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af den dataansvarlige eller en revisor, som den dataansvarlige har bemyndiget.

11.2 Inspektioner varsles mindst 30 dage i forvejen, foretages inden for normal arbejdstid og betales af den dataansvarlige, medmindre de afslører væsentlig misligholdelse hos databehandleren.

12. Ikrafttræden og ophør

12.1 Aftalen træder i kraft, når den dataansvarlige accepterer handelsbetingelserne, og gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige.

12.2 Databehandleren kan ændre Aftalen efter reglerne for ændringer i handelsbetingelserne, dog ikke på en måde, der forringer beskyttelsen af personoplysningerne. Ændringer, som følger af lovgivning eller af nye underdatabehandlere, sker efter pkt. 6.2.

13. Kontakt

13.1 Databehandleren kontaktes på privacy@qlim8.com. Databehandleren kontakter den dataansvarlige via de administratorer, der er registreret i Tjenesten.

Bilag A: Oplysninger om behandlingen

Formål: At levere Tjenesten til den dataansvarlige: indsamling, beregning, analyse og rapportering af virksomhedens klima- og ESG-data, herunder hentning af data fra de integrationer, den dataansvarlige forbinder.

Behandlingens karakter: Opbevaring, strukturering, kategorisering (også med sprogmodeller), beregning, visning, eksport og sletning.

Kategorier af registrerede:

• den dataansvarliges brugere, medarbejdere og rådgivere,
• personer og enkeltmandsvirksomheder, der optræder i den dataansvarliges regnskabsdata, bilag og dokumenter, fx leverandører og kunder,
• medarbejdere, i det omfang løn- og pendlerdata er knyttet til dem.

Typer af personoplysninger:

• almindelige oplysninger: navne, e-mail, telefon, roller, brugsdata og IP-adresser,
• regnskabsposteringer, bilagstekst og fakturaer med navne, adresser og CVR-numre,
• adresser og målepunkter fra Eloverblik,
• samlede løntal og anonymiserede pendlerdata.

Tjenesten er ikke beregnet til CPR-numre eller følsomme personoplysninger. CPR-numre fjernes fra posteringernes tekst, før den behandles af sprogmodeller.

Varighed: Så længe aftalen om Tjenesten består, og derefter som beskrevet i pkt. 10.

Bilag B: Underdatabehandlere

Underdatabehandler	Behandling	Lokalitet
Hetzner Online GmbH, Tyskland	Servere, database, fillager og sikkerhedskopier	Tyskland
Ordbogen.ai, Danmark	Sprogmodeller til kategorisering, udtræk fra dokumenter og Klimaagenten	Danmark
Resend, Inc., USA	Udsendelse af e-mails og notifikationer	EU og USA (kontodata, logs og metadata i USA)
PostHog, Inc., USA	Fejlregistrering og produktanalyse, herunder sessionsoptagelse med skjulte indtastningsfelter, når brugeren har givet samtykke	EU

Bilag C: Instruks

C.1 Behandlingens genstand og instruks

Databehandleren må behandle personoplysningerne for at levere Tjenesten som beskrevet i handelsbetingelserne og bilag A, herunder hente og sende data via de integrationer, den dataansvarlige selv forbinder. Når den dataansvarlige forbinder en tredjepartstjeneste (fx et regnskabssystem, Google Drive, Microsoft 365, Slack, Teams eller Zapier), er tredjeparten ikke databehandlerens underdatabehandler, og dataudvekslingen sker efter den dataansvarliges instruks og aftale med tredjeparten.

C.2 Behandlingssikkerhed

• Adgang til Tjenesten med personlige konti, roller og mulighed for totrinsbekræftelse.
• Kryptering under transport (TLS) og krypterede adgangsnøgler til integrationer.
• Adskillelse af kunders data i databasen, så en organisation kun ser sine egne data.
• Logning af log-ind og handlinger i en revisionslog, der ikke kan ændres bagefter.
• Daglige sikkerhedskopier og overvågning af driften.
• Databehandlerens medarbejdere har kun adgang til produktionsdata, når det er nødvendigt for drift eller support.

C.3 Bistand

Databehandleren bistår som beskrevet i pkt. 8 og 9. Tjenesten giver den dataansvarlige mulighed for selv at eksportere, rette og slette data og at fjerne brugere.

C.4 Opbevaring og sletning

Personoplysninger opbevares, så længe aftalen om Tjenesten består, og slettes derefter som beskrevet i pkt. 10.1. Log-in-historik slettes efter 90 dage.

C.5 Lokalitet

Behandlingen sker på databehandlerens servere i Tyskland og hos de underdatabehandlere, der står i bilag B. Databehandlerens medarbejdere arbejder fra Danmark.

C.6 Overførsel til tredjelande

Overførsler til USA sker til Resend og PostHog som angivet i bilag B, på grundlag af EU-US Data Privacy Framework, når modtageren er certificeret, og ellers EU-Kommissionens standardkontraktbestemmelser.

C.7 Tilsyn

Databehandleren giver efter anmodning den dataansvarlige en skriftlig redegørelse for overholdelsen af Aftalen én gang årligt uden beregning. Inspektion sker efter pkt. 11.