Databehandleraftale

Om aftalen

Hvad den er. Når du lægger personoplysninger ind i en af vores tjenester, er du dataansvarlig, og rodnet.ai ApS (CVR 46686446, Horsens) er din databehandler. Denne databehandleraftale beskriver, hvordan vi behandler oplysningerne på dine vegne.

Bestemmelserne nedenfor er Europa-Kommissionens standardkontraktbestemmelser mellem dataansvarlige og databehandlere efter databeskyttelsesforordningens artikel 28, stk. 7 (Kommissionens gennemførelsesafgørelse (EU) 2021/915). De er gengivet i den officielle ordlyd med disse valg:

• Bestemmelse 1, litra a): alternativ 1, databeskyttelsesforordningen (forordning (EU) 2016/679).
• Bestemmelse 5: den valgfrie dockingklausul bruges ikke.
• Bestemmelse 7.7: alternativ 2, generel skriftlig godkendelse med 30 dages varsel.
• Bestemmelse 8 og 9: alternativerne for databeskyttelsesforordningen.

Bilagene er udfyldt af os.

Sådan indgås aftalen. Aftalen gælder automatisk, når du bruger en tjeneste fra rodnet.ai som dataansvarlig, og vi behandler personoplysninger på dine vegne. Den er en del af vores vilkår for brug, og der kræves ingen særskilt underskrift. Har du brug for et underskrevet eksemplar, så skriv til support@rodnet.ai.

Forrang og sprog. I alt, der angår personoplysninger, går denne aftale forud for vilkårene for brug og eventuelle særlige vilkår for en tjeneste; det fremgår også af bestemmelse 4. Aftalen findes på engelsk og dansk. Hvis de to versioner er forskellige, har den engelske version forrang.

Version. Version 1.2, gældende fra 21. oktober 2026. Bilagene kan ajourføres, som bestemmelserne tillader, for eksempel når underdatabehandlere ændres efter bestemmelse 7.7. Historik: 1.0 første udgave; 1.1 Resend fjernet som underdatabehandler; 1.2 natlig sikkerhedskopiering uden for serveren udvidet til alle tjenester (bilag III). Alle tre er dateret 21. oktober 2026.

Afdeling I

Bestemmelse 1 — Formål og anvendelsesområde

a) Formålet med disse standardkontraktbestemmelser (herefter bestemmelserne) er at sikre overholdelse af artikel 28, stk. 3 og 4, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

b) De dataansvarlige og databehandlerne, der er opført i bilag I, har accepteret disse bestemmelser for at sikre overholdelse af artikel 28, stk. 3 og 4, i forordning (EU) 2016/679 og artikel 29, stk. 3 og 4, i forordning (EU) 2018/1725.

c) Disse bestemmelser finder anvendelse på behandling af personoplysninger som anført i bilag II.

d) Bilag I-IV er en integrerende del af bestemmelserne.

e) Disse bestemmelser berører ikke de forpligtelser, som den dataansvarlige er underlagt i henhold til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

f) Disse bestemmelser sikrer ikke i sig selv, at forpligtelserne vedrørende internationale overførsler i henhold til kapitel V i forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725 overholdes.

Bestemmelse 2 — Bestemmelsernes uforanderlighed

a) Parterne forpligter sig til ikke at ændre bestemmelserne, bortset fra at tilføje oplysninger til bilagene eller ajourføre oplysninger i dem.

b) Dette forhindrer ikke parterne i at medtage de standardkontraktbestemmelser, der er fastsat i disse bestemmelser, i en bredere kontrakt eller i at tilføje andre bestemmelser eller yderligere garantier, forudsat at de ikke direkte eller indirekte er i strid med bestemmelserne eller indskrænker de registreredes grundlæggende rettigheder eller frihedsrettigheder.

Bestemmelse 3 — Fortolkning

a) Hvor disse bestemmelser anvender de udtryk, der er defineret i henholdsvis forordning (EU) 2016/679 eller forordning (EU) 2018/1725, har disse udtryk samme betydning som i nævnte forordning.

b) Disse bestemmelser skal læses og fortolkes i lyset af bestemmelserne i henholdsvis forordning (EU) 2016/679 eller forordning (EU) 2018/1725.

c) Disse bestemmelser må ikke fortolkes på en måde, der strider mod de rettigheder og forpligtelser, der er fastsat i forordning (EU) 2016/679/forordning (EU) 2018/1725, eller på en måde, som berører de registreredes grundlæggende rettigheder eller frihedsrettigheder.

