Ikrafttrædelsesdato: 24. maj 2026 — Version 1.3 (opdateret 2. oktober 2026)
Denne Databehandleraftale (DPA) supplerer Vilkår for brug mellem Kunden ("Dataansvarlig") og PennaSystems ("Databehandler") for at sikre overholdelse af GDPR artikel 28.
Databehandleren behandler kun persondata på vegne af den Dataansvarlige baseret på dokumenteret instruks gennem den Dataansvarliges brug af platformen. Behandlingen sker kun efter dokumenterede instruktioner.
Databehandleren sikrer passende tekniske foranstaltninger, herunder TLS-kryptering under transport og kryptering i hvile. Databasen er krypteret i hvile hos vores hostingudbyder. Uploadede filer og eksterne sikkerhedskopier opbevares i objektlager, der er krypteret med AES-256, og sikkerhedskopierne krypteres desuden, før de forlader vores servere. Adgangstokens til tredjepartstjenester, som De forbinder, f.eks. bogføringssystemer og beskedkanaler, krypteres yderligere af applikationen, før de gemmes.
Notifikation: I tilfælde af et brud på persondatasikkerheden skal Databehandleren underrette den Dataansvarlige uden unødig forsinkelse, hvor det er muligt inden for 36 timer og under alle omstændigheder senest 48 timer efter at være blevet opmærksom på bruddet, hvilket gør det muligt for den Dataansvarlige at opfylde sine lovmæssige forpligtelser.
Dataansvarlige giver generel godkendelse til brug af underdatabehandlere (opført på pennasystems.com/da/legal/subprocessors). Databehandleren vil underrette registrerede brugere via e-mail mindst 30 dage før tilføjelse af en ny underdatabehandler. Hvis Dataansvarlige gør indsigelse, kan de opsige deres abonnement før ændringen træder i kraft.
Databehandleren forpligter sig til at være vært for den primære database og fillagring inden for EU/EØS. Overførsler til tredjelande er strengt begrænset til nødvendige underdatabehandler-operationer og sikres ved hjælp af GDPR kapitel V-mekanismer, der bygger på EU Standard Contractual Clauses (SCCs) eller tilstrækkelighed som EU-US Data Privacy Framework (DPF).
Den Dataansvarlige har ret til at verificere overholdelse. Revisionsforpligtelsen følger af databehandleraftalen i vores Vilkår for brug §7.1, som er den bindende tekst. Efter den skal Databehandleren „stille alle oplysninger til rådighed for Dem, som er nødvendige for at påvise overholdelse af denne databehandleraftale, samt give mulighed for og bidrage til revisioner, herunder inspektioner, der gennemføres af Dem eller af en anden revisor bemyndiget af Dem. Revision opfyldes normalt ved en skriftlig overholdelseserklæring, der udstedes én gang årligt for vores regning; fysiske inspektioner kan anmodes om med 14 dages skriftligt varsel og for Deres regning.“ I det citerede betyder „Dem“ og „Deres“ den Dataansvarlige, og „vores“ betyder Databehandleren. Hvis denne side og Vilkår for brug §7.1 nogensinde afviger fra hinanden, gælder §7.1.
Ved afslutning af abonnementet sletter Databehandleren alle Dataansvarliges data (inklusive slutklientdata) fra sine systemer inden for en rimelig tidsfrist, medmindre fortsat opbevaring er lovpligtigt påkrævet.