Databehandler­aftale

1. Aftalen

1.1 Dette er Bilag 1 til Nartos handelsbetingelser på narto.dk/handelsbetingelser. Det er den databehandleraftale, som databeskyttelsesforordningens artikel 28 kræver, når vi behandler personoplysninger for dig. “Du” er den virksomhed, der er kunde hos Narto. “Narto” og “vi” er Narto ApS, CVR 46813227, Lynghusene 26, 4571 Grevinge.

1.2 Du accepterer aftalen sammen med handelsbetingelserne. Den skal ikke underskrives for sig.

1.3 Du er dataansvarlig for de personoplysninger, aftalen handler om. Narto er databehandler og behandler dem kun for dig.

1.4 Aftalen dækker henvendelser fra formularer på din hjemmeside, besøg på en hjemmeside, der ligger hos os, og tilvalget med anmeldelser på Google. Den gælder for en side, du lejer hos Narto. Den gælder også for en side, du har købt eller købt fri, så længe formularen på den sender gennem Nartos formularsystem (handelsbetingelsernes punkt 4). Hvordan vi behandler de oplysninger om dig selv, som Narto er dataansvarlig for, står i vores privatlivspolitik på narto.dk/privatlivspolitik.

2. Hvad vi behandler for dig

2.1 Henvendelser fra din hjemmeside. Formålet er, at du får de henvendelser, besøgende sender fra formularerne på din side, og at du kan se, hvor mange der kommer. Vi tager imod henvendelsen, sender den til din mail, gemmer den i din kundeliste, som er din liste over henvendelser hos GoHighLevel, sorterer spam fra, gemmer en sikkerhedskopi i 90 dage og tæller henvendelserne til din statistik. Vi ser også på, hvor mange henvendelser du får, og hvad de handler om, så vi kan foreslå dig forbedringer og flere ydelser. Kan en henvendelse ikke afleveres til dig, eller bliver den holdt tilbage som spam, får vi en besked med henvendelsen på vores egen mail, så vi kan sende den videre. Vi kan bruge et AI-værktøj til at slå en henvendelse op og til at håndtere de beskeder (punkt 7.7).

2.2 Oplysningerne er dem, den besøgende selv skriver i formularen. Typisk er det navn, telefonnummer og en besked om opgaven. Alt efter hvordan din side er bygget, kan det også være mailadresse, adresse og hvilken ydelse det handler om. Vi gemmer også, hvilken side henvendelsen kom fra, og hvornår den kom.

2.3 Personerne er dem, der udfylder en formular på din side. Typisk er det dine kunder og folk, der overvejer at blive det.

2.4 Besøg på din hjemmeside. Det her gælder en side, der ligger hos os. Når nogen åbner din side, modtager vores leverandører af hosting og statistik den besøgendes IP-adresse, browsertype og tidspunktet for besøget. Hostingleverandøren fører almindelige serverlogs, så siden kan holdes kørende og sikker. Har din side statistik, tæller den besøg, opkald og henvendelser uden cookies, og den følger ikke den besøgende på tværs af hjemmesider.

2.5 Anmeldelser på Google. Det her gælder kun, hvis du har valgt tilvalget i handelsbetingelsernes punkt 15. Formålet er, at din kunde efter et job får en sms med tak og et link til at anmelde din virksomhed på Google. Sms'en bliver sendt fra dit eget nummer gennem GoHighLevel, som bruger Twilio til udsendelsen. Den indeholder ikke tilbud eller reklame.

2.6 Oplysningerne er din kundes navn og telefonnummer og det, at du har udført et job for kunden. Personerne er de kunder, du beder os skrive til.

2.7 Følsomme oplysninger. Aftalen handler om almindelige personoplysninger. Formularerne spørger ikke om følsomme oplysninger, for eksempel om helbred, og ikke om cpr-numre. Skriver en besøgende alligevel den slags i sin besked, behandler vi det som resten af henvendelsen.

