Databehandleraftale for CPHEVENTS Dashboard

CPHEVENTS · Databehandling

Databehandleraftale for CPHEVENTS Dashboard

Version 1.0 – udkast af 20. september 2026

Vigtig afgrænsning

CPHEVENTS Dashboard er på nuværende tidspunkt et privat, internt værktøj for CPHLIVE ApS/CPHEVENTS. Ved den interne brug er CPHLIVE ApS dataansvarlig, og der kan ikke indgås en databehandleraftale med samme juridiske enhed som databehandler.

Denne aftale finder derfor kun anvendelse, hvis Dashboardet senere stilles til rådighed for en anden juridisk person, og CPHLIVE ApS i den forbindelse behandler personoplysninger på den pågældendes vegne. For den nuværende interne brug beskrives behandlingen i “Privatlivspolitik for CPHEVENTS Dashboard” og i CPHEVENTS' aftaler med de relevante leverandører.

1. Parterne

Den dataansvarlige: Den kunde, som identificeres i den underliggende aftale om brug af Dashboardet.

Databehandleren: CPHLIVE ApS, CVR-nr. 31861969, markedsført under navnet CPHEVENTS, Njalsgade 76, 4., 2300 København S.

2. Genstand, varighed og formål

Databehandleren behandler personoplysninger for at levere, hoste, sikre og supportere et økonomidashboard, som sammenstiller data fra den dataansvarliges e-conomic-aftale, Pleo-eksporter, budgetter og øvrige godkendte kilder.

Behandlingen varer, så længe den underliggende aftale er i kraft, samt i en nødvendig og dokumenteret afviklingsperiode.

3. Registrerede og datatyper

Registrerede kan være den dataansvarliges brugere, medarbejdere, kunder, leverandører og kontaktpersoner.

Datatyper kan omfatte navn, arbejdsmail, brugerrolle, profilbillede, kunde- og leverandørnavne, kontaktoplysninger, udgifter, forhandlere, posteringer, bilags- og fakturareferencer, budgetdata, noter og tekniske logs.

Dashboardet må ikke anvendes til følsomme personoplysninger eller CPR-numre, medmindre dette udtrykkeligt aftales og understøttes af passende sikkerhedsforanstaltninger og behandlingsgrundlag.

4. Instruks og fortrolighed

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige og i det omfang, det er nødvendigt for at levere Dashboardet. Personer med adgang til oplysningerne skal være underlagt fortrolighed.

Hvis en instruks efter databehandlerens vurdering er i strid med databeskyttelsesreglerne, underrettes den dataansvarlige uden unødig forsinkelse.

5. Sikkerhed

Databehandleren anvender passende tekniske og organisatoriske foranstaltninger, herunder privat adgang, rollebaseret adgangsstyring, serverbaseret opbevaring af API-nøgler, krypteret kommunikation, adgangsbegrænsning, kontrolleret ændringshåndtering og procedurer for tilbagekaldelse af adgang.

6. Underdatabehandlere

Den dataansvarlige giver generel skriftlig tilladelse til brug af underdatabehandlere, der er nødvendige for hosting, adgangskontrol, lagring og drift. Den aktuelle leverandørkæde kan omfatte:

  • OpenAI Sites til hosting, applikationsdrift og adgangskontrol;
  • Cloudflare som teknisk hosting- og netværksleverandør;
  • Google Workspace til filer, budgetter og kontrollerede importer;
  • en AI-leverandør, når AI-funktioner er aktiveret.


e-conomic og Pleo er normalt den dataansvarliges egne kildesystemer og reguleres af den dataansvarliges direkte aftaler med disse leverandører.

Databehandleren orienterer om væsentlige ændringer i underdatabehandlere, så den dataansvarlige kan gøre indsigelse på et sagligt grundlag.

7. Tredjelandsoverførsler

Overførsel uden for EU/EØS må kun ske efter dokumenteret instruks og med et gyldigt overførselsgrundlag, eksempelvis EU-Kommissionens standardkontraktbestemmelser, samt relevante supplerende foranstaltninger.

8. Bistand og sikkerhedsbrud

Databehandleren bistår efter behandlingens karakter den dataansvarlige med registreredes rettigheder, sikkerhed, konsekvensanalyser og kontakt til tilsynsmyndigheder.

Databehandleren underretter den dataansvarlige uden unødig forsinkelse efter konstatering af et brud på persondatasikkerheden og giver de oplysninger, som er tilgængelige om hændelsen, de berørte data, sandsynlige konsekvenser og afhjælpende tiltag.

9. Sletning og tilbagelevering

Ved aftalens ophør slettes eller tilbageleveres personoplysninger efter den dataansvarliges dokumenterede valg, medmindre EU-ret eller dansk ret kræver fortsat opbevaring. Tekniske sikkerhedskopier kan være omfattet af leverandørernes normale, tidsbegrænsede slettecyklusser.

10. Kontrol og dokumentation

Databehandleren stiller efter rimelig anmodning den dokumentation til rådighed, som er nødvendig for at påvise overholdelse af artikel 28. Revision gennemføres med rimeligt varsel, inden for normal arbejdstid og uden unødig forstyrrelse af driften.

11. Lovvalg

Aftalen er underlagt dansk ret. Tvister afgøres ved de danske domstole, medmindre parterne skriftligt aftaler andet.

Bilag A – behandlingsbeskrivelse

  • Formål: Hosting, drift og support af økonomidashboard.
  • Behandling: Indhentning, sammenstilling, visning, analyse, lagring og sletning.
  • Registrerede: Brugere, medarbejdere, kunder, leverandører og kontaktpersoner.
  • Datatyper: Brugeroplysninger, posteringer, udgifter, bilagsreferencer, budgetter, noter og tekniske logs.
  • Hyppighed: Efter brugerens anmodning og ved nødvendige driftsprocesser.
  • Varighed: Den underliggende aftales løbetid samt nødvendig afviklingsperiode.
  • Særlige kategorier: Ikke tilsigtet.

Underskrifter

Dato: ____________________

For den dataansvarlige

Navn og titel: ____________________

Underskrift: ____________________

For CPHLIVE ApS / CPHEVENTS

Navn og titel: ____________________

Underskrift: ____________________