Databehandleraftale

Denne aftale gælder, når Winrate behandler personoplysninger på vegne af din virksomhed. Den er udformet efter kravene i databeskyttelsesforordningens (GDPR) artikel 28, stk. 3, og bygger på opbygningen i Datatilsynets skabelon til databehandleraftaler. Teksten er tilpasset Winrate.

I aftalen er “du” den dataansvarlige virksomhed, og “vi” er Winrate som databehandler.

1. Parter

• Dataansvarlig: den virksomhed, der har en aftale med Winrate, med det navn, CVR-nummer og den adresse, der står i kontoen.
• Databehandler: ASLUND ApS, CVR 45839257, som driver Winrate. Mail: mail@winrate.dk.

2. Formål og baggrund

Aftalen fastlægger vores rettigheder og pligter, når vi behandler personoplysninger for dig. Behandlingen sker, for at vi kan levere Winrate efter vilkårene (hovedaftalen).

Bilag A beskriver behandlingen, bilag B vores underdatabehandlere, og bilag C din instruks og vores sikkerhedsforanstaltninger. Bilagene er en del af aftalen. Aftalen går forud for andre bestemmelser om personoplysninger i parternes aftaler. Den fritager ikke nogen af parterne for deres egne pligter efter GDPR eller anden lovgivning.

3. Dine rettigheder og pligter som dataansvarlig

Du er ansvarlig for, at behandlingen af personoplysninger sker i overensstemmelse med GDPR, databeskyttelsesloven og anden relevant lovgivning. Du bestemmer formålet med behandlingen og de midler, der bruges. Du er blandt andet ansvarlig for, at der er et lovligt grundlag for behandlingen, at de registrerede får de oplysninger, de har krav på, og at du har de samtykker, der kræves.

4. Vi handler kun efter din instruks

• Vi behandler kun personoplysninger efter dokumenteret instruks fra dig, medmindre EU-retten eller dansk ret kræver det. I så fald giver vi dig besked, før behandlingen sker, medmindre loven forbyder det.
• Din instruks er denne aftale med bilag, vilkårene og de valg, du træffer i Winrate, fx indstillinger, funktioner og integrationer, du slår til, og de handlinger, du udfører. Skriftlige anmodninger til vores support er også instruks.
• Mener vi, at en instruks er i strid med databeskyttelsesreglerne, giver vi dig straks besked.
• Vi bruger ikke oplysningerne til egne formål, vi sælger dem ikke, og vi træner ikke AI-modeller på dem.

5. Fortrolighed

Kun personer, som vi har autoriseret, og som har brug for det, får adgang til oplysningerne. De har tavshedspligt efter aftale eller lov. Vi giver kun adgang i det omfang, det er nødvendigt for at levere Winrate, give support eller rette fejl, og vi fjerner adgangen, når den ikke længere er nødvendig. Du kan på anmodning få dokumentation for, at de pågældende personer har tavshedspligt.

6. Behandlingssikkerhed

Vi gennemfører de tekniske og organisatoriske foranstaltninger, der kræves efter GDPR artikel 32. Vi vurderer risikoen for de registrerede og tager højde for det aktuelle tekniske niveau, omkostningerne og behandlingens karakter, omfang, sammenhæng og formål. De konkrete foranstaltninger står i bilag C.2.

Vi hjælper dig med at overholde din egen pligt efter artikel 32, blandt andet ved at give dig de oplysninger om vores foranstaltninger, som du har brug for.

7. Underdatabehandlere

• Du giver en generel forhåndsgodkendelse til, at vi bruger underdatabehandlere. De underdatabehandlere, vi bruger i dag, står i bilag B og er godkendt med denne aftale.
• Vil vi tilføje eller udskifte en underdatabehandler, giver vi dig besked mindst 30 dage i forvejen på mail til kontoens ejer og på denne side. Du kan gøre indsigelse, før ændringen træder i kraft. Kan vi ikke imødekomme en saglig indsigelse, kan du opsige aftalen med virkning fra ændringen.
• Vi pålægger underdatabehandlerne de samme databeskyttelsesforpligtelser som i denne aftale gennem en kontrakt, der giver de nødvendige garantier efter artikel 28, stk. 4.
• Vi er fuldt ansvarlige over for dig for, at underdatabehandlerne opfylder deres forpligtelser.

Tjenester, du selv forbinder

Integrationer, du selv slår til med din egen konto, fx e-conomic, Google, Meta, Zapier eller din egen AI-nøgle, er ikke vores underdatabehandlere. Du har din egen aftale med udbyderen, og den regulerer udbyderens behandling. Når du bruger integrationen, overfører vi oplysninger til udbyderen efter din instruks. Se bilag B.2.

8. Overførsel til tredjelande

Vi behandler som udgangspunkt oplysningerne i EU og i Storbritannien. EU-Kommissionen har anerkendt, at Storbritannien har et tilstrækkeligt beskyttelsesniveau. Nogle underdatabehandlere er amerikanske selskaber eller behandler oplysninger i USA. Det står i bilag B.

Overførsel til lande uden for EU og EØS sker kun efter reglerne i GDPR kapitel V. For de amerikanske underdatabehandlere sker overførslen på grundlag af EU-Kommissionens standardkontraktbestemmelser, som indgår i deres databehandleraftaler, og for selskaber, der er certificeret under EU-US Data Privacy Framework, også på grundlag af Kommissionens afgørelse om denne ordning.

Med denne aftale giver du instruks om de overførsler, der er beskrevet i bilag B. Andre overførsler til tredjelande sker kun efter din instruks, eller hvis EU-retten eller dansk ret kræver det.

9. Bistand til dig

• I Winrate kan du selv se og rette oplysninger og eksportere og slette henvendelser. Har du brug for mere, hjælper vi dig med at besvare anmodninger fra registrerede efter GDPR kapitel III. Kontakter en registreret os direkte, sender vi henvendelsen videre til dig uden unødigt ophold og svarer ikke selv, medmindre du beder os om det.
• Vi hjælper dig med at overholde dine pligter efter artikel 32 til 36 om sikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring af Datatilsynet. Det sker under hensyn til behandlingens karakter og de oplysninger, vi har.
• Kræver bistanden væsentligt arbejde ud over Winrates almindelige funktioner, aftaler vi prisen med dig, før vi går i gang. Det gælder ikke, hvis bistanden skyldes en fejl hos os.

10. Brud på persondatasikkerheden

Bliver vi opmærksomme på et brud på persondatasikkerheden, der omfatter dine oplysninger, giver vi dig besked uden unødig forsinkelse, så du har mulighed for at anmelde bruddet til Datatilsynet inden for fristen på 72 timer, hvis det er nødvendigt.

Vi giver dig så vidt muligt de oplysninger, der er nævnt i artikel 33, stk. 3: hvad der er sket, hvilke kategorier og omtrent hvor mange registrerede og registreringer der er berørt, de sandsynlige konsekvenser, og hvad vi har gjort eller foreslår at gøre. Har vi ikke alle oplysninger med det samme, giver vi dem løbende.

11. Sletning og tilbagelevering

Når aftalen om Winrate ophører, kan du vælge, om dine oplysninger skal leveres tilbage eller slettes. Du kan selv eksportere henvendelser, indtil aftalen ophører, og til og med 30 dage efter ophør kan du bede os om en kopi af dine data i et almindeligt format, fx CSV eller JSON.

Derefter sletter vi de personoplysninger, vi har behandlet for dig, senest 60 dage efter ophør, medmindre EU-retten eller dansk ret kræver, at vi gemmer dem. Oplysninger i sikkerhedskopier bliver slettet, når kopierne udløber efter leverandørens faste cyklus. Vi bekræfter sletningen skriftligt, hvis du beder om det.

12. Revision og inspektion

• Vi giver dig de oplysninger, der er nødvendige for at vise, at vi overholder artikel 28 og denne aftale. Vi giver også mulighed for revision, herunder inspektion, udført af dig eller af en uafhængig revisor, som du har udpeget.
• Én gang om året kan du få en skriftlig redegørelse for vores sikkerhedsforanstaltninger og for, hvordan vi overholder aftalen.
• En inspektion skal aftales mindst 30 dage i forvejen og sker i almindelig arbejdstid. Den må ikke give adgang til andre kunders oplysninger, og revisor skal have tavshedspligt. Du betaler dine egne omkostninger og vores rimelige tidsforbrug, medmindre inspektionen viser, at vi har overtrådt aftalen væsentligt.
• Tilsynet med underdatabehandlerne følger bilag C.6. Datatilsynet og andre myndigheder har adgang efter lovgivningen.

13. Ansvar

Over for de registrerede er hver part ansvarlig efter GDPR artikel 82. Mellem os gælder ansvarsbestemmelserne i vilkårene, herunder ansvarsbegrænsningen, i det omfang lovgivningen tillader det. Begrænsningen gælder ikke ved forsæt eller grov uagtsomhed.

14. Ikrafttræden, varighed og ophør

Aftalen træder i kraft, når den er indgået som beskrevet øverst, og gælder, så længe vi behandler personoplysninger for dig. Den kan ikke opsiges særskilt, så længe aftalen om Winrate løber. Bestemmelserne om fortrolighed, bistand og sletning gælder, indtil oplysningerne er slettet.

Vi kan ændre aftalen, hvis lovgivningen, Datatilsynets praksis eller ændringer i Winrate gør det nødvendigt. Ændringer, der er til ugunst for dig, varsler vi mindst 30 dage i forvejen på mail til kontoens ejer. Vil du ikke acceptere ændringen, kan du opsige aftalen om Winrate, så den slutter, før ændringen træder i kraft. Ændringer i listen over underdatabehandlere følger punkt 7.

15. Kontakt

Spørgsmål om aftalen og om databeskyttelse sendes til mail@winrate.dk. Vi kontakter dig på den mailadresse, der er registreret for kontoens ejer. Du skal holde den opdateret.

