Databehandleraftale (DPA)

Disse skabeloner følger GDPR generelt. De hævder ikke at opfylde hvert lands nationale ret. Datatilsynet nævnes som eksempel for læsere på dansk, og kompetencen følger stadig den dataansvarliges hovedetablering (GDPR artikel 56). Kompetencen følger stadig den dataansvarliges hovedetablering (GDPR artikel 56).

Mellem tjenestens kunde som dataansvarlig (den dataansvarlige),

og Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (databehandleren).

Denne aftale gælder, når databehandleren behandler personoplysninger på den dataansvarliges vegne for tjenesten på https://exemple-saas.example. Den dækker ikke behandling, som udbyderen selv er dataansvarlig for.

1. Genstand, art, varighed

Databehandleren hoster, lagrer og viser de oplysninger, der er nødvendige for at levere tjenesten, og genererer de filer, produktet genererer. Varighed: kontrakten, derefter sletning eller tilbagelevering som i artikel 8, medmindre en lov, der gælder databehandleren, kræver et længere arkiv.

2. Dokumenterede instruktioner

Databehandleren handler kun efter den dataansvarliges dokumenterede instruktioner, herunder denne aftale, medmindre EU-retten eller en medlemsstats ret kræver andet. I så fald underretter databehandleren den dataansvarlige før behandlingen, medmindre loven forbyder underretningen.

3. Fortrolighed

Personer, der er autoriseret til at behandle oplysningerne, er underlagt tavshedspligt.

4. Sikkerhed

Udbyderen gennemfører tekniske og organisatoriske foranstaltninger, der er passende efter GDPR artikel 32 (adgangskontrol, HTTPS, minimering, professionelle udbydere), uden at love, at restrisikoen er væk. Intet felt for ISO 27001 eller SOC 2 blev afkrydset: ingen af certificeringerne hævdes.

5. Underdatabehandlere

Den dataansvarlige godkender underdatabehandlerne i bilag 3. Databehandleren underretter den dataansvarlige, før en tilføjes eller udskiftes. Den dataansvarlige kan gøre indsigelse inden 30 dage. Hvis indsigelsen ikke løses, kan den dataansvarlige standse den berørte behandling.

6. Bistand

Databehandleren bistår den dataansvarlige, så vidt det er muligt, med anmodninger fra registrerede, sikkerhed, meddelelser om brud og konsekvensanalyser, under hensyn til behandlingens art.

7. Brud

Databehandleren underretter den dataansvarlige om et brud på persondatasikkerheden uden unødig forsinkelse, efter at være blevet bekendt med det. Skabelonen finder ikke et fast timetal på.

8. Sletning og tilbagelevering

Ved tjenestens ophør sletter eller tilbageleverer databehandleren oplysningerne efter den dataansvarliges valg og sletter resterende kopier, medmindre loven kræver opbevaring.

9. Revisioner

Den dataansvarlige kan revidere, også ved en pålagt revisor underlagt tavshedspligt, med rimeligt varsel, højst én gang om året, medmindre der er et brud eller en anmodning fra en myndighed. Databehandleren kan afvise en revisor, der er en konkurrent.

10. Overførsler

Overførsler uden for EU/EØS bruger en mekanisme i GDPR kapitel V. Bilag 3 gentager det, leverandøren offentliggør. Det tilføjer ikke en mekanisme, som arket markerer som ikke oplyst.

11. Ansvar

Artikel 82 i GDPR gælder over for registrerede. Kontrakten flytter ikke en parts egen bøde over på den anden part. Ingen national fast godtgørelse tilføjes.

Bilag 1 — Beskrivelse

• Genstand: tjenesten på https://exemple-saas.example.
• Aktiviteter: hosting, godkendelse hvor den bruges, lagring, filgenerering, support, logs.
• Personer: den dataansvarliges brugere og den dataansvarliges personale. Kategorier derudover er ikke oplyst i denne skabelon.

Bilag 2 — Sikkerhed

Udbyderen gennemfører tekniske og organisatoriske foranstaltninger, der er passende efter GDPR artikel 32 (adgangskontrol, HTTPS, minimering, professionelle udbydere), uden at love, at restrisikoen er væk. Intet felt for ISO 27001 eller SOC 2 blev afkrydset: ingen af certificeringerne hævdes.

Bilag 3 — Godkendte underdatabehandlere

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Irland (Stripe, Inc.-koncernen, USA) — Betaling og fakturering. Betalingsdata, transaktions-id’er, faktureringsmail. Udbyderen gemmer ikke fulde kortnumre. Stripe Payments Europe optræder som dataansvarlig eller databehandler alt efter forløbet; koncerninterne overførsler er dækket af SCC.

1. Resend, Inc. (Resend) — USA — Transaktionsmail. Modtageres e-mailadresser, emne og brødtekst, afsendelseslogs. Overførsel uden for EU dækket af SCC.

1. Plausible Insights OÜ (Plausible) — Estland — Målgruppemåling uden cookies. Aggregerede sidevisninger, omtrentligt land, user-agent, henviser. Ingen reklamecookie. Behandling i EU (Estland). Tjek den hosting, der er valgt på din konto.

Bemærk. Denne fil er en skabelon genereret af StackLégal ud fra de oplysninger, du har indtastet. Den er ikke juridisk rådgivning og ikke et compliance-certifikat. Gennemgå den, tilpas den til din faktiske aktivitet, og lad en advokat læse den, hvis indsatsen er høj (sundhed, finans, børn, følsomme oplysninger, enterprise-kunder).

Skabelon dateret 6. oktober 2026. Kun struktur: forordning (EU) 2016/679, navnlig artikel 12 til 14, 28, 32 og 82; direktiv 2011/83/EU om fortrydelse, hvor en forbruger er involveret; forordning (EU) 2022/2065 (DSA), hvis brugerne offentliggør indhold. Ingen national lov citeres, som om den gjaldt overalt.

Skabelon udfyldt for: Atelier Exemple — https://exemple-saas.example