Databehandleraftale
Udkast til aftale efter databeskyttelsesforordningens artikel 28. Aftalen gælder personoplysninger, som kunden registrerer i Hej CRM.
Parter, formål og varighed
Kunden er dataansvarlig, og Aprex AS, org.nr. 937 881 444, er databehandler for CRM-oplysninger. Behandlingen varer, mens kunden bruger Hej CRM, og indtil oplysningerne er returneret eller slettet efter kundens instruks. For konto, fakturering og tjenestesikkerhed kan Aprex være selvstændig dataansvarlig.
Behandlingens indhold
Formålet er at levere kunderegister, kontakter, salg og opfølgning, tilbud, import, eksport, sikkerhedskopiering og support. Registrerede kan være kundens ansatte, kontaktpersoner, leverandører og potentielle kunder. Oplysninger kan omfatte navn, arbejdskontakt, virksomhed, dialog, salgsstatus, aftaler, opgaver og tilbud. Kunden må ikke registrere følsomme personoplysninger, medmindre parterne først har aftalt nødvendige foranstaltninger.
Instrukser og fortrolighed
Aprex behandler kun oplysninger efter kundens dokumenterede instrukser, denne aftale og kundens brug af funktionerne. Personer med adgang er underlagt fortrolighed, og adgang begrænses efter arbejdsbehov. Aprex underretter kunden uden unødig forsinkelse, hvis en instruks efter Aprex’ vurdering strider mod databeskyttelsesreglerne.
Sikkerhed og bistand
Aprex bruger adgangskontrol, autentificering, krypteret overførsel, tenant-isolering, sikkerhedslogning og rutiner for hændelser. Aprex bistår i rimeligt omfang med indsigt, rettelse, sletning, dataportabilitet, brud, konsekvensanalyser og myndighedshenvendelser. Aprex underretter kunden om brud på persondatasikkerheden uden unødig forsinkelse efter kendskab.
Underdatabehandlere, overførsel og kontrol
Kunden giver generel forhåndsgodkendelse til leverandørerne på siden Underdatabehandlere. Aprex informerer om væsentlige ændringer på siden. Aprex pålægger underdatabehandlere tilsvarende databeskyttelsesforpligtelser og er ansvarlig over for kunden for deres behandling. Overførsel uden for EØS sker kun med gyldigt grundlag og nødvendige supplerende foranstaltninger. Kunden kan anmode om nødvendig dokumentation; revision aftales med rimeligt varsel og uden unødig forstyrrelse.
Returnering og sletning
Når tjenesten ophører, kan kunden eksportere data. Aprex sletter eller returnerer personoplysninger efter kundens dokumenterede valg og handling, medmindre loven kræver fortsat opbevaring. Oplysninger slettes ikke automatisk ved opsigelse eller ubetalt faktura. Sikkerhedskopier fjernes efter den dokumenterede rotationsplan, der skal bekræftes før lancering.