Databehandleraftale

Denne side findes på flere sprog. Oversættelserne er kun vejledende, den danske version er juridisk gældende.

1. Parterne og baggrunden

Aftalen er indgået mellem kunden, som er dataansvarlig, og NC North ApS, CVR 46761065, som er databehandler. Den gælder, når kunden bruger NC North til at behandle personoplysninger om andre, fx medarbejdere, bygherrer og underentreprenører.

Aftalen er bygget op efter Datatilsynets standardkontraktbestemmelser for databehandleraftaler. Hvis vilkårene og denne aftale siger noget forskelligt om behandling af personoplysninger, gælder denne aftale.

2. Kundens rettigheder og forpligtelser

Kunden bestemmer, til hvilke formål og med hvilke midler personoplysningerne behandles. Kunden sørger for, at der er et lovligt grundlag for behandlingen, og at de oplysninger, kunden lægger ind, må behandles.

3. Vi handler kun efter instruks

Vi behandler kun personoplysninger efter kundens dokumenterede instruks. Instruksen står i bilag C og består desuden af kundens brug af NC North. Kræver EU-retten eller dansk ret, at vi behandler oplysningerne på en anden måde, siger vi det til kunden først, medmindre loven forbyder det.

Vi siger straks til, hvis en instruks efter vores vurdering strider mod databeskyttelsesforordningen eller anden databeskyttelseslovgivning.

4. Fortrolighed

Kun de personer hos os, der har brug for adgang for at levere tjenesten, har adgang til oplysningerne. De har tavshedspligt. Adgangen er personlig og bliver fjernet, når den ikke længere er nødvendig.

5. Sikkerhed

Vi træffer de tekniske og organisatoriske foranstaltninger, som databeskyttelsesforordningens artikel 32 kræver. De står i bilag C. Vi vurderer løbende risikoen og tilpasser foranstaltningerne, men ingen kan garantere fuldstændig sikkerhed.

6. Underdatabehandlere

Kunden giver generel godkendelse til, at vi bruger de underdatabehandlere, der står i bilag B.

Vil vi tage en ny underdatabehandler i brug eller udskifte en, varsler vi det pr. mail mindst 30 dage før. Kunden kan gøre indsigelse inden for de 30 dage. Kan vi ikke imødekomme indsigelsen, kan kunden opsige abonnementet uden beregning, inden ændringen træder i kraft.

Alle underdatabehandlere er i en skriftlig aftale, fx deres standardvilkår for databehandling, bundet af de samme databeskyttelsesforpligtelser, som gælder for os efter denne aftale. NC North hæfter over for kunden for, at underdatabehandlerne overholder dem.

7. Hvor oplysningerne ligger

Alle sagsdata, fotos, tegninger og filer ligger i Europa, hos Supabase i Zürich i Schweiz, med sikkerhedskopi i EU. Schweiz er godkendt af EU-Kommissionen som sikkert tredjeland.

I appen bruges Apple og Google kun til at sende push-beskeder til telefonen. De får telefonens nøgle, teksten i beskeden og tekniske id'er, ikke sagsdata. Resend sender vores mails fra EU (Irland). Stripe ligger i Irland.

Cloudflare leverer hjemmesiden og appen og gemmer den natlige sikkerhedskopi af filerne i EU. En fil kan ligge kortvarigt i cachen i det Cloudflare-datacenter, der er nærmest brugeren.

Den natlige kopiering af filerne til sikkerhedskopien køres på en maskine hos GitHub i USA. Filerne ligger kun midlertidigt på maskinen, mens kopieringen kører, og slettes med den.

Supabase, Cloudflare, Apple, Google, Resend og GitHub er amerikanske firmaer, og Stripe kan overføre oplysninger til Stripe, Inc. i USA. Overførsel sker efter EU-Kommissionens standardkontraktbestemmelser eller EU-US Data Privacy Framework. Vi overfører ikke oplysninger til andre lande uden for Europa end dem, der står her, uden kundens instruks.

8. Hjælp til kunden

Vi hjælper kunden med at svare på anmodninger fra de registrerede, fx om indsigt, berigtigelse og sletning. Meget af det kan kunden selv gøre direkte i NC North. Vi hjælper også med sikkerhed, underretning ved brud, konsekvensanalyser og forhøring af Datatilsynet, når kunden har brug for det.

9. Brud på persondatasikkerheden

Bliver vi opmærksomme på et brud på persondatasikkerheden, underretter vi kunden hurtigst muligt og senest 48 timer efter, at vi er blevet bekendt med bruddet. Så kan kunden nå at anmelde bruddet til Datatilsynet inden for 72 timer.

Underretningen beskriver, så vidt det er muligt, hvad der er sket, hvilke oplysninger og hvor mange personer der er berørt, de sandsynlige konsekvenser, og hvad vi har gjort eller vil gøre ved det.

