Databehandleraftale.

Den virksomhed, der har indgået Smaqly-aftalen (“Kunden”), er dataansvarlig. Smaqly ApS, CVR 46526740, Bogensevej 40, 8940 Randers SV, er databehandler.

Denne databehandleraftale er en integreret del af Kundens aftale om Smaqly og gælder automatisk, når Smaqly behandler personoplysninger på Kundens vegne. Behandler en part oplysninger til egne formål, er den part selvstændig dataansvarlig for den behandling.

Behandlingen består i at modtage, lagre, strukturere, vise, overføre, analysere, sikkerhedskopiere og slette oplysninger for at levere de funktioner, Kunden aktiverer. Den løber, mens hovedaftalen er aktiv, samt i den begrænsede ophørs- og sletteperiode beskrevet i punkt 12.

Formålet er at drive Kundens hjemmeside, takeaway, betaling, POS, køkken, levering, bordbooking, kundeklub, gavekort, kommunikation, rapportering, personaleværktøjer, integrationer og support.

Kunden må ikke instruere Smaqly i at behandle følsomme oplysninger eller CPR-numre, medmindre det er nødvendigt, lovligt og særskilt aftalt. Fritekstfelter skal bruges med omtanke.

Smaqly behandler kun oplysninger efter dokumenteret instruks fra Kunden. Hovedaftalen, Kundens opsætning, handlinger i administrationen og konkrete skriftlige supportanmodninger udgør dokumenterede instrukser.

Hvis en instruks efter Smaqlys vurdering strider mod databeskyttelsesreglerne, orienteres Kunden, og behandlingen kan sættes på pause. Kræver EU-ret eller dansk ret en behandling uden instruks, informeres Kunden på forhånd, medmindre loven forbyder det.

Personer med adgang hos Smaqly er underlagt fortrolighed og får alene adgang efter arbejdsbetinget behov. Adgang skal fjernes ved rolleændring eller fratrædelse. Kunden styrer egne brugere og er ansvarlig for at anvende passende roller og beskytte login og enheder.

Smaqly opretholder blandt andet følgende foranstaltninger:

• krypteret transport, kontrolleret hemmelighedshåndtering og hosting hos professionelle leverandører,
• tenant-adskillelse, rollebaseret adgang og servervalidering af følsomme handlinger,
• logning, overvågning, rate limits og beskyttelse af betalings-, eksport- og adminfunktioner,
• backup, gendannelsesprocedurer og test af væsentlige ændringer, og
• processer for sårbarheder, hændelser, adgangsophør og dataminimering.

Foranstaltningerne kan udvikles med teknologien, når det samlede sikkerhedsniveau ikke forringes. Kunden skal selv sikre internet, netværk, fysiske enheder, lokale brugere og nødprocedurer.

Kunden giver generel godkendelse til nedenstående underdatabehandlere. Valgfrie leverandører anvendes kun, når Kunden aktiverer den relevante funktion eller giver det krævede samtykke.

Smaqly sikrer, at underdatabehandlere pålægges mindst tilsvarende databeskyttelsesforpligtelser. En ny underdatabehandler varsles før ibrugtagning via e-mail, administrationen eller den offentliggjorte liste. Kunden kan gøre saglig indsigelse af databeskyttelseshensyn; parterne søger da en praktisk løsning. Kan indsigelsen ikke afhjælpes, kan Kunden opsige den berørte funktion inden den nye underdatabehandler tages i brug.

Behandling uden for EU/EØS sker kun med gyldigt overførselsgrundlag, eksempelvis EU-Kommissionens standardkontraktbestemmelser, en afgørelse om tilstrækkelighed eller EU-US Data Privacy Framework, når modtageren er certificeret. Smaqly gennemfører nødvendige vurderinger og supplerende foranstaltninger efter risikoen.

Smaqly bistår efter Kundens anmodning med søgning, eksport, rettelse, begrænsning og sletning, så Kunden kan besvare registreredes rettigheder. Modtager Smaqly en anmodning direkte, videresendes den til Kunden, medmindre Smaqly selv er dataansvarlig for den pågældende behandling.

Almindelig bistand via platformens værktøjer er inkluderet. Ekstraordinært manuelt arbejde kan faktureres efter forudgående aftale, medmindre behovet skyldes Smaqlys misligholdelse.

Ved et brud på persondatasikkerheden underretter Smaqly Kunden uden unødig forsinkelse efter at være blevet bekendt med bruddet og giver tilgængelige oplysninger om art, omfang, sandsynlige konsekvenser og afhjælpning. Kunden afgør som dataansvarlig, om Datatilsynet og de registrerede skal underrettes.

Smaqly bistår rimeligt med risikovurderinger, konsekvensanalyser, forudgående høring og myndighedsspørgsmål, i det omfang behandlingen og de oplysninger, Smaqly råder over, kræver det.

Smaqly stiller de oplysninger til rådighed, der er nødvendige for at dokumentere overholdelse. Kunden kan én gang årligt anmode om relevant sikkerhedsdokumentation eller gennemføre en rimelig, afgrænset kontrol med mindst 30 dages varsel og uden adgang til andre kunders data eller Smaqlys sikkerhedshemmeligheder.

Begrænsningen i hyppighed og varsel gælder ikke, når en dokumenteret sikkerhedshændelse, et konkret begrundet complianceproblem eller et bindende myndighedskrav nødvendiggør en hurtigere kontrol.

Kontrol udføres som udgangspunkt gennem dokumentation og fjernmøde. Kunden betaler egne og Smaqlys rimelige omkostninger ved ekstraordinær kontrol, medmindre kontrollen påviser væsentlig misligholdelse hos Smaqly.

Ved ophør kan Kunden i op til 30 dage anmode om eksport i et almindeligt tilgængeligt format. Herefter sletter eller anonymiserer Smaqly Kundens personoplysninger fra aktive systemer, medmindre lov kræver fortsat opbevaring eller Kunden instruerer om returnering inden fristen.

Sikkerhedskopier udfases efter den normale rotationscyklus, som aktuelt er op til 30 dage, og må i perioden kun bruges til gendannelse og sikkerhedsformål. Oplysninger, som Smaqly skal opbevare som selvstændig dataansvarlig, holdes adskilt og bruges kun til det lovbestemte formål.

Parternes ansvar følger hovedaftalens ansvarsbegrænsning, i det omfang databeskyttelsesreglerne tillader det. Denne aftale går forud for hovedaftalen ved modstrid om behandling af personoplysninger. Ændringer, som alene er nødvendige for at efterleve bindende databeskyttelsesret, kan gennemføres med relevant varsel.

Henvendelser om denne aftale sendes til kontakt@smaqly.dk. Kundens kontakt er den ejer- eller administratoradresse, der er registreret på Smaqly-kontoen.