Databehandleraftale — PlainMail

Senest opdateret: [DATO INDSÆTTES VED OFFENTLIGGØRELSE]

Før du offentliggør dette dokument: Dette dokument er udarbejdet af en AI-assistent på baggrund af en teknisk gennemgang af PlainMails kildekode og er opbygget efter kravene i GDPR artikel 28, stk. 3 — det skal betragtes som et solidt udkast, ikke som færdig juridisk rådgivning. Det bør gennemgås af en kvalificeret advokat før offentliggørelse eller anvendelse, særligt afsnittene om ansvar, revisionsrettigheder og underdatabehandlere, samt mekanismen for, hvordan en Kunde anses for at have accepteret aftalen (se afsnit 15). Alle steder med [FIRKANTEDE PARENTESER] er en pladsholder.

Dette er en dansk oversættelse af den engelske databehandleraftale. Ved uoverensstemmelse mellem den danske og engelske version anbefales det at fastlægge, hvilken version der er gældende, inden offentliggørelse — se DATA_PROCESSING_AGREEMENT.md.

Denne databehandleraftale ("Aftalen") udgør en del af aftalen mellem:

Aigu (CVR 41887249), som driver PlainMail-tjenesten ("Databehandler," "vi," "os"), og

den kunde, der indgår aftale med os om brug af PlainMail ("Dataansvarlig," "Kunde," "du"),

tilsammen "Parterne."

Denne Aftale gælder, når vi behandler personoplysninger på dine vegne i forbindelse med levering af PlainMail-tjenesten, og afspejler kravene i artikel 28 i databeskyttelsesforordningen (EU) 2016/679 ("GDPR").

1. Definitioner

Udtryk som "personoplysninger," "behandling," "dataansvarlig," "databehandler," "registreret," "brud på persondatasikkerheden," og "tilsynsmyndighed" har den betydning, der fremgår af GDPR. "Underdatabehandler" betyder enhver databehandler, som vi antager til at bistå med behandling af personoplysninger på dine vegne.

2. Genstand, varighed og roller

2.1 Denne Aftale regulerer vores behandling af personoplysninger indeholdt i de kontakter, lister, formularer og relaterede data, du uploader, importerer eller indsamler gennem PlainMail ("Kundedata"), i den periode du anvender tjenesten, og derefter så længe vi opbevarer Kundedata i overensstemmelse med afsnit 10.

2.2 Du er dataansvarlig for Kundedata. Vi er databehandler og handler alene efter din dokumenterede instruks, som fastsat i afsnit 3.

2.3 Denne Aftale finder ikke anvendelse på data, vi behandler om dig og dine egne teammedlemmer i vores egenskab af dataansvarlig for dine kontooplysninger (loginoplysninger, faktureringsoplysninger m.v.) — dette forhold er reguleret af vores privatlivspolitik, ikke af denne Aftale.

3. Omfang, karakter og formål med behandlingen

Vi behandler Kundedata udelukkende for at levere PlainMail-tjenesten til dig, hvilket omfatter:

• Opbevaring og administration af de kontakter, lister, segmenter og brugerdefinerede felter, du opretter eller importerer
• Afsendelse af e-mailkampagner, automatiseringer og transaktionsmeddelelser, du konfigurerer, på dine vegne
• Registrering af leverings-, afvisnings-, klage-, afmeldings-, åbnings- og klikhændelser knyttet til disse udsendelser
• Drift af tilmeldingsformularer og registrering af formularbesvarelser, herunder bekræftelser ved dobbelt tilmelding ("double opt-in"), som du konfigurerer
• Enhver anden behandling, der med rimelighed er nødvendig for at levere tjenestens dokumenterede funktioner, eller som vi i øvrigt aftaler skriftligt med dig

Vi vil ikke behandle Kundedata til andre formål, herunder vores egen markedsføring, profilering eller analyse uden sammenhæng med levering af tjenesten, uden din forudgående skriftlige instruks.

4. Kategorier af registrerede

De personer, hvis oplysninger kan være indeholdt i Kundedata, er typisk:

• Dine kunder, abonnenter, nyhedsbrevsmodtagere og hjemmesidebesøgende, der har udfyldt en formular eller på anden måde er tilføjet til en liste, du administrerer i PlainMail

5. Kategorier af personoplysninger

Kundedata kan omfatte:

• E-mailadresse, fornavn og efternavn
• Værdier i brugerdefinerede felter, du konfigurerer og indsamler (som kan omfatte enhver kategori af data, du vælger at indsamle — du er ansvarlig for at sikre, at du har et retsgrundlag for at indsamle og behandle disse)
• Tags og listemedlemskaber
• Engagementsdata: leveringsstatus, åbninger, klik, afvisninger, klager og afmeldinger
• Registreringer af formularbesvarelser, herunder samtykkeindikatorer, hvor du konfigurerer et samtykkefelt

Vi behandler ikke bevidst særlige kategorier af personoplysninger (art. 9 GDPR) og har ikke designet PlainMail til at kræve dette — men fordi brugerdefinerede felter og formularfelter frit kan konfigureres af dig, er du ansvarlig for ikke at indsamle særlige kategorier af oplysninger via PlainMail, medmindre du selvstændigt har vurderet, at du lovligt kan gøre dette, og har implementeret passende sikkerhedsforanstaltninger; kontakt os venligst, inden du gør dette, da vores standardtekniske foranstaltninger ikke er designet hertil.

