Databehandleraftale

Denne databehandleraftale (DPA) udgør en integreret del af samarbejdsaftalen mellem flyttefirmaet ("Databehandleren") og NEXTINVEST ApS, CVR 28 12 94 16 ("Dataansvarlige"), der driver platformen Flyttefirmaet.dk.

Aftalen er udarbejdet i overensstemmelse med art. 28 i Europa-Parlamentets og Rådets forordning 2016/679 (GDPR). Aftalen accepteres ved oprettelse af firma-konto og er bindende så længe Databehandleren modtager personoplysninger via platformen.

1. Behandlingens omfang

1.1 Karakter og formål

Når Databehandleren afgiver tilbud via platformen, behandler vedkommende kundens anonymiserede flyttedetaljer. Kundens fulde kontaktoplysninger videregives, når kunden accepterer Databehandlerens tilbud, eller når oplysningerne frigives til bydende firmaer som beskrevet i platformens privatlivspolitik (kort før flyttedatoen, eller straks hvis kunden har valgt det), med det formål, at Databehandleren kan kontakte kunden om tilbuddet og udføre selve flytningen. Behandlingen sker udelukkende til dette formål.

1.2 Typer af personoplysninger

• Almindelige personoplysninger: navn, e-mail, telefonnummer.
• Adresser (fra-/til-adresse inkl. husnr., etage).
• Flytte-relaterede oplysninger: dato, volumen, særlige genstande, evt. fri-tekst-noter.

Der behandles ingen særlige kategorier af personoplysninger (GDPR art. 9) eller oplysninger om straffedomme (art. 10).

1.3 Kategorier af registrerede

Forbrugere (privatpersoner) der bestiller flytning via platformen.

1.4 Varighed

Behandlingen varer fra Databehandleren modtager oplysningerne, og indtil de er slettet i overensstemmelse med punkt 7. Anbefalet maksimal opbevaring efter udført flytning: 3 år (forældelsesfrist for tilbageholdte krav).

2. Selvstændig dataansvarlighed efter modtagelse

Databehandleren modtager kundens fulde kontaktoplysninger enten som følge af et accepteret tilbud eller ved en frigivelse til bydende firmaer, og kan herefter indgå en selvstændig aftale med kunden om selve flytningen. Fra dette tidspunkt er Databehandleren selvstændigt dataansvarlig for den videre behandling af de modtagne oplysninger til det formål, der ligger uden for platformens scope (kontrakt-opfyldelse, fakturering, kundeservice m.v.).

Den dataansvarlige (NEXTINVEST ApS) er ikke ansvarlig for Databehandlerens efterfølgende selvstændige behandling.

3. Databehandlerens forpligtelser

Databehandleren skal:

• Kun behandle personoplysningerne efter dokumenteret instruktion fra Dataansvarlige (dvs. som angivet i denne aftale og platformen).
• Sikre, at personale med adgang til oplysningerne er underlagt tavshedspligt.
• Træffe alle nødvendige tekniske og organisatoriske foranstaltninger jf. art. 32 (se punkt 5).
• Bistå Dataansvarlige med at opfylde forpligtelser efter art. 32-36 (sikkerhed, anmeldelse af brud, konsekvensanalyser).
• Bistå Dataansvarlige med at besvare anmodninger fra registrerede om rettigheder (art. 12-23).
• Underrette Dataansvarlige uden ugrundet ophold (og senest 24 timer) efter at være blevet bekendt med et brud på persondatasikkerheden.
• Stille alle oplysninger, der er nødvendige for at påvise overholdelse, til rådighed for Dataansvarlige, og muliggøre revisioner.

4. Underdatabehandlere

Databehandleren må kun anvende underdatabehandlere, hvis disse er underlagt skriftlige forpligtelser, der svarer til denne aftale (art. 28(4)). Dataansvarlige skal varsles inden tilføjelse eller udskiftning af underdatabehandlere og kan gøre indsigelse.

5. Sikkerhedsforanstaltninger (art. 32)

Databehandleren skal som minimum sikre:

• Kryptering af oplysninger ved overførsel (TLS 1.2+) og ved lagring på bærbare enheder.
• Adgangskontrol, kun medarbejdere med saglig brug må tilgå oplysningerne.
• Stærke unikke adgangskoder; 2-faktor-godkendelse på e-mail og firma-portal anbefales.
• Backup-rutiner og evne til at gendanne data ved hændelser.
• Sletning af oplysninger på enheder, der bortskaffes.
• Procedure for håndtering af persondatabrud, opdagelse, vurdering, anmeldelse.
• Løbende uddannelse af medarbejdere i databeskyttelse.

6. Tredjelandsoverførsel

Databehandleren må ikke overføre personoplysninger til tredjelande (uden for EU/EØS) uden forudgående skriftlig tilladelse fra Dataansvarlige. Sker overførsel, skal et gyldigt overførselsgrundlag foreligge (fx EU-Kommissionens standardkontraktbestemmelser).

7. Sletning ved aftaleophør

Når Databehandleren ophører med at samarbejde med Dataansvarlige, eller når formålet med behandlingen ikke længere er aktuelt, skal Databehandleren slette eller tilbagelevere alle modtagne personoplysninger, medmindre EU-retten eller national ret kræver fortsat opbevaring (fx bogføringsloven § 12 for fakturaer, 5 år).

Sletning skal ske inden 30 dage og bekræftes skriftligt på Dataansvarliges anmodning.

8. Ansvar

Hver part bærer ansvar for egne overtrædelser af GDPR og denne aftale. Bøder pålagt af Datatilsynet fordeles efter ansvarsforholdet i hvert enkelt tilfælde. Databehandleren friholder Dataansvarlige for krav fra registrerede, der skyldes Databehandlerens overtrædelse af denne aftale.

9. Lovvalg og værneting

Aftalen er undergivet dansk ret. Tvister behandles ved retten i Næstved.

10. Kontakt

Spørgsmål om denne aftale rettes til [email protected]. Se også vores privatlivspolitik og GDPR-side.