Databehandleraftale

Aftalen efter GDPR art. 28 mellem jeres virksomhed og os om jeres medarbejderes data i Værn. Gældende fra 2026-10-23.

1. Parterne og aftalens grundlag

Den dataansvarlige er den virksomhed, der har tilmeldt sig Værn ("I"). Databehandleren er [Virksomhedens navn], CVR [CVR-nummer], [Adresse, postnummer og by], [Kontaktmail] ("vi"). Aftalen er en del af vilkårene og indgås elektronisk ved tilmeldingen. Den gælder, så længe vi behandler data for jer, og ophører med vilkårene. Er der uoverensstemmelse mellem vilkårene og denne aftale, går denne aftale forud, når det gælder persondata.

2. Hvad vi behandler, og hvorfor

Formålet er at drive platformen for jer: give medarbejderne adgang til kurserne, gemme deres fremdrift og beviser, vise rapporten til ejere og administratorer og beskytte kontiene mod misbrug.

De registrerede er jeres ejere, administratorer og medarbejdere med adgang. Vi behandler:

navn, arbejdsmail, rolle og afdeling
fremdrift i kurserne: hvornår et kursus er startet, hvor langt man er, quizscore, antal rigtige i øve-indbakken og datoer for beståede kurser, også fra tidligere runder
tidspunkter for log ind
login-nøgler og login-links kun som en kontrolværdi
invitationer: navn, mail, rolle og hvem der inviterede
en log over, hvem der gjorde hvad i jeres konto
mailadresserne på personer, I har fjernet, så de ikke kan tilmelde sig igen med firmakoden
en hash af IP-adressen, så vi kan begrænse forsøg på log ind

Vi behandler ingen følsomme oplysninger (GDPR art. 9) og ingen CPR-numre. Er en person med i flere virksomheder, der bruger Værn, har personen én fælles post med navn og mail. Hver virksomhed ser kun sine egne data om personen.

3. Instruks

Vi behandler kun data efter jeres dokumenterede instruks. Instruksen er denne aftale, vilkårene og det, I gør i platformen, fx når I tilføjer eller fjerner personer. Vi bruger ikke data til egne formål. Mener vi, at en instruks er i strid med databeskyttelsesreglerne, siger vi det til jer med det samme. Kræver EU-retten eller dansk ret, at vi behandler data på anden måde, fortæller vi jer det først, medmindre loven forbyder det.

4. Fortrolighed

Kun de personer hos os, der har brug for det for at drive og vedligeholde platformen, har adgang til data. De har tavshedspligt.

5. Sikkerhed

Vi har disse foranstaltninger efter GDPR art. 32:

Databasen ligger i Cloudflares EU-jurisdiktion, og al trafik er krypteret med HTTPS.
Adgangskoder findes ikke. Login-nøgler og login-links gemmes kun som kontrolværdier.
Hver virksomheds data er adskilt, og hver forespørgsel tjekker, hvilken virksomhed den hører til.
Forsøg på log ind og tilmelding er begrænset, og log ind-cookien er kun tilgængelig for serveren.
Log ind og ændringer i kontoen skrives i en log, som gemmes i 24 måneder.
Koden bliver testet automatisk og gennemgået for sikkerhedsfejl, før den udgives.

Mere om det på siden Sådan beskytter vi data.

6. Underdatabehandlere

I giver os en generel godkendelse til at bruge underdatabehandlere. I dag bruger vi én:

Cloudflare, Inc., USA: hosting af hjemmesiden, platformen og databasen. Databasen ligger i Cloudflares EU-jurisdiktion.

Vi varsler nye eller udskiftede underdatabehandlere skriftligt mindst 30 dage før. I kan gøre indsigelse, og kan vi ikke finde en løsning, kan I opsige aftalen, før ændringen gælder. Vi pålægger underdatabehandlere de samme pligter, som vi har efter denne aftale, og vi er ansvarlige over for jer for deres behandling.

7. Overførsel uden for EU

Cloudflare er et amerikansk firma, så data kan blive behandlet uden for EU, fx når en forespørgsel går gennem deres netværk. Det sker på grundlag af EU-U.S. Data Privacy Framework og ellers EU-Kommissionens standardkontraktbestemmelser. Andre overførsler sker kun efter jeres instruks.

8. Hjælp til jer

Vi hjælper jer med at svare på anmodninger fra de registrerede, fx om indsigt, rettelse og sletning. Meget af det kan I selv gøre i platformen. Vi hjælper også med sikkerhed, anmeldelse af brud, konsekvensanalyser og forhøring af Datatilsynet (GDPR art. 32 til 36), i det omfang det er rimeligt ud fra behandlingen. Får vi en anmodning direkte fra en medarbejder, sender vi den videre til jer.

9. Brud på sikkerheden

Opdager vi et brud på sikkerheden, der rammer jeres data, giver vi jer besked uden unødig forsinkelse og senest 48 timer efter, vi blev opmærksomme på det. Beskeden indeholder det, vi ved om bruddet, dets følger og det, vi gør ved det, så I kan anmelde det til Datatilsynet inden 72 timer.

10. Sletning ved ophør

Når aftalen slutter, sletter vi jeres data senest 30 dage efter, medmindre loven kræver, at vi gemmer dem. Sikkerhedskopier slettes automatisk inden for yderligere 30 dage. Hent rapporten og kursusbeviserne, før aftalen slutter, hvis I vil gemme dem. På forespørgsel bekræfter vi sletningen skriftligt.

11. Kontrol

Vi giver jer de oplysninger, der er nødvendige for at vise, at vi overholder denne aftale, og vi giver mulighed for og bidrager til revision og inspektion, som I eller en revisor, I har udpeget, foretager. I betaler selv for revisionen, og den varsles mindst 30 dage før.

12. Ansvar

Ansvaret følger vilkårene og GDPR art. 82.