Bestemmelse 4 — Hierarki

I tilfælde af uoverensstemmelse mellem disse bestemmelser og bestemmelserne i tilknyttede aftaler mellem parterne, der eksisterer på det tidspunkt, hvor disse bestemmelser aftales eller indgås, har disse bestemmelser forrang.

Bestemmelse 5 — Dockingklausul

Anvendes ikke.

Afdeling II — Parternes forpligtelser

Bestemmelse 6 — Beskrivelse af behandlingen/behandlingerne

Nærmere oplysninger om behandlingsaktiviteterne, navnlig de kategorier af personoplysninger og formålene med den behandling, hvortil personoplysningerne behandles på vegne af den dataansvarlige, er anført i bilag II.

Bestemmelse 7 — Parternes forpligtelser

7.1. Instrukser

a) Databehandleren behandler kun personoplysninger efter dokumenterede instrukser fra den dataansvarlige, medmindre dette kræves i henhold til EU-retten eller medlemsstaternes nationale ret, som databehandleren er underlagt. I så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre loven forbyder dette af hensyn til vigtige samfundsinteresser. Efterfølgende instrukser kan også gives af den dataansvarlige under hele behandlingen af personoplysninger. Disse instrukser skal altid dokumenteres.

b) Databehandleren underretter straks den dataansvarlige, hvis instrukser fra den dataansvarlige efter databehandlerens opfattelse er i strid med forordning (EU) 2016/679/forordning (EU) 2018/1725 eller de gældende databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

7.2. Formålsbegrænsning

Databehandleren må kun behandle personoplysningerne til det eller de specifikke formål med behandlingen, som er fastsat i bilag II, medmindre han modtager yderligere instrukser fra den dataansvarlige.

7.3. Varigheden af behandlingen af personoplysninger

Behandlingen foretaget af databehandleren må kun finde sted i den periode, der er anført i bilag II.

7.4. Behandlingssikkerhed

a) Databehandleren gennemfører som minimum de tekniske og organisatoriske foranstaltninger, der er anført i bilag III, for at garantere personoplysningernes sikkerhed. Dette omfatter beskyttelse af data mod brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til oplysningerne (brud på persondatasikkerheden). Ved vurderingen af det passende sikkerhedsniveau tager parterne behørigt hensyn til det aktuelle tekniske niveau, gennemførelsesomkostningerne, behandlingens karakter, omfang, kontekst og formål samt de risici, der består for de registrerede.

b) Databehandleren giver kun sine medarbejdere adgang til personoplysninger, der behandles, i det omfang, det er strengt nødvendigt for gennemførelsen, forvaltningen og overvågningen af kontrakten. Databehandleren sikrer, at de personer, der er bemyndiget til at behandle de modtagne personoplysninger, har forpligtet sig til at iagttage fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

7.5. Følsomme oplysninger

Hvis behandlingen omfatter personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en persons seksuelle forhold eller seksuelle orientering eller oplysninger om straffedomme og lovovertrædelser (»følsomme oplysninger«), anvender databehandleren specifikke begrænsninger og/eller supplerende garantier.

7.6. Dokumentation og overholdelse

a) Parterne skal kunne påvise, at de overholder disse bestemmelser.

b) Databehandleren behandler omgående og fyldestgørende forespørgsler fra den dataansvarlige om behandlingen af data i henhold til disse bestemmelser.

c) Databehandleren stiller alle de oplysninger til rådighed for den dataansvarlige, der er nødvendige for at påvise overholdelse af de forpligtelser, der er fastsat i disse bestemmelser, og som følger direkte af forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725. På den dataansvarliges anmodning skal databehandleren også tillade og bidrage til revisioner af de behandlingsaktiviteter, der er omfattet af disse bestemmelser, med rimelige mellemrum, eller hvis der er tegn på manglende overholdelse. Når den dataansvarlige træffer afgørelse om en gennemgang eller revision, kan denne tage hensyn til relevante certificeringer, som databehandleren er i besiddelse af.

d) Den dataansvarlige kan vælge selv at gennemføre revisionen eller bemyndige en uafhængig revisor. Revisionen kan også omfatte inspektioner i databehandlerens lokaler eller fysiske faciliteter og skal, hvor det er relevant, gennemføres med et rimeligt varsel.

e) Parterne stiller på anmodning de oplysninger, der er omhandlet i denne bestemmelse, herunder resultaterne af eventuelle revisioner, til rådighed for de(n) kompetente tilsynsmyndighed(er).

