Denne databehandleraftale ("DPA") er en del af aftalen mellem kundeorganisationen (den "Dataansvarlige") og Coborax ApS, c/o Innovation Solutions ApS, [adresse], CVR [CVR-nummer], Danmark ("Databehandleren") om Orbit-platformen, jf. GDPR artikel 28.
1. Genstand og varighed
Databehandleren behandler personoplysninger på den Dataansvarliges vegne i det omfang, det er nødvendigt for at levere Orbit-platformen, i abonnementets løbetid plus afviklingsperioden i pkt. 9.
2. Karakter, formål og kategorier
- Formål: workforce-administration — HR-stamdata, rekruttering, compliance, vagtplanlægning, projekt- og aktivstyring.
- Registrerede: den Dataansvarliges medarbejdere, kandidater og underleverandører.
- Oplysningskategorier: identifikations- og kontaktoplysninger, ansættelsesdata (rolle, ansættelsesdato, kompetencer, certifikater), pårørende, bankoplysninger, pas- og visumoplysninger samt — hvor den Dataansvarlige registrerer dem — særlige kategorier som helbredsoplysninger (fx medicinske notater). Særligt følsomme felter krypteres på kolonneniveau ud over kryptering i hvile.
3. Instruks
Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den Dataansvarlige — aftalen samt den Dataansvarliges konfiguration og brug af platformen — medmindre EU-ret eller dansk ret kræver andet; i så fald underretter Databehandleren den Dataansvarlige inden behandlingen, medmindre loven forbyder det.
4. Fortrolighed og sikkerhed (art. 32)
- Personer med adgang til oplysningerne er pålagt fortrolighed.
- Kryptering under transport (TLS) og i hvile; kolonnekryptering af særligt følsomme HR-felter.
- Rollebaseret adgangsstyring og tenant-isolation; adgang til HR-oplysninger er begrænset til den registrerede og den Dataansvarliges ejere/administratorer.
- Logning, backup og dokumenteret change management.
5. Underdatabehandlere
Den Dataansvarlige giver generel godkendelse til brug af underdatabehandlere. Aktuel liste: Amazon Web Services (hosting, EU-region), Stripe (betalinger — kun faktureringskontakter) samt den e-mail-leverandør, der fremgår af platformsdokumentationen. Ændringer varsles mindst 30 dage forud, så den Dataansvarlige kan gøre indsigelse. Underdatabehandlere pålægges tilsvarende databeskyttelsesforpligtelser.
6. Overførsler til tredjelande
Personoplysninger hostes i EU. Behandler en underdatabehandler oplysninger uden for EU/EØS, sker overførslen på grundlag af EU-Kommissionens standardkontraktbestemmelser eller en tilstrækkelighedsafgørelse.
7. Bistand
Under hensyntagen til behandlingens karakter bistår Databehandleren den Dataansvarlige med besvarelse af de registreredes anmodninger og med forpligtelserne efter GDPR artikel 32–36, herunder via platformens indbyggede eksport- og sletningsfunktioner.
8. Brud på persondatasikkerheden
Databehandleren underretter den Dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud, med de oplysninger der kræves til den Dataansvarliges anmeldelsespligter efter artikel 33–34.
9. Sletning og tilbagelevering
Ved ophør kan den Dataansvarlige eksportere sine data inden for 30 dage. Herefter sletter Databehandleren personoplysninger behandlet på den Dataansvarliges vegne, medmindre EU-ret eller dansk ret kræver fortsat opbevaring.
10. Revision
Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28, og giver mulighed for revision — herunder inspektion — udført af den Dataansvarlige eller en revisor bemyndiget af denne, med rimeligt varsel, i arbejdstiden og for den Dataansvarliges regning.
11. Lovvalg
DPA'en er underlagt dansk ret og følger hovedaftalens løbetid.