Databehandleraftale

1. Parter og omfang

Denne aftale er et bilag til aftalen om bogføringstjenesten Veneti mellem kunden som dataansvarlig og Lemon Technologies ApS ("Lemon"), CVR 46667522, Søllerødgårdsvej 33B, 2840 Holte, som databehandler. Kundens identitet fremgår af bestillingen. Aftalen regulerer behandling på kundens vegne efter GDPR artikel 28 og gælder, så længe Lemon behandler disse oplysninger.

Behandlingen består af registrering, opbevaring, visning og behandling af regnskabsdata og bilag, AI-assistance, udveksling af bankdata, mails og fakturaer samt søgning efter kvitteringer i en mailkonto, som kunden tilslutter, for at levere de funktioner, kunden bruger. Registrerede omfatter kundens brugere og medarbejdere samt kontaktpersoner hos kunder, leverandører og andre personer, der fremgår af materialet.

Oplysninger kan omfatte navne, kontaktoplysninger, brugeridentitet, faktura- og bilagsindhold samt banktransaktioner og modparter. Tjenesten er ikke beregnet til behandling af særlige kategorier af personoplysninger efter artikel 9 eller oplysninger om strafbare forhold. Kunden skal undlade at lægge sådanne oplysninger ind, medmindre parterne særskilt har aftalt det nødvendige grundlag og beskyttelse.

2. Instruks og fortrolighed

Lemon behandler kun oplysninger efter kundens dokumenterede instruks, herunder om overførsel til tredjelande, medmindre lovgivning kræver andet. Aftalen og kundens anvendelse af funktionerne udgør instruksen. Lemon underretter kunden, hvis en instruks efter Lemons vurdering strider mod databeskyttelsesreglerne, og om lovpligtig behandling, medmindre underretning er forbudt.

Personer med adgang skal være underlagt fortrolighed. Adgang begrænses til det nødvendige for opgaven. Kunden er ansvarlig for egne brugeres adgange og for lovligheden af de oplysninger og instrukser, der gives.

3. Sikkerhed

Lemon skal gennemføre passende tekniske og organisatoriske sikkerhedsforanstaltninger efter artikel 32 under hensyn til behandlingens risiko. Sikkerhedsforanstaltningerne skal omfatte krypterede forbindelser, rolle- og virksomhedsbaseret adgangskontrol, mulighed for totrinsbekræftelse, beskyttelse af bogført materiale, ændringslog og sikkerhedskopiering.

Lemon skal løbende vurdere sikkerheden, vedligeholde beredskab og begrænse leverandøradgang. Kunden kan få den relevante sikkerhedsdokumentation ved at kontakte cj@cjha.dk.

4. Underdatabehandlere

Kunden giver generel godkendelse til brug af underdatabehandlere til de beskrevne funktioner. Lemon skal indgå aftaler, som pålægger underdatabehandlerne mindst de samme relevante databeskyttelsesforpligtelser, og er ansvarlig over for kunden for deres opfyldelse.

Underdatabehandlerne er: Supabase, med Amazon Web Services som infrastruktur, til database, login og fillagring; Vercel til webhosting; Anthropic til AI-assistance; Neonomics til bankintegration; Maventa (Visma) til e-fakturering; Resend til afsendelse af mails; Doppio til PDF-rendering af mailindhold; og Unipile til forbindelse til en mailkonto, som kunden tilslutter, og søgning efter kvitteringer i den. Deres funktion er beskrevet i privatlivspolitikken, og overførsler uden for EU/EØS og grundlaget for dem i privatlivspolitikkens punkt 5. Leverandører, der alene leverer offentligt tilgængelige oplysninger til tjenesten (opslag i CVR-registret) eller indhold direkte til brugerens browser (firmalogoer), behandler ikke personoplysninger på kundens vegne og er ikke underdatabehandlere; de er beskrevet i privatlivspolitikken. Leverandører kan have en særskilt selvstændig rolle for behandling, de foretager til egne lovpligtige formål.

Lemon skal underrette kunden mindst 30 dage inden planlagt tilføjelse eller udskiftning af en underdatabehandler. Kunden kan gøre begrundet indsigelse af databeskyttelsesmæssige årsager. Parterne skal søge en løsning; hvis en passende løsning ikke findes, kan kunden ophøre med den berørte del af tjenesten, før ændringen gennemføres.

5. Overførsler

En overførsel uden for EU/EØS må kun ske efter kundens dokumenterede instruks og med et gyldigt overførselsgrundlag efter GDPR kapitel V. Lemon skal sikre relevante garantier hos underdatabehandlere og gøre dokumentation tilgængelig for kunden. Generel godkendelse af en leverandør erstatter ikke kravet om et lovligt overførselsgrundlag.

6. Bistand og sikkerhedsbrud

Lemon bistår kunden med registreredes rettigheder og med opfyldelse af artikel 32–36, herunder sikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring, under hensyn til behandlingens karakter og de oplysninger, Lemon har til rådighed.

Lemon skal underrette kunden uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden. Underretningen skal indeholde de tilgængelige oplysninger om hændelsen, berørte oplysninger og personer, sandsynlige følger samt iværksatte eller foreslåede foranstaltninger. Oplysninger kan gives trinvist, når de bliver tilgængelige.

7. Dokumentation og revision

Lemon stiller de oplysninger til rådighed, som er nødvendige for at dokumentere overholdelse af artikel 28, og muliggør og bidrager til kundens eller en bemyndiget revisors revisioner, herunder inspektioner. Omfang og praktisk gennemførelse aftales med rimeligt varsel og under hensyn til sikkerhed og andre kunders fortrolighed. Dette begrænser ikke en tilsynsmyndigheds beføjelser.

8. Ophør, tilbagelevering og sletning

Ved ophør kan kunden bruge tjenestens eksportfunktioner til tilgængelige regnskabsdata og kontakte Lemon om tilbagelevering af bilag eller data, som ikke kan eksporteres i brugerfladen. Efter kundens valg skal Lemon tilbagelevere eller slette personoplysninger og eksisterende kopier, medmindre EU-ret eller dansk ret kræver opbevaring.

Regnskabsmateriale, som er omfattet af lovpligtig opbevaring, bevares i den krævede periode, som udgangspunkt fem år fra udgangen af det regnskabsår, materialet vedrører. Behandlingen begrænses herefter til opbevaring, sikkerhed, udlevering og andre lovlige formål. Opsigelse af betaling fjerner ikke denne pligt.

Øvrige oplysninger skal slettes eller tilbageleveres senest 90 dage efter ophør, medmindre en dokumenteret lovpligt kræver længere opbevaring. Sikkerhedskopier skal omfattes af en dokumenteret slettecyklus og må ikke genanvendes til almindelig drift uden at de relevante sletninger genskabes.

9. Forrang og lovvalg

Ved modstrid har denne aftale forrang for hovedaftalen om behandling af personoplysninger. Den ændrer ikke kundens eller Lemons ansvar direkte efter databeskyttelsesreglerne. Aftalen er underlagt dansk ret og accepteres elektronisk som en del af virksomhedens aftale.