Tjekkisk version (bindende)
Sprog: Dansk
ČeštinaEnglishБългарскиDanskDeutschΕλληνικάEspañolEestiSuomiFrançaisHrvatskiMagyarItalianoLietuviųLatviešuNorsk bokmålNederlandsPolskiPortuguêsRomânăSlovenčinaSlovenščinaSvenska

Databehandleraftale

Bilag til Servicevilkårene · gældende fra 2026-10-06 · Dansk oversættelse; den tjekkiske version har forrang

Denne aftale i henhold til artikel 28 i forordning (EU) 2016/679 (»databeskyttelsesforordningen«) indgås mellem den Organisation, der anvender platformen Negotiq (»den Dataansvarlige«), og SynQflows, s.r.o., ID-nr. 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (»Databehandleren«), og udgør en del af Servicevilkårene. Den indgås ved accept af Servicevilkårene og gælder i Aftalens løbetid. Udtryk skrevet med stort begyndelsesbogstav har den betydning, der er fastsat i Servicevilkårene.

1. Behandlingens genstand og omfang

Genstandbehandling af personoplysninger, som den Dataansvarlige eller dennes Brugere lægger på Platformen, eller som Platformen modtager eller sender efter deres instruks: Brugerindhold (Forespørgsler, specifikationer, vedhæftede filer, prislister, oplysninger om kolleger og kontaktpersoner), meddelelser sendt til Modtageadressen, adgangsoplysninger til tilsluttede systemer og oplysninger hentet fra disse samt oplysninger sendt til den Dataansvarliges Webhooks
Karakter og formålopbevaring, videregivelse til autoriserede personer og til modparter i forhandlinger, import og konvertering af prislister, modtagelse og vurdering af e-mailmeddelelser, hentning af oplysninger fra tilsluttede systemer, eksport af ordrer, afsendelse af notifikationer til Webhooks, sikkerhedskopiering og anden teknisk behandling, der er nødvendig for at levere Platformen
Kategorier af registrerededen Dataansvarliges ansatte og samarbejdspartnere; kontaktpersoner hos dennes forretningspartnere; afsendere af meddelelser til Modtageadressen; personer, hvis oplysninger indgår i en prisliste hentet fra et tilsluttet system
Kategorier af oplysningeridentifikations- og kontaktoplysninger (navn, arbejdsmail, telefon, stilling); oplysninger om e-mailmeddelelser (afsender, modtager, emne, modtagelsestidspunkt, resultater af verifikation af afsenderen) og deres vedhæftede filer; loginoplysninger til tilsluttede systemer; andre oplysninger, som den Dataansvarlige indsætter i indholdet. Den Dataansvarlige lægger ikke særlige kategorier af personoplysninger eller oplysninger om straffedomme på Platformen
Varighedi Aftalens løbetid og indtil sletning i henhold til artikel 8; meddelelser modtaget på Modtageadressen 90 dage fra modtagelsen; registreringer af levering til Webhooks højst 90 dage

2. Den Dataansvarliges instrukser

  1. Databehandleren behandler kun personoplysninger efter dokumenterede instrukser fra den Dataansvarlige, herunder for så vidt angår overførsler til tredjelande. Instrukserne gives ved Servicevilkårene, denne aftale og Platformens indstillinger; ved at opsætte en Integration (Modtageadresse, ERP-tilslutning, Webhook, API-nøgle til en tredjepartsagent) instruerer den Dataansvarlige om behandling i det omfang, Integrationen kræver. Yderligere instrukser gives af Organisationsadministratoren i tekstform.
  2. Hvis Databehandleren mener, at en instruks er i strid med databeskyttelsesforordningen eller andre databeskyttelsesregler, underretter den straks den Dataansvarlige herom og er ikke forpligtet til at udføre instruksen, før den Dataansvarlige har udtalt sig.
  3. Hvis EU-retten eller medlemsstaternes nationale ret pålægger Databehandleren at behandle oplysningerne, underretter den den Dataansvarlige herom på forhånd, medmindre den pågældende ret forbyder dette (artikel 28, stk. 3, litra a), i databeskyttelsesforordningen).
  4. Databehandleren behandler ikke den Dataansvarliges personoplysninger til egne formål. Anonymiserede og aggregerede statistikker (artikel 11, stk. 2, i Servicevilkårene) indeholder ingen personoplysninger. Registreringer i Revisionskæden, Kvitteringer og AP2-registreringer behandler Databehandleren som selvstændig dataansvarlig i henhold til Privatlivspolitikken, ikke i henhold til denne aftale.
  5. Den Dataansvarlige er ansvarlig for behandlingens lovlighed, for at informere de registrerede og for at være berettiget til at lægge personoplysningerne på Platformen og til at give adgang til tilsluttede systemer.

3. Databehandlerens forpligtelser

  1. Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
  2. Databehandleren gennemfører de tekniske og organisatoriske foranstaltninger i henhold til artikel 32 i databeskyttelsesforordningen, som er angivet i Bilag 1. Den kan ændre foranstaltningerne, forudsat at det samlede sikkerhedsniveau ikke forringes herved.
  3. Databehandleren bistår den Dataansvarlige med at besvare anmodninger fra registrerede, primært ved hjælp af Platformens værktøjer (eksport af data i JSON-format, berigtigelse, sletning af en Brugers konto eller af Organisationen). En anmodning, som den modtager direkte fra en registreret, videresender den uden unødig forsinkelse til den Dataansvarlige og besvarer den ikke selv i realiteten.
  4. Databehandleren bistår den Dataansvarlige med at overholde forpligtelserne i henhold til artikel 32-36 i databeskyttelsesforordningen (sikkerhed, anmeldelse af brud, konsekvensanalyse og forudgående høring) under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for den.

4. Underdatabehandlere

  1. Den Dataansvarlige giver Databehandleren en generel godkendelse til at gøre brug af underdatabehandlere. Aktuel liste:
    UnderdatabehandlerAktivitetPlacering, garantier
    Railway Corporationhosting af applikation og database, sikkerhedskopierUSA / EU; standardkontraktbestemmelser (modul 3) eller EU-U.S. Data Privacy Framework
    Anthropic, PBCkonvertering af ustrukturerede prislister til tabeller (kun når funktionen anvendes)USA; standardkontraktbestemmelser (modul 3); ingen træning af modeller på data
    udbyder af e-mailmodtagelse (den konkrete udbyder vil blive tilføjet denne liste, før funktionen tages i brug)modtagelse af meddelelser sendt til Modtageadresser og videregivelse af dem til Platformenangives sammen med udbyderen; overførsler uden for EØS kun med garantier i henhold til artikel 7
    udbyder af e-mailtjeneste (SMTP)levering af fakturaer, rykkere og driftsmeddelelser (modtagerens adresse og meddelelsens indhold)EU
  2. Databehandleren underretter den Dataansvarlige om enhver påtænkt tilføjelse eller udskiftning af en underdatabehandler mindst 14 dage i forvejen på Platformen eller pr. e-mail til Organisationsadministratoren. Inden for denne frist kan den Dataansvarlige gøre indsigelse af rimelige grunde vedrørende databeskyttelse. Parterne vil søge at finde en løsning; kan de ikke det, kan den Dataansvarlige uden sanktion opsige Aftalen med virkning, inden underdatabehandleren tages i brug.
  3. Databehandleren pålægger ved kontrakt underdatabehandlere de samme databeskyttelsesforpligtelser, som Databehandleren har i henhold til denne aftale, herunder tilstrækkelige garantier for gennemførelse af tekniske og organisatoriske foranstaltninger, og forbliver over for den Dataansvarlige ansvarlig for opfyldelsen af deres forpligtelser (artikel 28, stk. 4, i databeskyttelsesforordningen).
  4. Systemer, som den Dataansvarlige selv har valgt (tilsluttede ERP-systemer, produktfeeds, Webhook-endepunkter og tredjepartsagenter), er ikke Databehandlerens underdatabehandlere; Databehandleren videregiver oplysninger til dem efter den Dataansvarliges instruks.

5. Brud på persondatasikkerheden

  1. Databehandleren underretter den Dataansvarlige om et brud på persondatasikkerheden uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med det, pr. e-mail til Organisationsadministratoren og på Platformen.
  2. Underretningen indeholder de oplysninger i henhold til artikel 33, stk. 3, i databeskyttelsesforordningen, som Databehandleren har til rådighed (bruddets karakter, kategorier og omtrentligt antal berørte registrerede og registreringer, kontaktpunkt, sandsynlige konsekvenser og trufne eller foreslåede foranstaltninger); oplysninger, der endnu ikke er kendt, gives trinvis.
  3. Databehandleren træffer straks foranstaltninger til at håndtere bruddet og afbøde dets virkninger, samarbejder med den Dataansvarlige og dokumenterer bruddet. En underretning udgør ikke en anerkendelse af ansvar.

6. Oplysninger og revisioner

  1. Databehandleren stiller de oplysninger til rådighed for den Dataansvarlige, som er nødvendige for at påvise overholdelse af artikel 28 i databeskyttelsesforordningen, primært gennem dokumentet Sikkerhed og tillid og besvarelse af et rimeligt sikkerhedsspørgeskema.
  2. Hvis disse oplysninger ikke er tilstrækkelige, giver Databehandleren mulighed for revision foretaget af den Dataansvarlige eller af en uafhængig revisor, der er underlagt tavshedspligt og ikke er konkurrent til Databehandleren, med mindst 30 dages varsel, højst én gang pr. kalenderår (undtagen i tilfælde af et brud på persondatasikkerheden eller efter anmodning fra en tilsynsmyndighed), for den Dataansvarliges regning, uden adgang til andre kunders oplysninger og uden at bringe deres sikkerhed i fare.
  3. Tilsynsmyndighedernes undersøgelsesbeføjelser berøres ikke.

7. Overførsler uden for EØS

  1. Overførsler til tredjelande finder kun sted med garantier i henhold til kapitel V i databeskyttelsesforordningen.
  2. Overfører Databehandleren personoplysninger til en underdatabehandler i et tredjeland, for hvilket der ikke foreligger en afgørelse om tilstrækkeligheden af beskyttelsesniveauet (eller hvis modtageren ikke er certificeret under EU-U.S. Data Privacy Framework), indgår den med denne standardkontraktbestemmelser i henhold til Kommissionens gennemførelsesafgørelse (EU) 2021/914, modul 3 (overførsel fra databehandler til databehandler), vurderer retstilstanden i modtagerens land og træffer supplerende foranstaltninger (navnlig kryptering under overførsel og ved opbevaring samt dataminimering).
  3. Den Dataansvarlige godkender hermed sådanne overførsler. Databehandleren udleverer efter anmodning en kopi af garantierne til den Dataansvarlige; forretningsmæssige vilkår kan være overstreget.

8. Sletning og tilbagelevering af oplysninger

  1. I Aftalens løbetid kan den Dataansvarlige til enhver tid eksportere Organisationens data i JSON-format og selv slette oplysninger.
  2. Efter Aftalens ophør skal Databehandleren efter den Dataansvarliges valg tilbagelevere (eksport) eller slette personoplysningerne, herunder kopier, inden for 30 dage, medmindre lovgivningen kræver fortsat opbevaring. Sikkerhedskopier overskrives i den sædvanlige cyklus senest inden for 90 dage; indtil da er de beskyttede og anvendes ikke.
  3. Meddelelser modtaget på Modtageadressen slettes automatisk efter 90 dage. Databehandleren ophører straks med at anvende adgangsoplysningerne til et tilsluttet system, når tilslutningen fjernes, og sletter dem senest i overensstemmelse med stk. 2.
  4. Denne artikel gælder ikke for de registreringer, der er omhandlet i artikel 2, stk. 4, 2. og 3. pkt.

9. Ansvar, forrang og lovvalg

Parternes ansvar følger artikel 82 i databeskyttelsesforordningen og Servicevilkårene, herunder disses ansvarsbegrænsninger, i det omfang loven tillader det. I spørgsmål om beskyttelse af personoplysninger har denne aftale forrang for Servicevilkårene. Denne aftale er underlagt tjekkisk ret.

Bilag 1 — Tekniske og organisatoriske foranstaltninger

En mere detaljeret beskrivelse findes i dokumentet Sikkerhed og tillid.