Databehandleraftale

Tootela drives af Tootela SAS, et fransk selskab. Denne DPA leveres på dansk af praktiske hensyn; i tilfælde af tvist gælder fransk ret, som anført i Servicevilkår.

1. Parter

Denne databehandleraftale ("DPA") indgås mellem Tootela SAS ("Databehandler" eller "Tootela") og den kunde, der har accepteret Tootelas Servicevilkår ("Dataansvarlig" eller "Kunde"). Den udgør en del af Servicevilkårene og finder anvendelse, hver gang Tootela behandler personoplysninger på vegne af Kunden.

2. Definitioner

De her anvendte begreber med stort begyndelsesbogstav har den betydning, der er fastsat i EU's databeskyttelsesforordning 2016/679 ("GDPR"), medmindre andet er angivet. "Personoplysninger", "Registreret", "Behandling", "Dataansvarlig", "Databehandler", "Underdatabehandler" følger GDPR-definitionerne. "Kundeindhold" har den betydning, der er angivet i Servicevilkårene.

3. Genstand og varighed

Genstanden, arten, formålet, typerne af personoplysninger og kategorierne af registrerede er beskrevet i Bilag A. Denne DPA finder anvendelse i Kundens abonnementsperiode samt den periode efter ophør, der er nødvendig for at returnere eller slette data, som beskrevet i afsnit 12.

4. Behandling kun efter dokumenteret instruks

Tootela behandler kun personoplysninger efter Kundens dokumenterede instruks, som omfatter Servicevilkårene, de konfigurationsvalg, der er foretaget i Kundens arbejdsområde, og enhver yderligere instruks aftalt skriftligt. Tootela underretter Kunden, hvis Tootela vurderer, at en instruks er i strid med GDPR eller anden gældende databeskyttelseslovgivning.

Tootela overfører ikke personoplysninger uden for denne DPA's anvendelsesområde, sælger ikke personoplysninger og bruger ikke Kundeindhold til at træne AI-modeller (og forbyder kontraktligt sin AI-underdatabehandler at gøre dette).

5. Fortrolighed

Tootela sikrer, at personale, der er autoriseret til at behandle personoplysninger, er underlagt passende fortrolighedsforpligtelser og er uddannet i databeskyttelse.

6. Sikkerhedsforanstaltninger

Tootela gennemfører passende tekniske og organisatoriske foranstaltninger (TOF) for at sikre et sikkerhedsniveau, der passer til risikoen. De aktuelle TOF er beskrevet i Bilag B. Tootela kan fra tid til anden opdatere TOF, forudsat at beskyttelsesniveauet ikke reduceres.

7. Underdatabehandlere

Kunden bemyndiger Tootela til at anvende de underdatabehandlere, der er anført i Bilag C, samt enhver anden underdatabehandler, der meddeles Kunden mindst 30 dage, før den påbegynder behandling af personoplysninger. Kunden kan gøre indsigelse mod en ny underdatabehandler af rimelige grunde (databeskyttelse); hvis parterne ikke kan nå til enighed inden for 15 dage, kan Kunden opsige den berørte tjeneste efter eget skøn. Tootela pålægger enhver underdatabehandler kontraktlige forpligtelser, der ikke er mindre beskyttende end denne DPA's.

8. Bistand med registreredes rettigheder

Kunden kan opfylde mange anmodninger fra registrerede direkte gennem produktets normale funktioner (visning, rettelse og sletning af poster i sit eget arbejdsområde). For anmodninger, der kræver Tootelas støtte : herunder anmodninger om indsigt, dataportabilitet eller sletning, der går ud over, hvad arbejdsområdets værktøjer tillader : kontakter Kunden contact@tootela.net, og Tootela yder bistand ved passende tekniske og organisatoriske foranstaltninger under hensyntagen til behandlingens art.

Hvis en registreret kontakter Tootela direkte med en anmodning vedrørende Kundens behandling, videresender Tootela anmodningen til Kunden.

9. Underretning om brud på persondatasikkerheden

Tootela underretter Kunden uden unødig forsinkelse (og under alle omstændigheder inden for 48 timer), efter at Tootela er blevet opmærksom på et brud på persondatasikkerheden, der berører Kundens data. Underretningen omfatter bruddets art, kategorierne og det omtrentlige antal berørte registrerede og poster, de sandsynlige konsekvenser samt de foranstaltninger, der er truffet eller foreslået for at håndtere bruddet.

10. Internationale overførsler

Personoplysninger behandles primært i Den Europæiske Union (standardregion: eu-west-3 (Paris, France)). Når personoplysninger overføres uden for EØS, baserer Tootela sig på:

• En tilstrækkelighedsafgørelse i henhold til GDPR artikel 45, eller
• EU's standardkontraktbestemmelser (Modul 3, Databehandler-til-Databehandler for underdatabehandlere) godkendt ved Kommissionens gennemførelsesafgørelse (EU) 2021/914, suppleret med passende tekniske og organisatoriske foranstaltninger (kryptering, pseudonymisering, adgangskontroller).

SCC'erne er indarbejdet ved henvisning. Kunden accepterer dem som dataeksportør; Tootela accepterer dem som dataimportør for overførsler til sine underdatabehandlere uden for EØS.

11. Revisionsrettigheder

Tootela stiller alle oplysninger, der er nødvendige for at påvise overholdelse af GDPR artikel 28, til rådighed for Kunden. Revisioner opfyldes normalt ved:

• sikkerhedssiden, der holdes ajour
• Skriftlige svar på Kundens rimelige sikkerhedsspørgeskemaer

Hvis disse ressourcer er utilstrækkelige, kan Kunden anmode om en revision på stedet, udført for Kundens regning, med et skriftligt varsel på mindst 30 dage, højst én gang om året, i arbejdstiden og med forbehold for et gensidigt aftalt omfang og fortrolighed.

12. Tilbagelevering og sletning af data

Ved abonnementets ophør har Kunden 30 dage til at eksportere sit Kundeindhold : via produktet, hvor den relevante app tilbyder en eksport, eller ved at anmode om en eksport fra contact@tootela.net. Efter dette vindue sletter Tootela alle Kundens personoplysninger fra sine produktionssystemer, undtagen hvad der kræves af hensyn til lovpligtig opbevaring (f.eks. faktureringsdata). Sikkerhedskopier overskrives i henhold til backupudbyderens rotationsplan.

13. Ansvar

Ansvarsbestemmelserne i Servicevilkårene gælder ligeledes for denne DPA. Intet i denne DPA begrænser eller udelukker ansvar, der ikke kan udelukkes i henhold til gældende ret.

Bilag A : Beskrivelse af behandlingen

Genstand

Levering af Tootela-forretningsoperativsystemet (chat, mail, kalender, dokumenter, drev, projekter, CRM, helpdesk, HR, AI-assistent og relaterede funktioner).

Art og formål

Hosting, lagring, transmission, visning, indeksering, søgning, behandling og beskyttelse af Kundeindhold som konfigureret af Kunden i dennes arbejdsområde.

Varighed

I Kundens abonnementsperiode, plus 30 dage til eksport, plus backuprotationsperioden.

Kategorier af registrerede

• Kundens medarbejdere og underleverandører
• Kundens kunder, potentielle kunder og kontakter
• Jobansøgere (hvis Kunden bruger rekrutteringsappen)
• Enhver anden registreret, hvis personoplysninger Kunden vælger at behandle via Tootela

Kategorier af personoplysninger

• Identifikationsoplysninger (navn, e-mail, telefon, rolle)
• Erhvervsoplysninger (arbejdsgiver, titel, afdeling)
• Kommunikationsindhold (beskeder, e-mails, dokumenter, kommentarer, filer)
• Aktivitetsdata (kalenderbegivenheder, opgaver, aftaler, sager)
• Autentificeringsdata (hash-behandlede adgangskoder, verifikationskoder, sessionstokens)
• Tekniske data (IP, browser, enhed, logfiler)
• Særlige kategorier af data : kun hvis Kunden vælger at uploade dem; Tootela kræver ikke data i særlige kategorier

Bilag B : Tekniske og organisatoriske foranstaltninger

De aktuelle TOF er dokumenteret på sikkerhedssiden og indarbejdet her ved henvisning. Væsentligste kontroller:

• TLS-kryptering under overførsel; kryptering i hvile administreret af vores infrastrukturudbydere
• Autentificering administreret af Supabase Auth : adgangskoder hash-behandlet, aldrig lagret i klartekst; tofaktorautentificering via e-mailkode tilgængelig
• Sikkerhed på rækkeniveau (row-level security) i databasen til isolering af lejere
• Rollebaseret adgangskontrol inden for hvert arbejdsområde
• Produktionsadgang begrænset til et lille antal autoriserede personer
• Daglige sikkerhedskopier udført af vores databaseudbyder
• EU-hostet database (eu-west-3 (Paris, France))
• Underretning af Kunden om brud inden for 48 timer efter at være blevet opmærksom herpå
• Leverandørvurdering og en skriftlig DPA for hver underdatabehandler

Bilag C : Liste over underdatabehandlere

Opdateres, hver gang denne liste ændres; de aktuelle underdatabehandlere er: