1. Parter og baggrund
Aftalen indgås mellem kunden (den virksomhed, der har oprettet kontoen — "den dataansvarlige") og Gryning Solutions, CVR 35349928 ("databehandleren"). Databehandleren leverer det cloudbaserede regnskabssystem Argenta og behandler i den forbindelse personoplysninger på den dataansvarliges vegne.
2. Behandlingens karakter og formål
| Emne | Beskrivelse |
|---|---|
| Formål | Drift af bogførings- og bilagssystem: registrering, opbevaring og behandling af regnskabsmateriale, fakturering, e-fakturaudveksling, bankafstemning og AI-assisteret bilagsanalyse (tilvalg) |
| Varighed | Så længe kundeforholdet består, samt den efterfølgende slette-/udleveringsperiode (pkt. 9) |
| Kategorier af registrerede | Den dataansvarliges medarbejdere, kunder, leverandører og andre forretningsforbindelser |
| Typer af personoplysninger | Almindelige oplysninger: navne, kontaktoplysninger, stillingsbetegnelser, betalings- og fakturaoplysninger samt oplysninger, der fremgår af bilag, som den dataansvarlige uploader |
Systemet er ikke tiltænkt behandling af følsomme oplysninger (GDPR art. 9) eller oplysninger om strafbare forhold; den dataansvarlige bør ikke uploade sådanne oplysninger.
3. Instruks
Databehandleren behandler alene personoplysninger efter dokumenteret instruks fra den dataansvarlige. Instruksen udgøres af denne aftale samt de handlinger, den dataansvarlige foretager i systemet (fx upload af bilag, afsendelse af fakturaer, aktivering af AI-funktioner). Databehandleren underretter den dataansvarlige, hvis en instruks efter databehandlerens opfattelse strider mod GDPR.
4. Fortrolighed
Personer med adgang til personoplysningerne hos databehandleren er underlagt fortrolighed. Adgangen er begrænset til, hvad der er nødvendigt for drift og support, og al support-adgang logges.
5. Sikkerhed (TOMs)
Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger, jf. GDPR art. 32, som beskrevet i den til enhver tid gældende IT-sikkerhedsdokumentation: argenta.dk/it-sikkerhed (kryptering i transit og hvile, adgangsstyring, auditlog, automatisk backup i separat isoleret miljø, årlig risikovurdering m.v.).
6. Underdatabehandlere
Den dataansvarlige giver generel godkendelse til brug af underdatabehandlere. Ved tilføjelse eller udskiftning varsles den dataansvarlige mindst 30 dage forud via systemet eller e-mail og kan gøre indsigelse; fastholdes indsigelsen, kan aftalen opsiges. Aktuelle underdatabehandlere:
| Underdatabehandler | Ydelse | Lokation |
|---|---|---|
| Google Cloud EMEA Ltd. (Google Cloud/Firebase) | Hosting, database, filopbevaring, backup | EU (eur3: Belgien/Holland; europe-west1: Belgien) |
| OpenAI (kun ved aktiverede AI-funktioner) | AI-analyse af bilag og forespørgsler | USA — overførsel baseret på EU-standardkontraktbestemmelser/EU-U.S. Data Privacy Framework; data anvendes ikke til modeltræning |
7. Bistand til den dataansvarlige
Databehandleren bistår, under hensyn til behandlingens karakter, den dataansvarlige med at besvare anmodninger om registreredes rettigheder og med at opfylde forpligtelserne i GDPR art. 32-36. Systemets eksport- og sletningsfunktioner stilles til rådighed som led i bistanden. Bistand ud over, hvad systemet selv understøtter, kan faktureres efter medgået tid.
8. Brud på persondatasikkerheden
Databehandleren underretter den dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden og bistår med de oplysninger, der er nødvendige for den dataansvarliges eventuelle anmeldelse til Datatilsynet.
9. Sletning og tilbagelevering ved ophør
Ved kundeforholdets ophør kan den dataansvarlige eksportere sit fulde regnskabsmateriale i SAF-T-format i indtil 30 dage. Herefter sletter databehandleren personoplysningerne, medmindre lovgivning kræver fortsat opbevaring. Demokonti slettes automatisk 24 timer efter oprettelse.
10. Dokumentation og revision
Databehandleren stiller den offentliggjorte IT-sikkerhedsdokumentation og denne aftale til rådighed som dokumentation for overholdelse af art. 28. Den dataansvarlige kan én gang årligt, med rimeligt varsel og for egen regning, anmode om yderligere dokumentation eller revision, i det omfang dokumentationen ikke allerede besvarer spørgsmålet.
11. Varighed og forrang
Aftalen gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige. Ved modstrid mellem denne aftale og vilkårene har denne aftale forrang for så vidt angår behandling af personoplysninger.