Databehandleraftale

1. Parter, status og indgåelse

Databehandler: BEAH ApS, CVR 45532089, som leverer Fakturio Proceed. Databehandlerens adresse og bemyndigede repræsentant fremgår af den tilhørende kundeaftale. Henvendelser om databeskyttelse og instrukser sendes til info@fakturio.dk.

Dataansvarlig: Den kundevirksomhed, som er identificeret med navn, registreringsnummer, adresse og kontaktperson i den tilhørende kundeaftale. Kunden fastlægger formål og behandlingsgrundlag for de personoplysninger, kunden lader behandle i tjenesten.

Aftalen er version 1.0 dateret 17. oktober 2026. Den træder i kraft, når begge parter skriftligt eller elektronisk har accepteret denne version med de tilhørende bilag og den kundespecifikke leverandøroversigt. Accepten skal kunne dokumenteres med dato, parter og versionsnummer. Et besøg på denne side udgør ikke accept. Behandling på kundens vegne forudsætter, at aftalegrundlaget er på plads.

2. Omfang og forholdet til øvrige vilkår

Aftalen skal regulere behandling af personoplysninger på kundens vegne ved levering af Fakturio Proceed, jf. databeskyttelsesforordningens artikel 28, stk. 3. Behandlingens formål, karakter, varighed, registrerede og oplysningstyper fremgår af bilag A.

Aftalen har ved indgåelse forrang frem for modstridende generelle vilkår om behandling på kundens vegne. Generelle bestemmelser om markedsføring, analyse eller tredjepartsdeling giver ikke databehandleren ret til at genanvende kundens personoplysninger til egne formål.

Behandling, hvor leverandøren selv fastlægger formål, eksempelvis egen administration af kundeforholdet, skal vurderes særskilt og beskrives i en relevant privatlivspolitik. En leverandør eller integration klassificeres efter sin faktiske rolle, ikke alene efter sit produktnavn.

3. Dokumenteret instruks og formålsbegrænsning

Databehandleren må alene behandle oplysninger efter kundens dokumenterede instruks, herunder denne aftale, dens bilag og kundens autoriserede brug af aftalte funktioner. En ny anvendelse eller integration, som udvider behandlingen, kræver en opdateret instruks og relevante bilag.

Hvis EU-ret eller medlemsstatsret kræver anden behandling, underretter databehandleren kunden om kravet før behandlingen, medmindre underretning er forbudt af hensyn til væsentlige samfundsinteresser. Databehandleren orienterer straks kunden, hvis en instruks efter databehandlerens vurdering strider mod databeskyttelsesreglerne.

Kundens personoplysninger må ikke bruges til egen annoncering, videresalg eller træning af AI- og maskinlæringsmodeller. En eventuel fremtidig AI-funktion skal vurderes særskilt med hensyn til instruks, dataminimering, leverandører og overførsler, før den behandler kundens data.

4. Fortrolighed og adgang

Adgang begrænses til autoriserede personer med et arbejdsbetinget behov. Disse personer skal være underlagt fortrolighedsforpligtelse eller en passende lovbestemt tavshedspligt og instrueres i behandlingen af personoplysninger.

Adgange skal tildeles, kontrolleres og fjernes efter dokumenterede procedurer. Supportadgang til kundedata skal være nødvendig, autoriseret og sporbar. Hemmelige nøgler og tokens må ikke indgå i almindelige fejlrapporter eller udleveres til uvedkommende.

5. Behandlingssikkerhed

Databehandleren skal gennemføre passende tekniske og organisatoriske foranstaltninger efter artikel 32 under hensyn til risiko, oplysningernes karakter og behandlingens omfang. Minimumskravene fremgår af bilag B og skal være opfyldt, før den omfattede behandling påbegyndes.

