Databehandleraftale

1. Parter, varighed og forrang

Den dataansvarlige er den kundekonto/virksomhed, som administratoren er bemyndiget til at repræsentere. Databehandler er eSigned ApS, CVR 46791096, Algade 5, 1, 4000 Roskilde. Kontakt: support@esigned.dk.

Aftalen supplerer forretningsbetingelserne og har forrang ved modstrid om behandling af personoplysninger. Den elektroniske accept registreres med bruger, konto, tidspunkt og version. Aftalen gælder under behandlingen og indtil tilbagelevering/sletning er gennemført. Ufravigelige forpligtelser efter GDPR kan ikke fraskrives.

2. Dokumenteret instruks

Behandlingen må kun ske efter kundens dokumenterede instruks, herunder denne aftale, de aftalte bilag, kundens valg i tjenesten og efterfølgende skriftlige instrukser. Formålet er at levere den aftalte dokument- og underskriftstjeneste. Oplysninger må ikke anvendes til databehandlerens egne andre formål.

Hvis EU-ret eller national ret kræver anden behandling, underrettes kunden før behandlingen, medmindre underretning er forbudt. Databehandleren meddeler straks kunden, hvis en instruks efter databehandlerens vurdering strider mod databeskyttelsesretten, og sætter om nødvendigt den berørte behandling i bero.

3. Fortrolighed og sikkerhed

Databehandleren sikrer, at autoriserede personer er underlagt fortrolighed og kun får nødvendig adgang. Parterne vurderer risici og passende tekniske og organisatoriske foranstaltninger efter artikel 32. Databehandleren har et selvstændigt ansvar for sine foranstaltninger; kundens accept fritager ikke databehandleren for dette.

Grundforanstaltninger og uafklarede forhold står i bilag B. Behandling med høj risiko eller særlige kategorier kræver særskilt skriftlig aftale og passende foranstaltninger før upload.

4. Underdatabehandlere

Kunden giver generel skriftlig godkendelse til de konkret identificerede underdatabehandlere i det aftalte bilag C. Et ufuldstændigt leverandørfelt er ikke en blankogodkendelse. Nye eller udskiftede underdatabehandlere varsles normalt mindst 30 dage forud med navn, ydelse og behandlingslande, så kunden kan gøre saglig indsigelse.

Ved indsigelse søger parterne en løsning før den pågældende behandling. Hvis en løsning ikke findes, kan kunden ophøre med den berørte ydelse. Underdatabehandlere pålægges tilsvarende databeskyttelsesforpligtelser ved aftale, og eSigned forbliver ansvarlig over for kunden for deres opfyldelse.

5. Tredjelandsoverførsler

Overførsler, herunder fjernadgang fra tredjelande, kræver dokumenteret instruks og opfyldelse af GDPR kapitel V. Bilag C skal identificere de relevante lande, modtagere og overførselsgrundlag samt nødvendige supplerende foranstaltninger. En generel henvisning til »EU/EØS og eventuelle overførsler« er ikke tilstrækkelig dokumentation.

6. Bistand og brud

Under hensyn til behandlingens karakter og de tilgængelige oplysninger bistår databehandleren kunden med registreredes rettigheder og forpligtelserne efter artikel 32–36, herunder sikkerhed, konsekvensanalyse, anmeldelse af brud og forudgående høring.

Brud vedrørende kundens oplysninger meddeles kunden uden unødig forsinkelse efter, at databehandleren bliver bekendt med dem. Meddelelsen gives med de tilgængelige oplysninger om bruddets art, berørte kategorier og omtrentlige omfang, kontaktpunkt, mulige konsekvenser og trufne eller foreslåede foranstaltninger. Manglende oplysninger eftersendes løbende. Kunden vurderer sin eventuelle anmeldelsespligt.

7. Tilbagelevering og sletning

Efter ophør eller relevant instruks sletter eller tilbageleverer databehandleren efter kundens valg oplysningerne og sletter eksisterende kopier, medmindre EU-ret eller national ret kræver opbevaring. Der aftales praktisk eksport og frister med kunden. Backupkopier skal isoleres fra normal brug og slettes efter en dokumenteret rotation; den konkrete maksimale frist er et udestående punkt i bilag B.

Ved gendannelse fra backup skal tidligere sletteinstrukser genanvendes. Oplysninger, der opbevares som følge af lovkrav, behandles kun til dette formål og med begrænset adgang.

8. Dokumentation og kontrol

Databehandleren stiller nødvendige oplysninger til rådighed for at påvise overholdelse og muliggør og bidrager til revisioner, herunder inspektioner, udført af kunden eller en bemyndiget revisor. Praktisk varsel aftales normalt, men må ikke hindre nødvendig kontrol ved hændelser, begrundet mistanke eller myndighedskrav. Andre kunders oplysninger skal beskyttes under kontrollen.

Bilag A — Beskrivelse af behandlingen

Genstand og formål

Hosting og behandling af dokumenter, kontaktbog, invitationer, underskrifter, roller, rækkefølge og signeringsbeviser efter kundens instruks.

Behandlingens art

Modtagelse, lagring, organisering, visning, deling, signering, logning, eksport, arkivering og sletning.

Registrerede

Kundens brugere, ansatte, kunder, leverandører, kontaktpersoner, underskrivere og personer omtalt i dokumenterne.

Oplysningstyper

Kontakt- og virksomhedsoplysninger, roller, dokumentindhold, signaturtegninger, IP/browseroplysninger, tidsstempler, dokumenthashes, mailstatus og signeringshændelser.

Varighed

Så længe den aftalte behandling varer og indtil tilbagelevering/sletning er gennemført.

Kundens ansvar

Formål, lovligt behandlingsgrundlag, nødvendige oplysninger til registrerede, korrekte modtagere, instrukser og opbevaringsbehov.

Bilag B — Foranstaltninger og driftsforudsætninger

Implementerede applikationsforanstaltninger omfatter HTTPS, passwordhashing, kontobaseret adgangskontrol, valgfri MFA, CSRF-beskyttelse, validering af uploads, malwarescanning, tidsbegrænsede links, kontrolsummer og hændelseslog.

Dokumentkryptering ved lagring pr. kundekonto er endnu ikke aktiveret. Serverens adgangsrettigheder og understøttede runtime, backupbeskyttelse, gendannelsestest, slettefrister, fortrolighedsaftaler og driftsprocedurer skal gennemgås og dokumenteres før almindelig kundedrift. Dette bilag lover ikke foranstaltninger, som endnu ikke er etableret.

Bilag C — Leverandøroversigt under afklaring

Leverandørernes rolle vurderes for den konkrete behandling. Stripe til betaling og CDN-tjenester til browserbiblioteker er også beskrevet i persondatapolitikken; de er ikke alene på grund af deres navn automatisk underdatabehandlere for kundens dokumentindhold.