Databehandleraftale (DPA)

Gældende fra offentliggørelsen. Denne aftale supplerer Metaventus' almindelige servicevilkår.

1. Formål og roller

Denne databehandleraftale („DPA“) regulerer i overensstemmelse med artikel 28 i databeskyttelsesforordningen de behandlinger af personoplysninger, som VENTUS, forenklet aktieselskab med en kapital på 60 000 €, handels- og selskabsregistret i Rouen 917 982 969, 14 chemin des Tilleuls, 76130 Mont-Saint-Aignan („Metaventus“, der handler som databehandler) foretager på vegne af kontoindehaveren („Kunden“, der handler som dataansvarlig) i forbindelse med leveringen af Tjenesterne.

Når Kunden selv handler som databehandler for en tredjemand, optræder Metaventus som underdatabehandler, og Kunden indestår for, at dennes egne forpligtelser er forenelige med denne DPA.

For de behandlinger, Metaventus foretager for egen regning (administration af kundekontoen, fakturering, platformens sikkerhed, statistik), handler Metaventus som dataansvarlig i overensstemmelse med sin privatlivspolitik.

2. Instrukser

Metaventus behandler Kundens Data udelukkende efter dokumenteret instruks fra Kunden. Servicevilkårene, denne DPA og Kundens og dennes brugeres anvendelse af platformens funktioner udgør Kundens instrukser. Metaventus underretter Kunden, hvis en instruks efter Metaventus' opfattelse strider mod databeskyttelsesforordningen.

3. Beskrivelse af behandlingen

Den detaljerede beskrivelse (karakter, formål, kategorier af data og registrerede, varighed) fremgår af bilag 1.

4. Fortrolighed

Metaventus indestår for, at de personer, der er bemyndiget til at behandle Kundens Data, er underlagt tavshedspligt og kun tilgår dem i det omfang, det er nødvendigt for deres opgaver.

5. Sikkerhed

Metaventus gennemfører de passende tekniske og organisatoriske foranstaltninger, der er beskrevet i bilag 2, i overensstemmelse med artikel 32 i databeskyttelsesforordningen.

6. Underdatabehandlere

Kunden giver en generel godkendelse til anvendelsen af de underdatabehandlere, der er anført i bilag 3. Metaventus indgår med hver af dem en aftale, der pålægger databeskyttelsesforpligtelser svarende til dem i denne DPA, og forbliver ansvarlig for deres opfyldelse.

Metaventus underretter Kunden (pr. e-mail eller meddelelse i platformen) om enhver tilføjelse eller udskiftning af en underdatabehandler mindst tredive (30) dage før ikrafttrædelsen. Kunden kan gøre indsigelse af en legitim grund; kommer der ingen enighed i stand, kan Kunden opsige det pågældende abonnement, før ændringen træder i kraft.

7. Bistand til den dataansvarlige

Under hensyntagen til behandlingens karakter bistår Metaventus Kunden med passende foranstaltninger (primært platformens funktioner): med at besvare anmodninger fra registrerede, der udøver deres rettigheder (indsigt, berigtigelse, sletning, dataportabilitet, indsigelse); og med at overholde sine forpligtelser efter artikel 32-36 i databeskyttelsesforordningen (sikkerhed, anmeldelse af brud, konsekvensanalyser). Enhver anmodning om bistand ud over standardfunktionerne kan give anledning til en rimelig, på forhånd aftalt fakturering.

8. Brud på persondatasikkerheden

Metaventus underretter Kunden hurtigst muligt efter at være blevet bekendt hermed om ethvert brud, der berører Kundens Data, til e-mailadressen for kontoens administrator eller administratorer, med de oplysninger, der er fastsat i artikel 33, stk. 3, i databeskyttelsesforordningen (karakter, berørte kategorier og mængder, sandsynlige konsekvenser, trufne eller foreslåede foranstaltninger).

9. Overførsler uden for Den Europæiske Union

Kundens Data hostes inden for Den Europæiske Union. Visse underdatabehandlere (bilag 3) kan behandle data fra tredjelande; i så fald indrammes overførslen af en afgørelse om tilstrækkeligt beskyttelsesniveau (herunder EU-U.S. Data Privacy Framework) og/eller Europa-Kommissionens standardkontraktbestemmelser, om nødvendigt suppleret med yderligere foranstaltninger.

10. Sletning og tilbagelevering

I hele aftalens løbetid kan Kunden eksportere sine data via platformens funktioner. Ved aftalens ophør sletter Metaventus Kundens Data inden for tredive (30) dage, medmindre opbevaring er lovpligtig. Efter skriftlig anmodning fremsat inden udløbet af denne frist bekræfter Metaventus sletningen.

11. Fortegnelse og revisioner

Metaventus fører en fortegnelse over de behandlingsaktiviteter, der udføres på vegne af Kunden (art. 30, stk. 2, i databeskyttelsesforordningen). Metaventus stiller de oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelsen af denne DPA (dokumentation, beskrivelser af foranstaltningerne, tilgængelige attester).

Kunden kan højst én (1) gang pr. periode på tolv (12) måneder gennemføre en revision begrænset til de behandlinger, der udføres på Kundens vegne, med skriftligt varsel på tredive (30) dage, for egen regning, i arbejdstiden, uden adgang til andre kunders data eller til forretningshemmeligheder. En revision på stedet er kun mulig, hvis dokumentationen ikke giver et tilfredsstillende svar.

12. Varighed og ansvar

Denne DPA gælder i hele Servicevilkårenes løbetid, og så længe Metaventus behandler Kundens Data. Ansvarsbegrænsningerne og ansvarsfraskrivelserne i Servicevilkårene gælder for denne DPA.

Kontakt vedrørende databeskyttelse: contact@metaventus.com.

13. Sprog

Denne DPA er affattet på fransk. Hvis der stilles en oversættelse til rådighed til orientering, er kun den franske version gældende.

Bilag 1 — Beskrivelse af behandlingen

Karakter og formål: hosting, lagring, strukturering og fremfinding af Kundens CRM-data; udsendelse af elektroniske meddelelser (e-mails, sms'er, opkald) på Kundens initiativ; aftalebooking; fakturering af Kundens slutkunder; procesautomatisering; AI-hjælpefunktioner (efter brugernes anmodning); teknisk logning og brugsstatistik.

Kategorier af registrerede: Kundens brugere; Kundens kontakter, emner og kunder; deltagere i aftaler; modtagere af meddelelserne.

Kategorier af data: identitet og kontaktoplysninger (efternavn, fornavn, e-mail, telefon, adresse); erhvervsoplysninger (virksomhed, stilling); forretningsdata (salgsmuligheder, tilbud, fakturaer, aftaler, noter); indholdet af de meddelelser, der udsendes via platformen; tekniske data (logge, IP-adresser, identifikatorer). Behandling af særlige kategorier af data (art. 9 i databeskyttelsesforordningen) er udelukket (jf. Brugsvilkårene).

Varighed: aftalens løbetid, derefter sletning inden 30 dage (art. 10), med forbehold for de opbevaringsperioder, Kunden har konfigureret i platformen, og for retlige forpligtelser.

Bilag 2 — Sikkerhedsforanstaltninger

• Kryptering af trafikken (TLS) på samtlige eksponerede tjenester;
• Streng adskillelse af dataene pr. kundekonto (flerbrugermiljø);
• Adgangsstyring efter roller og tilladelser (RBAC) med fin granularitet;
• Stærk autentificering: tofaktorautentificering tilgængelig (sms, TOTP, adgangsnøgler/WebAuthn) og obligatorisk for administratorroller;
• Opbevaring af autentificeringshemmeligheder med stærk kryptering (AES-256-GCM) og adgangskoder som hashværdier;
• Tidsstemplede revisionslogge (log ind, rolleændringer, følsomme handlinger) med minimumsopbevaringsperioder, der ikke kan afkortes;
• Automatisk udrensning af data efter opbevaringsperiodernes udløb;
• Princippet om færrest mulige rettigheder for personalet; produktionsadgange begrænsede og personlige;
• Regelmæssige sikkerhedskopier, der håndteres af hostingudbyderen (opbevaring og gendannelse);
• Adskilte udviklings- og produktionsmiljøer;
• Sporbarhed for kontraktaccepter (tidsstempel, version, SHA-256-kontrolsum).

Bilag 3 — Underdatabehandlere

Følgende er ikke underdatabehandlere for Metaventus: de tredjepartstjenester, som Kunden på eget initiativ forbinder til sin konto (Google, Microsoft, Zoom, sociale netværk osv.) — disse integrationer hører under det direkte forhold mellem Kunden og den pågældende tredjepartsudbyder.