Databehandleraftale (DPA)

Formål

Denne databehandleraftale regulerer Databehandlerens behandling af personoplysninger på vegne af Dataansvarlige i forbindelse med levering af bogholderi- og regnskabstjenester.

Formålet er at sikre, at behandling af personoplysninger sker i overensstemmelse med gældende databeskyttelseslovgivning (GDPR og databeskyttelsesloven).

Behandlingens varighed og karakter

Databehandleren behandler personoplysninger, så længe kundeforholdet består, og alene i det omfang det er nødvendigt for at levere de aftalte ydelser.
Behandlingen består bl.a. i:

• Modtagelse og behandling af regnskabsbilag
• Bogføring i økonomisystemer (fx e-conomic)
• Momsindberetning og økonomirapportering
• Kommunikation med Kunden om økonomiske forhold

Typer af oplysninger og registrerede

Databehandleren kan behandle følgende kategorier af personoplysninger:

• Almindelige personoplysninger: navn, adresse, e-mail, telefonnummer, bankoplysninger.
• Medarbejderoplysninger (hvis relevant): løndata, CPR-numre, ansættelsesforhold.
• Økonomiske oplysninger: fakturaer, kvitteringer, kontoudtog og regnskabsmateriale.

Databehandleren behandler ikke følsomme personoplysninger (fx helbredsdata, religion, fagforeningstilknytning), medmindre dette specifikt er aftalt.

Instruks og formål

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra Dataansvarlige.
Formålet med behandlingen er udelukkende at levere de aftalte bogholderi- og regnskabstjenester.
Databehandleren må ikke anvende oplysningerne til egne formål.

Tekniske og organisatoriske sikkerhedsforanstaltninger

Databehandleren skal træffe alle nødvendige tekniske og organisatoriske foranstaltninger for at beskytte personoplysninger mod uautoriseret adgang, ændring, tab eller offentliggørelse.
Dette omfatter bl.a.:

• Adgangskontrol og kodebeskyttelse af systemer
• Begrænsning af adgang til autoriserede medarbejdere
• Løbende sikkerhedsopdateringer af IT-systemer
• Kryptering eller sikring ved overførsel af følsomme oplysninger

Fortrolighed

Alle medarbejdere hos Databehandleren er underlagt tavshedspligt og må kun tilgå personoplysninger, når det er nødvendigt for at udføre arbejdet.

Underleverandører

Databehandleren kan anvende underleverandører (fx e-conomic eller cloududbydere) til behandling af personoplysninger.
Databehandleren sikrer, at sådanne underleverandører pålægges de samme databeskyttelsesforpligtelser som i denne aftale.
Dataansvarlige informeres om væsentlige ændringer i brugen af underleverandører.

Rettigheder for registrerede

Databehandleren skal bistå Dataansvarlige med at overholde de registreredes rettigheder i henhold til GDPR, herunder:

• Indsigtsret
• Ret til berigtigelse
• Ret til sletning (“retten til at blive glemt”)
• Ret til dataportabilitet
• Ret til indsigelse og begrænsning af behandling

Databehandleren skal uden unødig forsinkelse videregive henvendelser fra registrerede til Dataansvarlige.

Underretning om brud på persondatasikkerheden

Hvis Databehandleren konstaterer brud på persondatasikkerheden, skal Dataansvarlige straks informeres.
Meddelelsen skal indeholde alle relevante oplysninger, så Dataansvarlige kan overholde sin anmeldelsespligt til Datatilsynet.

Returnering og sletning af data

Ved aftalens ophør skal Databehandleren efter aftale med Dataansvarlige enten:

• returnere alle personoplysninger til Dataansvarlige, eller
• slette alle personoplysninger, medmindre lovgivning kræver opbevaring (fx bogføringsloven).

Tilsyn og audit

Dataansvarlige har ret til at føre tilsyn med Databehandlerens overholdelse af denne aftale.
Databehandleren skal på anmodning stille dokumentation for sikkerhedsforanstaltninger til rådighed.
Tilsyn kan gennemføres én gang årligt med rimeligt varsel.

Ansvar

Databehandleren er ansvarlig for skader, der direkte kan henføres til manglende overholdelse af denne aftale eller databeskyttelseslovgivningen.
Parterne er enige om, at Databehandlerens ansvar er begrænset til det beløb, Kunden har betalt i abonnement de seneste 12 måneder forud for kravet.

Lovvalg og værneting

Denne aftale er underlagt dansk ret.
Tvister afgøres ved Leverandørens hjemting.