7.7. Anvendelse af underdatabehandlere

a) GENEREL SKRIFTLIG GODKENDELSE: Databehandleren har den dataansvarliges generelle godkendelse til at indgå aftale med underdatabehandlere fra en aftalt liste. Databehandleren underretter specifikt den dataansvarlige skriftligt om eventuelle påtænkte ændringer af denne liste som følge af, at underdatabehandlere tilføjes til listen eller erstattes, mindst 30 dage på forhånd og giver derved den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer, inden aftale indgås med den eller de pågældende underdatabehandler(e). Databehandleren giver den dataansvarlige de oplysninger, der er nødvendige for, at den dataansvarlige kan udøve sin indsigelsesret.

b) Hvis databehandleren indgår aftale med en underdatabehandler med henblik på at udføre specifikke behandlingsaktiviteter (på vegne af den dataansvarlige), skal databehandleren gøre dette i form af en kontrakt, der i det væsentlige pålægger underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der pålægges databehandleren i overensstemmelse med disse bestemmelser. Databehandleren skal sikre, at underdatabehandleren opfylder de forpligtelser, som databehandleren er underlagt i henhold til disse bestemmelser og til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

c) Databehandleren forelægger på den dataansvarliges anmodning en kopi af en sådan aftale med en underdatabehandler og eventuelle efterfølgende ændringer for den dataansvarlige. I det omfang det er nødvendigt for at beskytte forretningshemmeligheder eller andre fortrolige oplysninger, herunder personoplysninger, kan databehandleren redigere aftaleteksten, inden kopien videregives.

d) Databehandleren forbliver fuldt ud ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser i henhold til dennes kontrakt med databehandleren. Databehandleren underretter den dataansvarlige om enhver manglende opfyldelse fra underdatabehandlerens side af dennes kontraktlige forpligtelser.

e) Databehandleren indgår en aftale om tredjemandsløfte med underdatabehandleren, hvorefter den dataansvarlige — i tilfælde af at databehandleren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvent — har ret til at opsige kontrakten med underdatabehandleren og til at give underdatabehandleren en instruks om at slette eller tilbagelevere personoplysningerne.

7.8. Internationale overførsler

a) Databehandlerens overførsel af oplysninger til et tredjeland eller en international organisation må kun ske på grundlag af dokumenterede instrukser fra den dataansvarlige eller for at opfylde et specifikt krav i henhold til EU-retten eller medlemsstaternes nationale ret, som databehandleren er underlagt, og skal finde sted i overensstemmelse med kapitel V i forordning (EU) 2016/679 eller forordning (EU) 2018/1725.

b) Den dataansvarlige er enig i, at hvis databehandleren gør brug af en underdatabehandler i overensstemmelse med bestemmelse 7.7 til at udføre specifikke behandlingsaktiviteter (på vegne af den dataansvarlige), og disse behandlingsaktiviteter indebærer en overførsel af personoplysninger som omhandlet i kapitel V i forordning (EU) 2016/679, kan databehandleren og underdatabehandleren sikre overensstemmelse med kapitel V i forordning (EU) 2016/679 ved hjælp af standardkontraktbestemmelser vedtaget af Kommissionen i overensstemmelse med artikel 46, stk. 2, i forordning (EU) 2016/679, forudsat at betingelserne for anvendelse af disse standardkontraktbestemmelser er opfyldt.

Bestemmelse 8 — Bistand til den dataansvarlige

a) Databehandleren underretter straks den dataansvarlige om enhver anmodning, han har modtaget fra den registrerede. Databehandleren må ikke selv besvare anmodningen, medmindre den dataansvarlige har givet tilladelse hertil.

b) Databehandleren bistår den dataansvarlige med at opfylde dennes forpligtelse til at besvare registreredes anmodninger om udøvelse af deres rettigheder under hensyntagen til behandlingens karakter. Ved opfyldelsen af sine forpligtelser i henhold til punkt a) og b) skal databehandleren overholde den dataansvarliges instrukser.

c) Ud over databehandlerens forpligtelse til at bistå den dataansvarlige i henhold til bestemmelse 8, punkt b), bistår databehandleren desuden den dataansvarlige med at sikre overholdelse af følgende forpligtelser under hensyntagen til databehandlingens karakter og de oplysninger, som databehandleren har til rådighed:

1. forpligtelsen til at foretage en vurdering af de påtænkte behandlingsaktiviteters indvirkning på beskyttelsen af personoplysninger (en »konsekvensanalyse vedrørende databeskyttelse«), hvis en type behandling sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder
2. forpligtelsen til at høre de(n) kompetente tilsynsmyndighed(er) forud for behandling, hvis en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil medføre en høj risiko, hvis den dataansvarlige ikke træffer foranstaltninger til at mindske risikoen
3. forpligtelsen til at sikre, at personoplysningerne er korrekte og ajourførte, ved straks at underrette den dataansvarlige, hvis databehandleren bliver opmærksom på, at de personoplysninger, der behandles, er ukorrekte eller er blevet forældede
4. forpligtelserne i artikel 32 i forordning (EU) 2016/679.

d) Parterne fastsætter i bilag III de passende tekniske og organisatoriske foranstaltninger, som databehandleren skal anvende til at bistå den dataansvarlige ved anvendelsen af denne bestemmelse, samt anvendelsesområdet for og omfanget af den nødvendige bistand.

Bestemmelse 9 — Anmeldelse af brud på persondatasikkerheden

I tilfælde af brud på persondatasikkerheden samarbejder databehandleren med og bistår den dataansvarlige med henblik på, at den dataansvarlige opfylder sine forpligtelser i henhold til artikel 33 og 34 i forordning (EU) 2016/679 eller i henhold til artikel 34 og 35 i forordning (EU) 2018/1725, hvor det er relevant, under hensyntagen til behandlingens karakter og de oplysninger, som databehandleren har adgang til.

9.1. Brud på datasikkerheden vedrørende oplysninger, der behandles af den dataansvarlige

I tilfælde af brud på persondatasikkerheden vedrørende oplysninger, der behandles af den dataansvarlige, bistår databehandleren den dataansvarlige:

a) med at anmelde bruddet på persondatasikkerheden til de(n) kompetente tilsynsmyndighed(er) uden unødig forsinkelse, efter at den dataansvarlige har fået kendskab til det, hvis det er relevant (medmindre bruddet på persondatasikkerheden sandsynligvis ikke vil medføre en risiko for fysiske personers rettigheder og frihedsrettigheder)

b) med at indhente følgende oplysninger, som i henhold til artikel 33, stk. 3, i forordning (EU) 2016/679 skal angives i den dataansvarliges meddelelse, og skal som minimum omfatte:

1. personoplysningernes art, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte personoplysninger
2. de sandsynlige konsekvenser af bruddet på persondatasikkerheden
3. de foranstaltninger, som den dataansvarlige har truffet eller foreslår at træffe for at afhjælpe bruddet på persondatasikkerheden, herunder, hvor det er relevant, foranstaltninger til at afbøde dets mulige negative virkninger.

Hvis og i det omfang det ikke er muligt at give alle disse oplysninger samtidig, skal den oprindelige anmeldelse indeholde de oplysninger, der er til rådighed, og yderligere oplysninger skal efterfølgende gives uden unødig forsinkelse, i takt med at de foreligger.

c) i henhold til artikel 34 i forordning (EU) 2016/679 med at overholde forpligtelsen til uden unødig forsinkelse at underrette den registrerede om bruddet på persondatasikkerheden, hvis bruddet på persondatasikkerheden sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder.

