Databehandleraftale

Denne databehandleraftale er et tillæg til aftalen om KlaroFlow mellem kunden som dataansvarlig og Klaro ApS, CVR 43046748, som databehandler. Den gælder, når Klaro ApS behandler personoplysninger på kundens vegne, og udgør kundens dokumenterede instruks efter GDPR art. 28.

Klaro ApS må alene behandle oplysninger for at levere, sikre, vedligeholde og supportere KlaroFlow, herunder kundestyring, booking, opgaver, aftaler, fakturering, påmindelser, brugeradministration, integrationer, backup og fejlfinding. Yderligere behandling kræver ny dokumenteret instruks, medmindre lovgivning pålægger behandlingen.

Behandlingen kan omfatte kundens kontaktpersoner, medarbejdere, teknikere, slutkunder og andre personer, kunden registrerer. Oplysninger kan omfatte identitets- og kontaktdata, adresser, service- og aftaledata, bookinger, noter, fakturaoplysninger, brugerroller, kommunikation samt tekniske sikkerhedsdata. Særlige kategorier og CPR-numre må ikke registreres uden særskilt skriftlig aftale.

Behandlingen løber, mens hovedaftalen består. Ved ophør kan kunden anmode om eksport inden den aftalte adgang lukkes. Klaro ApS sletter eller anonymiserer derefter personoplysninger uden unødig forsinkelse og normalt senest 30 dage efter ophør, medmindre lovkrav nødvendiggør fortsat opbevaring. Backupkopier udfases efter platformleverandørens normale cyklus.

Klaro ApS sikrer, at personer med adgang er underlagt fortrolighed og kun har adgang efter behov. Foranstaltningerne omfatter virksomheds- og rollebaseret adgang, serverautorisation, krypteret transport, platformens kryptering ved lagring, hemmelighedshåndtering, logbegrænsning, webhookkontrol, sikkerhedsheaders, backup og kontrollerede ændringer.

Kunden giver generel godkendelse til nødvendige underdatabehandlere. Aktuelle kategorier er Base44 (platform, hosting, database, login og filer), Stripe (betaling), e-mailleverandør (systemmails) og efter kundens valg Dinero (regnskab). Klaro ApS skal sikre relevante databeskyttelsesvilkår og informere om væsentlige nye underdatabehandlere, så kunden kan gøre saglig indsigelse.

Base44 og andre leverandører kan behandle oplysninger uden for EU/EØS, herunder i USA. Klaro ApS anvender leverandørernes gældende DPA og lovlige overførselsgrundlag, eksempelvis standardkontraktbestemmelser eller Data Privacy Framework, hvor relevant. Kunden accepterer disse overførsler som en del af den dokumenterede instruks.

Klaro ApS bistår, under hensyn til behandlingens karakter, med registreredes rettigheder, sikkerhedsbrud, konsekvensanalyser, myndighedshenvendelser samt eksport og sletning. Omfattende bistand uden for den almindelige tjeneste kan faktureres efter forudgående aftale.

Klaro ApS underretter kunden uden unødig forsinkelse efter at være blevet bekendt med et bekræftet brud og giver tilgængelige oplysninger om karakter, berørte kategorier, sandsynlige konsekvenser og afhjælpning. Kunden afgør som dataansvarlig anmeldelse og underretning efter GDPR art. 33-34.

Klaro ApS stiller rimelig dokumentation om sikkerhed og underdatabehandlere til rådighed. Kunden kan højst én gang årligt anmode om yderligere kontrol med rimeligt varsel, medmindre en hændelse eller myndighed kræver andet. Kontrol skal beskytte andre kunders oplysninger og leverandørers fortrolige sikkerhedsforhold.

Aftalen gælder fra det tidspunkt, kunden accepterer KlaroFlows handelsbetingelser eller på anden måde indgår hovedaftalen. Ved modstrid om behandling af personoplysninger har denne databehandleraftale forrang.