1. Parter og aftalens genstand

Nærværende databehandleraftale ("DPA") udgør en integreret del af hovedaftalen ("Vilkår for brug") vedrørende anvendelsen af analyseplatformen Clero Gastro og indgås mellem:

1. Kunden ("den dataansvarlige")
2. Clero ApS, CVR-nr. 46347498, Egholmvænget 7, 5610 Assens ("databehandleren" eller "Clero")

Formålet med denne DPA er at sikre, at databehandlerens behandling af personoplysninger på vegne af den dataansvarlige sker i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 ("GDPR"), særligt artikel 28.

2. Behandlingens karakter, formål og datakategorier

Databehandleren behandler personoplysninger på vegne af den dataansvarlige udelukkende med det formål at levere Clero Gastros funktioner, herunder automatiseret analyse af regnskabsdata, beregning af økonomiske nøgletal, generering af dashboards, rapporter og likviditetsprognoser samt AI-støttet forespørgsel via "Spørg dine tal".

2.1 Kategorier af oplysninger

Behandlingen kan omfatte følgende typer af almindelige personoplysninger:

• Regnskabs- og bilagsdata fra e-conomic: Navne på kontaktpersoner hos leverandører og kunder, fakturanumre, posteringstekster og beløb. Hvis kundens løn bogføres på medarbejdernavne i e-conomic, kan sådanne oplysninger ligeledes indgå.
• Bankdata (valgfrit): Oplysninger om saldo og transaktionstekster, forudsat at kunden har givet udtrykkeligt samtykke via MitID.
• Brugeroplysninger: Navn, arbejdse-mailadresse, IP-adresser og krypteret adgangskode for autoriserede brugere oprettet af kunden.

Der behandles ikke særlige kategorier af personoplysninger (følsomme oplysninger jf. GDPR art. 9) eller oplysninger om straffedomme og lovovertrædelser (art. 10).

2.2 Kategorier af registrerede

Behandlingen omfatter følgende kategorier af registrerede personer:

• Den dataansvarliges medarbejdere og brugere af platformen
• Den dataansvarliges kunder (hvis fysiske enkeltmandsvirksomheder eller kontaktpersoner)
• Den dataansvarliges leverandører (hvis enkeltmandsvirksomheder eller navngivne kontaktpersoner)

3. Instruks

Databehandleren må udelukkende behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige. Den primære instruks udgøres af hovedaftalen, denne DPA samt den dataansvarliges konkrete handlinger og opsætning i platformen.

Databehandleren underretter straks den dataansvarlige, såfremt en instruks efter databehandlerens opfattelse er i strid med GDPR eller anden EU-retlig eller national databeskyttelseslovgivning.

4. Fortrolighed og sikkerhedsforanstaltninger

Databehandleren sikrer, at personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

Databehandleren træffer alle nødvendige tekniske og organisatoriske foranstaltninger i henhold til GDPR artikel 32 for at sikre et sikkerhedsniveau, der passer til de risici, der er forbundet med behandlingen. Foranstaltningerne omfatter blandt andet:

• Hosting i dedikerede cloud-miljøer i EU (Microsoft Azure, North Europe, og Microsoft Fabric, Sweden Central), hvor kundens data holdes logisk adskilt fra andre kunders data.
• Stærk kryptering af data under transit (TLS/HTTPS) og ved hvile (AES-256).
• Sikker opbevaring af API-nøgler og legitimationsoplysninger i sikret nøglehvælv (Key Vault).
• Implementering af multifaktorgodkendelse (MFA) på al administrativ adgang og adgangskontrol efter princippet om mindste privilegium.
• Løbende overvågning, backup og logning af systemaktivitet.

5. Underdatabehandlere

Den dataansvarlige meddeler herved generel skriftlig godkendelse til, at databehandleren kan anvende underdatabehandlere.

