Databehandleraftale

Denne databehandleraftale ("DBA") er en del af servicevilkårene og gælder automatisk for alle betalende kunder. Den finder anvendelse, når Jonot Oy (Y-tunnus 3620928-7, "Jonot", "databehandler") behandler personoplysninger om slutbrugere på vegne af kunden ("dataansvarlig"). Rollerne fastsættes i henhold til GDPR artikel 28. Ingen separat underskrift er nødvendig.

1. Roller og anvendelsesområde

Den dataansvarlige fastsætter formålene og midlerne for behandlingen. Jonot behandler personoplysninger udelukkende som databehandler på vegne af den dataansvarlige. Denne DBA gælder i det omfang GDPR finder anvendelse på behandlingen. Behandling udført af Polar (fakturering) sker som selvstændig dataansvarlig og er ikke underlagt denne DBA.

2. Behandlingsinstrukser

Jonot behandler kun personoplysninger efter dokumenterede instrukser fra den dataansvarlige — herunder disse vilkår, denne DBA og Kundens brug af tjenesten — medmindre loven kræver andet. I så fald vil Jonot informere om kravet inden behandlingen, medmindre loven forbyder dette. Jonot vil informere den dataansvarlige, hvis en instruks efter Jonots opfattelse overtræder databeskyttelseslovgivningen.

3. Genstand, varighed, art og formål

Genstand og varighed, art og formål for behandlingen samt kategorier af personoplysninger og registrerede er beskrevet i bilag 1. Behandlingen fortsætter, så længe kunden har et aktivt abonnement, plus opbevaringsperioderne beskrevet i privatlivspolitikken.

4. Fortrolighed

Jonot sikrer, at personer, der er bemyndiget til at behandle personoplysninger, er underlagt tavshedspligt eller en passende lovpligtig fortrolighedsforpligtelse.

5. Sikkerhed

Jonot implementerer passende tekniske og organisatoriske foranstaltninger i henhold til GDPR artikel 32 for at sikre et sikkerhedsniveau, der passer til risikoen. Gældende foranstaltninger er beskrevet i bilag 2.

6. Underdatabehandlere

Den dataansvarlige giver generel bemyndigelse til brug af underdatabehandlere. Gældende underdatabehandlere er anført i bilag 3. Jonot pålægger hver underdatabehandler tilsvarende databeskyttelsesforpligtelser og er ansvarlig for deres handlinger. Jonot vil give besked om planlagte ændringer og give den dataansvarlige mulighed for at gøre indsigelse.

7. Anmodninger fra registrerede

Jonot bistår den dataansvarlige med passende tekniske og organisatoriske foranstaltninger med at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, portabilitet eller indsigelse. Hvis Jonot modtager en sådan anmodning direkte, videresendes den til den dataansvarlige, og Jonot besvarer den ikke selv, medmindre den dataansvarlige instruerer andet.

8. Bistand og databrud

Jonot bistår den dataansvarlige med at opfylde forpligtelserne i henhold til GDPR artiklerne 32-36. Når Jonot bliver bekendt med et brud på persondatasikkerheden, der berører den dataansvarliges data, underretter Jonot den dataansvarlige uden unødig forsinkelse og giver rimeligt tilgængelig information.

9. Dataoverførsler

Jonot overfører ikke personoplysninger uden for EØS uden en tilstrækkelighedsafgørelse eller passende garantier, f.eks. EU's standardkontraktbestemmelser. Behandling i edge-netværket kan ske globalt via vores infrastrukturleverandør; garantierne for sådanne overførsler er beskrevet i bilag 3.

10. Returnering og sletning

Ved opsigelse sletter eller returnerer Jonot personoplysningerne i henhold til servicevilkårene: 30-dages eksportperiode, sletning af produktionsdata og udfasning af sikkerhedskopier inden for 90 dage, medmindre loven kræver opbevaring.

11. Revision

Jonot stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af denne DBA, og tillader og bidrager til revisioner. Jonot kan opfylde denne forpligtelse gennem dokumentation eller tredjepartsrapporter. Revisioner på stedet kræver rimeligt varsel og fortrolighed og finder sted højst én gang om året, medmindre et brud er mistænkt.

12. Ansvar og ændringer

Ansvar i henhold til denne DBA er underlagt ansvarsbegrænsningerne i servicevilkårene. Jonot kan opdatere denne DBA for at afspejle juridiske eller driftsmæssige ændringer; væsentlige ændringer gives der besked om i overensstemmelse med servicevilkårene.

Bilag 1 — Behandlingsbeskrivelse

• Genstand og formål: levering af virtuel køstyring til den dataansvarlige.
• Art: lagring, visning og realtidsbehandling af slutbrugeres kødata.
• Kategorier af personoplysninger: slutbrugernes navne, telefonnumre, køhistorik og kønummermetadata; personalebrugeres kontodata.
• Kategorier af registrerede: slutbrugere, der stiller sig i Kundens køer, og Kundens personalebrugere.
• Varighed: abonnementsperioden og opbevaringsperioderne i henhold til privatlivspolitikken.

Bilag 2 — Sikkerhedsforanstaltninger

• Kryptering under transport (HTTPS i edge-netværket).
• Adgangskontrol og princippet om mindste privilegium.
• Hastighedsbegrænsning og godkendelse i edge-netværket.
• Sikkerhedskopier og udfasning.
• Adgangs- og hændelseslogning.

Bilag 3 — Underdatabehandlere

• Cloudflare: hosting, database (D1), Durable Objects og edge-netværk.
• E-mailudbyder: transaktionelle e-mails (f.eks. bekræftelser).
• Polar: fakturering; optræder som selvstændig dataansvarlig (ikke en underdatabehandler under denne DBA).

Spørgsmål: info@jonot.io.