Databehandleraftale

1. Parter og definitioner

Denne databehandleraftale ("Aftalen") er indgået mellem:

Begreber som "personoplysninger", "behandling", "registrerede", "brud på persondatasikkerheden" og "underdatabehandler" skal forstås i overensstemmelse med definitionerne i Europa-Parlamentets og Rådets Forordning (EU) 2016/679 ("GDPR").

2. Aftalens genstand og varighed

Databehandleren behandler personoplysninger på vegne af den dataansvarlige som en del af leveringen af EcoMetrics-platformen og tilhørende services. Aftalen træder i kraft samtidig med kundens accept af EcoMetrics' handelsbetingelser og er gældende så længe den dataansvarlige har et aktivt abonnement på platformen.

Ved opsigelse af abonnementet ophører Aftalen automatisk, medmindre andet aftales skriftligt mellem parterne.

3. Behandlingens karakter og formål

Databehandleren behandler personoplysninger udelukkende med det formål at levere EcoMetrics-platformen, herunder at:

• Hoste og opbevare ESG-data, leverandøroplysninger og rapporteringsdata
• Klassificere fakturaer og bilag til beregning af CO₂-aftryk
• Generere CSRD-, ESRS- og VSME-rapporter
• Levere brugerautentificering, adgangskontrol og audit trail
• Levere kundesupport og teknisk fejlfinding
• Forbedre platformens funktionalitet via aggregerede og anonymiserede data

4. Type personoplysninger og kategorier af registrerede

Databehandleren behandler følgende kategorier af personoplysninger:

• Brugeroplysninger: Navn, email, telefonnummer, jobtitel, organisatorisk tilknytning, krypteret password, login-historik
• Leverandøroplysninger: Virksomhedsnavn, CVR, kontaktpersoner, fakturabeløb og kategorisering
• HR-relaterede ESG-data: Antal ansatte, kønsfordeling, fravær, arbejdsulykker, lønspænd (afhængigt af kundens rapporteringsbehov)
• Aktivitetslogs: Brugeraktivitet på platformen, IP-adresser, tidsstempler for ændringer

Følgende kategorier af registrerede personer er omfattet:

• Den dataansvarliges medarbejdere og brugere af platformen
• Den dataansvarliges leverandører og deres kontaktpersoner
• Andre registrerede der måtte indgå i den dataansvarliges ESG-rapportering

5. Den dataansvarliges forpligtelser

Den dataansvarlige garanterer at:

• Have et lovligt grundlag for behandlingen i henhold til GDPR Art. 6
• Have opfyldt sin oplysningspligt over for de registrerede (Art. 13-14)
• Kun overføre personoplysninger til EcoMetrics som er nødvendige for det aftalte formål
• Sikre at brugere af platformen er tildelt korrekte adgangsrettigheder
• Udstede instrukser til Databehandleren skriftligt eller via platformens funktioner

6. Databehandlerens forpligtelser

Databehandleren forpligter sig til at:

• Kun behandle personoplysninger efter dokumenterede instrukser fra den dataansvarlige
• Sikre at personer med adgang til personoplysninger er underlagt fortrolighed
• Implementere passende tekniske og organisatoriske foranstaltninger (jf. Art. 32), se afsnit 8
• Bistå den dataansvarlige med at opfylde forpligtelser over for de registrerede (DSAR-anmodninger)
• Bistå den dataansvarlige med at sikre overholdelse af Art. 32-36 (sikkerhed, brud, DPIA)
• Underrette den dataansvarlige uden unødig forsinkelse hvis en instruks vurderes at overtræde GDPR
• Stille al nødvendig information til rådighed der dokumenterer overholdelse af denne Aftale

7. Underdatabehandlere

Den dataansvarlige giver Databehandleren generel godkendelse til at anvende underdatabehandlere til levering af platformen. En aktuel og opdateret liste over underdatabehandlere er tilgængelig på ecometrics.dk/legal/sub-processors.

