Databehandleraftale

Denne databehandleraftale er indgået mellem kunden (den dataansvarlige) og Faro ApS, CVR 46074807, Ved Lunden 4, 8230 Åbyhøj, e-mail kontakt@allyway.dk (databehandleren) som udbyder af Allyway.

Aftalen er en del af handelsbetingelserne og gælder automatisk fra det tidspunkt, kunden opretter en organisation i tjenesten. Den opfylder kravene i databeskyttelsesforordningens artikel 28, stk. 3, og er udformet efter Datatilsynets standardskabelon. Ønsker kunden et underskrevet eksemplar, sendes det på forespørgsel til kontakt@allyway.dk.

Kunden er dataansvarlig for de personoplysninger, der indgår i de websites, kunden lader tjenesten scanne, og for de oplysninger, kunden selv indtaster om sine medarbejdere, kontaktpersoner og kunder. Faro ApS behandler disse oplysninger som databehandler efter kundens instruks.

For kundens egne kontooplysninger (brugerens e-mail, organisationsnavn, faktureringsoplysninger) er Faro ApS selvstændig dataansvarlig. Det er beskrevet i privatlivspolitikken. Betalinger håndteres af Stripe Payments Europe, Ltd. (Irland) som selvstændig dataansvarlig.

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige. Instruksen er: at hente og analysere de sider, kunden har tilføjet, for tilgængelighedsfejl; at gemme resultaterne (URL, fejltype, HTML-udsnit af de berørte elementer) og vise dem i dashboardet; at generere erklæringer, rapporter og e-mail-alerts på baggrund af dem; og at slette dem efter reglerne i punkt 10. Bilag A beskriver behandlingen nærmere.

Kunden kan give yderligere instrukser skriftligt. Databehandleren underretter kunden, hvis en instruks efter databehandlerens opfattelse strider mod databeskyttelsesreglerne.

Kun personer, der har behov for adgang for at levere tjenesten, har adgang til personoplysningerne. De er underlagt tavshedspligt. Databehandleren har på nuværende tidspunkt ingen ansatte ud over ejeren; ændres det, pålægges nye medarbejdere samme fortrolighedsforpligtelse.

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger efter databeskyttelsesforordningens artikel 32. De konkrete foranstaltninger fremgår af bilag C. Databehandleren vurderer løbende, om foranstaltningerne er tilstrækkelige i forhold til risikoen, og tilpasser dem, når tjenesten eller trusselsbilledet ændrer sig.

Den dataansvarlige giver en generel godkendelse til, at databehandleren anvender de underdatabehandlere, der fremgår af bilag B. Databehandleren indgår skriftlig aftale med hver underdatabehandler, som pålægger den samme forpligtelser som i denne aftale, og forbliver fuldt ansvarlig over for den dataansvarlige.

Ændringer eller tilføjelser varsles pr. e-mail til organisationens ejere med mindst 30 dages varsel. Gør den dataansvarlige begrundet indsigelse inden ændringen træder i kraft, og kan parterne ikke finde en løsning, kan den dataansvarlige opsige tjenesten med virkning fra ændringen.

Personoplysninger lagres og behandles i EU. Den eneste overførsel til et tredjeland sker, når en bruger aktivt beder om et AI-forslag til en alt-tekst; da sendes det pågældende billede til Anthropic i USA på grundlag af EU-U.S. Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser. Der sendes ikke andre oplysninger med, og funktionen kan undlades. Øvrige underdatabehandlere med hovedsæde uden for EU behandler udelukkende data i EU-regioner, og supportadgang fra tredjelande er omfattet af standardkontraktbestemmelser.

Databehandleren bistår i rimeligt omfang den dataansvarlige med at besvare anmodninger fra registrerede (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse) og med at opfylde forpligtelserne om behandlingssikkerhed, brud på persondatasikkerheden, konsekvensanalyser og forudgående høring, i det omfang det er relevant for tjenesten.

Anmodninger sendes til kontakt@allyway.dk og besvares uden unødig forsinkelse. Bistand, der går ud over almindelig drift af tjenesten, kan faktureres efter medgået tid til gældende timepris efter forudgående aftale.

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, der vedrører den dataansvarliges oplysninger. Underretningen sendes pr. e-mail til organisationens ejere og beskriver bruddets karakter, de berørte kategorier af registrerede og oplysninger, de sandsynlige konsekvenser og de trufne eller foreslåede foranstaltninger, så den dataansvarlige kan overholde sin 72-timers frist over for Datatilsynet.

Ved ophør af tjenesten kan den dataansvarlige i 90 dage hente rapporter, erklæringer og scanresultater fra dashboardet. Herefter sletter databehandleren alle personoplysninger, der behandles for den dataansvarlige, herunder hos underdatabehandlere, medmindre lovgivning kræver fortsat opbevaring. Fakturaoplysninger opbevares i 5 år efter bogføringsloven. Den dataansvarlige kan til enhver tid selv slette sites og deres scanresultater i dashboardet.

Databehandleren stiller på anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28, herunder beskrivelser af sikkerhedsforanstaltninger og underdatabehandlernes erklæringer (fx SOC 2- eller ISO 27001-rapporter). Den dataansvarlige kan én gang årligt, med mindst 30 dages varsel og for egen regning, gennemføre eller lade en uafhængig tredjepart gennemføre en revision af databehandlerens overholdelse af aftalen.

Aftalen gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige, og ophører, når oplysningerne er slettet efter punkt 10. Ændringer varsles som ændringer af handelsbetingelserne med mindst 30 dages varsel. Ved modstrid mellem denne aftale og handelsbetingelserne har denne aftale forrang for så vidt angår behandling af personoplysninger.