Aftalen indgås mellem Kunden (som angivet ved oprettelsen af kontoen), herefter "den dataansvarlige", og PunkValue, CVR 42 77 36 70, herefter "databehandleren". Aftalen indgår som en integreret del af Licensvilkårene og accepteres sammen med disse.

1.1 Aftalen fastsætter databehandlerens rettigheder og forpligtelser ved behandling af personoplysninger på vegne af den dataansvarlige i forbindelse med levering af PunkBudget som software as a service.
1.2 Aftalen er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i forordning (EU) 2016/679 (databeskyttelsesforordningen).
1.3 Bilag A–C udgør en integreret del af aftalen.

2.1 Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre andet kræves i henhold til EU-ret eller national ret. Instruksen er specificeret i Bilag A og C.
2.2 Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens opfattelse strider mod databeskyttelsesreglerne.

3.1 Kun personer underlagt databehandlerens instruktionsbeføjelser og en fortrolighedsforpligtelse gives adgang til personoplysningerne, og kun i nødvendigt omfang. Adgange gennemgås løbende og lukkes, når de ikke længere er nødvendige.

4.1 Parterne gennemfører passende tekniske og organisatoriske foranstaltninger, jf. forordningens artikel 32, herunder kryptering af data under transport og i hvile, adgangsstyring med unikke bruger-id'er, mulighed for multifaktor-godkendelse, logning samt regelmæssig backup med testet genskabelse. Minimumsforanstaltninger er beskrevet i Bilag C.

5.1 Databehandleren har den dataansvarliges generelle godkendelse til at anvende underdatabehandlere. De godkendte underdatabehandlere fremgår af Bilag B.
5.2 Ændringer i listen varsles skriftligt med mindst 30 dages varsel, så den dataansvarlige kan gøre indsigelse.
5.3 Databehandleren pålægger enhver underdatabehandler de samme databeskyttelsesforpligtelser som i denne aftale og forbliver fuldt ansvarlig for underdatabehandlerens opfyldelse heraf.

6.1 Personoplysninger behandles og opbevares som udgangspunkt i EU/EØS. Enhver overførsel til tredjelande sker kun på dokumenteret instruks og i overensstemmelse med forordningens kapitel V (fx EU-U.S. Data Privacy Framework eller EU's standardkontraktbestemmelser), som angivet i Bilag B.

7.1 Databehandleren bistår, under hensyntagen til behandlingens karakter, den dataansvarlige med besvarelse af anmodninger om de registreredes rettigheder (indsigt, berigtigelse, sletning, dataportabilitet m.v.) samt med den dataansvarliges forpligtelser vedrørende behandlingssikkerhed, konsekvensanalyser og anmeldelse af brud.

8.1 Databehandleren underretter den dataansvarlige uden unødig forsinkelse — og om muligt inden for 24 timer — efter at være blevet bekendt med et brud på persondatasikkerheden, og bistår med de oplysninger, der kræves til anmeldelse til Datatilsynet, jf. forordningens artikel 33.

9.1 Ved tjenestens ophør kan den dataansvarlige i 90 dage eksportere sine data. Herefter sletter databehandleren alle personoplysninger behandlet på den dataansvarliges vegne og bekræfter sletningen på anmodning, medmindre lovgivning foreskriver fortsat opbevaring.
9.2 Sletter den dataansvarlige selv en virksomhed i Applikationen, gøres data utilgængelige med det samme og slettes endeligt efter 30 dage. Fortrydelsesfristen er indbygget for at undgå utilsigtet datatab og gælder også ved anmodninger om sletning efter databeskyttelsesforordningens artikel 17.

10.1 Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28 og denne aftale, og bidrager til revisioner. Dokumentation stilles til rådighed én gang årligt, primært ved besvarelse af et rimeligt spørgeskema fra den dataansvarlige.

11.1 Aftalen træder i kraft sammen med Licensvilkårene og gælder, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige.

Formål: Levering af PunkBudget som SaaS (budgettering og økonomistyring).
Karakter: Opbevaring, organisering, visning, beregning, eksport og sletning af data som led i levering af tjenesten.
Typer af personoplysninger: Almindelige oplysninger — navn, e-mailadresse, rolle, IP-adresse og brugsdata. Økonomidata kan udgøre personoplysninger for personligt ejede virksomheder. Applikationen er ikke beregnet til særlige kategorier af personoplysninger (artikel 9), og sådanne må ikke indtastes.
Kategorier af registrerede: Den dataansvarliges brugere, medarbejdere og rådgivere.
Varighed: Så længe abonnementet løber, plus eksportperioden på 90 dage.

Instruks: Behandlingen sker som led i levering af tjenesten i henhold til Licensvilkårene.
Minimumsforanstaltninger: Kryptering under transport (TLS) og i hvile; unikke bruger-id'er og adgangskodepolitik; multifaktor-godkendelse for administratoradgang; adskillelse af udviklings- og driftsmiljøer; daglig backup med regelmæssigt testet genskabelse; logning af administrativ adgang; årlig gennemgang af informationssikkerhedspolitikker.
Lokalitet: Behandling sker i EU/EØS samt hos underdatabehandlerne i Bilag B.