Databehandleraftale (DPA) for Digi-Tal ApS
Når du samarbejder med Digi-Tal, behandler vi visse personoplysninger på dine vegne. For at sikre, at din og dine medarbejderes data behandles trygt, sikkert og i overensstemmelse med gældende lovgivning, har vi udformet denne standard databehandleraftale. Denne aftale udgør en integreret del af vores generelle handelsbetingelser og din hovedaftale med os.
Aftalens Parter:
Når du accepterer vores handelsbetingelser, indgås denne databehandleraftale automatisk mellem:
Den Dataansvarlige: Kunden (dig/din virksomhed)
Databehandleren: Digi-Tal ApS (CVR: 41308427)
1. Baggrund og Formål
1.1. Denne Databehandleraftale (“DPA”) er et bilag til Hovedaftalen om regnskabs- og rådgivningsydelser (“Hovedaftalen”) indgået mellem parterne.
1.2. Formålet med DPA’en er at sikre, at Databehandlerens behandling af personoplysninger på vegne af den Dataansvarlige sker i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (“GDPR”).
2. Databehandlerens Forpligtelser
2.1. Behandling efter instruks: Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den Dataansvarlige. Hovedaftalen og denne DPA udgør den Dataansvarliges fulde instruks. Enhver behandling uden for denne instruks er kun tilladt, hvis det kræves i henhold til EU-ret eller medlemsstatslig ret, som Databehandleren er underlagt.
2.2. Fortrolighed: Databehandleren sikrer, at alle personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
2.3. Behandlingssikkerhed: Databehandleren træffer alle de tekniske og organisatoriske sikkerhedsforanstaltninger, der kræves i henhold til GDPR artikel 32. Dette omfatter, men er ikke begrænset til:
a) Adgangskontrol til systemer og data for at forhindre uautoriseret adgang, herunder sikring af adgange via to-faktor godkendelse (2FA).
b) Sikring af systemernes og tjenesternes fortrolighed, integritet og robusthed.
c) Etablering af procedurer for backup og rettidig gendannelse af data ved fysiske eller tekniske hændelser.
d) Procedurer for regelmæssig test og evaluering af effektiviteten af sikkerhedsforanstaltningerne.
2.4. Underretning om sikkerhedsbrud: Databehandleren underretter den Dataansvarlige uden ugrundet ophold efter at være blevet bekendt med, at der er sket et brud på persondatasikkerheden. Underretningen skal indeholde de oplysninger, der er nødvendige for, at den Dataansvarlige kan overholde sin anmeldelsespligt over for tilsynsmyndigheden.
3. Bistand til den Dataansvarlige
3.1. Databehandleren bistår, under hensyntagen til behandlingens art, den Dataansvarlige med at opfylde sine forpligtelser til at besvare anmodninger fra registrerede (f.eks. ret til indsigt, sletning, berigtigelse).
3.2. Databehandleren bistår den Dataansvarlige med at sikre overholdelse af forpligtelserne i GDPR artikel 32-36, herunder anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden.
3.3. Alt arbejde forbundet med bistand efter punkt 3.1 og 3.2 faktureres på medgået tid til Databehandlerens gældende takster for rådgivning.
4. Sletning og Returnering af Data
4.1. Ved ophør af Hovedaftalen forpligter Databehandleren sig til, efter den Dataansvarliges valg, at slette eller returnere alle personoplysninger til den Dataansvarlige og slette eksisterende kopier, medmindre EU-ret eller national ret foreskriver fortsat opbevaring (f.eks. i henhold til Bogføringsloven).
5. Brug af Underdatabehandlere
5.1. Den Dataansvarlige giver ved accept af denne DPA en generel forhåndsgodkendelse til, at Databehandleren kan anvende underdatabehandlere.
5.2. Databehandleren anvender følgende underdatabehandlere (grupperet efter funktion):
Internationale overførsler og sagsbehandling:
* Digi Tal Accounting DMCC, Dubai, UAE (Behandling: Onboarding, kundeservice, bogføring, selvangivelse, forskudsopgørelse, lønregnskab og budget).
Infrastruktur, Cloud & Kommunikation:
* Microsoft Ireland Operations Ltd. (Azure, Office365, e-mail, filopbevaring)
* Google Ireland Ltd. (Google Drive, Workspace)
* Slack Technologies (Intern kommunikation)
* Gather Presence Inc. / Gather.town (Intern kommunikation)
Bogføring, Løn & Årsrapport:
* E-conomic International A/S (Gælder kun for kunder, hvor Digi-Tal stiller licensen til rådighed)
* Lønsystemer via revisorordning: Danløn A/S, Visma Dataløn A/S, Salary, Zenegy, Intect, MDC Løn.
* Årsrapport og skat: Caseware, Reportability, Wolters Kluwer.
* Regnskabsrobotter og specifikke værktøjer: Officebot ApS, Revibot ApS, Kontolink.
Automatisering & AI-modeller:
* Integrationer og data-flow: Make.com, N8n, Zapier, Convex (database).
* AI-sprogmodeller til data- og tekstbehandling: OpenAI (ChatGPT), Anthropic, Google (Gemini), xAI (Grok).
Signatur:
* Penneo A/S (Digital underskrift af dokumenter og årsrapporter).
5.3. Databehandleren skal underrette den Dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af underdatabehandlere og derved give den Dataansvarlige mulighed for at gøre indsigelse.
5.4. Databehandleren sikrer, at enhver anvendt underdatabehandler pålægges de samme databeskyttelsesforpligtelser som dem, der er fastsat i denne DPA.
5.5. Overførsel til tredjelande: Hvis Databehandleren eller en underdatabehandler overfører personoplysninger til et land uden for EU/EØS, sikrer Databehandleren, at der foreligger et gyldigt overførselsgrundlag, f.eks. EU-Kommissionens standardkontraktbestemmelser (SCC’er).
6. Tilsyn og Revision
6.1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af GDPR artikel 28, til rådighed for den Dataansvarlige.
6.2. Databehandleren giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den Dataansvarlige eller en anden revisor, som er bemyndiget af den Dataansvarlige. Omkostninger forbundet hermed afholdes af den Dataansvarlige.
7. Varighed og Ikrafttræden
7.1. Denne DPA træder i kraft samtidig med Hovedaftalen og er gældende, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige.
Omfang og formål med databehandlingen
a) Formålet med behandlingen:
Opfyldelse af Hovedaftalen, herunder udførelse af bogføring, lønadministration, momsindberetning, afstemninger og udarbejdelse af årsregnskab.
b) Kategorier af registrerede personer:
* Den Dataansvarliges medarbejdere.
* Den Dataansvarliges kunder og leverandører (kontaktpersoner).
* Den Dataansvarliges ejere og ledelse.
c) Kategorier af personoplysninger:
* Almindelige personoplysninger: Navn, adresse, e-mail, telefonnummer, stilling, bankoplysninger, lønoplysninger, købs- og salgshistorik.
* Særlige kategorier/følsomme oplysninger: CPR-numre (udelukkende i forbindelse med lønadministration og indberetning til offentlige myndigheder).
d) Behandlingens varighed:
Behandlingen finder sted i Hovedaftalens løbetid. Visse oplysninger opbevares efterfølgende i henhold til Bogføringslovens og øvrig gældende lovgivnings krav.