2.8 Varighed. Vi behandler oplysningerne, så længe du lejer siden, så længe formularen på en købt side sender gennem vores formularsystem, eller så længe du bruger tilvalget. Derefter behandler vi dem, indtil de er slettet eller udleveret efter punkt 10.

3. Din instruks

3.1 Vi behandler kun oplysningerne efter din dokumenterede instruks. Handelsbetingelserne og denne aftale er din instruks. Vi gør det, der står i punkt 2, og ikke andet.

3.2 Vil du ændre instruksen, skriver du det til nikolaj@narto.dk. En instruks gælder kun, når den er skriftlig.

3.3 Vi bruger ikke oplysningerne til vores egne formål. Vi sælger dem ikke, og vi bruger dem ikke for andre.

3.4 Mener vi, at en instruks er i strid med databeskyttelsesforordningen eller andre regler om databeskyttelse, siger vi det til dig med det samme. Vi kan vente med at følge den, til vi har talt om det.

3.5 Kræver EU-ret eller dansk ret, at vi behandler oplysningerne på en anden måde, end du har bedt om, siger vi det til dig, før vi gør det, medmindre loven forbyder os at sige det.

4. Dit ansvar

4.1 Du har ansvaret for, at du må behandle oplysningerne, og for at fortælle de besøgende og dine kunder, hvordan du bruger deres oplysninger (handelsbetingelsernes punkt 14).

4.2 Bruger du tilvalget med anmeldelser, står du inde for, at du må skrive til dine kunder på sms (handelsbetingelsernes punkt 15).

5. Fortrolighed

5.1 Kun personer, der skal bruge oplysningerne for at levere til dig, har adgang til dem, og kun i det omfang, det er nødvendigt.

5.2 Alle, der har adgang, har tavshedspligt. Den gælder også, når deres arbejde for Narto er slut.

5.3 Vi gennemgår løbende, hvem der har adgang, og lukker en adgang, der ikke længere er nødvendig.

6. Sikkerhed

6.1 Vi sørger for en sikkerhed, der passer til oplysningerne og til risikoen for de personer, de handler om. Det er det, databeskyttelsesforordningens artikel 32 kræver.

6.2 I dag gør vi det sådan:

• Henvendelser bliver sendt krypteret fra din hjemmeside til vores formularsystem.
• Kun de personer, der skal bruge oplysningerne, har adgang til dem.
• Vores konti hos leverandørerne er beskyttet med adgangskode og totrinsgodkendelse, hvor leverandøren tilbyder det.
• Nøglen til din kundeliste ligger i vores formularsystem og står aldrig i hjemmesidens offentlige kode.
• Sikkerhedskopien af en henvendelse bliver slettet automatisk efter 90 dage.

6.3 Intet system er helt sikkert. Ændrer risikoen sig, tilpasser vi sikkerheden.

6.4 Skal du bruge oplysninger om vores sikkerhed til din egen vurdering af risikoen, får du dem skriftligt.

7. Underdatabehandlere

7.1 Vi bruger andre leverandører til at behandle oplysningerne. De hedder underdatabehandlere. Du giver os en generel tilladelse til at bruge dem, og du har godkendt dem, der står i punkt 7.7.

7.2 Vi har en skriftlig aftale med hver underdatabehandler, vi selv har en konto hos. Den giver underdatabehandleren de samme pligter til at beskytte oplysningerne, som vi har efter denne aftale. Bruger vi en leverandør gennem en anden, som Twilio gennem GoHighLevel, gælder den aftale, GoHighLevel har med leverandøren.

7.3 Vi har ansvaret over for dig for det, en underdatabehandler gør med oplysningerne, som om vi selv havde gjort det.

7.4 Vil vi tilføje eller udskifte en underdatabehandler, skriver vi til dig på mail mindst 30 dage før.

7.5 Er du imod ændringen, skriver du til nikolaj@narto.dk, inden de 30 dage er gået. Så prøver vi at finde en løsning. Finder vi ikke en, kan du sige lejen eller tilvalget op efter handelsbetingelsernes punkt 8 og 15. Har du købt siden, kan du bede os koble formularen fra vores formularsystem. Vi kan ikke levere uden vores leverandører, så det er de muligheder, du har.

7.6 Beder du om det, får du en kopi af de dele af vores aftaler med underdatabehandlerne, der handler om databeskyttelse.

7.7 Det er de underdatabehandlere, vi bruger i dag:

Leverandør og land	Bruges til
Cloudflare, USA	Hosting af en lejet hjemmeside og serverlogs, modtagelse af henvendelser fra formularer og sikkerhedskopien af henvendelser i 90 dage
GoHighLevel (HighLevel Inc., LeadConnector), USA	Din kundeliste med henvendelserne, mailen til dig om en ny henvendelse og sms'en i tilvalget med anmeldelser
Twilio, USA	Udsendelse af sms gennem GoHighLevel i tilvalget med anmeldelser
Plausible, EU	Statistik på din hjemmeside uden cookies: besøg, opkald og henvendelser
Google (Google Workspace), Irland	Nartos mail. Formularsystemet sender en fejlbesked med henvendelsen hertil, hvis den ikke kan afleveres til dig eller bliver holdt tilbage som spam
Anthropic (Claude), USA	AI-værktøj, som vi bruger til at slå henvendelser op og til at håndtere fejlbeskeder

8. Lande uden for EU og EØS

8.1 Narto ligger i Danmark. Flere af underdatabehandlerne er amerikanske, så oplysningerne bliver behandlet både i EU og i USA. Når du accepterer aftalen, har du bedt os bruge dem.

8.2 Overførslen sker på grundlag af EU-US Data Privacy Framework, når leverandøren er certificeret, og ellers på grundlag af EU-Kommissionens standardkontraktbestemmelser. Skriv til os, hvis du vil vide, hvilket grundlag der gælder for en bestemt leverandør.

8.3 Vi tager ikke en ny underdatabehandler uden for EU og EØS i brug uden at varsle dig efter punkt 7.4.

9. Hjælp til dig

9.1 Anmodninger fra personer. Personer kan bede om at se, få rettet eller få slettet oplysninger om sig selv. Dem svarer du på. Kommer en anmodning til os, sender vi den videre til dig uden unødig forsinkelse og svarer ikke selv på den.

9.2 Vi hjælper dig med at svare. Vi kan finde, rette, udlevere og slette en bestemt persons oplysninger i de systemer, vi driver for dig. Skriv til nikolaj@narto.dk.

9.3 Skriver en modtager til os, at vedkommende ikke vil have flere sms'er, sørger vi for det og siger det til dig.

9.4 Brud på sikkerheden. Opdager vi et brud på persondatasikkerheden, der rammer oplysninger, vi behandler for dig, giver vi dig besked uden unødig forsinkelse og senest 48 timer efter, at vi er blevet opmærksomme på det.

9.5 Beskeden indeholder det, vi ved: hvad der er sket, hvilke oplysninger og omtrent hvor mange personer det drejer sig om, hvad følgerne kan blive, og hvad vi har gjort og foreslår. Ved vi ikke det hele med det samme, får du resten, så snart vi ved det.

9.6 Du afgør, om bruddet skal anmeldes til Datatilsynet, og om personerne skal have besked. Fristen for en anmeldelse er som udgangspunkt 72 timer. Vi hjælper dig med de oplysninger, du skal bruge.

9.7 Konsekvensanalyse. Skal du lave en konsekvensanalyse eller høre Datatilsynet, før en behandling begynder, hjælper vi med de oplysninger, vi har.

10. Sletning og udlevering

10.1 Når lejen stopper, vælger du, om vi skal slette oplysningerne med det samme, eller om du vil have dem udleveret først. Beder du om det senest 30 dage efter, at lejen er stoppet, får du en liste over henvendelserne (handelsbetingelsernes punkt 9).

10.2 Senest 90 dage efter, at lejen er stoppet, har vi slettet henvendelserne og din kundeliste. Det gælder også de beskeder med henvendelser, der ligger i vores egen mail. Beder du os slette dem før, gør vi det.

10.3 Sikkerhedskopien af en henvendelse bliver slettet automatisk 90 dage efter, at henvendelsen kom ind. De sidste sikkerhedskopier er derfor også væk senest 90 dage efter, at lejen er stoppet. Serverlogs bliver slettet af hostingleverandøren efter en kort periode, som den selv fastsætter.

10.4 Stopper tilvalget med anmeldelser, sletter vi dine kunders navne og telefonnumre senest 90 dage efter. Vil du have dem udleveret først, siger du det senest 30 dage efter, at tilvalget er stoppet.

10.5 Mens aftalen løber, kan du få en liste over dine henvendelser, og vi sletter en bestemt persons oplysninger, når du beder om det.

10.6 Kræver EU-ret eller dansk ret, at vi gemmer nogle af oplysningerne længere, gemmer vi kun dem og kun til det formål. Det siger vi til dig.

10.7 Beder du om det, bekræfter vi på mail, at oplysningerne er slettet.

10.8 Har du købt siden eller købt den fri, regnes fristerne i punkt 10.1 til 10.3 fra den dag, formularen på den ikke længere sender gennem vores formularsystem.

11. Dokumentation og kontrol

11.1 Du kan bede os vise, at vi overholder denne aftale og databeskyttelsesforordningens artikel 28. Vi svarer skriftligt på dine spørgsmål inden for rimelig tid.

11.2 Du kan også kontrollere os ved et besøg. Det kan du gøre selv eller gennem en revisor, der har tavshedspligt. Besøget skal varsles i rimelig tid, og du betaler selv dine udgifter til det, også til revisoren. Vi hjælper til, så kontrollen kan gennemføres.

11.3 Kontrollen med underdatabehandlerne sker gennem den dokumentation, de selv stiller til rådighed, for eksempel revisionserklæringer og certificeringer. Vi skaffer den til dig, når du beder om det.

11.4 Datatilsynet og andre myndigheder, der efter loven har ret til det, får adgang til at kontrollere os.

12. Forholdet til handelsbetingelserne

12.1 Står der noget forskelligt om personoplysninger i denne aftale og i handelsbetingelserne eller vores bekræftelse, gælder denne aftale.

12.2 Alt andet følger handelsbetingelserne. Det gælder også ansvarsbegrænsningen i handelsbetingelsernes punkt 20 og lovvalg og værneting i handelsbetingelsernes punkt 28.

12.3 Aftalen ændrer ikke de pligter, databeskyttelsesforordningen giver os hver især, og heller ikke de rettigheder, som de personer, oplysningerne handler om, har.

13. Hvor længe aftalen gælder

13.1 Aftalen gælder fra den dag, du har accepteret handelsbetingelserne, og så længe vi behandler personoplysninger for dig. Den gælder derfor også, efter at lejen, formularen på en købt side eller tilvalget er stoppet, indtil oplysningerne er slettet eller udleveret efter punkt 10.

13.2 Aftalen kan ikke siges op for sig. Den stopper, når vi ikke længere behandler personoplysninger for dig.

13.3 Vi kan ændre aftalen på samme måde som handelsbetingelserne, det vil sige med en måneds varsel på mail (handelsbetingelsernes punkt 26). Kræver en lovændring, at aftalen bliver ændret, kan vi begge bede om det.

14. Kontakt

14.1 Narto ApS, Lynghusene 26, 4571 Grevinge. CVR 46813227. Mail: nikolaj@narto.dk. Telefon: 21 81 17 02.

14.2 Vi skriver til den mailadresse, du har givet os, også når det handler om et brud på sikkerheden eller en ny underdatabehandler. Sig til, hvis den ændrer sig.