Bilag A. Oplysninger om behandlingen

A.1 Formål

Vi behandler personoplysninger for dig for at levere Winrate efter vilkårene, herunder:

• drift af din hjemmeside og dit administrationssystem
• modtagelse og håndtering af henvendelser, kunder, opgaver, tilbud, bookinger og aftaler
• afsendelse og modtagelse af mails og sms'er på dine vegne
• vurdering af henvendelser og udkast til beskeder og tekster med kunstig intelligens, når funktionerne er slået til
• statistik over besøg på din hjemmeside og de markedsføringsværktøjer, du bruger, fx nyhedsbreve
• overførsel til de integrationer, du slår til, fx fakturaer til e-conomic
• support, fejlretning og sikkerhed

A.2 Behandlingens karakter

Opbevaring, hosting, strukturering, søgning, sammenstilling, analyse, også med kunstig intelligens, overførsel til de modtagere, du vælger, og sletning.

A.3 Typer af personoplysninger

• kontaktoplysninger: navn, adresse, mail og telefonnummer, og for erhvervskunder firmanavn og CVR-nummer
• oplysninger om opgaven: beskrivelser, billeder, ønsker, tidspunkter og placering
• kommunikation: mails, sms'er og noter
• tilbud, priser, aftaler, bookinger, fakturaer og betalingsstatus
• besøg på hjemmesiden: IP-adresse, enhed, browser, besøgte sider, henvisende kilde og valg i cookie-banneret
• tilmeldinger til nyhedsbreve og andre samtykker
• anmeldelser og navnene på dem, der har skrevet dem
• dine brugere: navn, mail, telefonnummer og rolle

Winrate er ikke beregnet til følsomme oplysninger (artikel 9), oplysninger om strafbare forhold (artikel 10) eller CPR-numre. Du skal undgå at indsamle den slags oplysninger gennem Winrate. Skriver en af dine kunder dem alligevel i en besked, bliver de behandlet som en del af beskeden.

A.4 Kategorier af registrerede

• dine kunder og potentielle kunder
• besøgende på din hjemmeside
• modtagere af dine mails, sms'er og nyhedsbreve
• kontaktpersoner hos dine erhvervskunder
• personer, der har skrevet anmeldelser af din virksomhed
• dine medarbejdere og andre brugere af din konto

A.5 Varighed

Behandlingen varer, så længe aftalen om Winrate løber, og indtil oplysningerne er slettet efter punkt 11.

Bilag B. Underdatabehandlere

B.1 Godkendte underdatabehandlere

B.2 Tjenester, du selv forbinder

Disse tjenester er ikke vores underdatabehandlere. Du har din egen aftale med udbyderen, og vi overfører kun oplysninger, når du har slået integrationen til.

Bilag C. Instruks og sikkerhed

C.1 Behandlingens genstand og instruks

Behandlingen sker efter punkt 4 og bilag A.

C.2 Sikkerhedsforanstaltninger

• Adskillelse af kunder: Alle oplysninger er knyttet til den kunde, de hører til. Alle tabeller i databasen har adgangsregler på rækkeniveau (row level security), og administrationssystemet kontrollerer, at brugeren har adgang til den konto, der arbejdes i.
• Kryptering under transport: Trafik til og fra Winrate og mellem Winrate og underdatabehandlerne er krypteret (HTTPS/TLS).
• Kryptering af lagrede data: Database og fillager er krypteret hos leverandøren. Din egen AI-nøgle, dit kalenderlink og adgangsnøglen til e-conomic krypteres desuden med AES-256-GCM, før de gemmes.
• Lukket fillager: Billeder fra henvendelser ligger i et lukket lager og vises kun gennem tidsbegrænsede links. Når der laves et udkast til en case, kopieres de valgte billeder til hjemmesidens billedlager, som er offentligt tilgængeligt. Din kundes egne billeder kopieres kun, hvis kunden har givet samtykke til, at de må offentliggøres.
• Adgangsstyring: Hver bruger har sit eget login og en rolle, der styrer, hvad brugeren må. Fakturaer kan kun sendes af en ejer eller administrator.
• Godkendelse før afsendelse: Sms'er med et beløb og fakturaer sendes ikke til dine kunder, før de er godkendt.
• Supportadgang: Winrates medarbejdere bruger kun administratoradgangen til din konto, når det er nødvendigt for support, fejlretning eller arbejde, du har bestilt.

C.3 Bistand

Bistand ydes efter punkt 9 og 10, først og fremmest gennem funktionerne i Winrate og ellers efter aftale med vores support.

C.4 Opbevaring og sletning

Oplysningerne opbevares, indtil du sletter dem, eller indtil aftalen ophører. De nøgler, der bruges til at tælle unikke besøgende i statistikken, slettes automatisk efter 90 dage. Ved ophør gælder punkt 11.

C.5 Lokalitet

Oplysningerne behandles hos de underdatabehandlere og på de steder, der står i bilag B, og hos ASLUND ApS.

C.6 Tilsyn med underdatabehandlere

Før vi tager en underdatabehandler i brug, og derefter løbende, gennemgår vi deres databehandleraftale, overførselsgrundlag og de revisionserklæringer, certificeringer og sikkerhedsoplysninger, de stiller til rådighed.