Databehandleraftale

1. Baggrund og parter

Denne aftale indgås mellem Kunden (dataansvarlig) og The Creative Company ApS, CVR 44404974, Danmark ("Databehandler", "Casan").

Kunden har behov for at behandle personoplysninger i forbindelse med udlejning og ejendomsadministration. Casan stiller en platform til rådighed, hvor Kunden kan registrere og administrere sådanne oplysninger.

Ved accept af vilkårene eller underskrift af denne DPA er parterne enige om vilkårene heri.

2. Definitioner

Begreber som "personoplysninger", "behandling", "dataansvarlig", "databehandler" og "registreret" har samme betydning som i GDPR.

"Kundedata" betyder personoplysninger, som Kunden eller dennes brugere indtaster, uploader eller genererer i Casan, herunder oplysninger om lejere, ansøgere, kontakter, håndværkere og andre registrerede.

3. Behandlingens art, formål og varighed

Casan behandler Kundedata udelukkende for at levere, drive, sikre og understøtte platformen, herunder lagring, backup, kommunikationsfunktioner, rapporter, integrationer og teknisk fejlfinding.

Behandlingen omfatter typisk: modtagelse, registrering, organisering, strukturering, lagring, tilpasning, søgning, konsultation, brug, videregivelse, sammenstilling, begrænsning, sletning og tilintetgørelse.

Behandlingen fortsætter, så længe vilkårene er i kraft, og derefter i henhold til afsnittet om sletning og tilbagelevering.

4. Kundens instruktioner

Casan behandler Kundedata kun efter dokumenterede instruktioner fra Kunden, herunder som beskrevet i vilkårene, produktets funktionalitet og denne DPA.

Hvis Casan mener, at en instruktion er i strid med GDPR eller anden databeskyttelseslovgivning, underretter vi Kunden uden unødigt ophold.

5. Fortrolighed

Casan sikrer, at personer, der er autoriseret til at behandle Kundedata, er underlagt passende fortrolighedsforpligtelser.

Adgang begrænses til det, der er nødvendigt for at levere tjenesten, understøtte Kunden eller overholde lovkrav.

6. Sikkerhedsforanstaltninger

Casan implementerer passende tekniske og organisatoriske foranstaltninger i henhold til art. 32 GDPR, herunder adgangskontrol, kryptering under transport, logning, backup, rollebaseret adgang og procedurer for hændelseshåndtering.

Kunden er ansvarlig for at konfigurere adgangsrettigheder korrekt i sin organisation og for sikker brug af egne brugerkonti.

7. Underdatabehandlere

Kunden giver Casan generel skriftlig bemyndigelse til at anvende underdatabehandlere, forudsat at Casan indgår en databehandleraftale med hver underdatabehandler med tilsvarende databeskyttelsesforpligtelser.

Væsentlige underdatabehandlere omfatter Supabase (hosting/database), Microsoft Azure (hosting, e-mail, AI), Plaid (bankintegration), Visma e-conomic (bogføring), Mapbox (kort), Mailgun (e-mail) og Stripe (betalinger).

Casan informerer Kunden om planlagte ændringer af underdatabehandlere med rimeligt varsel, så Kunden kan gøre indsigelse, hvor det er relevant.

8. Overførsler til tredjelande

Kundedata opbevares primært inden for EU/EØS. Overførsler til tredjelande sker kun, hvor der findes et gyldigt overførselsgrundlag, fx standardkontraktbestemmelser godkendt af EU-Kommissionen.

9. Bistand til registrerede

Casan bistår Kunden, i det omfang det er muligt, med at besvare anmodninger fra registrerede om udøvelse af deres rettigheder efter GDPR, herunder indsigt, berigtigelse, sletning og dataportabilitet.

Anmodninger fra registrerede vedrørende Kundedata videresendes til Kunden, medmindre Kunden har givet andre instruktioner.

10. Bistand til Kunden

Casan bistår Kunden med at opfylde forpligtelser vedrørende sikkerhed, brud på persondatasikkerheden, konsekvensanalyser og forudgående høring, i det omfang det er rimeligt og foreneligt med tjenestens karakter.

Kunden skal uden unødigt ophold underrette Casan, hvis Kunden vurderer, at et brud på persondatasikkerheden kan påvirke Kundedata i Casan.

11. Sletning og tilbagelevering

Ved aftalens ophør sletter eller tilbageleverer Casan Kundedata efter Kundens valg og i henhold til vilkårene, medmindre opbevaring er påkrævet ved lov.

Backup-kopier kan opbevares i en begrænset periode som del af almindelige backuprutiner, hvorefter de slettes automatisk.

12. Revision og dokumentation

Casan stiller relevant dokumentation til rådighed, der viser overholdelse af denne DPA, herunder sikkerhedsforanstaltninger og en liste over underdatabehandlere.

Kunden kan anmode om oplysninger eller, hvor loven kræver det, gennemføre en revision med rimeligt varsel og under hensyntagen til Casans og andre kunders fortrolighed.

13. Ansvar

Hver part er ansvarlig for GDPR-overholdelse inden for sit ansvarsområde. Casans ansvar som databehandler er begrænset i henhold til ansvarsbegrænsningen i vilkårene, medmindre ufravigelig lov bestemmer andet.

14. Løbetid

Denne DPA gælder, så længe Casan behandler Kundedata på vegne af Kunden, og ophører automatisk, når al Kundedata er slettet eller tilbageleveret, medmindre lovkrav kræver fortsat opbevaring.

Kunden kan anmode om en underskrevet kopi eller virksomhedsspecifik tilpasning ved at kontakte fpa@casan.co.