9.2. Brud på datasikkerheden vedrørende oplysninger, der behandles af databehandleren

I tilfælde af brud på persondatasikkerheden vedrørende oplysninger, der behandles af databehandleren, underretter databehandleren uden unødig forsinkelse den dataansvarlige, efter at databehandleren har fået kendskab til bruddet. Meddelelsen skal som minimum indeholde:

a) en beskrivelse af overtrædelsens art (herunder om muligt kategorierne og det omtrentlige antal berørte registrerede og berørte personoplysninger)

b) nærmere oplysninger om et kontaktpunkt, hvor der kan indhentes flere oplysninger om bruddet på persondatasikkerheden

c) dets sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslås truffet for at afhjælpe bruddet, herunder for at afbøde dets eventuelle negative virkninger.

Hvis og i det omfang det ikke er muligt at give alle disse oplysninger samtidig, skal den oprindelige anmeldelse indeholde de oplysninger, der er til rådighed, og yderligere oplysninger skal efterfølgende gives uden unødig forsinkelse, i takt med at de foreligger.

Parterne fastsætter i bilag III alle andre elementer, som databehandleren skal fremlægge, når denne bistår den dataansvarlige i overensstemmelse med den dataansvarliges forpligtelser i henhold til artikel 33 og 34 i forordning (EU) 2016/679.

Afdeling III — Afsluttende bestemmelser

Bestemmelse 10 — Manglende overholdelse af bestemmelserne og ophævelse

a) Med forbehold af eventuelle bestemmelser i forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725 kan den dataansvarlige i tilfælde af, at databehandleren misligholder sine forpligtelser i henhold til disse bestemmelser, give databehandleren en instruks om at suspendere behandlingen af personoplysninger, indtil sidstnævnte overholder disse bestemmelser, eller kontrakten ophæves. Databehandleren underretter straks den dataansvarlige, hvis denne af en eller anden grund ikke er i stand til at overholde disse bestemmelser.

b) Den dataansvarlige har ret til at opsige kontrakten, for så vidt den vedrører behandling af personoplysninger i henhold til disse bestemmelser, hvis:

1. databehandlerens behandling af personoplysninger er blevet suspenderet af den dataansvarlige i henhold til punkt a), og hvis overholdelsen af disse bestemmelser ikke er blevet genoprettet inden for en rimelig frist og under alle omstændigheder senest en måned efter suspensionen
2. databehandleren i væsentlig eller vedvarende grad misligholder disse bestemmelser eller sine forpligtelser i henhold til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725
3. databehandleren ikke overholder en bindende afgørelse fra en kompetent domstol eller de(n) kompetente tilsynsmyndighed(er) vedrørende sine forpligtelser i henhold til disse bestemmelser eller til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

c) Databehandleren har ret til at opsige kontrakten, for så vidt den vedrører behandling af personoplysninger i henhold til disse bestemmelser, hvis den dataansvarlige efter at være blevet underrettet om, at dennes instrukser er i strid med gældende retlige krav i overensstemmelse med bestemmelse 7.1, punkt b), insisterer på, at instrukserne overholdes.

d) Når kontrakten er bragt til ophør, sletter databehandleren efter den dataansvarliges valg alle personoplysninger, som denne har behandlet på vegne af den dataansvarlige, og attesterer over for den dataansvarlige, at oplysningerne er blevet slettet, eller tilbageleverer alle personoplysninger til den dataansvarlige og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret kræver, at personoplysningerne gemmes. Indtil oplysningerne er slettet eller leveret tilbage, skal databehandleren fortsat sikre, at disse bestemmelser overholdes.

Bilag I — Liste over parter

Dataansvarlig:

• Navn: den kunde, der har kontoen i den pågældende tjeneste: organisationen, eller den person, der handler som led i sit erhverv.
• Adresse og kontaktoplysninger: som registreret på kundens konto.
• Undertegnelses- og tiltrædelsesdato: accepteret elektronisk den dag, kunden første gang bruger tjenesten som dataansvarlig, eller på ikrafttrædelsesdatoen for denne version, hvis den er senere.

Databehandler:

• Navn: rodnet.ai ApS, CVR 46686446.
• Adresse: Horsens. Den fulde registrerede adresse fremgår af Det Centrale Virksomhedsregister (CVR).
• Kontaktperson: databeskyttelseskontakt, support@rodnet.ai. Der er ikke udpeget en databeskyttelsesrådgiver.
• Undertegnelses- og tiltrædelsesdato: ved offentliggørelse af denne aftale, gældende fra 21. oktober 2026.

