Databehandleraftale (DPA)

1. Roller

Dataansvarlig bestemmer formål og hjælpemidler for personoplysninger, der indlæses i portalen om Dataansvarligs kunder, samarbejdspartnere, medarbejdere eller slutkunder.

Databehandler behandler sådanne oplysninger kun for at levere Voutr efter Dataansvarligs instruktioner (inkl. konfiguration og handlinger i UI/API).

Databehandlers egne kontodata mv. er reguleret i privatlivspolitikken (https://voutr.com/legal/privatliv), ikke som databehandling under denne DPA.

2. Formål og karakter

Behandlingens karakter: lagring, visning, bearbejdning og eksport/transmission i forbindelse med klientportal for konsulentydelser — herunder tid, engagementer, dokumenter/e-sign-spor og fakturakladder.

Varighed: abonnements-/aftaleperioden plus slettefrist som aftalt eller beskrevet i politikken.

Kategorier af registrerede: typisk kontaktpersoner hos bureauer/slutkunder, konsulenter og andre personer, Dataansvarlig indlæser.

Typer af oplysninger: identifikations- og kontaktoplysninger, arbejds-/tidsrelaterede oplysninger, dokument- og signaturmetadata, faktureringslinjer. Særlige kategorier forventes ikke; Dataansvarlig må ikke indlæse sådanne uden forudgående skriftlig aftale.

3. Instruktioner

Databehandler følger dokumenterede instruktioner fra Dataansvarlig via tjenesten og denne DPA. Hvis en instruktion efter Databehandlers vurdering strider mod GDPR, underretter Databehandler Dataansvarlig.

4. Sikkerhed

Databehandler implementerer passende tekniske og organisatoriske foranstaltninger proportionalt med risikoen for en B2B-portal (adgangskontrol, kryptering i transit, miljøadskillelse, begrænsning af privilegier, logging i rimeligt omfang).

Vi påstår ikke certificeringer (fx ISO), medmindre de særskilt er dokumenteret skriftligt.

5. Underdatabehandlere

Dataansvarlig accepterer, at Databehandler bruger underdatabehandlere, der er nødvendige for driften, navnlig:

• Microsoft Azure — hosting og evt. blob-lager.
• Microsoft (Graph) — kun hvis Dataansvarlig/tenant har aktiveret Outlook-forslag; begrænset formål.

6. e-conomic og andre kundeejede systemer

Når Dataansvarlig forbinder e-conomic, behandles de pågældende oplysninger i Dataansvarligs eget e-conomic-miljø under Dataansvarligs aftale med Visma/e-conomic. Databehandler transmitterer data efter Dataansvarligs handling (fx “send kladde”) og er ikke dataansvarlig for e-conomics videre behandling.

7. Assistent til rettigheder og brud

Databehandler bistår Dataansvarlig rimeligt med anmodninger fra registrerede og med underretning om persondatabrud uden unødig forsinkelse, efter at Databehandler er blevet bekendt med et brud, der kræver underretning.

8. Sletning og tilbagelevering

Ved aftalens ophør sletter eller anonymiserer Databehandler personoplysninger under DPA’en inden for en rimelig frist, eller tilbageleverer dem i et almindeligt eksporterbart format, hvis Dataansvarlig anmoder om det inden ophør — medmindre dansk/EU-ret kræver opbevaring.

9. Revision

Dataansvarlig kan anmode om rimelig dokumentation for sikkerhedsforanstaltninger (fx skriftlige svar). On-site audit aftales særskilt og begrænses til det nødvendige, under hensyntagen til fortrolighed og andre kunders sikkerhed.

10. Ansvar

Parternes ansvar følger hovedaftalen/vilkårene, med de begrænsninger GDPR ufravigeligt stiller.

11. Kontakt

Fagerholm IT, CVR 21661538, Ådalvej 36, 4340 Tølløse, Danmark. E-mail: morten@fagerholm.dk.