Databehandleraftale (DPA)

Denne databehandleraftale gælder, hvor CVR Pilot handler som databehandler på Kundens vegne (fx hosting af Kundens egne workspace-/kontodata og de data, Kunden uploader eller konfigurerer). For det B2B-lead-datasæt, CVR Pilot opbygger fra offentlige kilder, er CVR Pilot selvstændig dataansvarlig, og Kunden bliver selvstændig dataansvarlig ved eksport — det forhold er reguleret af Privatlivspolitikken, ikke af denne aftale. Se §2 (Roller) for opdelingen.

Parter

• Databehandler: CVR Pilot ApS, CVR-nr. 46694562, Kastanien 8, 2. tv, 7120 Vejle Øst, Danmark. Kontakt: privacy@cvrpilot.dk.
• Dataansvarlig ("Kunden"): den virksomhed, der har accepteret CVR Pilots handelsbetingelser og ved den accept indgår denne databehandleraftale.

Denne aftale er en del af og indarbejdes ved henvisning i CVR Pilots handelsbetingelser. Hvor denne aftale er i modstrid med betingelserne for så vidt angår CVR Pilots behandling af personoplysninger som databehandler, har denne aftale forrang. Den opfylder artikel 28, stk. 3, i GDPR (forordning (EU) 2016/679).

1. Definitioner

Begreber, der ikke er defineret her, har den betydning, de er tillagt i GDPR. "GDPR" betyder forordning (EU) 2016/679 og, hvor det er relevant, den danske databeskyttelseslov. "Kundens personoplysninger" betyder personoplysninger, som CVR Pilot behandler på Kundens vegne under betingelserne (se Bilag I). "Underdatabehandler" betyder en tredjepart, som CVR Pilot antager til at behandle Kundens personoplysninger. "Den registrerede", "behandling", "dataansvarlig", "databehandler", "brud på persondatasikkerheden" og "tilsynsmyndighed" har deres betydning efter GDPR. Den kompetente tilsynsmyndighed er Datatilsynet.

2. Roller og omfang

2.1 For Kundens personoplysninger (Bilag I) er Kunden dataansvarlig, og CVR Pilot er databehandler. CVR Pilot behandler kun Kundens personoplysninger med henblik på at levere Tjenesten og udelukkende efter Kundens dokumenterede instruks (§3).

2.2 For det B2B-lead-/prospektdatasæt, CVR Pilot sammenstiller fra offentlige kilder (offentlige virksomhedswebsites og kataloger, Google Maps/Places og CVR-registret), er CVR Pilot selvstændig dataansvarlig. Når Kunden eksporterer leads til sine egne systemer, bliver Kunden selvstændig dataansvarlig for sin egen brug af de data og er ansvarlig for, at dens henvendelser er lovlige (GDPR + markedsføringslovens § 10). Den behandling er ikke omfattet af denne aftale; se Privatlivspolitikken §4–§5. Denne aftale gør ikke CVR Pilot til Kundens databehandler for lead-datasættet.

2.3 Hvor lead-/prospektdatasættet vedrører enkeltmandsvirksomheder eller andre personligt ejede virksomheder (PMV), kan de relevante erhvervskontaktdata udgøre personoplysninger efter GDPR — i modsætning til kapitalselskaber som ApS/A/S, der er selvstændige juridiske personer. CVR Pilot behandler sådanne data som selvstændig dataansvarlig efter Privatlivspolitikken (legitime interesser, art. 6(1)(f), med en vedligeholdt interesseafvejning), anvender de registreredes rettigheder og CVR-reklamebeskyttelsesscreening som beskrevet dér og indsamler eller videresælger ikke ejeres/ansattes personlige e-mailadresser eller mobilnumre uden et gyldigt retsgrundlag — den holder sig til offentligt tilgængelige erhvervsstamdata. Ved eksport bliver Kunden selvstændig dataansvarlig for sin egen brug af sådanne personoplysninger.

3. Den dataansvarliges instruks

3.1 CVR Pilot behandler kun Kundens personoplysninger efter Kundens dokumenterede instruks, herunder om internationale overførsler, medmindre andet kræves efter EU-retten eller dansk ret (i så fald underretter CVR Pilot Kunden om det retlige krav før behandlingen, medmindre loven forbyder det af hensyn til vigtige samfundsinteresser).

3.2 Kundens fuldstændige og endelige instruks er: (a) denne aftale og betingelserne; (b) den konfiguration og de funktioner, Kunden bruger i Tjenesten; og (c) enhver yderligere skriftlig instruks, Kunden giver via privacy@cvrpilot.dk. Tjenesten, dens dokumentation og denne aftale afspejler de sædvanlige instrukser for det aftalte behandlingsindhold (Bilag I).