Foranstaltningerne skal omfatte relevant adgangskontrol, adskillelse mellem kunder, beskyttelse under overførsel og lagring, håndtering af sårbarheder, gendannelse og kontrol af sikkerhedens effektivitet. Ændringer må ikke sænke det aftalte beskyttelsesniveau.

Databehandleren dokumenterer foranstaltningerne og stiller relevant dokumentation til rådighed efter punkt 11. Aftalen udgør ikke en certificering eller en revisionsrapport.

6. Underdatabehandlere

Kunden giver ved aftalens indgåelse generel skriftlig godkendelse til brug af de underdatabehandlere, der er navngivet i den leverandøroversigt, som parterne accepterer som en del af bilag C. Produktnavne alene udgør ikke en godkendt leverandøroversigt.

Databehandleren varsler tilføjelse eller udskiftning af underdatabehandlere mindst 30 kalenderdage før ændringen med oplysninger om leverandør, opgaver, behandlingssteder og overførselsgrundlag. Kunden kan inden ændringen gøre begrundet indsigelse af databeskyttelsesmæssige årsager. Parterne søger en alternativ løsning. Indtil indsigelsen er afklaret, overføres kundens oplysninger ikke til den omstridte leverandør. Kan parterne ikke finde en løsning, kan kunden bringe den berørte del af tjenesten til ophør før ændringen uden særskilt opsigelsesgebyr.

Underdatabehandleren pålægges ved bindende aftale mindst de samme relevante databeskyttelsesforpligtelser. Fakturios databehandler forbliver ansvarlig over for kunden for underdatabehandlerens opfyldelse af disse forpligtelser.

7. Behandlingssteder og internationale overførsler

Alle godkendte behandlingssteder, herunder relevant fjernadgang, skal oplyses i bilag C. Valg af en europæisk serverregion er ikke alene dokumentation for, at der ikke sker adgang eller overførsler fra andre lande.

Overførsel til et tredjeland eller en international organisation må kun ske efter dokumenteret instruks og med et gyldigt grundlag efter forordningens kapitel V. Nødvendige vurderinger og supplerende foranstaltninger skal dokumenteres. Denne aftale er ikke i sig selv et overførselsgrundlag.

8. Registreredes rettigheder og bistand til kunden

Databehandleren bistår under hensyn til behandlingens karakter kunden med at besvare anmodninger om blandt andet indsigt, berigtigelse, sletning, begrænsning og dataportabilitet. Direkte henvendelser om kundens data videresendes til kunden uden unødig forsinkelse; databehandleren besvarer dem ikke på kundens vegne uden instruks, medmindre loven kræver det.

Databehandleren bistår efter behandlingens karakter og de tilgængelige oplysninger med kundens opfyldelse af artikel 32–36, herunder konsekvensanalyser, vurdering af sikkerhedsbrud og forudgående høring af tilsynsmyndigheden.

9. Brud på persondatasikkerheden

Databehandleren underretter kunden uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden, der vedrører kundens oplysninger. Første underretning må ikke afvente en fuldstændig undersøgelse.

Underretningen skal efter tilgængelig viden beskrive bruddets karakter, berørte kategorier og omtrentligt antal registrerede og registreringer, sandsynlige konsekvenser, iværksatte eller foreslåede tiltag og en kontaktperson. Manglende oplysninger leveres løbende. Databehandleren dokumenterer hændelsen og bistår med at begrænse følgerne. Kundens egne anmeldelsesforpligtelser ændres ikke af aftalen.

10. Varighed, tilbagelevering og sletning

Behandlingen varer i den aftalte leveringsperiode og den særskilt aftalte periode til afvikling, eksport og sletning. Kunden kan ved ophør vælge tilbagelevering efterfulgt af sletning eller direkte sletning af oplysningerne, herunder kopier, medmindre EU-ret eller medlemsstatsret kræver fortsat opbevaring.

Frister og formater følger bilag D. Indtil en sikkerhedskopi udløber, skal data være beskyttet og ikke anvendes til andre formål; ved gendannelse skal tidligere sletteinstrukser genanvendes. Sletning skal kunne bekræftes over for kunden.

Hvis lovgivning kræver opbevaring, skal databehandleren oplyse kunden om grundlag, omfang og periode, medmindre det er forbudt. Data begrænses til dette formål og slettes, når opbevaringskravet ophører.

11. Dokumentation og kontrol

Databehandleren stiller de oplysninger til rådighed, som er nødvendige for at påvise opfyldelse af artikel 28, og muliggør og bidrager til kundens eller kundens bemyndigede revisors revisioner, herunder inspektioner.

Parterne kan aftale praktiske rammer, fortrolighed og brug af relevante revisionsrapporter uden at udhule kundens kontrolret. Andre kunders oplysninger skal beskyttes under kontrollen. En cloudleverandørs certificering er ikke en certificering af Fakturio.

Bilag A — Behandlingsbeskrivelse

Genstand og formål: levering af de af kunden aftalte funktioner til projektstyring, tidsregistrering, aftalesedler, fakturagrundlag, dokumenthåndtering, kvalitetssikring og administration. Karakter: modtagelse, registrering, organisering, opbevaring, visning, beregning, autoriseret deling, eksport og sletning.

Registrerede: kundens medarbejdere, eksterne konsulenter, brugere, kontaktpersoner hos kunder og leverandører samt andre personer, som lovligt indgår i kundens projekt- og dokumentmateriale.

Almindelige oplysninger: navn, kontaktoplysninger, bruger- og rolleoplysninger, arbejdsfunktion, arbejdstimer, projekt- og opgavetilknytning, økonomiske oplysninger, godkendelser, billeder, noter og dokumenter samt nødvendige tekniske identifikatorer og adgangslogs. Det præcise omfang begrænses til de valgte funktioner og dokumenterede instrukser.

HR-, fraværs- og hændelsesfunktioner kan indeholde helbredsoplysninger og andre følsomme forhold. Sådan behandling skal aftales udtrykkeligt med formål, kategorier, behandlingsgrundlag og særlige sikkerhedsforanstaltninger før brug. CPR-numre, strafbare forhold og andre særligt regulerede data er ikke generelt omfattet uden særskilt afklaring.

Integrationer, herunder e-conomic: Kunden bestemmer, om en integration aktiveres. De omfattede datafelter, overførselsretninger, modtagernes roller og opbevaring skal fremgå af kundens dokumenterede instruks og de relevante bilag. Aktivering giver ikke adgang til at behandle oplysninger til andre formål end de aftalte.

Bilag B — Tekniske og organisatoriske sikkerhedskrav

Adgang: Databehandleren skal anvende personlige konti, rollebaserede rettigheder og mindst mulige adgang. Privilegeret adgang til produktionsmiljøer skal beskyttes med multifaktorautentifikation. Rettigheder kontrolleres mindst kvartalsvist og fjernes uden unødig forsinkelse, når behovet ophører. Personer med adgang til kundedata skal være instrueret og underlagt fortrolighed.

Adskillelse og kryptering: Kundernes oplysninger skal holdes logisk adskilt, og adgang til data og filer skal kontrolleres på serversiden. Personoplysninger skal krypteres under netværksoverførsel og ved lagring i produktionsdatabaser, fillagre og sikkerhedskopier. Nøgler og tokens skal opbevares med begrænset adgang og må ikke indgå i almindelige logs.

Drift og kontrol: Sikkerhedsrelevante hændelser og administrative handlinger skal logges med begrænset adgang. Databehandleren skal have dokumenterede procedurer for sårbarheder, sikkerhedsopdateringer, hændelser og gendannelse. Kritiske sårbarheder håndteres uden unødig forsinkelse efter risiko. Gendannelse testes mindst årligt og efter væsentlige ændringer. Kontrollerne og deres effektivitet vurderes mindst årligt.

