1. Parter og anvendelse
Denne databehandleraftale (“DPA”) er indgået mellem den virksomhed, der har en Arova-konto (“Kunden” eller “den dataansvarlige”), og Arova (“Databehandleren”), i det omfang Arova behandler personoplysninger på Kundens vegne.
Den juridiske Arova-enhed fremgår af ordrebekræftelse/faktura, når selskabet er registreret. Kontakt: kontakt@arova.dk.
DPA’en udgør en integreret del af Kundens aftale om Arova.
2. Dokumenteret instruks
Arova må kun behandle personoplysninger efter Kundens dokumenterede instruks, herunder denne DPA, Kundens brug af funktionerne og særskilte skriftlige instrukser, medmindre EU-ret eller dansk ret kræver anden behandling. Hvis loven kræver behandling uden instruks, underretter Arova Kunden før behandlingen, medmindre loven forbyder det.
Hvis Arova vurderer, at en instruks strider mod databeskyttelsesreglerne, underrettes Kunden uden unødig forsinkelse.
3. Genstand, varighed, karakter og formål
Behandlingen sker for at levere Arovas funktioner til sagsstyring, kunder, forespørgsler, dokumenter, tilbud, team, kommunikation, AI-assistance, sikkerhed og øvrige funktioner, som Kunden aktiverer.
Behandlingen varer, så længe kundeaftalen består, samt i en begrænset afviklingsperiode efter ophør, hvor data skal returneres, slettes, sikkerhedskopier udløbe eller retlige krav håndteres.
4. Arovas forpligtelser
- Sikre at personer med adgang til personoplysninger er underlagt fortrolighed.
- Kun give adgang efter arbejdsbetinget behov og relevante rettigheder.
- Implementere passende tekniske og organisatoriske sikkerhedsforanstaltninger.
- Bistå Kunden med registreredes rettigheder, sikkerhedsbrud, konsekvensanalyser og myndighedsdialog, når det er relevant og rimeligt.
- Stille nødvendig dokumentation til rådighed for at påvise overholdelse af denne DPA.
- Ikke sælge Kundens personoplysninger eller bruge dem til Arovas egne uforenelige formål.
5. Sikkerhed
Arova skal træffe passende foranstaltninger efter GDPR art. 32 under hensyn til risiko, teknologi og behandlingens karakter. De aktuelle foranstaltninger er beskrevet i Arovas sikkerhedsoversigt og omfatter bl.a. autentificering, rolle-/tenantbaseret adgang, password hashing, TLS/HSTS, rate limiting, logisk dataseparation og kontrolleret leverandøradgang.
6. Underdatabehandlere
Kunden giver Arova generel skriftlig godkendelse til at anvende underdatabehandlere, der er nødvendige for tjenesten. Offentligt beskriver Arova leverandørkategorierne på Underdatabehandlere. Den aktuelle navngivne liste kan udleveres til Kunden på anmodning og som led i DPA/compliance-dialog.
Arova pålægger underdatabehandlere databeskyttelsesforpligtelser, der i det væsentlige svarer til kravene i denne DPA. Arova forbliver ansvarlig over for Kunden for underdatabehandlerens opfyldelse af sine databeskyttelsesforpligtelser.
Ved en væsentlig ny underdatabehandler, som påvirker Kundens data, tilstræber Arova at give rimeligt forudgående varsel. Kunden kan gøre saglig indsigelse på dokumenterede databeskyttelsesgrunde.
7. Overførsel uden for EU/EØS
Arova må kun overføre personoplysninger til tredjelande eller give adgang fra tredjelande, når der foreligger et gyldigt overførselsgrundlag efter GDPR kapitel V, fx en tilstrækkelighedsafgørelse eller EU-Kommissionens standardkontraktbestemmelser, og nødvendige supplerende foranstaltninger vurderes.
8. Brud på persondatasikkerheden
Arova underretter Kunden uden unødig forsinkelse efter at være blevet bekendt med et sikkerhedsbrud, der berører Kundens personoplysninger. Underretningen indeholder de oplysninger, Arova med rimelighed har til rådighed om bruddets karakter, berørte data/registrerede, sandsynlige konsekvenser og afhjælpende foranstaltninger.
Kunden er ansvarlig for eventuel anmeldelse til Datatilsynet og underretning af registrerede, medmindre andet følger af loven.
9. Bistand og registreredes rettigheder
Hvis Arova modtager en anmodning direkte fra en registreret om Kundens data, videresendes anmodningen normalt til Kunden, medmindre Arova er retligt forpligtet til at svare. Arova bistår i rimeligt omfang med søgning, rettelse, eksport, begrænsning og sletning, når funktionaliteten og behandlingen gør det muligt.
10. Returnering og sletning ved ophør
Ved aftalens ophør sletter eller returnerer Arova personoplysninger efter Kundens valg og gældende funktionalitet, medmindre lov kræver fortsat opbevaring. Sikkerhedskopier kan udløbe efter deres normale rotationscyklus og forbliver beskyttede indtil sletning.
11. Dokumentation og audit
Arova stiller relevante oplysninger om sikkerhed og databehandling til rådighed for Kunden. Hvis dette ikke er tilstrækkeligt til at opfylde GDPR art. 28, kan Kunden anmode om en rimelig audit. Audit skal varsles rimeligt, gennemføres uden unødig forstyrrelse og må ikke kompromittere andre kunders data, sikkerhed eller forretningshemmeligheder.
Bilag A – Behandlingen
| Registrerede | Kundens kunder, leads, kontaktpersoner, medarbejdere, brugere og andre personer, som Kunden registrerer i Arova. |
|---|---|
| Datatyper | Navn, kontaktoplysninger, virksomhed, adresse, sags-/tilbudsoplysninger, dokumenter, kommunikation, roller, arbejdstid og andre oplysninger Kunden vælger at registrere. Særlige kategorier bør ikke indtastes, medmindre det er nødvendigt og lovligt. |
| Formål | Levere Arova og Kundens valgte funktioner, herunder organisering, dokumentation, kommunikation og AI-assisterede udkast. |
| Hyppighed | Løbende, når Kunden anvender tjenesten. |
Bilag B – Sikkerhedsforanstaltninger
Se den løbende opdaterede beskrivelse på /sikkerhed/. Ved modstrid gælder denne DPA og de faktiske implementerede sikkerhedsforanstaltninger.
Bilag C – Underdatabehandlere
Den offentlige side /underdatabehandlere/ beskriver leverandørkategorier. Den aktuelle navngivne liste udleveres til Kunden på anmodning.