Version 1.0, gældende fra 12. oktober 2026. Databehandleraftalen er en del af abonnementsvilkårene for online-løsninger.
1. Baggrund og formål
1.1 Aftalen er indgået mellem Kunden som dataansvarlig og iSikkerhed.dk ApS, CVR-nr. 46408748, Kikkenborgvej 10, 7183 Randbøl, som databehandler. Den er en del af abonnementsaftalen om iSikkerhed.dk ApS’ online-løsninger (“Hovedaftalen”) og træder i kraft samtidig med den.
1.2 Aftalen fastsætter parternes rettigheder og forpligtelser, når databehandleren behandler personoplysninger på den dataansvarliges vegne, jf. databeskyttelsesforordningens artikel 28, stk. 3.
1.3 Behandlingens genstand, formål, varighed og typer af oplysninger fremgår af Bilag A.
2. Den dataansvarliges rettigheder og forpligtelser
2.1 Den dataansvarlige er ansvarlig for, at behandlingen sker i overensstemmelse med databeskyttelsesforordningen og databeskyttelsesloven, herunder at der er et lovligt behandlingsgrundlag, og at de registrerede er oplyst om behandlingen.
2.2 Den dataansvarlige skal undlade at indtaste følsomme oplysninger efter artikel 9, fx helbredsoplysninger, eller oplysninger om strafbare forhold, medmindre Tjenesten udtrykkeligt er beregnet til det.
3. Databehandlerens forpligtelser
3.1 Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige. Hovedaftalen, denne aftale og den dataansvarliges brug af Tjenestens funktioner udgør den samlede instruks. Andre instrukser skal være skriftlige og kan kræve særskilt betaling.
3.2 Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med databeskyttelsesreglerne.
3.3 Databehandleren sikrer, at de personer, der har adgang til personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt.
3.4 Behandles oplysninger efter krav i EU-retten eller dansk ret, som databehandleren er underlagt, underretter databehandleren den dataansvarlige om kravet, medmindre loven forbyder det.
4. Behandlingssikkerhed
4.1 Databehandleren træffer de tekniske og organisatoriske foranstaltninger, der er beskrevet i Bilag C, jf. databeskyttelsesforordningens artikel 32. Foranstaltningerne er fastsat ud fra Tjenestens karakter og de typer oplysninger, der normalt behandles.
4.2 Databehandleren kan ændre foranstaltningerne, så længe sikkerhedsniveauet ikke forringes.
5. Underdatabehandlere
5.1 Den dataansvarlige giver en generel godkendelse til, at databehandleren bruger underdatabehandlere. De godkendte underdatabehandlere ved aftalens indgåelse fremgår af Bilag B.
5.2 Databehandleren underretter den dataansvarlige mindst 30 dage før, en underdatabehandler tilføjes eller udskiftes. Den dataansvarlige kan inden for samme frist gøre saglig indsigelse. Kan parterne ikke blive enige, kan den dataansvarlige opsige Hovedaftalen til ændringens ikrafttræden. Det er den dataansvarliges eneste mulighed.
5.3 Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale. Accepterer en større leverandør kun sine egne standardvilkår, er det tilstrækkeligt, at vilkårene opfylder artikel 28.
6. Overførsel til tredjelande
6.1 Personoplysninger overføres kun til lande uden for EU/EØS, hvis der er et gyldigt overførselsgrundlag efter databeskyttelsesforordningens kapitel V. Det kan være en tilstrækkelighedsafgørelse, herunder EU-US Data Privacy Framework for certificerede virksomheder, eller EU-Kommissionens standardkontraktbestemmelser.
6.2 Den dataansvarlige accepterer de overførsler, der fremgår af Bilag B.
7. Bistand til den dataansvarlige
7.1 Databehandleren bistår i rimeligt omfang den dataansvarlige med at besvare anmodninger fra registrerede, jf. databeskyttelsesforordningens kapitel III, og med at overholde artikel 32-36 om sikkerhed, brud, konsekvensanalyse og forudgående høring.
7.2 Bistand, der ikke kan løses med Tjenestens egne funktioner, afregnes efter medgået tid til databehandlerens gældende timepris.
8. Brud på persondatasikkerheden
8.1 Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at have fået kendskab til et brud, så den dataansvarlige kan anmelde det til Datatilsynet inden for 72 timer, jf. artikel 33.
8.2 Underretningen indeholder så vidt muligt de oplysninger, der kræves efter artikel 33, stk. 3.
9. Sletning og tilbagelevering
9.1 Ved ophør af Hovedaftalen kan den dataansvarlige i 30 dage eksportere sine data. Derefter sletter databehandleren personoplysningerne, medmindre EU-retten eller dansk ret kræver opbevaring.
9.2 Sikkerhedskopier slettes i takt med, at de udløber efter databaseleverandørens normale backupcyklus.
10. Dokumentation og revision
10.1 Databehandleren stiller på anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28, normalt i form af en skriftlig redegørelse for sikkerhedsforanstaltningerne og underdatabehandlernes dokumentation.
10.2 Fysisk inspektion kan kun kræves, hvis den skriftlige dokumentation ikke er tilstrækkelig, eller Datatilsynet kræver det. Den varsles mindst 30 dage i forvejen, foretages af en uafhængig revisor underlagt tavshedspligt og betales af den dataansvarlige.
11. Ansvar
11.1 Parternes ansvar efter denne aftale følger Hovedaftalens ansvarsbegrænsning, herunder beløbsgrænsen og udelukkelsen af indirekte tab. Begrænsningen gælder ikke ved forsæt eller grov uagtsomhed.
11.2 Begrænsningen påvirker ikke de registreredes rettigheder over for parterne efter databeskyttelsesforordningens artikel 82.
12. Ikrafttræden og ophør
12.1 Aftalen gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige, og ophører automatisk med Hovedaftalen. Pligterne efter punkt 9 gælder også efter ophør.
12.2 Databehandleren kan ændre aftalen med 30 dages varsel, hvis ændringen skyldes lovgivning, praksis fra Datatilsynet eller nye underdatabehandlere, og ændringen ikke forringer databeskyttelsen.
Bilag A: Behandlingen
| Punkt | Indhold |
|---|---|
| Formål | Levering af Tjenesten: brugerkonti, dokumenter, kemikalieregistre, risikovurderinger, affaldsforespørgsler og kursusforløb |
| Behandlingens art | Opbevaring, læsning, analyse (herunder med AI), visning, eksport og sletning |
| Typer af oplysninger | Navn, e-mail, telefon, stilling og arbejdssted på brugere og kontaktpersoner; navne på afsendere, modtagere og chauffører i transportdokumenter; kursusdeltagelse og testresultater; logdata |
| Registrerede | Kundens medarbejdere, kursister, kontaktpersoner hos kunder, leverandører og transportører |
| Følsomme oplysninger | Ingen |
| Varighed | Så længe Hovedaftalen løber, med sletning efter punkt 9 |
Bilag B: Godkendte underdatabehandlere
| Underdatabehandler | Ydelse | Placering af data | Overførselsgrundlag |
|---|---|---|---|
| Lovable (Sverige) | Udvikling, hosting og drift af apps samt formidling af AI-kald | EU | Ikke relevant |
| Supabase Inc. (USA) via Amazon Web Services | Database, login og fillagring | AWS i EU (Frankfurt og Irland) og i Storbritannien (London) | Storbritannien: EU-Kommissionens tilstrækkelighedsafgørelse. Supabase Inc.: standardkontraktbestemmelser |
| Google (Gemini) | AI: dokumentlæsning, klassificeringsforslag og tekst | Kan behandles uden for EU/EØS | EU-US Data Privacy Framework og standardkontraktbestemmelser |
| ElevenLabs | Tekst til tale (lyd) | Kan behandles uden for EU/EØS | EU-US Data Privacy Framework eller standardkontraktbestemmelser efter ElevenLabs’ databehandleraftale |
| Hostinger | Hosting af hjemmesider og e-mail | EU | Ikke relevant |
Den AI-model, der bruges, kan skifte. Skift til en anden AI-leverandør varsles efter punkt 5.2. Betalingsudbyder tilføjes, når betaling i apps åbnes.
Bilag C: Sikkerhedsforanstaltninger
- Krypteret forbindelse (HTTPS/TLS) og kryptering af data i hvile hos databaseleverandøren
- Personligt login for alle brugere
- Adgang til data styres med regler i databasen (row level security), som er slået til på alle tabeller
- Administratoradgang er begrænset til databehandlerens ledelse
- Sikkerhedskopiering hos databaseleverandøren
- AI-leverandører bruges kun via API
- Løbende opdatering af software og afhængigheder
- Gennemgang af sikkerhed og underdatabehandlere mindst én gang om året