Databehandleraftale

1. Parterne
2. Hvorfor der er en aftale
3. Dine rettigheder og pligter
4. Vi handler kun efter din instruks
5. Fortrolighed
6. Sikkerhed
7. Underdatabehandlere
8. Overførsel uden for EU
9. Hjælp til dig
10. Brud på sikkerheden
11. Sletning og udlevering
12. Revision og tilsyn
13. Ikrafttræden og ophør
14. Kontakt
15. Bilag A — behandlingen
16. Bilag B — underdatabehandlere

1Parterne

Den dataansvarlige (”du”)

Den virksomhed, der bestiller hos Formora, med det navn, CVR-nummer og den adresse, der står på bestillingen.

Databehandleren (”vi”)

Reachly, CVR-nr. 33122543, Bryggerivej 11, 4622 Havdrup, der driver Formora.

2Hvorfor der er en aftale

Når vi hoster din hjemmeside, ligger der personoplysninger hos os, som er dine: henvendelser fra dine besøgende og de navne og billeder, du selv lægger på siden. Du bestemmer, hvad oplysningerne skal bruges til. Vi opbevarer og videresender dem for dig. Derfor er du dataansvarlig, og vi er databehandler.

Aftalen gælder kun de oplysninger, vi behandler på dine vegne. Oplysningerne om dig som kunde — konto, ordrer og fakturaer — er vi selv dataansvarlige for. Dem beskriver privatlivspolitikken.

Går denne aftale og handelsbetingelserne imod hinanden om behandling af personoplysninger, gælder denne aftale.

3Dine rettigheder og pligter

• Du sørger for, at der er et lovligt grundlag for behandlingen, og at dine besøgende får de oplysninger, de har krav på. Hver hjemmeside, vi bygger, får en privatlivspolitik på /privatliv med dine stamdata. Den skal passe til, hvordan du selv bruger henvendelserne.
• Du beder ikke dine besøgende om følsomme oplysninger, for eksempel om helbred, eller om CPR-numre i formularerne. Formularerne er ikke bygget til det.
• Har du personer på siden — for eksempel billeder af medarbejdere — sørger du for, at de har sagt ja.

4Vi handler kun efter din instruks

Vi behandler kun oplysningerne for at gøre det, der står i bilag A: hoste og drive din hjemmeside, modtage henvendelser fra dens formularer, sende dem til dig, vise dem i din kundeportal og tage sikkerhedskopi. Det er din instruks. Du kan give yderligere instruks skriftligt, for eksempel om at slette bestemte henvendelser.

Vi bruger aldrig oplysningerne til vores egne formål. Vi sender ikke henvendelser fra dine besøgende til den sprogmodel, vi bruger til at skrive tekster, og vi bruger dem ikke til markedsføring. Mener vi, at en instruks er i strid med databeskyttelsesreglerne, siger vi det til dig med det samme.

5Fortrolighed

Kun de personer, der arbejder for os og har brug for det for at levere tjenesten, har adgang til oplysningerne. De har tavshedspligt. Adgangen fjernes, når de ikke længere har brug for den.

6Sikkerhed

Vi beskytter oplysningerne efter databeskyttelsesforordningens artikel 32. I dag gør vi blandt andet dette:

• Al trafik til platformen og til hjemmesiderne går krypteret (HTTPS med HSTS).
• Adgang kræver login. En bruger kan kun se sin egen virksomheds data. Det tjekker serveren ved hver forespørgsel.
• Adgangskoder gemmes kun som scrypt-hash med salt. Gentagne loginforsøg og formularindsendelser bremses.
• IP-adressen på den, der sender en formular, gemmes kun som en forkortet hash.
• Væsentlige handlinger logges: hvem gjorde hvad og hvornår.
• Der tages en sikkerhedskopi af databasen og af det uploadede materiale hver dag. En kopi sendes krypteret til et lager uden for hostingen.

Databasen og sikkerhedskopierne på serveren er ikke krypteret ud over den kryptering, hostingudbyderen selv bruger. Vi skriver det, fordi du skal kunne vurdere det.

7Underdatabehandlere

Du giver os en generel godkendelse til at bruge de underdatabehandlere, der står i bilag B. Vil vi tilføje eller udskifte en, skriver vi til dig mindst 30 dage før. Du kan gøre indsigelse inden da. Kan vi ikke blive enige, kan du opsige aftalen uden bindingsperiode og uden gebyr, før ændringen træder i kraft.

En underdatabehandler får de samme pligter, som vi har efter denne aftale, i en skriftlig aftale. Vi er ansvarlige over for dig for, at de overholder dem.

8Overførsel uden for EU

Nogle underdatabehandlere har servere i USA. Overførslen sker på grundlag af EU-Kommissionens tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework, for de leverandører, der er certificeret, og Kommissionens standardkontraktbestemmelser (afgørelse 2021/914). Bilag B viser, hvor hver leverandør behandler oplysningerne. Vi overfører ikke oplysninger til andre lande end dem, bilag B nævner, uden at skrive til dig først.

9Hjælp til dig

Vi hjælper dig, når en besøgende vil se, rette eller slette sine oplysninger. I kundeportalen kan du selv se og slette henvendelser. Kan du ikke selv klare det, gør vi det for dig inden for fem arbejdsdage. Vi hjælper også, hvis du skal vurdere en risiko eller tale med Datatilsynet. Det tager vi kun betaling for, hvis det kræver mere end en times arbejde, og så siger vi prisen først.

10Brud på sikkerheden

Opdager vi et brud på persondatasikkerheden, skriver vi til dig uden unødig forsinkelse og senest 48 timer efter, at vi har opdaget det. Vi fortæller, hvad der er sket, hvilke oplysninger og hvor mange personer det gælder, hvad vi har gjort, og hvad du skal gøre. Så kan du anmelde bruddet til Datatilsynet inden for de 72 timer, loven kræver.

11Sletning og udlevering

• Henvendelser fra dine besøgende slettes automatisk 12 måneder efter, at vi har modtaget dem. Sletter du en henvendelse i portalen, forsvinder den med det samme fra portalen og slettes helt senest 30 dage efter modtagelsen.
• Når aftalen ophører, udleverer vi dine henvendelser og dit materiale, hvis du beder om det. 90 dage efter ophøret sletter vi alt, vi har behandlet på dine vegne.
• Sikkerhedskopier slettes i takt med, at de bliver for gamle: kopierne af databasen på serveren efter 14 dage og uden for hostingen efter 30 dage. Kopien af en fil, du har slettet, forsvinder senest 30 dage efter sletningen, begge steder.

12Revision og tilsyn

Du kan bede om de oplysninger, der skal til for at vise, at vi overholder aftalen. Vi svarer skriftligt inden for 30 dage. Du kan også selv, eller ved en uafhængig revisor med tavshedspligt, kontrollere os efter aftale og med rimeligt varsel. Hver part betaler sine egne omkostninger. Vi fører tilsyn med vores underdatabehandlere ved at gennemgå deres egne revisionserklæringer og aftaler mindst én gang om året.

13Ikrafttræden og ophør

Aftalen gælder fra din bestilling og så længe, vi behandler personoplysninger på dine vegne — også i de 90 dage efter, at hovedaftalen er ophørt. Ændres reglerne, så aftalen skal tilpasses, kan begge parter kræve det. Ændringer, der ikke skyldes nye regler, varsler vi mindst 30 dage før.

14Kontakt

Vores kontakt er Formora, hej@formora.dk. Din kontakt er den e-mailadresse, der står på din konto hos os. Skifter den, retter du den i portalen eller skriver til os.

Bilag A — behandlingen

Formål

At hoste og drive din hjemmeside, modtage henvendelser fra dens formularer, sende dem til dig og vise dem i kundeportalen, og at tage sikkerhedskopi.

Hvad vi gør med oplysningerne

Opbevaring, videresendelse pr. e-mail, visning i kundeportalen, sikkerhedskopiering og sletning.

Hvilke oplysninger

Det, en besøgende skriver i formularen: typisk navn, e-mail, telefonnummer og en besked, eller de felter du har valgt. Desuden tidspunktet, den samtykketekst, den besøgende accepterede, og en forkortet hash af IP-adressen. Og de personoplysninger, du selv lægger på hjemmesiden, for eksempel navne og billeder af medarbejdere. Vi behandler ikke følsomme oplysninger efter artikel 9 eller CPR-numre på dine vegne.

Hvem oplysningerne handler om

Besøgende, der udfylder en formular på din hjemmeside, og de personer, der optræder i dit indhold.

Hvor længe

Så længe aftalen løber, og i 90 dage efter. Henvendelser højst 12 måneder, se punkt 11.

Bilag B — underdatabehandlere

Railway Corporation, San Francisco, USA

Hoster platformen, databasen, de uploadede filer og de færdige hjemmesider. Serverne står i USA. Grundlag: EU-U.S. Data Privacy Framework og standardkontraktbestemmelser.

Plus Five Five, Inc. (Resend), San Francisco, USA

Sender e-mails, herunder henvendelserne fra dine besøgende til dig. Grundlag: EU-U.S. Data Privacy Framework og standardkontraktbestemmelser.

Cloudflare, Inc. (R2), San Francisco, USA

Opbevarer den daglige sikkerhedskopi i et lager med EU-jurisdiktion. Grundlag: EU-U.S. Data Privacy Framework og standardkontraktbestemmelser.

Anthropic Ireland, Limited, Irland (med Anthropic, PBC, USA)

Skriver det første tekstudkast til din hjemmeside ud fra dine svar i onboardingen og dine korrekturkommentarer. Får aldrig henvendelser fra dine besøgende. Bruger ikke oplysningerne til at træne modeller. Grundlag for overførsel til USA: standardkontraktbestemmelser.

Stripe står ikke på listen. Stripe behandler kun betalingen mellem dig og os, og den er vi selv dataansvarlige for. Det står i privatlivspolitikken.