Databehandleren forpligter sig til at:

• Pålægge underdatabehandlere de samme databeskyttelsesforpligtelser som dem i denne Aftale
• Underrette den dataansvarlige mindst 30 dage før der tilføjes eller udskiftes en underdatabehandler
• Give den dataansvarlige mulighed for at gøre indsigelse mod nye underdatabehandlere
• Forblive fuldt ansvarlig over for den dataansvarlige for underdatabehandlernes overholdelse af forpligtelserne

8. Sikkerhed og tekniske foranstaltninger (Art. 32)

Databehandleren har implementeret følgende tekniske og organisatoriske foranstaltninger:

9. Brud på persondatasikkerheden

Hvis Databehandleren bliver opmærksom på et brud på persondatasikkerheden, underretter Databehandleren den dataansvarlige uden unødig forsinkelse og senest inden 24 timer efter at være blevet bekendt med bruddet.

Underretningen skal som minimum indeholde:

• Karakteren af bruddet, herunder kategorier og antal berørte registrerede
• Navn og kontaktoplysninger på Databehandlerens databeskyttelseskontaktperson
• De sandsynlige konsekvenser af bruddet
• De foranstaltninger Databehandleren har truffet eller foreslår at træffe

10. Bistand til den dataansvarlige

Databehandleren bistår den dataansvarlige med at opfylde sine forpligtelser over for de registrerede, herunder forespørgsler om indsigt, berigtigelse, sletning, begrænsning og dataportabilitet. EcoMetrics-platformen har indbyggede funktioner til data-eksport og data-sletning som den dataansvarlige selv kan anvende.

Databehandleren bistår desuden med konsekvensanalyser vedrørende databeskyttelse (DPIA) og høring af tilsynsmyndighed efter Art. 35-36, i det omfang det er rimeligt og relevant.

11. Audit-rettigheder

Den dataansvarlige har ret til at kontrollere Databehandlerens overholdelse af denne Aftale. Databehandleren stiller relevant dokumentation til rådighed (sikkerhedspolitikker, underdatabehandler-aftaler, certificeringer m.v.) uden vederlag.

Hvis den dataansvarlige ønsker at gennemføre en fysisk eller teknisk audit ud over standarddokumentationen, skal dette varsles mindst 30 dage i forvejen. Eventuelle omkostninger til en sådan audit afholdes af den dataansvarlige, medmindre der konstateres væsentlige overtrædelser af Aftalen, i hvilket fald omkostningerne afholdes af Databehandleren.

12. Overførsel til tredjelande

EcoMetrics' primære datalokation er EU (Irland). Visse underdatabehandlere er etableret uden for EU/EØS. Se den fulde liste på /legal/sub-processors.

Hvor der sker overførsel af personoplysninger til tredjelande uden et beslutning om tilstrækkeligt beskyttelsesniveau, er overførslen baseret på Europa-Kommissionens standardkontraktsbestemmelser (EU SCCs, modul 2 eller 3 efter konteksten) i overensstemmelse med GDPR Art. 46(2)(c).

13. Returnering eller sletning af data

Ved Aftalens ophør sletter Databehandleren alle personoplysninger inden for 30 dage, medmindre EU-ret eller dansk ret kræver fortsat opbevaring. Inden sletning tilbyder Databehandleren den dataansvarlige mulighed for at eksportere sine data via platformens indbyggede eksport-funktion eller via en kontaktanmodning til ecometricsdk@gmail.com.

Backup-data slettes som en del af den almindelige backup-rotation, senest 90 dage efter Aftalens ophør.

14. Misligholdelse og opsigelse

Hvis en part væsentligt misligholder denne Aftale og ikke afhjælper forholdet inden for 30 dage efter skriftligt påkrav, kan den anden part opsige Aftalen med øjeblikkelig virkning. Opsigelse af Aftalen indebærer også opsigelse af den underliggende abonnementaftale.

15. Lovvalg og værneting

Denne Aftale er underlagt dansk ret. Enhver tvist der måtte opstå i forbindelse med Aftalen, skal afgøres ved Retten i Holstebro som første instans, medmindre parterne skriftligt aftaler andet eller værnetingsreglerne tilsiger andet.

16. Kontakt

Spørgsmål til denne Aftale eller anmodninger om en separat underskrevet version kan rettes til: