Databehandleraftale

1. Præambel

1.1 Definitionerne af «personoplysninger», «særlige kategorier af personoplysninger», «behandling», «registrerede», «dataansvarlig» og «databehandler» har samme betydning som i GDPR.

1.2 Formålet med aftalen er at sikre parternes efterlevelse af gældende databeskyttelseslovgivning og dokumentere den dataansvarliges instruks til databehandleren. Behandlingen sker for at levere og drive Crator — automatisk bogføring, bilagshåndtering, moms- og regnskabsfunktioner — som beskrevet i brugsbetingelserne.

1.3 Aftalen fastsætter parternes rettigheder og forpligtelser, når databehandleren behandler personoplysninger på vegne af den dataansvarlige.

1.4 Ved modstrid mellem denne databehandleraftale og brugsbetingelserne vedrørende behandling af personoplysninger har databehandleraftalen forrang. Aftalen gælder, så længe den dataansvarlige abonnerer på Crator.

1.5 Aftalen frigør ikke databehandleren fra forpligtelser efter gældende databeskyttelseslovgivning.

2. Den dataansvarliges rettigheder og forpligtelser

2.1 Den dataansvarlige er ansvarlig for, at behandling af personoplysninger i forbindelse med brug af Crator sker i overensstemmelse med GDPR art. 24, øvrig EU-ret, national ret og denne aftale.

2.2 Den dataansvarlige træffer beslutninger om formål og midler for behandlingen. Det er alene under den dataansvarliges kontrol, hvilke personoplysninger der indtastes, uploades eller genereres i platformen — herunder oplysninger om medarbejdere, kunder, leverandører og andre tredjeparter i regnskabsdata.

2.3 Den dataansvarlige skal sikre et lovligt behandlingsgrundlag for behandling og videregivelse af personoplysninger, som databehandleren instrueres i at foretage, herunder videregivelse til underdatabehandlere oplistet i bilag B.

2.4 Den dataansvarlige har ansvaret for nøjagtighed, integritet, pålidelighed og lovlighed af de personoplysninger, databehandleren behandler.

2.5 Den dataansvarlige har opfyldt obligatoriske krav over for relevante myndigheder, for så vidt angår behandlingen.

2.6 Den dataansvarlige har opfyldt oplysningspligten over for registrerede efter gældende regler.

2.7 Den dataansvarlige bekræfter, at databehandleren ved indgåelse af aftalen har givet relevante garantier for tekniske og organisatoriske sikkerhedsforanstaltninger.

3. Databehandleren handler efter instruks

3.1 Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre EU- eller national ret kræver andet. Ved indgåelse af aftalen instruerer den dataansvarlige databehandleren i at behandle personoplysninger: (a) i overensstemmelse med gældende lovgivning; (b) for at opfylde forpligtelser i brugsbetingelserne; (c) som specificeret ved den dataansvarliges normale brug af Crator; og (d) som beskrevet i denne aftale.

3.2 Databehandleren underretter omgående den dataansvarlige, hvis en instruks vurderes i strid med databeskyttelseslovgivningen eller anden EU- eller national ret.

4. Behandlingssikkerhed

4.1 Databehandleren implementerer passende organisatoriske, tekniske og fysiske sikkerhedsforanstaltninger under hensyntagen til tilgængelig teknologi, omkostninger, behandlingens omfang og formål samt risiko for de registreredes rettigheder.

4.2 Adgang til personoplysninger gives kun til personer underlagt fortrolighed eller lovbestemt tavshedspligt og kun i nødvendigt omfang. Fortrolighedspligten gælder efter aftalens ophør.

4.3 Crator har implementeret sikkerhedsforanstaltninger og interne databeskyttelsespolitikker, herunder: risikovurderinger og løbende vurdering af behandlingssikkerhed (GDPR art. 32) og privacy by design/default (art. 25); kryptering ved overførsel via internettet; adgangskontrol og rollebaseret adgang til kundedata; logning af adgang og kritiske handlinger; procedurer til identifikation og håndtering af brud på persondatasikkerheden; og kontrolleret ændringsstyring af systemer og infrastruktur. Se også /sikkerhed.

5. Anvendelse af underdatabehandlere

5.1 Som led i driften af Crator anvender databehandleren underdatabehandlere. Denne aftale udgør den dataansvarliges forudgående generelle skriftlige godkendelse af brug af underdatabehandlere. Underdatabehandlere kan være tredjepartsleverandører i og uden for EU/EØS og er oplistet i bilag B til den til enhver tid gældende version på denne side.

5.2 Databehandleren sikrer, at underdatabehandlere er bundet af tilsvarende forpligtelser som i denne aftale. Den dataansvarlige orienteres senest 30 dage før en ny underdatabehandler tages i brug. Den dataansvarlige kan protestere mod en ny underdatabehandler, der ikke behandler data lovligt. Ved fortsat uenighed kan den dataansvarlige opsige abonnementet med kortere varsel end normalt.

6. Overførsel til tredjelande

6.1 Overførsel af personoplysninger til tredjelande eller internationale organisationer forudsætter et gyldigt overførselsgrundlag, herunder EU-kommissionens standardkontraktbestemmelser (SCC) eller andet gyldigt grundlag efter GDPR kapitel V. Den dataansvarlige giver databehandleren autorisation til at etablere et tilstrækkeligt grundlag for sådanne overførsler på vegne af den dataansvarlige, når det er nødvendigt for at levere tjenesten.

7. Bistand til den dataansvarlige

7.1 Databehandleren bistår, så vidt muligt, den dataansvarlige med passende tekniske og organisatoriske foranstaltninger for at sikre overholdelse af den dataansvarliges forpligtelser efter databeskyttelseslovgivningen.

7.2 Databehandleren bistår med overholdelse af GDPR art. 32–36, herunder behandlingssikkerhed, anmeldelse og underretning ved brud på persondatasikkerheden, under hensyntagen til behandlingens karakter og tilgængelige oplysninger.

7.3 Databehandleren besvarer ikke anmodninger fra registrerede, medmindre den dataansvarlige har autoriseret det. Databehandleren videregiver ikke oplysninger om denne aftale til myndigheder, medmindre det er lovpligtigt ved retskendelse eller tilsvarende.

7.4 Databehandleren underretter den dataansvarlige, så vidt muligt og lovligt, når en registreret eller en myndighed anmoder om indsigt i personoplysninger, medmindre databehandleren er instrueret i ikke at underrette.

7.5 Kræver den dataansvarlige assistance ud over, hvad der er nødvendigt efter gældende regler, kan databehandleren kræve særskilt betaling.

8. Underretning om brud på persondatasikkerheden

8.1 Databehandleren underretter uden unødig forsinkelse den dataansvarlige, når databehandleren bliver opmærksom på et brud på persondatasikkerheden, der involverer personoplysninger behandlet på den dataansvarliges vegne, og bistår den dataansvarlige i dennes forpligtelser herefter.

8.2 Underretning sker via den kontaktperson, den dataansvarlige har oplyst, eller til den e-mail, der er knyttet til kontoen.

9. Returnering og sletning

9.1 Den dataansvarlige kan få kundedata returneret (eksporteret) i forbindelse med ophør af abonnementet, i det omfang funktionaliteten i Crator understøtter det. Efter ophør sletter eller anonymiserer databehandleren personoplysninger behandlet på den dataansvarliges vegne, medmindre opbevaring er nødvendig efter lov eller aftale — herunder bogførings- og skattelovgivning, som den dataansvarlige er underlagt.

10. Revision og inspektion

10.1 Den dataansvarlige kan igangsætte revision af databehandlerens forpligtelser efter denne aftale.

10.2 Foreligger en ISAE 3000-, ISO- eller tilsvarende erklæringsrapport fra en kvalificeret tredjepartsrevisor inden for de seneste 12 måneder, og der ikke er sket materielle ændringer i de reviewed foranstaltninger, accepterer den dataansvarlige denne i stedet for ny revision af samme foranstaltninger.

10.3 Assistance ud over almindelig service efter databeskyttelseslovgivningen afregnes særskilt.

11. Ikrafttræden og ophør

11.1 Aftalen gælder, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige i forbindelse med brug af Crator.

11.2 Databehandleren må opbevare personoplysninger efter ophør, i det omfang det er nødvendigt efter lov, med de sikkerhedsforanstaltninger, der er beskrevet i aftalen.

12. Ændringer

12.1 Den gældende version publiceres på crator.app/databehandleraftale. Væsentlige ændringer varsles senest 30 dage før ikrafttræden via e-mail til den dataansvarliges kontaktperson. Fortsat brug af Crator efter ikrafttræden udgør accept af den opdaterede aftale.

13. Ansvar

13.1 Ansvar for handlinger i strid med denne aftale reguleres af ansvars- og erstatningsbestemmelserne i brugsbetingelserne. Dette gælder også overtrædelser foretaget af databehandlerens underdatabehandlere.

14. Lovvalg og værneting

14.1 Aftalen er underlagt dansk ret. Tvister afgøres ved de danske domstole med Københavns Byret som første instans, medmindre andet følger af ufravigelig lov.

Bilag A – Kategorier af personoplysninger og registrerede

A. Kategorier af personoplysninger: Den dataansvarlige bestemmer, hvilke kategorier der behandles i Crator. Det kan omfatte navn, titel, telefonnummer, e-mail, adresse, CVR-nummer, bank- og betalingsoplysninger, faktura- og bilagsdata samt metadata om brug af platformen. Særlige kategorier af personoplysninger (følsomme oplysninger) kan forekomme, hvis den dataansvarlige behandler sådanne i regnskabet; dette sker uden for databehandlerens kontrol, og den dataansvarlige skal sikre lovligt grundlag.

B. Kategorier af registrerede: Den dataansvarliges slutbrugere, medarbejdere, kontaktpersoner, bogholdere/revisorer med adgang, samt den dataansvarliges kunder, leverandører og disses kontaktpersoner og medarbejdere, i det omfang oplysninger om dem indgår i kundedata.

Bilag B – Underdatabehandlere

Crator anvender underdatabehandlere til cloud-hosting, AI/OCR, betaling, e-mail og bankintegration. Vi indgår databehandleraftaler med dem og sikrer et gyldigt overførselsgrundlag, når data behandles uden for EU/EØS. Listen opdateres løbende; den gældende version findes altid på denne side.

Scaleway SAS — EU-baseret cloud-infrastruktur (compute, database, objektlager). Hosting primært i EU. Data: kundedata at rest og i behandling.

Mistral AI — OCR og AI-klassifikation af bilag. Data: indhold og metadata fra uploadede bilag og fakturaer. Behandling med gyldigt overførselsgrundlag, hvor relevant.

Stripe, Inc. — abonnementsbetaling og betalingshåndtering. Data: betalings- og faktureringsoplysninger. Hosting/overførsel efter Stripe DPA og SCC, hvor relevant.

Resend, Inc. — transaktionelle e-mails (verifikation, servicemeddelelser). Data: e-mailadresse og meddelelsesindhold. Overførsel med SCC, hvor relevant.

GoCardless Ltd / Aiia — bankintegration (PSD2/AIS), når den dataansvarlige aktiverer funktionen. Data: bankkonto-identifikatorer og transaktionsdata godkendt af den dataansvarlige. Primært EU/EØS.

Spørgsmål til underdatabehandlere: hej@crator.app.