Databehandleraftale (DPA)

Denne databehandleraftale indgås automatisk mellem Svarsjak.dk ("Databehandleren") og kunden, den erhvervsdrivende ("Den dataansvarlige"), når kunden opretter en konto og accepterer handelsbetingelserne. Aftalen kræver ingen underskrift og opfylder kravet i databeskyttelsesforordningens (GDPR) art. 28, stk. 3. Ønskes en underskrevet udgave, skriv til kontakt@svarsjak.dk.

Databehandleren behandler personoplysninger på Den dataansvarliges vegne udelukkende med det formål at levere Svarsjak.dk-tjenesten: modtage ubesvarede opkald, sende SMS, kvalificere opgaven og videreformidle leadet. Aftalen gælder, så længe kundens abonnement er aktivt.

• Personer: Den dataansvarliges indringere/potentielle kunder samt medarbejdere hos Den dataansvarlige.
• Oplysninger: telefonnummer, eventuelt navn, by/postnummer, opgavebeskrivelse, hastegrad og tidsstempler.
• Ingen særlige kategorier: Der behandles ikke helbredsoplysninger, CPR-numre eller andre særlige kategorier jf. art. 9. Den dataansvarlige må ikke uploade sådanne oplysninger til tjenesten.

Databehandleren behandler kun oplysninger efter dokumenteret instruks fra Den dataansvarlige — instruksen udgøres af denne aftale og tjenestens funktionalitet. Databehandleren sælger eller videregiver ikke oplysninger og pålægger alle medarbejdere fortrolighed.

• Kryptering af data under transport (TLS 1.2+) og i hvile (AES-256).
• Row-level security, så hver kunde kun har adgang til egne leads.
• Adgangsstyring efter mindste-privilegie-princippet og logning af administrativ adgang.
• Krypterede, geo-redundante backups inden for EU.
• Automatisk sletning/anonymisering af leads og opkaldslogs efter 90 dage.

Den dataansvarlige giver hermed generel godkendelse til følgende underdatabehandlere:

• Supabase — database, login og fillagring. Region: EU (Frankfurt, eu-central-1).
• 46elks AB (Sverige) — telefoni og SMS. Telefonnumre og SMS-indhold. Behandling sker inden for EU/EØS.
• Stripe Technology Europe Ltd. (Irland) — abonnementsbetaling. Faktureringsoplysninger for Den dataansvarlige. Slutkunders data sendes ikke til Stripe. Stripe kan overføre data til koncernselskaber i USA under EU-US Data Privacy Framework/SCC.
• Lovable — hosting af applikationen samt afsendelse af system- og lead-e-mails. Selve applikationen og databasen kører i EU; e-mailleveringen kan involvere infrastruktur uden for EU/EØS, hvor SCC/EU-US Data Privacy Framework anvendes.

Opgavebeskrivelsen kvalificeres udelukkende i Svarsjaks egen backend i EU.

Ændringer i listen varsles pr. e-mail med 30 dages frist, hvor Den dataansvarlige kan gøre indsigelse og i så fald opsige abonnementet uden yderligere betaling.

Al lagring og behandling af leads, opgavebeskrivelser, fotos, telefonnumre og kontooplysninger sker inden for EU/EØS (database og fillagring i Frankfurt, telefoni/SMS i Sverige).

To områder kan indebære overførsel til tredjeland: e-maillevering af notifikations- og systemmails samt Stripes interne koncernoverførsler i forbindelse med abonnementsbetaling. Her anvendes EU-Kommissionens standardkontraktbestemmelser (SCC) og/eller EU-US Data Privacy Framework samt supplerende foranstaltninger i form af kryptering under transport og dataminimering.

• Databehandleren bistår med besvarelse af anmodninger om indsigt, sletning og dataportabilitet.
• Sikkerhedsbrud meddeles Den dataansvarlige uden unødig forsinkelse og senest 24 timer efter konstatering, med oplysning om omfang og afhjælpning.
• Databehandleren stiller én gang årligt dokumentation for overholdelse til rådighed og besvarer sikkerhedsspørgeskemaer.

Ved abonnementets ophør slettes alle personoplysninger inden 30 dage, medmindre lovgivning kræver fortsat opbevaring. Den dataansvarlige kan inden da eksportere sine leads.

Aftalen er underlagt dansk ret og GDPR. Tvister afgøres ved Retten i Aarhus.