6. Vores forpligtelser som databehandler

Vi vil:

a. Kun behandle Kundedata efter din dokumenterede instruks, herunder for så vidt angår overførsler til tredjelande, medmindre andet kræves i henhold til EU-ret eller medlemsstaternes nationale ret (i så fald vil vi underrette dig, inden vi behandler oplysningerne, medmindre dette er forbudt);

b. Sikre, at personer med bemyndigelse til at behandle Kundedata er underlagt fortrolighedsforpligtelser;

c. Gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen, som beskrevet i afsnit 9;

d. Overholde betingelserne i afsnit 8 vedrørende brug af underdatabehandlere;

e. Under hensyntagen til behandlingens karakter bistå dig, så vidt det er muligt, med passende tekniske og organisatoriske foranstaltninger med henblik på opfyldelse af din forpligtelse til at besvare anmodninger fra registrerede om at udøve deres rettigheder efter GDPR;

f. Bistå dig med at sikre overholdelse af dine forpligtelser vedrørende behandlingssikkerhed, underretning om brud på persondatasikkerheden, konsekvensanalyser vedrørende databeskyttelse samt forudgående høring af tilsynsmyndigheder, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for os;

g. Efter dit valg slette eller returnere alle Kundedata ved afslutningen af leveringen af tjenesteydelser, jf. afsnit 10;

h. Stille de oplysninger til rådighed for dig, som med rimelighed er nødvendige for at dokumentere overholdelse af denne Aftale, og muliggøre og bidrage til revisioner, som beskrevet i afsnit 11.

7. Dine forpligtelser som dataansvarlig

Du indestår for, at:

a. Du har et retsgrundlag efter GDPR (eller tilsvarende gældende lovgivning) for alle Kundedata, du uploader, importerer eller indsamler via PlainMail, herunder et gyldigt retsgrundlag for at sende markedsføringskommunikation til hver kontakt (f.eks. gyldigt samtykke eller et eksisterende kundeforhold anerkendt efter gældende ret);

b. Hvor du anvender PlainMails funktioner til import af kontakter eller "automatisk opt-in," er du alene ansvarlig for lovligheden af det samtykke eller andet grundlag, du gør gældende for disse kontakter — PlainMail verificerer ikke selvstændigt kilden til eller gyldigheden af importeret samtykke;

c. Du vil give registrerede enhver oplysning, der kræves efter GDPR artikel 13-14, vedrørende din behandling af deres oplysninger via PlainMail (f.eks. din egen privatlivsmeddelelse);

d. Du vil håndtere henvendelser fra registrerede, som du modtager direkte, ved brug af PlainMails tilgængelige funktionalitet (såsom håndtering af afmeldinger) og, om nødvendigt, ved at kontakte os for assistance i henhold til afsnit 6(e);

e. Dine instrukser til os, herunder gennem din brug af tjenestens konfigurationsmuligheder, ikke vil medføre, at vi overtræder GDPR eller anden gældende persondataret.

8. Underdatabehandlere

8.1 Du giver hermed generel tilladelse til, at vi antager følgende underdatabehandlere, samt enhver efterfølger eller erstattende tjenesteudbyder, der anvendes til samme formål:

8.2 Vi vil underrette dig om enhver påtænkt tilføjelse eller udskiftning af underdatabehandlere, der behandler Kundedata, og give dig mulighed for at gøre indsigelse på rimelige, dokumenterede grunde vedrørende databeskyttelse. Hvis du gør indsigelse, og vi ikke er i stand til at løse indsigelsen, kan enhver af Parterne opsige den berørte del af tjenesten.

8.3 Vi forbliver fuldt ansvarlige over for dig for opfyldelsen af enhver underdatabehandlers forpligtelser, som havde vi selv udført dem.

9. Sikkerhedsforanstaltninger

Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger samt behandlingens karakter, omfang, sammenhæng og formål, og risikoen for registrerede, gennemfører vi følgende foranstaltninger:

• Kryptering af data under transmission (HTTPS/TLS) mellem din browser, vores applikation og vores infrastruktur
• Hashing af adgangskoder med en branchestandardalgoritme; valgfri to-faktor-godkendelse for dit teams konti
• Logisk adskillelse af hver Kundes data inden for vores multi-tenant-applikation, håndhævet på applikationsniveau
• Hastighedsbegrænsning og kontrol mod datalækdatabaser for at reducere risici relateret til legitimationsoplysninger
• Begrænset adgang til produktionssystemer, forbeholdt autoriserede medarbejdere
• Regelmæssige sikkerhedskopier af produktionsdata, beskyttet af restriktiv adgangskontrol, for at beskytte mod utilsigtet datatab

Vi krypterer p.t. ikke Kundedata, hverken i vores produktionsdatabase eller i sikkerhedskopier, ud over den beskyttelse, der følger af adgangskontrol på operativsystemniveau, som beskrevet ovenfor. Hvis dette er et krav for din organisation, bedes du kontakte os for at drøfte dette, inden du anvender tjenesten til særligt følsomme data.

10. Sletning og returnering af data

10.1 I aftaleperioden kan du selv slette individuelle kontakter, lister eller andre Kundedata gennem tjenesten, eller anmode om vores assistance hertil.

10.2 Ved din kontos ophør sletter vi Kundedata knyttet til din konto fra vores produktionssystemer. Du kan anmode om en eksport af dine Kundedata inden ophør; vi garanterer p.t. ikke en automatiseret eksport af alle datakategorier, så kontakt os venligst i god tid, inden du lukker din konto, hvis du har brug for dette.

10.3 Resterende kopier af slettede Kundedata kan forblive i en begrænset periode i sikkerhedskopier (se afsnit 9), inden de fjernes i forbindelse med den løbende rotation af sikkerhedskopier.

11. Revisioner og oplysninger

Efter rimelig skriftlig anmodning, og højst én gang om året (medmindre der er tale om opfølgning på et brud på persondatasikkerheden, eller det kræves af en tilsynsmyndighed), vil vi stille de oplysninger til rådighed for dig, som med rimelighed er nødvendige for at dokumentere overholdelse af denne Aftale. Som følge af vores organisations størrelse vil vi som udgangspunkt gøre dette ved at stille dokumentation og skriftlige svar på rimelige spørgsmål til rådighed frem for fysiske revisioner; fysiske eller tredjepartsrevisioner kan aftales ved gensidig skriftlig aftale, for din rimelige regning.

12. Brud på persondatasikkerheden

Vi vil underrette dig uden unødig forsinkelse, efter at vi er blevet opmærksomme på et brud på persondatasikkerheden, der berører Kundedata, og give dig de oplysninger, der med rimelighed er tilgængelige for os, for at hjælpe dig med at opfylde dine egne underretningsforpligtelser efter GDPR artikel 33-34. Denne underretning udgør ikke en erkendelse af skyld eller ansvar.

13. Overførsler til tredjelande

Vores primære infrastruktur (Hetzner) og e-mail-levering (Mailgun EU) holder Kundedata inden for Det Europæiske Økonomiske Samarbejdsområde (EØS). Hvis en overførsel af Kundedata uden for EØS måtte blive nødvendig, vil vi sikre, at den er underlagt passende sikkerhedsforanstaltninger i henhold til GDPR kapitel V (såsom en tilstrækkelighedsafgørelse eller standardkontraktbestemmelser), inden overførslen finder sted.

14. Ansvar

Hver Parts ansvar, der opstår i forbindelse med denne Aftale, er underlagt de ansvarsbegrænsninger og -fraskrivelser, der fremgår af hovedaftalen mellem Parterne. [SKAL AFSTEMMES MED DINE ALMINDELIGE VILKÅR OG BETINGELSER — juridisk gennemgang anbefales.]

15. Forrang og accept

15.1 Denne Aftale supplerer og udgør en del af vores almindelige vilkår og betingelser/kundeaftale med dig. I tilfælde af konflikt specifikt vedrørende behandling af personoplysninger har denne Aftale forrang.

15.2 [PLADSHOLDER — accept-mekanisme: PlainMails tilmeldingsflow indeholder p.t. ikke et eksplicit accepttrin for vilkår og betingelser eller denne Aftale. Før du lægger dig fast på, at dette dokument er bindende, bør du tilføje en accept-mekanisme — f.eks. et afkrydsningsfelt ved tilmelding/accept af invitation, der henviser til både vilkårene og denne Aftale, samt logge accepten (hvem, hvornår, hvilken version) af bevismæssige hensyn. Dette er en produktændring, ikke blot en dokumentændring — drøft med din udvikler/advokat.]

16. Lovvalg

Denne Aftale er underlagt dansk ret, uden hensyn til lovvalgsregler. [BEKRÆFT MED ADVOKAT, ISÆR HVIS DU HAR KUNDER UDEN FOR DANMARK/EU.]

17. Kontakt

Aigu
E-mail: kontakt@plainmail.dk
CVR: 41887249
Krastrupvej 8, 9240 Nibe, Danmark