10. Sletning og udlevering

Når abonnementet ophører, har kunden 30 dage til at hente alle data som ZIP. Det er gratis. Derefter sletter vi alle personoplysninger, medmindre lovgivning kræver, at vi gemmer dem, fx fakturaer efter bogføringsloven.

Sikkerhedskopierne bliver også slettet: databasens kopier efter 7 dage, og en slettet fil ligger i filkopien i højst 30 dage. Kunden kan til enhver tid bede om at få data udleveret eller slettet før tid.

11. Revision og inspektion

Vi giver kunden de oplysninger, der er nødvendige for at vise, at vi overholder denne aftale og databeskyttelsesforordningens artikel 28. Kunden kan få gennemført revision og inspektion, enten selv eller ved en uafhængig revisor med tavshedspligt. Det sker med rimeligt varsel og uden at forstyrre driften unødigt.

Kunden betaler selv omkostningerne ved revision og inspektion. Myndigheder som Datatilsynet har altid adgang efter loven.

12. Ansvar

Parterne hæfter efter dansk rets almindelige regler. Ansvarsbegrænsningen i vores vilkår gælder også for denne aftale, i det omfang databeskyttelseslovgivningen tillader det.

13. Varighed og ophør

Aftalen gælder, fra kunden begynder at bruge NC North, og så længe abonnementet løber. Den ophører først, når vi har slettet eller udleveret alle personoplysninger efter punkt 10.

Ændrer lovgivningen sig, kan vi opdatere aftalen. Væsentlige ændringer varsler vi pr. mail mindst 30 dage før, de træder i kraft.

Bilag A. Oplysninger om behandlingen

• Formål: at levere NC North til kunden, dvs. dokumentation af byggesager, tilsyn, mangler, tekniske spørgsmål, KS og kontrolplaner, fotos, tegninger, BIM-modeller og faktura.
• Behandlingens art: opbevaring, visning, deling inden for kundens firma og sager, afsendelse af beskeder og mails, eksport og sletning.
• Typer af personoplysninger: kontaktoplysninger som navn, mail og telefonnummer, firma, rolle og fag samt det indhold, kunden lægger ind, fx noter, kommentarer, fotos, der kan vise personer, tegninger, adresser på byggesager, GPS-positioner, underskrifter på kontrolplaner og fakturaoplysninger. Kunden bør ikke lægge følsomme oplysninger ind.
• De registrerede: kundens medarbejdere og brugere, bygherrer og deres rådgivere, underentreprenører og deres medarbejdere samt andre personer, der fremgår af dokumentationen, fx på fotos eller i noter.
• Varighed: så længe abonnementet løber, og indtil oplysningerne er slettet efter punkt 10.

Bilag B. Underdatabehandlere

• Supabase, Inc.
  Database, login og fillager (fotos, tegninger og dokumenter). Sted: Zürich, Schweiz.
• Cloudflare, Inc.
  Levering af hjemmesiden og appen og natlig sikkerhedskopi af filer. Sikkerhedskopien ligger i EU.
• Stripe Payments Europe, Ltd.
  Betaling og fakturering. Sted: Irland.
• Resend (Plus Five Five, Inc.)
  Systemmails, fx invitationer og kvitteringer. Mails sendes fra EU (Irland).
• Apple Inc.
  Push-beskeder til iPhone og iPad. Får kun telefonens nøgle, teksten i beskeden og tekniske id'er.
• Google LLC
  Push-beskeder til Android. Får kun telefonens nøgle, teksten i beskeden og tekniske id'er.
• GitHub, Inc.
  Natlig kopiering af filer til sikkerhedskopien. Filerne ligger kun midlertidigt på maskinen under kørslen og slettes med den. Sted: USA.

Bilag C. Instruks og sikkerhed

Vi behandler oplysningerne for at levere NC North, som kunden bruger det. Sikkerheden omfatter mindst:

• Kryptering, når data sendes (HTTPS), og når de ligger på disken (AES-256), også i sikkerhedskopierne.
• Hvert firmas data er adskilt i selve databasen (row-level security), og adgangen styres pr. firma, pr. sag og pr. person.
• Personligt login med adgangskode eller engangskode på mail. Vores egne administrationsværktøjer kræver totrinsbekræftelse.
• Databasen sikkerhedskopieres hver dag, og alle filer hver nat til et separat lager i EU. En prøvegendannelse kører automatisk hver måned.
• Appen kan låses med kode og Face ID.
• Opbevaring og sletning sker som beskrevet i punkt 10, og placeringen er som beskrevet i punkt 7.

Kontakt

NC North ApS · CVR 46761065 · info@ncnorth.com

Aftalen er underlagt dansk ret. Skriv til os gennem kontaktformularen, eller skriv til info@ncnorth.com.