Dokumentation: Databehandleren fører en oversigt over kontrolansvarlige, seneste kontrol, konstaterede mangler og afhjælpning. Ovenstående er aftalte minimumskrav; dokumentation for den konkrete drift udleveres som led i kundens kontrol efter punkt 11.

Bilag C — Underdatabehandlere og behandlingssteder

Databehandleren skal ved aftaleindgåelsen udlevere en dateret leverandøroversigt, som indgår i dette bilag. Oversigten skal for hver underdatabehandler angive juridisk navn og adresse, funktion, berørte oplysninger, behandlings- og adgangslande samt eventuelt overførselsgrundlag. Oversigten skal omfatte database, autentifikation, fillagring, hosting, e-mail og andre tjenester, der faktisk behandler kundens oplysninger.

Tjenesten understøtter Supabase til database, autentifikation og fillagring samt Resend til e-mail. De konkrete juridiske leverandører, valgte regioner og eventuelle øvrige underdatabehandlere fremgår af den accepterede leverandøroversigt. Denne tekst fastslår ikke et bestemt dataland. En leverandør må ikke behandle kundens oplysninger, før den er omfattet af kundens godkendelse og det nødvendige aftale- og overførselsgrundlag.

Ændringer følger varslet på 30 kalenderdage og indsigelsesproceduren i punkt 6. Den accepterede oversigt og efterfølgende varslinger arkiveres sammen med aftalen. En leverandørs aftale med BEAH ApS erstatter ikke denne aftale mellem BEAH ApS og kunden.

Bilag D — Frister, kontakter og afslutning

Tilbagelevering: Kunden meddeler sit valg af tilbagelevering eller direkte sletning senest ved ophør. Hvis kunden vælger tilbagelevering, skal databehandleren stille en eksport til rådighed senest 30 kalenderdage efter ophør og modtagelse af instruksen. Strukturerede data leveres i CSV eller JSON, og uploadede dokumenter og billeder i deres tilgængelige filformat. Eksporten skal omfatte de personoplysninger, der behandles på kundens vegne, og må ikke begrænses til de almindelige rapporter i brugerfladen.

Aktive data: Ved direkte sletning slettes personoplysninger og filer fra aktive systemer senest 30 kalenderdage efter ophør og modtagelse af instruksen. Ved tilbagelevering slettes de senest 30 kalenderdage efter, at eksporten er stillet til rådighed. Hvis kunden ikke har givet instruks, indhenter databehandleren den uden unødig forsinkelse og begrænser i mellemtiden behandlingen til sikker opbevaring og afvikling.

Sikkerhedskopier og logs: Kopier af slettede kundedata skal udløbe eller slettes fra backups senest 90 kalenderdage efter sletningen i aktive systemer. Sikkerheds- og driftslogs med personoplysninger opbevares højst 90 kalenderdage fra registrering og slettes derefter, medmindre et dokumenteret lovkrav nødvendiggør længere opbevaring. Ved gendannelse genanvendes tidligere sletteinstrukser før almindelig drift genoptages.

Bekræftelse og kontakt: Databehandleren bekræfter på anmodning sletningens omfang, dato og eventuelle resterende backups eller lovbestemte undtagelser. Instrukser, rettighedsanmodninger og henvendelser om sikkerhed sendes til info@fakturio.dk. Kunden angiver en kontaktperson og en e-mailadresse til sikkerhedsunderretninger i kundeaftalen og holder oplysningerne ajour. Sikkerhedsbrud varsles uden unødig forsinkelse efter punkt 9.

Indgåelse og ændringer: Parterne arkiverer den accepterede version med kundeaftale, leverandøroversigt, eventuelle særlige instrukser og dokumentation for accept. Ændringer i denne aftales vilkår kræver dokumenteret accept fra begge parter; underdatabehandlerændringer følger dog punkt 6. Særlige datakategorier og behandlinger aftales skriftligt før brug.