Databehandleraftale

1. Parter

Dataansvarlig: Den kundevirksomhed, som accepterer aftalen (”Kunden”).

Databehandler: Wybrandt Solutions, CVR 44875969, Havnsø Møllevej 1A, 4591 Føllenslev, Danmark (”Jobspace”).

2. Formål, omfang og varighed

Jobspace behandler personoplysninger på Kundens vegne for at levere kunde- og opgavestyring, kalender, tilbud, fakturering, udgifter, kvitteringer, kørebog, kommunikation, eksport, integrationer og — når valgt — AI-assistent. Behandlingen varer under abonnementsforholdet og de efterfølgende slette- og opbevaringsperioder i punkt 10.

3. Dokumenteret instruks

Jobspace behandler kun oplysninger efter Kundens dokumenterede instruks. Instruksen består af denne aftale, Kundens brug og konfiguration af tjenesten samt særskilt aftalte skriftlige instrukser. Jobspace underretter Kunden, hvis en instruks efter vores vurdering strider mod databeskyttelsesreglerne.

4. Registrerede og oplysninger

Registrerede kan være Kundens kunder og kontaktpersoner, ejere, medarbejdere, bogholdere, leverandører samt modtagere af tilbud, fakturaer og beskeder.

Oplysninger kan omfatte navn, adresse, e-mail, telefon, virksomhedsoplysninger, aftale- og økonomioplysninger, opgaver, kalender, noter, billeder, kvitteringer, kørsels- og lokationsdata, brugeraktivitet og indhold, som en bruger selv sender til AI-assistenten.

Tjenesten er ikke beregnet til systematisk behandling af særlige kategorier efter GDPR artikel 9, oplysninger om strafbare forhold eller CPR-numre. Kunden skal undgå at indtaste sådanne oplysninger, medmindre parterne særskilt har aftalt lovlige og passende sikkerhedsforanstaltninger.

5. Fortrolighed

Personer med adgang til Kundens oplysninger har kun adgang efter arbejdsbetinget behov og er underlagt kontraktuel eller lovbestemt fortrolighed. Produktionsadgang begrænses til autoriserede personer og systemkonti.

6. Sikkerhed

• TLS/HTTPS under transport og krypteret backup.
• Tenant-isolation med row-level security i databasen.
• Rollebaseret adgang for ejer, medarbejder og bogholder.
• E-mailbekræftet login og bot-beskyttelse ved signup.
• Hemmeligheder og integrationstokens holdes ude af frontend; følsomme integrationstokens krypteres i hvile.
• Daglig backup, dokumenteret gendannelse og løbende sikkerhedsopdateringer.
• Append-only og hash-kædet hændelseslog for relevante fakturahændelser.
• Testkonti er markeret og afskåret fra virkelige betalinger, mails og AI/OCR-sideeffekter.

Jobspace kan forbedre foranstaltningerne, hvis det samlede sikkerhedsniveau ikke forringes.

7. Underdatabehandlere

Kunden giver generel skriftlig forhåndsgodkendelse til underdatabehandlerne i det offentlige register (Bilag B). Jobspace varsler kontoejeren mindst 30 dage før en ny eller udskiftet underdatabehandler begynder behandling.

Kunden kan inden ikrafttræden gøre saglig indsigelse af databeskyttelsesmæssige grunde. Kan parterne ikke finde en rimelig løsning, kan Kunden opsige med virkning fra ændringsdatoen uden ekstra omkostning. Jobspace pålægger underdatabehandlere tilsvarende databeskyttelsesforpligtelser og forbliver ansvarlig over for Kunden.

8. Tredjelandsoverførsler

Kerneinfrastruktur og primær datalagring er i EU. Hvor en leverandør medfører overførsel til et tredjeland, anvendes et gyldigt grundlag som EU-Kommissionens standardkontraktbestemmelser og/eller EU-U.S. Data Privacy Framework. Placering og grundlag fremgår af Bilag B.

9. Bistand

Jobspace bistår under hensyn til behandlingens karakter med registreredes rettigheder samt Kundens forpligtelser efter artikel 32–36, herunder via redigering, sletning, CSV/SAF-T-eksport, dokumentarkiv og relevante oplysninger om sikkerhed og brud. Ekstraordinær bistand kan faktureres efter medgået tid, medmindre behovet skyldes Jobspaces forhold.

10. Tilbagelevering og sletning

Kunden kan eksportere sine data før ophør; Jobspace opretter desuden automatisk en eksport ved ophør. Kontoen har læseadgang i 30 dage. Øvrige personoplysninger slettes eller anonymiseres senest 90 dage efter ophøret.

Regnskabsmateriale, som er omfattet af Kundens lovpligtige opbevaring, opbevares fortsat på Kundens instruks i fem år fra udgangen af det relevante regnskabsår og slettes derefter. Kunden kan instruere om tilbagelevering eller tidligere sletning og bekræfte, at lovlig opbevaring sker andetsteds. Backupkopier udløber efter den faste rotation.

11. Brud på persondatasikkerheden

Jobspace underretter Kunden uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud, som vedrører Kundens oplysninger. Underretningen indeholder de kendte oplysninger, Kunden har brug for efter GDPR artikel 33, stk. 3. Kunden er ansvarlig for eventuel anmeldelse til Datatilsynet og underretning af registrerede.

12. Dokumentation og tilsyn

Jobspace stiller nødvendige oplysninger om overholdelse af artikel 28 til rådighed. Kunden eller en uafhængig, ikke-konkurrerende revisor kan én gang årligt med mindst 30 dages varsel gennemføre et rimeligt dokumentbaseret tilsyn i normal arbejdstid. Leverandørers certificeringer kan erstatte fysisk audit hos deres datacentre. Kunden afholder egne omkostninger.

13. Ansvar, lovvalg og rang

Ansvar følger abonnementsvilkårene. Dansk ret og samme værneting gælder. Denne aftale har forrang ved modstrid om behandling af personoplysninger.

14. Elektronisk indgåelse

Aftalen indgås, når en person med fuldmagt på Kundens vegne accepterer den sammen med abonnementsvilkårene under virksomhedsoprettelsen. Jobspace registrerer version, tidspunkt og konto-id.