3.3 CVR Pilot underretter Kunden, hvis CVR Pilot vurderer, at en instruks er i strid med GDPR eller anden databeskyttelseslovgivning (GDPR art. 28, stk. 3, sidste afsnit). CVR Pilot kan indstille den pågældende behandling, indtil instruksen er bekræftet eller ændret.

4. Behandlingsindhold, varighed, karakter og formål (art. 28, stk. 3, indledning)

• Behandlingsindhold: levering af CVR Pilots B2B-leadgenererings-SaaS til Kunden.
• Varighed: i betingelsernes/abonnementets løbetid og indtil sletning/tilbagelevering efter §11.
• Karakter og formål: hosting og drift af Kundens workspace og konto; lagring og sikring af konto-, autentificerings-, faktureringsmetadata og konfigurationsdata; muliggørelse af de eksporter og CRM-integrationer, Kunden opsætter; support; og drift, sikring og fejlfinding af Tjenesten. Fulde detaljer i Bilag I.
• Typer af personoplysninger og kategorier af registrerede: se Bilag I.

5. Fortrolighed

CVR Pilot sikrer, at personer, der er autoriseret til at behandle Kundens personoplysninger, er underlagt fortrolighed (kontraktuelt eller lovbestemt) og kun behandler oplysningerne efter instruks. Adgang gives efter et mindste-privilegie- og need-to-know-princip.

6. Behandlingssikkerhed (art. 32)

CVR Pilot gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen. De foranstaltninger, der faktisk er på plads, fremgår af Bilag II og omfatter i korthed: EU-dataplacering; TLS/HTTPS under overførsel med HSTS; adgangskoder hashet med scrypt (hukommelseshård, arbejdsfaktor 2^15); autentificeret kryptering af lagrede OAuth-/integrationstokens (encrypt-then-MAC på stdlib, HMAC-SHA256) med en nøgle, der kun findes i miljøet og aldrig i databasen; klient-side AES-256-krypterede off-box-backups i EU; tenant-isolering; sessionstokens, der er tilfældige, HttpOnly og kan tilbagekaldes, med udløb; strikse HTTP-sikkerhedsheadere; rate-limiting og et bot-skjold; mindste-privilegie-adgang; og en tamper-evident (manipulationssikret) revisionslog. CVR Pilot kan opdatere foranstaltningerne, forudsat at sikkerhedsniveauet ikke forringes væsentligt.

7. Underdatabehandlere (art. 28, stk. 2 og 4)

7.1 Kunden giver generel bemyndigelse til, at CVR Pilot antager underdatabehandlere. Den aktuelle liste er gengivet i Bilag III. CVR Pilot pålægger ved skriftlig kontrakt hver underdatabehandler databeskyttelsesforpligtelser, der er tilsvarende dem i denne aftale (særligt art. 32-sikkerhed), og forbliver fuldt ansvarlig over for Kunden for en underdatabehandlers manglende opfyldelse af disse forpligtelser.

7.2 Varsel om ændringer. Før CVR Pilot tilføjer eller udskifter en underdatabehandler, giver CVR Pilot Kunden mindst 30 dages forudgående varsel (pr. e-mail og/eller ved at opdatere underdatabehandlerlisten med en dateret post), så Kunden har rimelig mulighed for at gøre indsigelse på rimelige databeskyttelsesmæssige grunde. Gør Kunden indsigelse, og kan parterne ikke løse det, kan Kunden opsige den berørte del af Tjenesten.

8. Bistand med de registreredes rettigheder (art. 28, stk. 3, litra e)

Under hensyntagen til behandlingens karakter bistår CVR Pilot Kunden med passende tekniske og organisatoriske foranstaltninger, i det omfang det er muligt, med at opfylde Kundens forpligtelse til at besvare anmodninger om at udøve de registreredes rettigheder (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse). I praksis kan Kunden for Kundens personoplysninger selv betjene sig via appens Indstillinger → Privatliv & data (eksportere workspace-data som JSON; slette kontoen og dens data); CVR Pilot bistår desuden på forespørgsel via privacy@cvrpilot.dk. Modtager CVR Pilot en anmodning fra en registreret, der vedrører Kundens personoplysninger, svarer CVR Pilot ikke direkte (ud over at bekræfte og henvise), men videresender den til Kunden uden unødig forsinkelse i overensstemmelse med CVR Pilots interne arbejdsgang for de registreredes rettigheder.

9. Bistand med den dataansvarliges forpligtelser (art. 28, stk. 3, litra f; art. 32–36)

CVR Pilot bistår Kunden — under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for CVR Pilot — med at sikre overholdelse af Kundens forpligtelser efter art. 32–36, dvs. behandlingssikkerhed, anmeldelse af brud på persondatasikkerheden, underretning af de registrerede, konsekvensanalyser (DPIA) og forudgående høring.

10. Anmeldelse af brud på persondatasikkerheden (art. 33, stk. 2)

CVR Pilot underretter Kunden uden unødig forsinkelse og under alle omstændigheder inden for 72 timer efter at være blevet bekendt med et brud på persondatasikkerheden, der berører Kundens personoplysninger. Underretningen beskriver, i det omfang det er kendt: bruddets karakter og kategorier/omtrentligt antal berørte registrerede og registreringer; de sandsynlige konsekvenser; de foranstaltninger, der er truffet eller foreslås; og et kontaktpunkt. CVR Pilot leverer yderligere oplysninger, efterhånden som de foreligger, og samarbejder, så Kunden kan opfylde sine egne forpligtelser efter art. 33/34. (Brud, der berører data, som CVR Pilot er dataansvarlig for, anmelder CVR Pilot direkte til Datatilsynet efter art. 33.)

11. Tilbagelevering eller sletning ved ophør (art. 28, stk. 3, litra g)

11.1 Ved Tjenestens ophør og efter Kundens valg sletter eller tilbageleverer CVR Pilot alle Kundens personoplysninger og sletter eksisterende kopier, medmindre EU-retten eller dansk ret kræver opbevaring (fx bogføringsmateriale, der opbevares efter bogføringsloven, typisk 5 år).

11.2 Slettemekanik. Sletning af konto/workspace er en totrins, e-mailbekræftet sletning, der fjerner workspace-data fra den aktive database med det samme, annullerer Stripe-kunden og sletter CRM-tokens, integrationstilstand og tilknyttede kontakt-/supportregistreringer. Sletninger forplanter sig til krypterede backups inden for backup-opbevaringsvinduet (mål 30 dage); da backups er øjebliksbilleder, fører CVR Pilot en out-of-band-sletningslog, der genanvendes ved gendannelse/opstart, så gendannelse af en ældre backup ikke bringer slettede data tilbage.

11.3 CVR Pilot bekræfter sletning skriftligt på forespørgsel.

12. Revisionsret (art. 28, stk. 3, litra h)

12.1 CVR Pilot stiller de oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelse af art. 28, og giver mulighed for og bidrager til revisioner, herunder inspektioner, der gennemføres af Kunden eller en revisor bemyndiget af Kunden.

12.2 I praksis opfylder CVR Pilot først revisionsanmodninger ved at levere denne aftale, underdatabehandlerlisten, sikkerhedsdokumentationen i Bilag II og eventuelle tilgængelige rapporter/certificeringer. Er det utilstrækkeligt, kan Kunden anmode om en revision med rimeligt forudgående skriftligt varsel (mindst 30 dage), højst én gang pr. 12 måneder (medmindre en tilsynsmyndighed kræver det, eller efter et brud), inden for normal arbejdstid, uden urimelig forstyrrelse og underlagt fortrolighed. Hver part bærer sine egne omkostninger ved en revision.

13. Internationale overførsler (kapitel V)

13.1 CVR Pilot behandler og lagrer som udgangspunkt Kundens personoplysninger i EU (hosting og backups i Frankfurt/fra1; e-mail via EU-leverandører) — se Bilag III.

13.2 Hvor en underdatabehandler behandler Kundens personoplysninger uden for EU/EØS, er overførslen dækket af en passende garanti efter kapitel V, nemlig standardkontraktbestemmelser (SCC'er) og/eller modtagerens certificering under EU-US Data Privacy Framework, sammen med eventuelle nødvendige supplerende foranstaltninger. Dette gælder navnlig amerikanske underdatabehandlere: Anthropic (AI-berigelse), Google / Google Places (login; virksomhedssøgning) og Stripe (betalinger) samt Cloudflare (bot-skjold). Kunden bemyndiger disse overførsler som instrukser efter §3. Kopier af de relevante garantier fås via privacy@cvrpilot.dk.

14. Ansvar, løbetid og øvrigt

Denne aftale træder i kraft, når Kunden accepterer betingelserne, og gælder, så længe CVR Pilot behandler Kundens personoplysninger. Ansvar reguleres af ansvarsbegrænsningsbestemmelserne i betingelserne. Lovvalg: Danmark; tvister som fastsat i betingelserne. Er en bestemmelse ugyldig, gælder resten fortsat. Denne aftale (med bilag, betingelserne og Privatlivspolitikken) udgør hele aftalen om dette emne.

Bilag I — Beskrivelse af behandlingen

• Kategorier af registrerede: Kundens autoriserede brugere (kontoejer og inviterede teammedlemmer); Kundens fakturerings-/administrative kontakter; enhver person, hvis personoplysninger Kunden uploader til eller konfigurerer i sit workspace; og — hvis Kunden aktiverer CRM-verificering — de virksomheder og eventuelle kontaktpersoner, der allerede findes i Kundens tilsluttede CRM, og som CVR Pilot læser og verificerer på Kundens instruks.
• Kategorier af personoplysninger: kontodata (navn, e-mail, hashet adgangskode, workspace, e-mailbekræftelsesstatus); autentificeringsdata (Google-login-identitet, hvor det bruges; sessionstokens); faktureringsmetadata (plan, credit-saldo, transaktions-/hændelsesregistreringer — ikke kortnumre, der går direkte til Stripe); brugs- & tekniske data (udførte kørsler, behandlede leads, IP-adresse, request- og fejllogfiler); supporthenvendelser; CRM-/integrations-OAuth-tokens og konfiguration, Kunden opsætter; og — ved CRM-verificering — de virksomhedsposter, CVR Pilot læser fra Kundens tilsluttede CRM (virksomhedsnavn, domæne og de felter, posten indeholder, herunder eventuelle kontaktpersoners navn, titel, e-mail og telefon), samt de offentlige CVR-registeroplysninger, der skrives tilbage.
• Særlige kategorier af oplysninger: behandles ikke. Tjenesten henvender sig ikke til børn.
• Behandlingens karakter og formål: hosting, sikring og drift af Kundens workspace; autentificering; forbrugsbaseret fakturering; muliggørelse af dataeksport og CRM-push, Kunden konfigurerer; CRM-verificering — på Kundens anmodning at læse virksomheder i Kundens tilsluttede CRM, verificere dem mod det offentlige CVR-register og skrive de friske oplysninger tilbage som et additivt lag, der aldrig overskriver Kundens eksisterende data; support; og drift, sikring, fejlretning og forbedring af Tjenesten.
• Varighed: i abonnementets løbetid og indtil sletning/tilbagelevering efter §11. Rå CRM-data, der læses under CRM-verificering, opbevares ikke ud over den enkelte verificeringskørsel og den heraf afledte lead-post.

Bilag II — Tekniske og organisatoriske sikkerhedsforanstaltninger (art. 32)

• Kryptering under overførsel: TLS/HTTPS overalt, med HSTS; strikse HTTP-sikkerhedsheadere.
• Beskyttelse af adgangskoder: scrypt-hashing på stdlib (hukommelseshård), arbejdsfaktor 2^15, salt pr. bruger.
• Kryptering af hemmeligheder ved lagring: lagrede OAuth-/CRM-/integrationstokens beskyttes med autentificeret kryptering (encrypt-then-MAC på stdlib med en HMAC-SHA256-keystream i CTR-tilstand plus et HMAC-SHA256-integritetstag) med en nøgle, der kun findes i miljøet og aldrig i databasen — en stjålet DB/backup giver ingen brugbare tokens.
• Backups: hver time, klient-side AES-256-krypteret (openssl, PBKDF2), lagret off-box i EU (DigitalOcean Spaces, fra1/Frankfurt), med udrensning/opbevaring og periodiske gendannelsestests; en out-of-band-sletningslog sendes med, så gendannelser genanvender sletninger.
• Dataplacering: applikation, database og backups i EU (Frankfurt).
• Adgangsstyring: mindste-privilegie- og need-to-know-adgang for operatøren; hemmeligheder kun tilgængelige for root på hosten; fortrolighedsforpligtelser for autoriserede personer.
• Tenant-isolering: multi-tenant-data adskilt pr. workspace.
• Sessioner: tilfældige, HttpOnly, Secure, SameSite=Lax-sessionstokens med udløb og tilbagekaldelse ved logout/nulstilling af adgangskode.
• Misbrug/tilgængelighed: rate-limiting; Cloudflare Turnstile-bot-skjold ved oprettelse/login.
• Integritet/ansvarlighed: manipulationssikret revisionslog (hash-kædet); registrering af samtykke ved oprettelse med en versioneret, revideret post.
• Robusthed & test: health checks; automatiseret testsuite som gate før deploy; overvågning med alarmer ved nedetid og omkostningsstigninger.

Bilag III — Godkendte underdatabehandlere

Pr. datoen ovenfor er de godkendte underdatabehandlere: