Databehandleraftale

Version: udkast 2 · Senest opdateret: oktober 2026

1. Parterne og baggrund

Denne databehandleraftale ("Aftalen") er en del af abonnementsaftalen mellem Kunden (den "Dataansvarlige") og [VIRKSOMHEDSNAVN], CVR-nr. [CVR-NR.], [ADRESSE] ("Databehandleren") om brug af Projektstyrer. Aftalen regulerer Databehandlerens behandling af personoplysninger på vegne af den Dataansvarlige, jf. GDPR art. 28.

2. Behandlingens karakter og formål

Databehandleren stiller en cloudbaseret projektstyringstjeneste til rådighed. Behandlingen omfatter lagring, visning, søgning, beregning og videresendelse af de oplysninger, den Dataansvarlige registrerer i tjenesten, med det formål at levere tjenestens funktioner: projekter, kunder, leads, tilbud, fakturaer, timer, opgaver, kalender, filer og fotos, serviceaftaler samt de integrationer og AI-funktioner, den Dataansvarlige selv vælger at bruge.

3. Kategorier af registrerede og oplysninger

• Registrerede: den Dataansvarliges medarbejdere og brugere, den Dataansvarliges kunder og kontaktpersoner, personer der henvender sig via den Dataansvarliges webformular eller Facebook/Instagram-annoncer (leads), samt leverandørkontakter.
• Oplysninger: navne, e-mail, telefon, adresser og CVR-nr., arbejdssteder (adresse, koordinater og bygningsdata fra BBR), timeregistreringer og stopur, opgaver og kalender, projektdata, tilbud og fakturaoplysninger, uploadede dokumenter og fotos (som kan vise personer og hjem), noter og beskeder fra leads.
• Ved online tilbudssvar: det navn, kunden skriver, tidspunkt, IP-adresse og browseroplysninger (user agent) som dokumentation for accept eller afvisning.
• Ved webformularen: en pseudonymiseret IP-værdi (HMAC) udelukkende til at begrænse misbrug; den nulstilles efter 24 timer.
• Tjenesten er ikke beregnet til følsomme personoplysninger (GDPR art. 9) eller CPR-numre, og den Dataansvarlige må ikke registrere sådanne.

4. Databehandlerens forpligtelser

• Behandler kun oplysninger efter dokumenteret instruks fra den Dataansvarlige (denne Aftale og tjenestens funktioner, herunder de integrationer den Dataansvarlige selv slår til).
• Sikrer fortrolighed hos personer med adgang til oplysningerne.
• Implementerer passende tekniske og organisatoriske foranstaltninger, herunder adskillelse af virksomheder i databasen (row level security), krypteret transport (TLS), kryptering af integrationsnøgler i hvile (AES-256-GCM), private fil-lagre med tidsbegrænsede links og logning af administrative handlinger.
• Bistår den Dataansvarlige med besvarelse af henvendelser fra registrerede og underretter om brud på persondatasikkerheden uden unødig forsinkelse og senest [48] timer efter, at Databehandleren er blevet opmærksom på bruddet.
• Sletter eller tilbageleverer oplysningerne ved ophør, jf. punkt 7.

5. Underdatabehandlere

Den Dataansvarlige giver generel godkendelse til brug af nedenstående underdatabehandlere. Nye eller udskiftede underdatabehandlere varsles med [30] dages frist pr. e-mail, så den Dataansvarlige kan gøre indsigelse.

5.1 Altid i brug

• Supabase Inc. – database, login og fillager (dokumenter og fotos). Alle oplysninger i tjenesten. Placering: EU (AWS-region eu-west-1, Irland). Supabase er et amerikansk selskab; eventuel adgang fra USA (fx support) sker på grundlag af [EU-standardkontraktbestemmelser / EU-U.S. Data Privacy Framework – SKAL VERIFICERES].
• Netlify Inc. – hosting af hjemmeside og app samt serverfunktioner, som alle API-kald passerer igennem (herunder kortvarige driftslogs). Placering: USA og globalt CDN [FUNKTIONSREGION SKAL BEKRÆFTES]. Overførselsgrundlag: [EU-U.S. Data Privacy Framework / standardkontraktbestemmelser – SKAL VERIFICERES].

5.2 I brug, når funktionen er aktiveret eller anvendes

• Stripe – abonnementsbetaling, når betaling er slået til (i lanceringsperioden betales der ikke). Virksomhedsnavn, ejerens e-mail, adresse og CVR-nr.; kortoplysninger indtastes direkte hos Stripe. Placering: Stripe Payments Europe Ltd. (Irland) med overførsel til Stripe Inc. (USA) på grundlag af [Data Privacy Framework / standardkontraktbestemmelser – SKAL VERIFICERES].
• Resend – systemmails: invitationer til nye brugere, besked til ejeren når en kunde accepterer eller afviser et tilbud online (kundens navn, eventuel kommentar, projektnavn og beløb) og besked om nye leads (leadets navn, kontaktoplysninger og beskrivelse). Placering: USA [OVERFØRSELSGRUNDLAG SKAL VERIFICERES].
• Anthropic PBC (Claude) – AI-funktionerne "Lav tilbud med AI", "Forbedr tekst" og AI-assistenten, kun når en ejer eller medarbejder aktivt bruger dem. Sendes: opgavebeskrivelsen, op til 4 valgte billeder, virksomhedens materialebibliotek, tekst der skal forbedres og – for assistenten – spørgsmålet og resultaterne af de opslag, brugeren selv har adgang til (projekter, kunder, opgaver, timer; for ejere også økonomi og forfaldne fakturaer). Kundens navn og kontaktoplysninger sendes ikke med i tilbudsforslag. Anthropic bruger efter sine kommercielle vilkår ikke API-data til træning. Placering: USA [OVERFØRSELSGRUNDLAG OG DPA SKAL VERIFICERES].
• OpenAI – fortolkning af stemmekommandoer (fx "5 timer på Hansens tag"), kun når stemmefunktionen bruges. Sendes: den transskriberede tekst samt navn og kundenavn på de projekter, brugeren har adgang til, så kommandoen kan kobles til det rigtige projekt. Lyd sendes ikke til OpenAI (talen omsættes til tekst i brugerens browser, se privatlivspolitikken). Placering: USA [OVERFØRSELSGRUNDLAG OG DPA SKAL VERIFICERES].
• cvrapi.dk – opslag af virksomheder i CVR-registret ud fra navn eller CVR-nr., kaldt fra vores server (brugerens IP-adresse videregives ikke). Sendes: søgeteksten. Placering: [UDBYDER, PLACERING OG VILKÅR SKAL AFKLARES].
• Klimadatastyrelsen – Adressevælgeren og Datafordeleren – adresseforslag, koordinater og bygningsdata (BBR) for arbejdssteder, kun når nøgler er sat op. Sendes: den indtastede adressetekst eller adressens id. Placering: Danmark (offentlig myndighed).
• OpenStreetMap Foundation – kortfliser til kortet over arbejdsstedet. Hentes direkte af brugerens browser, som dermed afgiver IP-adresse og hvilket kortudsnit der vises. Placering: Storbritannien (tilstrækkelighedsafgørelse).

5.3 Tredjepartskode og skrifttyper, der hentes af browseren

Hjemmesiden og appen henter i dag skrifttyper og programbiblioteker fra eksterne leverandører. Indholdet fra tjenesten sendes ikke til dem, men brugerens browser afgiver IP-adresse, browseroplysninger og hvilken side der besøges: Google Fonts (Google Ireland Ltd./Google LLC), unpkg.com og esm.sh (programbiblioteker til appen), Tailwind CSS CDN (appens layout) samt Pexels og Unsplash (billeder på forsiden). Det er planlagt, at alle disse filer flyttes til vores egen hosting før lancering, hvorefter leverandørerne udgår af listen. [STATUS OPDATERES VED LANCERING]

5.4 Integrationer, som den Dataansvarlige selv forbinder

Følgende tjenester bruges kun, hvis den Dataansvarlige selv forbinder sin egen konto. Oplysninger sendes til den Dataansvarliges egen konto hos leverandøren efter den Dataansvarliges instruks, og leverandørens egne vilkår gælder for den Dataansvarliges konto. [ROLLEFORDELINGEN SKAL AFKLARES JURIDISK]

• Google (Gmail) – afsendelse af tilbud og fakturaer med PDF fra den Dataansvarliges egen Gmail-adresse. Ved lanceringen bruges Gmail-forbindelsen kun til afsendelse; scanning af indbakken for leverandørfakturaer er slået fra.
• Microsoft (Outlook/Microsoft 365) – afsendelse af tilbud og fakturaer fra den Dataansvarliges egen Outlook-adresse og, hvis funktionen bruges, gennemsyn af nyere mails efter fakturaer med vedhæftninger. Kun matchende vedhæftede fakturaer gemmes; hele indbakker gemmes aldrig.
• Visma e-conomic, Visma Dinero og Billy – overførsel af kunder og fakturaer som kladder til den Dataansvarliges regnskabsprogram samt hentning af kunder (navn, adresse, CVR-nr., e-mail, fakturalinjer og beløb).
• Meta Platforms (Facebook/Instagram Lead Ads) – modtagelse af leads (navn, kontaktoplysninger og svar fra annonceformularen) fra den Dataansvarliges egne Facebook-sider. Funktionen er ikke aktiveret endnu og kræver godkendelse hos Meta.

6. Overførsler til tredjelande

I det omfang underdatabehandlere behandler oplysninger uden for EU/EØS (USA for Netlify, Stripe Inc., Resend, Anthropic, OpenAI og browserhentede CDN'er), sker det på grundlag af EU-Kommissionens tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework, hvor leverandøren er certificeret, og ellers EU-Kommissionens standardkontraktbestemmelser. [SKAL GENNEMGÅS OG DOKUMENTERES PR. UNDERDATABEHANDLER]

7. Sletning og tilbagelevering ved ophør

• Den Dataansvarliges ejer kan eksportere virksomhedens data og anmode om sletning af virksomheden i appen. Sletningen udføres efter en fortrydelsesfrist på 14 dage.
• Sikkerhedskopier slettes løbende: Supabases daglige backups efter 7 dage og vores uafhængige, krypterede backup efter 30 dage. Slettede oplysninger kan derfor findes i backups i op til 30 dage.
• Fakturaer og andet bogføringsmateriale håndteres efter bogføringslovens regler. Indtil det er afklaret, om opbevaringspligten påhviler den Dataansvarlige eller Databehandleren, arkiveres sådant materiale i stedet for at blive slettet. [AFVENTER JURIDISK AFKLARING]

8. Revision og dokumentation

Databehandleren stiller nødvendig dokumentation til rådighed for, at forpligtelserne i denne Aftale overholdes, og muliggør og bidrager til revisioner i rimeligt omfang.

9. Varighed

Aftalen gælder, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige.