Databehandleraftale
Udarbejdet i henhold til GDPR artikel 28, stk. 3 · Version 1.1 · 1. maj 2026 · Senest berigtiget: 8. oktober 2026
Berigtiget 8. oktober 2026. Oversigten over underdatabehandlere i afsnit 7 er berigtiget. Resends funktion er beskrevet, så den også omfatter modtagelse af kvitteringer og fakturaer, som Kunden selv videresender til Ejerblik; modtagelsen sker i EU. Anthropics juridiske navn er rettet fra Anthropic Inc. til Anthropic, PBC. Der er ikke taget nye underdatabehandlere i brug, og behandlingen sker hos de samme leverandører som før. Ved den tidligere berigtigelse 22. september 2026 blev oversigten i afsnit 7 berigtiget: Cloudflare, Inc. og Functional Software, Inc. (Sentry) er tilføjet: begge har været anvendt hele tiden, og alene oversigten var ufuldstændig. Umami Software og Microsoft Corporation er fjernet: Umami hostes på vores egen server og er derfor ikke en underdatabehandler, og Microsoft er efter Clarity-vilkårene selvstændig dataansvarlig og ikke databehandler. Microsoft Clarity er samtidig fjernet helt fra vores websted. Anthropics datalokation er rettet fra "USA (ingen datapersistering)" til "USA", fordi opbevaringstiden ikke er bekræftet hos leverandøren, og funktionsbeskrivelsen er udvidet til at dække kontoscanner og importforslag. Behandlingen af kundens personoplysninger er uændret, og der er ikke taget nye underdatabehandlere i brug. Ved den tidligere berigtigelse 25. august 2026 blev Supabase anført med AWS Irland (eu-west-1) i stedet for AWS Frankfurt (eu-central-1).
Denne Databehandleraftale ("DPA") indgås som en del af Brugeraftalen og Servicevilkårene mellem Kunden og Ejerblik ApS. DPA'en er bindende for begge parter fra det tidspunkt, Aftalen er indgået. Ønsker du at læse den fulde Brugeraftale, finder du den på ejerblik.com/brugeraftale.
1. Parter og roller
Dataansvarlig: Kunden (som defineret i Brugeraftalen), den virksomhed eller person, der opretter en konto på ejerblik.com.
Databehandler: Ejerblik ApS, CVR-nr. 46454928, [email protected].
2. Behandlingens genstand og varighed
Databehandleren behandler personoplysninger på vegne af den Dataansvarlige med henblik på levering af Ejerblik-platformen. Behandlingen varer, så længe Brugeraftalen er aktiv plus en 30-dages sletningsperiode efter aftalens ophør.
3. Kategorier af registrerede
- Kundens medarbejdere og ledelse
- Eksterne samarbejdspartnere (revisorer, rådgivere, IT-leverandører)
- Kontaktpersoner tilknyttet digitale aktiver
4. Typer af personoplysninger
Almindelige personoplysninger: Navn, e-mailadresse, telefonnummer, stilling/rolle, virksomhedstilknytning.
Adgangsoplysninger: Rollekonfiguration, afdelingstilknytning, 2FA-status, seneste login.
Kommunikation: Supportbeskeder, AI-samtaler, feedback.
5. Databehandlerens forpligtelser
(a) Instruktionsbaseret behandling. Kun at behandle personoplysninger efter dokumenteret instruks fra den Dataansvarlige, medmindre EU-ret eller dansk ret kræver andet. I sidstnævnte tilfælde underrettes den Dataansvarlige inden behandlingen, medmindre loven forbyder det.
(b) Fortrolighed. At sikre, at alle personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt.
(c) Sikkerhed (GDPR art. 32). At gennemføre passende tekniske og organisatoriske foranstaltninger, herunder:
- TLS 1.2+ kryptering under transport
- AES-256 kryptering i hvile (Supabase/AWS)
- Row-Level Security (RLS) på databaseniveau
- 2FA på administratorkonti
- Automatiseret backup og katastrofegendannelse
- Adgangskontrol efter princippet om mindste privilegium
- Regelmæssig sikkerhedsgennemgang
(d) Underdatabehandlere. Kun at anvende underdatabehandlere med den Dataansvarliges forudgående generelle skriftlige godkendelse. Aktuel liste fremgår af afsnit 7 nedenfor. Nye underdatabehandlere varsles 14 dage forinden. Den Dataansvarlige kan gøre indsigelse inden varslingsperiodens udløb.
(e) Bistand til registreredes rettigheder. At bistå den Dataansvarlige med besvarelse af henvendelser fra registrerede vedrørende GDPR art. 15–22.
(f) Bistand til overholdelse. At bistå den Dataansvarlige med forpligtelser i henhold til GDPR art. 32–36 (sikkerhed, konsekvensanalyse, forhåndshøring).
(g) Sletning. Ved behandlingens ophør at slette alle personoplysninger inden 30 dage, medmindre EU-ret eller dansk ret kræver opbevaring.
(h) Audit. At stille alle nødvendige oplysninger til rådighed for den Dataansvarlige med henblik på at påvise overholdelse og muliggøre revisioner.
6. Brud på persondatasikkerheden
Databehandleren underretter den Dataansvarlige om brud på persondatasikkerheden uden unødig forsinkelse og senest inden 48 timer efter at have fået kendskab hertil. Underretningen skal indeholde:
- Beskrivelse af bruddet, herunder berørte kategorier og antal registrerede
- Kontaktoplysninger på Databehandlerens kontaktperson
- Beskrivelse af sandsynlige konsekvenser
- Beskrivelse af trufne eller foreslåede foranstaltninger
7. Godkendte underdatabehandlere
Senest opdateret: 8. oktober 2026. For underdatabehandlere baseret i USA er EU-standardkontraktbestemmelser (SCCs) iht. Kommissionens afgørelse 2021/914 implementeret.
| Underdatabehandler | Funktion | Datalokation |
|---|---|---|
| Supabase Inc. (USA, DPA + SCCs) | Database, autentificering, fillagring | AWS Irland (eu-west-1) |
| Hetzner Online GmbH (DE) | Applikationsserver og hosting | Nürnberg, Tyskland |
| Cloudflare, Inc. (USA, DPA + SCCs) | Netværkssikkerhed, WAF og botbeskyttelse (terminerer TLS) | Globalt netværk |
| Resend Inc. (USA, DPA + SCCs) | Transaktionelle e-mails og modtagelse af videresendte kvitteringer | EU |
| Anthropic, PBC (USA, DPA + SCCs) | AI-assistent, kontoscanner og importforslag | USA |
| Functional Software, Inc. (Sentry) (USA, DPA + SCCs) | Fejlovervågning og sessionsoptagelser | EU (Tyskland) |
| MailerLite UAB (LT) | Nyhedsbrev (kun ved samtykke) | EU |
8. DPA'ens varighed
Nærværende DPA er gældende, så længe Brugeraftalen er aktiv. DPA'en ophører automatisk 30 dage efter Aftalens ophør, når sletning er gennemført.
Juridisk forbehold: Dette dokument er under gennemgang af en advokat med speciale i IT-ret og databeskyttelse. Indholdet kan ændres inden endelig godkendelse. Kontakt os på [email protected] ved spørgsmål.