5.1 Godkendte underdatabehandlere

Følgende underdatabehandlere er godkendt ved aftalens indgåelse:

1. Microsoft Ireland Operations Limited (EU): Cloud-infrastruktur, hosting og datalagring (Microsoft Azure, region North Europe, og Microsoft Fabric, region Sweden Central).
2. Enable Banking Oy (Finland/EU): Autoriseret kontooplysningstjeneste (AISP) til indhentning af banktransaktioner (anvendes udelukkende ved kundens forudgående MitID-samtykke).
3. Anthropic, PBC (USA): AI-assisteret kategorisering af kontonavne ved opsætning samt besvarelse af brugergenererede spørgsmål i funktionen "Spørg dine tal". Data anvendes til at generere svar til kunden og anvendes ikke til træning af AI-modeller. API-data opbevares af Anthropic i op til 30 dage til misbrugskontrol (trust and safety / abuse monitoring), medmindre indholdet markeres for overtrædelse af Anthropics brugspolitik (hvor data kan opbevares i op til 2 år), eller hvor længere opbevaring kræves i henhold til lovgivningen, hvorefter data slettes automatisk.

5.2 Varsling og indsigelsesret

Databehandleren underretter den dataansvarlige med mindst 14 dages skriftligt varsel (f.eks. via e-mail eller notifikation på platformen) om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere.

Den dataansvarlige kan inden for 14-dages fristen gøre begrundet indsigelse mod en ny underdatabehandler af saglige databeskyttelsesmæssige årsager. Såfremt parterne ikke kan nå til enighed, har den dataansvarlige ret til at opsige hovedaftalen med virkning fra det tidspunkt, hvor den nye underdatabehandler tages i brug.

5.3 Forpligtelser for underdatabehandlere og tredjelandsoverførsler

Databehandleren pålægger enhver underdatabehandler de samme databeskyttelsesforpligtelser, som fastsat i denne aftale.

Overførsel af personoplysninger til tredjelande uden for EU/EØS må kun ske, såfremt der foreligger et gyldigt overførselsgrundlag i overensstemmelse med GDPR kapitel V. Overførsel til Anthropic, PBC sker på grundlag af EU-Kommissionens standardkontraktbestemmelser (SCC) suppleret med nødvendige tekniske sikkerhedsforanstaltninger.

6. Bistand til den dataansvarlige

Databehandleren bistår, under hensyntagen til behandlingens karakter og i det omfang det er muligt:

1. Den dataansvarlige med at opfylde sin forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder (GDPR kapitel III), herunder ret til indsigt, berigtigelse, sletning og begrænsning.
2. Den dataansvarlige med at sikre overholdelse af forpligtelserne i GDPR artikel 32-36 vedrørende sikkerhed, konsekvensanalyser (DPIA) og forudgående høring.

7. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden hos databehandleren eller en underdatabehandler.

Underretningen skal som minimum indeholde en beskrivelse af bruddets karakter, de berørte kategorier af registrerede og oplysninger, de sandsynlige konsekvenser samt de foranstaltninger, der er truffet eller foreslås truffet for at håndtere og begrænse bruddet.

8. Revision og tilsyn

Databehandleren stiller alle oplysninger til rådighed for den dataansvarlige, som er nødvendige for at påvise overholdelse af kravene i GDPR artikel 28 og denne aftale.

Databehandleren muliggør og bidrager til revisioner, herunder inspektioner, der gennemføres af den dataansvarlige eller en anden bemyndiget revisor. En eventuel fysisk eller teknisk revision skal varsles skriftligt med mindst 30 dages varsel og må ikke forstyrre databehandlerens almindelige drift eller kompromittere andre kunders sikkerhed eller fortrolighed. Omkostninger forbundet med revisionen afholdes fuldt ud af den dataansvarlige, medmindre revisionen påviser en væsentlig misligholdelse fra databehandlerens side.

9. Varighed, ophør og dataeksport

Nærværende aftale er gældende, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige i medfør af hovedaftalen.

Ved hovedaftalens ophør stiller databehandleren i en periode på 14 dage en mulighed til rådighed for, at den dataansvarlige kan anmode om eksport eller download af egne data i et gængs digitalt format.

Efter udløbet af de 14 dage sletter databehandleren alle personoplysninger og eksisterende kopier, medmindre EU-retlig eller national lovgivning foreskriver fortsat opbevaring af oplysningerne.

10. Kontakt

Henvendelser vedrørende databeskyttelse og denne aftale rettes til:

Clero ApS
Att.: Steffen Drudgaard
CVR-nr.: 46347498
Egholmvænget 7, 5610 Assens
E-mail: steffen@clero.dk