Databehandleraftale

Kort fortalt

Når din virksomhed bruger Toimeen, bestemmer din virksomhed, hvad der sker med personoplysningerne i dens post og dokumenter: den er den dataansvarlige. Vi behandler kun disse data for at levere Toimeen og kun efter dine instrukser, og vi beskytter dem, fortæller dig om brud, hjælper dig med at besvare personers anmodninger og sletter dem, når du forlader os.

1. Parter og omfang

Denne aftale ("Databehandleraftalen") indgås mellem den virksomhed, der bruger Toimeen ("Dataansvarlig", "du"), og Fidanet Solution Oy, FO-nummer (det finske virksomhedsnummer) 3497432-1, Marinkallio 6b, 02320 Espoo, Finland ("Databehandler", "vi"). Den supplerer Brugsvilkårene og bliver en del af dem, når du opretter en konto. Den gælder, når vi behandler personoplysninger på dine vegne i forbindelse med levering af Tjenesten.

Ord som personoplysninger, behandling, dataansvarlig, databehandler, underdatabehandler, registreret og brud på persondatasikkerheden har den betydning, de har i databeskyttelsesforordningen, GDPR (forordning (EU) 2016/679).

2. Genstand og varighed

Vi behandler personoplysninger for at levere den Tjeneste, der er beskrevet i Vilkårene: læse post og dokumenter, forberede udkast og forslag, føre godkendelseskøen og handlingsloggen, oprette forbindelse til de systemer, du vælger, og opbevare resultaterne for dine brugere. Behandlingen varer, så længe din konto består, plus perioden for tilbagelevering og sletning i afsnit 11. Bilag I oplister kategorierne af data og registrerede.

3. Dine instrukser

Vi behandler kun personoplysninger efter dine dokumenterede instrukser: disse vilkår, denne Databehandleraftale og den måde, du bruger Tjenestens indstillinger og forbindelser på. Hvis loven kræver anden behandling, fortæller vi dig det først, medmindre loven forbyder det. Hvis vi mener, at en instruks er i strid med databeskyttelsesreglerne, fortæller vi dig det straks.

En agent sender, bestiller eller ændrer aldrig noget uden for Toimeen på egen hånd: hver sådan handling venter på godkendelse fra en person i din virksomhed. Godkendelser er dine instrukser.

4. Fortrolighed

Alle hos Fidanet Solution Oy, der har adgang til dine data, har tavshedspligt.

5. Sikkerhed

Vi træffer tekniske og organisatoriske foranstaltninger, der passer til risikoen, som GDPR artikel 32 kræver. Bilag II beskriver dem. Vi kan forbedre dem, men ikke sænke det samlede beskyttelsesniveau.

6. Underdatabehandlere

Du giver os en generel tilladelse til at bruge underdatabehandlere. Bilag III oplister dem. Før vi tilføjer eller udskifter en underdatabehandler, der behandler dine personoplysninger, fortæller vi dig det mindst 30 dage i forvejen. Du kan gøre indsigelse af rimelige databeskyttelsesmæssige grunde ved at skrive til hello@toimeen.com inden for denne frist; hvis vi ikke kan løse det, kan du opsige aftalen før ændringen.

Vi pålægger hver underdatabehandler databeskyttelsesforpligtelser, der ikke er svagere end disse, og vi forbliver ansvarlige over for dig for deres arbejde.

7. Overførsler uden for EU

Dine data opbevares i Finland. Hvor en underdatabehandler behandler dem uden for EU/EØS (se bilag III), sker overførslen på grundlag af Europa-Kommissionens standardkontraktbestemmelser (afgørelse (EU) 2021/914). Du bemyndiger os til at indgå disse bestemmelser med underdatabehandleren.

8. Anmodninger fra registrerede

Vi hjælper dig med at besvare anmodninger fra personer, der udøver deres rettigheder efter GDPR, under hensyntagen til behandlingens karakter: vi finder, eksporterer, retter eller sletter de pågældende data, når du beder om det. Hvis en person kontakter os direkte om data, du er ansvarlig for, sender vi anmodningen videre til dig straks.

9. Brud på persondatasikkerheden

Vi underretter dig om et brud på persondatasikkerheden, der berører dine data, uden unødig forsinkelse og senest 48 timer efter, at vi har fået kendskab til det, med det, vi ved om bruddets karakter, de berørte data og personer, de sandsynlige konsekvenser og det, vi har gjort eller foreslår at gøre. Vi hjælper dig med at opfylde dine egne forpligtelser efter GDPR artikel 33 og 34.

10. Konsekvensanalyser og revision

Vi hjælper dig, så vidt det er rimeligt, med konsekvensanalyser vedrørende databeskyttelse og forudgående høring af myndigheden. Vi giver dig de oplysninger, der er nødvendige for at vise, at vi overholder GDPR artikel 28. Du kan revidere vores overholdelse én gang om året med 30 dages skriftligt varsel, inden for normal arbejdstid, under fortrolighed og for egen regning, medmindre revisionen afdækker et væsentligt brud på denne Databehandleraftale.

11. Tilbagelevering og sletning

Når aftalen ophører, kan du i 60 dage bede om dine data i et maskinlæsbart format. Derefter sletter vi dem inden for 30 dage, medmindre EU-retten eller finsk ret kræver, at vi opbevarer dem.

12. Ansvar og rangorden

Ansvaret følger begrænsningerne i Vilkårene, undtagen hvor loven ikke tillader en begrænsning. I spørgsmål om personoplysninger har denne Databehandleraftale forrang for Vilkårene. Finsk ret finder anvendelse, og tvister afgøres som fastsat i Vilkårene.

Bilag I: Beskrivelse af behandlingen

Karakter og formål: opbevaring og læsning af post, vedhæftede filer og dokumenter; forberedelse af udkast, forslag, fakturaer og ordrer til godkendelse; registrering af beslutninger; overførsel af godkendt arbejde til tilsluttede systemer; research i offentlige kilder efter anmodning; afsendelse af notifikationer.

Registrerede:

• den Dataansvarliges brugere (ejere, medarbejdere, andre, den inviterer);
• personer, der optræder i den Dataansvarliges post og dokumenter: kunders og leverandørers kontaktpersoner, afsendere og modtagere;
• personer, som den Dataansvarlige beder om research i offentlige kilder om, hvis den har slået det til.

Kategorier af personoplysninger:

• navne, e-mailadresser, telefonnumre, stillingsbetegnelser og virksomhedsoplysninger;
• indholdet af post, vedhæftede filer og dokumenter samt de udkast og forslag, der er lavet ud fra dem;
• brugernes logindata (adgangskode-hash, sessioner med IP-adresse og browser), handlinger i handlingsloggen, Telegram-chat-ID, hvis det er forbundet;
• researchresultater fra offentlige kilder.

Særlige kategorier: Tjenesten er ikke beregnet til særlige kategorier af personoplysninger (GDPR artikel 9). Bring ikke sådanne data ind i den, medmindre du har et retsgrundlag og har aftalt med os, hvordan de håndteres.

Hyppighed og varighed: løbende, så længe kontoen er aktiv, plus perioden i afsnit 11.

Bilag II: Tekniske og organisatoriske foranstaltninger

• Servere i Finland (Hetzner, Helsinki); forbindelser krypteret med TLS.
• Hver virksomheds data adskilt i databasen med sikkerhed på rækkeniveau (row-level security).
• Adgangskoder opbevaret som scrypt-hashes; adgangsnøgler til tilsluttede tjenester krypteret med AES-256-GCM med en servernøgle, der opbevares uden for databasen.
• E-mailadresser bekræftes ved tilmelding; en ændring af adgangskoden logger de andre enheder ud, en nulstilling logger alle enheder ud; loginforsøg er begrænset.
• Roller i hver virksomhed bestemmer, hvem der ser og godkender hvad; en godkendelsesgrænse begrænser store godkendelser til ejere og administratorer.
• Hver godkendelse, afvisning og ændring af indstillinger registreres i handlingsloggen.
• Udgående handlinger sker kun, efter at en person har godkendt dem.
• Serveradgang begrænset til navngivne personer hos Fidanet Solution Oy.
• Researchagent: kun offentlige kilder, identificerer sig som ToimeenBot, respekterer robots.txt, research om enkeltpersoner slået fra som standard, resultater slettes efter 180 dage som standard.

Bilag III: Underdatabehandlere

Tjenester, som du vælger at tilslutte (din postkasse, dit regnskabsprogram, dit kassesystem, Telegram og andre), er ikke vores underdatabehandlere: de handler under deres egne aftaler med dig.