Sentivaro · Juridiske dokumenter

Databehandleraftale

Version 1.0

Databehandleraftale om behandling af personoplysninger

Version: 1.0

Gældende fra: 30. juli 2026

Denne aftale, herefter »DPA«, indgås mellem:

  1. den Organisation, der er angivet i Sentivaro-kontoen, herefter »den Dataansvarlige«, og
  2. Dawid Balcer, som driver Sentivaro-projektet som privatperson uden erhvervsvirksomhed, postadresse: ul. Jana Brzechwy 8, 60-195 Poznań, Polen, e-mail: contact@sentivaro.com, herefter »Databehandleren«.

DPA udgør en del af aftalen om brug af Sentivaro.

1. Genstand og varighed

  1. Den Dataansvarlige overlader Databehandleren behandlingen af personoplysninger i det omfang, det er nødvendigt for at konfigurere, gennemføre, måle og afregne autoriserede Kampagner om cybersikkerhedsbevidsthed og stille tilknyttet undervisningsmateriale til rådighed.
  2. Behandlingen begynder, når oplysningerne første gang overføres, og varer, indtil de slettes eller tilbageleveres efter ophør af Tjenesten. Der tages hensyn til den tid, det tager at overskrive sikkerhedskopier.
  3. Konfigurationen af den enkelte Kampagne er en dokumenteret instruks fra den Dataansvarlige om indstillinger, modtagere, hændelser og opbevaringsperiode.

2. Behandlingens art og formål

Behandlingen kan omfatte:

  • modtagelse eller import;
  • strukturering og tilknytning til Kampagnen;
  • opbevaring;
  • generering og afsendelse af en kontrolleret besked;
  • registrering af de konfigurerede hændelser;
  • pseudonymisering og sammenfatning;
  • visning af resultater for bemyndigede Brugere;
  • eksport efter den Dataansvarliges instruks;
  • levering af undervisningsmateriale;
  • berigtigelse;
  • begrænsning;
  • sletning.

Det eneste formål er at gennemføre den Dataansvarliges autoriserede program for cybersikkerhedsbevidsthed.

3. Registrerede og oplysninger

  1. Kategorier af registrerede:
  • den Dataansvarliges medarbejdere og samarbejdspartnere;
  • efter forudgående aftale andre personer omfattet af den Dataansvarliges lovlige og autoriserede program.
  1. Kategorier af oplysninger:
  • for- og efternavn;
  • arbejds-e-mailadresse;
  • afdeling, team, organisatorisk enhed eller kursuskategori;
  • internt deltager-ID;
  • oplysninger om levering, åbning, klik, indberetning og gennemførelse af undervisning, afhængigt af indstillingerne;
  • oplysninger om berigtigelse af resultater;
  • begrænsede tekniske oplysninger, når de er nødvendige.
  1. Uden forudgående skriftlig aftale må den Dataansvarlige ikke overføre:
  • særlige kategorier af personoplysninger efter GDPR artikel 9;
  • oplysninger efter GDPR artikel 10;
  • rigtige adgangskoder, MFA-koder eller andre loginoplysninger;
  • finansielle oplysninger, dokumentnumre eller nationale identifikationsnumre;
  • private e-mailadresser;
  • indholdet af privat korrespondance.

4. Den Dataansvarliges instrukser

  1. Databehandleren behandler kun oplysninger efter dokumenterede instrukser fra den Dataansvarlige, medmindre EU-ret eller polsk ret kræver behandlingen.
  2. Kampagneindstillinger og handlinger udført af bemyndigede Brugere i kontrolpanelet udgør instrukser, når de er i overensstemmelse med DPA, brugsvilkårene og Regler for tilladt brug.
  3. Databehandleren underretter straks den Dataansvarlige, hvis Databehandleren mener, at en instruks er i strid med GDPR eller andre databeskyttelsesregler. Databehandleren kan sætte instruksen på pause, indtil spørgsmålet er afklaret.
  4. Databehandleren bruger ikke Kampagnedata til reklame, egne vurderinger af medarbejdere, handel med oplysninger eller træning af AI-modeller.

5. Den Dataansvarliges forpligtelser

Den Dataansvarlige:

  • sikrer, at overførsel og behandling er lovlig;
  • fastlægger det lovlige behandlingsgrundlag;
  • opfylder oplysningsforpligtelserne;
  • udfører en interesseafvejning og DPIA, når det kræves;
  • sikrer overensstemmelse med arbejdsret og interne regler;
  • begrænser oplysningerne til det nødvendige;
  • tildeler Brugerne passende rettigheder;
  • kontrollerer resultater, før de bruges over for en bestemt person;
  • bruger ikke et resultat som eneste grundlag for en automatisk personaleafgørelse;
  • giver kun Databehandleren lovlige instrukser.

6. Fortrolighed

  1. Kun personer under Databehandlerens ansvar, for hvem adgangen er nødvendig, må få adgang til oplysningerne.
  2. Disse personer er bundet af fortrolighed ved aftale eller lov.
  3. Fortrolighedsforpligtelsen gælder også efter samarbejdets ophør.

7. Sikkerhed

  1. Databehandleren iværksætter foranstaltninger, som står mål med risikoen, efter GDPR artikel 32.
  2. Afhængigt af den aktuelle arkitektur omfatter foranstaltningerne:
  • kryptering af data under overførsel;
  • sikker hashing af adgangskoder;
  • rollebaseret adgangskontrol;
  • adskillelse af Organisationernes oplysninger;
  • tokens med tilstrækkelig tilfældighed og begrænset gyldighed;
  • registrering af administrative handlinger;
  • sikkerhedskopier og test af gendannelse;
  • en proces for opdateringer og udbedring af sårbarheder;
  • begrænsede opbevaringsperioder;
  • en procedure for håndtering af hændelser;
  • beskyttelse af administrativ adgang;
  • regelmæssig gennemgang af foranstaltningerne.
  1. Den Dataansvarlige kan få en aktuel beskrivelse af foranstaltningerne, dog uden oplysninger, hvis offentliggørelse ville øge sikkerhedsrisikoen.

8. Underdatabehandlere

  1. Den Dataansvarlige giver generel skriftlig tilladelse til at bruge de underdatabehandlere, der er angivet på siden /subprocessors.
  2. Databehandleren underretter den Dataansvarlige om en planlagt ændring mindst 14 dage i forvejen, medmindre en akut ændring er nødvendig for at afværge en trussel.
  3. Den Dataansvarlige kan inden for denne frist gøre begrundet indsigelse af databeskyttelseshensyn.
  4. Hvis årsagen til indsigelsen ikke med rimelighed kan fjernes, kan den Dataansvarlige ophøre med at bruge den del af Tjenesten, som kræver leverandøren.
  5. Databehandleren pålægger underdatabehandleren databeskyttelsesforpligtelser svarende til denne DPA og er ansvarlig for dennes opfyldelse efter GDPR artikel 28.

9. Overførsler

  1. Kampagnedata behandles inden for EØS, medmindre oversigten over underdatabehandlere udtrykkeligt siger noget andet.
  2. Overførsel uden for EØS må kun ske efter dokumenteret instruks fra den Dataansvarlige eller ved brug af en mekanisme, som GDPR tillader.
  3. Hvis standardkontraktbestemmelser, vurdering af overførslen eller supplerende foranstaltninger er nødvendige, giver Databehandleren den Dataansvarlige de oplysninger, der er til rådighed og nødvendige for vurderingen.

10. De registreredes rettigheder

  1. Databehandleren bistår den Dataansvarlige med at opfylde de registreredes rettigheder med de tekniske og organisatoriske midler, der er til rådighed, under hensyn til behandlingens art.
  2. Hvis en Deltager sender en anmodning direkte til Databehandleren, videresender Databehandleren den uden unødig forsinkelse til den Dataansvarlige og svarer ikke på dens indhold uden instruks, medmindre loven kræver det.
  3. Den Dataansvarlige er ansvarlig for at verificere personen og svare rettidigt.

11. Bistand med efterlevelse

Under hensyn til behandlingens art og de oplysninger, der er til rådighed, bistår Databehandleren den Dataansvarlige med:

  • sikkerhed;
  • risikovurdering;
  • anmeldelse af brud;
  • underretning af personer;
  • DPIA;
  • høring af tilsynsmyndigheden;
  • dokumentation for sletning.

Bistanden omfatter ikke juridiske vurderinger eller overtagelse af den Dataansvarliges ansvar.

12. Brud på persondatasikkerheden

  1. Databehandleren underretter den Dataansvarlige om et brud på Kampagnedatas sikkerhed uden unødig forsinkelse, efter at bruddet er konstateret.
  2. Underretningen indeholder, i det omfang oplysningerne er til rådighed:
  • bruddets karakter;
  • kategorier og omtrentligt antal berørte personer;
  • kategorier og omtrentligt antal berørte poster;
  • mulige følger;
  • iværksatte eller foreslåede foranstaltninger;
  • kontaktpunkt;
  • opdagelsestidspunkt og kendt tidsforløb.
  1. Oplysningerne kan gives i etaper.
  2. Underretningen er ikke en indrømmelse af ansvar.
  3. Den Dataansvarlige beslutter, om bruddet skal anmeldes til myndigheden, og om personer skal underrettes.

13. Sletning og tilbagelevering

  1. Den Dataansvarlige kan slette Kampagnedata i kontrolpanelet eller give instruks om sletning.
  2. Når Tjenesten ophører, sletter eller tilbageleverer Databehandleren efter den Dataansvarliges valg aktive Kampagnedata, medmindre loven kræver opbevaring.
  3. Oplysninger, som midlertidigt ligger i roterende sikkerhedskopier, er adskilt fra almindelig brug og slettes, når kopien overskrives som led i den tekniske backupcyklus.
  4. Sammenfattede oplysninger må kun bevares, hvis en person ikke længere med rimelig sandsynlighed kan identificeres.

14. Revision

  1. Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af GDPR artikel 28.
  2. Den Dataansvarlige kan gennemføre en revision højst én gang årligt, medmindre der er sket et brud, eller en myndighed kræver yderligere kontrol.
  3. Revisionen bør:
  • varsles mindst 14 dage i forvejen;
  • gennemføres på aftalte tidspunkter;
  • ikke bringe andre Organisationers sikkerhed i fare;
  • i første omgang bygge på dokumenter og fjernbesvarelser;
  • udføres af personer, der er bundet af fortrolighed.
  1. Den Dataansvarlige betaler egne revisionsomkostninger. Databehandleren opkræver ikke betaling for rimelig bistand i den gratis Tjeneste, men kan afslå uforholdsmæssigt omfattende tiltag eller foreslå en aftalt alternativ måde at påvise overholdelse på.

15. Ansvar og forrang

  1. Parternes ansvar følger af GDPR, den gældende lov og brugsvilkårene.
  2. Hvis DPA og brugsvilkårene er i modstrid om beskyttelsen af Kampagnedata, har DPA forrang.
  3. Hvis standardkontraktbestemmelser gælder og er i modstrid med DPA, har de forrang.

16. Ophør

DPA gælder, så længe Databehandleren behandler Kampagnedata på vegne af den Dataansvarlige.