Bilag II — Beskrivelse af behandlingen

Bilaget gælder for hver tjeneste, den dataansvarlige bruger. Hvor opbevaring er angivet som “så længe kontoen findes”, følger sletning efter bestemmelse 10, litra d), og sletningsfristerne i bilag III.

Følsomme oplysninger, alle tjenester. Ingen af tjenesterne er beregnet til følsomme oplysninger (bestemmelse 7.5), og den dataansvarlige bør ikke indtaste dem. Gør den dataansvarlige det alligevel i fritekstfelter eller filer, gælder disse begrænsninger:

• kun den dataansvarliges egne brugere har adgang
• vores medarbejdere får kun adgang som beskrevet i bilag III
• oplysningerne bruges aldrig til andre formål

bizdex (bizdex.dk): CRM og lister

• Registrerede:
  • den dataansvarliges brugere (teammedlemmer)
  • kontaktpersoner hos virksomheder, som den dataansvarlige arbejder med
  • personer, der optræder i mails, som den dataansvarlige videresender eller sætter sin CRM-adresse i Bcc på
  • personer, der nævnes i den dataansvarliges noter, opgaver og filer
• Personoplysninger:
  • Brugere: navn, e-mail, rolle.
  • Kontaktpersoner: navn, stilling, e-mail, telefon.
  • Noter, opgaver og uploadede filer: det, den dataansvarlige skriver i dem.
  • Videresendte mails: afsender, modtagere, emne, tidspunkt, tekst (højst omkring 20.000 tegn) og navnene på vedhæftede filer, men ikke selve filerne. Kun mails sendt fra den dataansvarliges egne afsenderadresser gemmes.
  • AI-forslag til nøgleord: navn og beskrivelse på den dataansvarliges salgsprofil, dens nøgleord og tekst hentet fra den dataansvarliges egen offentlige hjemmeside.
• Behandlingens art:
  • opbevaring, organisering, søgning og visning i den dataansvarliges team
  • kobling af videresendte mails til virksomheder
  • eksport, sletning
  • afsendelse af salgsprofildata som nævnt ovenfor til en AI-model, der foreslår nøgleord (se bilag IV)
• Formål: at levere bizdex’ CRM-, liste- og salgsprofilfunktioner til den dataansvarlige.
• Varighed:
  • Så længe teamet eller kontoen findes.
  • Slettede elementer ligger i CRM-papirkurven i 30 dage.
  • En mail, der ikke kan læses, eller som spamfilteret har afvist, ligger højst 30 dage på postserveren.

Roster (checkroster.com): tjeklister

• Registrerede: den dataansvarliges brugere og personer, som den dataansvarlige nævner i sine tjeklister.
• Personoplysninger:
  • Kontooplysninger: navn, e-mail.
  • Indhold: skabeloner, tjeklister og gennemløb, herunder hvem der har afkrydset hvad og hvornår, samt noter og kommentarer.
• Behandlingens art: opbevaring, visning, registrering af gennemløb, sletning.
• Formål: at levere Roster til den dataansvarlige.
• Varighed: så længe kontoen findes.

Bavn (bavnscan.com): sårbarhedsscanning

• Registrerede:
  • den dataansvarliges brugere
  • personer, hvis personoplysninger findes i de systemer eller kodearkiver, som den dataansvarlige beder Bavn scanne, for eksempel commit-forfattere eller navne og e-mails i eksponerede filer
• Personoplysninger:
  • Kontooplysninger: navn, e-mail, medlemskab af organisation.
  • Scanningsmål: værtsnavne, URL’er og IP-intervaller.
  • Adresser på kodearkiver og adgangsnøgler til dem; nøglerne gemmes krypteret.
  • Indhold af kodearkiver, som behandles under scanninger.
  • Scanningsresultater, som kan indeholde personoplysninger fundet i de scannede systemer.
  • Data indsendt af den dataansvarliges lokale agenter.
• Behandlingens art:
  • netværks- og kodescanning af mål, som den dataansvarlige har tilladelse til at teste
  • analyse
  • opbevaring og visning af fund
  • transaktionsmails
• Formål: at finde og rapportere sikkerhedssårbarheder til den dataansvarlige.
• Varighed: så længe kontoen findes.

signplume (signplume.com): mailsignaturer og relæ

• Registrerede:
  • den dataansvarliges medarbejdere og brugere
  • afsendere og modtagere af mails, som den dataansvarlige sender gennem signplumes relæ, og personer, der nævnes i de mails
• Personoplysninger:
  • Medarbejderkatalog: e-mail, for- og efternavn, stilling, telefon, afdeling, foto, links til sociale medier og bookinglink. Det indtastes manuelt, importeres via CSV eller synkroniseres med læseadgang fra den dataansvarliges egen Google Workspace eller Microsoft Entra ID.
  • Signaturer i Gmail (hvis den dataansvarlige slår det til): signplume skriver hver persons signatur ind i deres Gmail-indstillinger gennem den dataansvarliges egen Google Workspace.
  • Kontooplysninger: brugernes loginoplysninger, herunder hemmeligheder til totrinsbekræftelse og, hvis det bruges, den Google- eller Microsoft-konto, de logger ind med.
  • Brug: hvornår hver persons signatur senest blev hentet af Outlook-tilføjelsesprogrammet eller tilføjet af relæet.
  • Relæ: mailens fulde indhold og headers under overførsel, herunder afsender, modtagere, emne, brødtekst og vedhæftede filer.
• Behandlingens art:
  • dannelse og visning af mailsignaturer
  • skrivning af signaturer i den dataansvarliges Gmail-indstillinger, hvis det er slået til
  • modtagelse af udgående mails over en krypteret forbindelse, tilføjelse af signaturen og aflevering af hver mail tilbage til den dataansvarliges egen mailudbyder til levering
  • midlertidig kø, indtil mailen er afleveret
• Formål: at give den dataansvarliges organisation ensartede mailsignaturer.
• Varighed:
  • Kataloget opbevares, så længe kontoen findes.
  • En mail i relæet ligger kun i køen, indtil den er afleveret. Det sker normalt med det samme, med genforsøg i op til cirka 10 timer.
  • Mailen slettes fra køen, i samme øjeblik den er afleveret, og intet gemmes til statistik.
  • En mail, der ikke kan afleveres, slettes automatisk senest cirka et døgn efter, at relæet modtog den.

Docplume (docplume.com): dokumenthåndtering

• Registrerede:
  • den dataansvarliges brugere
  • personer, hvis personoplysninger findes i den dataansvarliges dokumenter, metadata og kommentarer
  • modtagere af delingslinks
• Personoplysninger:
  • Kontooplysninger: navn, e-mail.
  • Den dataansvarliges dokumenter og deres versioner, uanset indhold.
  • Metadata, kommentarer og delingslinks.
  • Revisionsloggen over brugerhandlinger.
• Behandlingens art: opbevaring af filer i objektlager, versionering, søgning, deling, revisionslogning, sletning.
• Formål: at levere Docplume til den dataansvarlige.
• Varighed:
  • Så længe organisationen findes.
  • Elementer i papirkurven slettes efter 30 dage.
  • En anmodet sletning af organisationen gennemføres efter 30 dage.
  • Revisionsloggen opbevares i 365 dage.

Behandling hos underdatabehandlere

Underdatabehandlere udfører kun de dele af behandlingen, der er beskrevet for dem i bilag IV, og i samme periode som ovenfor.

Bilag III — Tekniske og organisatoriske foranstaltninger

Hosting og placering

• Alle tjenester og deres databaser kører på servere lejet hos Hetzner Online GmbH i Tyskland:
  • beregning i Nürnberg
  • sikkerhedskopier og objektlager i Falkenstein
• Den fysiske sikkerhed i datacentrene varetages af Hetzner som vores underdatabehandler.

Beskyttelse af data under overførsel

• Al webtrafik til tjenesterne bruger HTTPS (TLS). Forespørgsler over almindelig HTTP omdirigeres til HTTPS.
• Mails fra tjenesterne sendes gennem vores egen postserver over en krypteret, godkendt forbindelse.
• signplumes relæ modtager mails over TLS.

Netværks- og systemkonfiguration

• Hver tjeneste har sin egen database og sine egne adgangsoplysninger.
• Databaserne kører på private containernetværk og er ikke eksponeret mod internettet.

Adgangskontrol

• Administrativ adgang til serverne er begrænset til navngivne administratorer hos rodnet.ai ApS og sker med SSH-nøgler. Login med adgangskode er slået fra.
• Driftsværten kan kun nås over et privat netværk.
• Adgangskoder og API-nøgler holdes uden for kildekoden og opbevares som konfiguration på serveren.
• I Bavn gemmes adgangsnøgler til kodearkiver krypteret i databasen.

Medarbejdere og fortrolighed

• Kun medarbejdere, der har brug for adgang for at drive, sikre og supportere en tjeneste, har adgang, jf. bestemmelse 7.4, litra b).
• Vi ser ikke på kundens indhold, medmindre det er nødvendigt for at give support, som den dataansvarlige har bedt om, for at holde tjenesten sikker, eller når loven kræver det.

Tilgængelighed og genetablering

• Tjenesterne overvåges døgnet rundt af automatiske oppetidstjek, der alarmerer os, når noget fejler.
• Databaserne for alle tjenester sikkerhedskopieres hver nat til et separat lager i Falkenstein i Tyskland. For Docplume omfatter det dokumentfilerne i objektlageret og for signplume relæets kø.
  • Kryptering: sikkerhedskopierne krypteres, før de forlader serveren.
  • Opbevaring: daglige kopier i 7 dage, ugentlige i 4 uger og månedlige i 6 måneder, plus ugentlige snapshots af lageret, der gemmes i 8 uger. Kopier i sikkerhedskopierne er derfor helt udfaset inden for cirka ni måneder.

Dataminimering og opbevaring

• Hver tjeneste opbevarer kun personoplysninger som beskrevet i bilag II.
• Vi driver selv vores postserver og vores statistik, så tjenesternes mails og brugsstatistik ikke overlades til tredjeparter.
• Vores statistik bruger ikke cookies og opbygger ikke personprofiler.

Sletning ved aftalens ophør (bestemmelse 10, litra d))

• Når en konto eller organisation slettes, eller den dataansvarlige beder os om at slette sine data, sletter vi personoplysningerne fra de aktive systemer inden for 30 dage, medmindre tjenesten sletter dem hurtigere som beskrevet i bilag II.
• Kopier i sikkerhedskopierne genskabes ikke og udfases som beskrevet ovenfor.
• Har tjenesten en eksportfunktion, kan den dataansvarlige bruge den til at få sine data tilbage før sletningen. Ellers leverer vi en eksport på anmodning.

Bistand til den dataansvarlige (bestemmelse 8 og 9)

• Henvendelser om denne aftale, anmodninger fra registrerede og anmodninger om revision sendes til support@rodnet.ai.
• Kontakter en registreret os direkte om oplysninger, vi behandler for en dataansvarlig, sender vi straks anmodningen videre til den dataansvarlige og besvarer den ikke selv, medmindre den dataansvarlige giver os lov.
• Vi hjælper den dataansvarlige med at besvare anmodninger fra registrerede, for eksempel ved at finde, eksportere, rette eller slette oplysninger, hvor tjenesten ikke selv giver den dataansvarlige mulighed for det.
• Vi stiller de oplysninger, vi har, til rådighed for den dataansvarliges konsekvensanalyser og forudgående høringer.
• Ved revision efter bestemmelse 7.6 leverer vi først skriftlige oplysninger og dokumentation. Inspektioner aftales med rimeligt varsel.

Brud på persondatasikkerheden (bestemmelse 9.2)

• Vi underretter den dataansvarlige uden unødig forsinkelse, og så vidt muligt inden for 48 timer, efter at vi har fået kendskab til et brud.
• Vi underretter på mail til kontoejerens adresse.
• Kontaktpunktet for yderligere oplysninger er support@rodnet.ai.
• Vi dokumenterer ethvert brud og de foranstaltninger, der er truffet.

Bilag IV — Aftalt liste over underdatabehandlere

Efter bestemmelse 7.7, litra a), alternativ 2, godkender den dataansvarlige underdatabehandlerne nedenfor. Samme liste findes, med ændringslog, på /da/legal/subprocessors/.

Sådan varsler vi ændringer. Vi varsler en påtænkt ændring dér og på mail til kontoejere mindst 30 dage, før den nye underdatabehandler tages i brug. Den dataansvarlige kan gøre indsigelse ved at skrive til support@rodnet.ai.