Databehandleraftale

Vi behandler kun personoplysninger efter jeres dokumenterede instruks (afsnit 3 og Bilag C), medmindre EU-ret eller dansk ret kræver noget andet. I så fald giver vi jer besked, før vi behandler, medmindre loven forbyder det.

• Vi giver straks besked, hvis vi mener, at en instruks er i strid med databeskyttelsesreglerne.
• Vi behandler aldrig jeres oplysninger til egne formål, sælger dem ikke og bruger ikke jeres kontrakter til at træne AI-modeller.
• Vi hjælper jer med at opfylde jeres pligter som dataansvarlig, som beskrevet i afsnit 8.
• Vi stiller de oplysninger til rådighed, der er nødvendige for at vise, at vi overholder artikel 28.

I er ansvarlige for, at I har et lovligt grundlag for at behandle oplysningerne, for at medarbejderne er oplyst om behandlingen, for indholdet af jeres kontrakter, og for at I ikke lægger oplysninger ind, som tjenesten ikke er beregnet til (se Bilag A).

Jeres instruks er beskrevet i Bilag C. Den dækker formål, sikkerhed, opbevaring, placering og revision. Instruksen udføres af den software, I bruger: når I opretter en medarbejder, godkender en kontrakt, sender et underskriftslink eller beder om en kontrol, instruerer I os i at behandle de oplysninger, det kræver.

Vil I give en instruks, der ligger ud over det, tjenesten gør (fx en særlig sletning), skriver I til os. Kræver instruksen ændringer i tjenesten, aftaler vi, hvad der kan lade sig gøre, og hvad det eventuelt koster.

Mails til vores support (info@pactora.dk) er ikke omfattet af denne aftale. Skriv derfor ikke oplysninger om jeres medarbejdere i dem, men henvis til kontrakten eller medarbejderen i appen. Får vi alligevel sådanne oplysninger, sletter vi dem fra supportpostkassen og svarer uden dem.

Kun personer, der har brug for det for at drive og supportere tjenesten, har adgang til jeres oplysninger, og de er bundet af fortrolighed ved aftale eller lov. Adgangen begrænses til det nødvendige. Vores egne administratorer kan ændre standardskabelonerne i appen, men appen giver dem ikke adgang til jeres kontrakter.

Adgang til produktionsdata hos leverandørerne (database, hosting, mail og supportpostkassen) kræver en personlig konto med totrinsbekræftelse. Hemmeligheder (krypteringsnøgler, adgangsnøgler) findes kun på serveren og aldrig i kode eller i browseren.

Vi har truffet disse tekniske og organisatoriske foranstaltninger. De er beskrevet, så I kan vurdere, om de passer til risikoen for jeres medarbejdere:

• Kryptering i transit (TLS, HSTS) og i hvile: de underskrevne dokumenter og mailindhold krypteres på applikationsniveau med AES-256-GCM og en nøgle, der kun findes hos os; databasen og lageret er desuden krypteret på disk hos leverandøren.
• Adgangskontrol med roller (ejer, administrator, HR-medarbejder) og rettigheder, der tjekkes på serveren ved hver handling. Databasen håndhæver adskillelsen mellem virksomheder med rækkeregler (row level security), så en bruger teknisk ikke kan læse en anden virksomheds rækker.
• Totrinsbekræftelse (TOTP) er obligatorisk for alle virksomhedskonti, og følsomme handlinger (underskrift, eksport, sletning) kræver en frisk kode.
• Underskriftslinks er tilfældige, gemmes kun som hash, udløber og kan tilbagekaldes. Medarbejderen skal indtaste en engangskode sendt til sin egen e-mail, og koden bindes til browseren.
• Revisionsspor, der kun kan tilføjes til, med en kontrolsum-kæde pr. virksomhed. Logs og revisionsspor indeholder id'er og hændelsestyper, aldrig navne, mails, løn eller kontrakttekst. Når et spor skal slettes, renses det: bruger-id, IP-hash og detaljer fjernes, mens kæden bevares.
• Låste versioner: en godkendt kontraktversion kan ikke ændres. En ændring efter første underskrift kræver en ny version og nye underskrifter.
• Dataminimering: CPR-numre indsamles ikke. Tekst til AI-leverandøren renses først, som beskrevet i Bilag B.
• Backup: leverandøren tager daglig backup af databasen (opbevares 7 dage), og vi tager en ugentlig, krypteret kopi af databasen og dokumentlageret, som slettes efter højst 30 dage. Gendannelse fra backup afprøves mindst hvert kvartal.
• Sletning efter faste frister (Bilag C) og et natligt job, der håndhæver dem.
• Rate limiting på login, koder og følsomme handlinger; validering af al input på serveren; sikkerhedsheaders (CSP) i applikationen.

Vi kan forbedre foranstaltningerne løbende, men sænker ikke sikkerhedsniveauet uden at varsle jer.

I giver os en generel godkendelse til at bruge underdatabehandlere. De aktuelle står i Bilag B og på siden om underdatabehandlere.

• Vil vi tilføje eller udskifte en underdatabehandler, giver vi besked pr. mail til virksomhedens kontaktmail mindst 30 dage før, ændringen træder i kraft, og opdaterer siden.
• I kan gøre indsigelse inden for varslet. Kan vi ikke finde en løsning, kan I opsige aftalen og eksportere jeres data, inden ændringen træder i kraft, uden ekstra omkostning.
• Vi indgår en skriftlig databehandleraftale med hver underdatabehandler. Den pålægger forpligtelser, der giver samme beskyttelse som denne aftale, og vi er fuldt ansvarlige over for jer for underdatabehandlernes arbejde.
• På anmodning får I en kopi af vores aftaler med underdatabehandlerne. De fleste er offentlige, og links står i Bilag B.
• Vi fører tilsyn med underdatabehandlerne: én gang om året indhenter vi deres uafhængige revisionserklæringer (fx SOC 2-rapporter) eller anden dokumentation og vurderer, om de lever op til aftalen.
• Personer, der arbejder for os under vores direkte instruktion (artikel 29) og er bundet af fortrolighed, er ikke underdatabehandlere. Alle andre, der får adgang til jeres oplysninger, er underdatabehandlere og følger reglerne ovenfor.

Jeres database, dokumenter og backups opbevares i EU (Frankfurt). Underdatabehandlerne er selskaber i eller ejet fra USA og Singapore, og disse oplysninger behandles uden for EU:

• Mail-metadata (modtageradresse, emne, status), mailindhold og logs hos mailleverandøren i USA.
• Renset tekst til AI-kontrol, assistent og "Uddyb med AI" hos AI-leverandøren, som udgangspunkt i USA.
• Tekniske logs hos hostingleverandøren, hvis placering ikke er dokumenteret.
• Leverandørernes support kan i begrænset omfang få adgang fra et land uden for EU.

Overførslen sker kun på et af de grundlag, GDPR kapitel V tillader: EU-U.S. Data Privacy Framework, hvor leverandøren er certificeret, og ellers EU-Kommissionens standardkontraktbestemmelser (SCC). Grundlaget for hver leverandør står i Bilag B. Ud over det overfører vi ikke personoplysninger til tredjelande uden jeres dokumenterede instruks.

Vi hjælper jer med at opfylde jeres pligter, så langt tjenestens art tillader det:

• De registreredes rettigheder (artikel 12–22): I kan selv slå en medarbejders oplysninger op og rette dem, hente den underskrevne PDF, eksportere alle virksomhedens data (hvorfra en enkelt medarbejders oplysninger kan udtrækkes) og anonymisere en tidligere medarbejder i appen. Får vi en henvendelse direkte fra en medarbejder, sender vi den til jer uden unødig forsinkelse og svarer ikke selv.
• Behandlingssikkerhed (artikel 32): foranstaltningerne i afsnit 5.
• Brud på persondatasikkerheden (artikel 33–34): afsnit 9.
• Konsekvensanalyse og forudgående høring (artikel 35–36): vi giver de oplysninger om tjenesten, I har brug for.

Almindelig bistand er indeholdt i prisen. Kræver en henvendelse et arbejde, der ligger ud over det, tjenesten kan, aftaler vi omfang og eventuel pris først.

Opdager vi et brud på persondatasikkerheden, der vedrører jeres oplysninger, underretter vi jer uden unødig forsinkelse og sigter mod senest 48 timer efter, at vi har fået kendskab til bruddet, så I kan nå at anmelde det til Datatilsynet inden for 72 timer.

Underretningen sendes til virksomhedens kontaktmail og indeholder det, vi ved på det tidspunkt: hvad der er sket, hvilke kategorier af oplysninger og registrerede der kan være berørt, det omtrentlige antal berørte registrerede og oplysninger, de sandsynlige konsekvenser, hvad vi har gjort for at begrænse skaden, og hvem I kan kontakte. Kommer der flere oplysninger, sender vi dem løbende.

Vi hjælper jer med anmeldelsen til Datatilsynet og med at underrette medarbejderne, hvis det bliver nødvendigt. Selve anmeldelsen er jeres ansvar som dataansvarlig.

Så længe aftalen løber, slettes oplysninger efter fristerne i Bilag C. Når aftalen ophører, gælder dette:

1. Ejeren kan til enhver tid, og også efter en opsigelse, indtil sletningen sker, eksportere alle virksomhedens data som en zip-fil med JSON og alle underskrevne PDF'er (Indstillinger → Data). Eksporten kræver en frisk totrinskode og kan hentes i 24 timer.
2. Ejeren opsiger ved at bestille sletning af virksomheden. Der er 30 dages fortrydelsesfrist, så en eksport kan nå at blive hentet.
3. Lukker vi kontoen efter vilkårene (fx ved væsentlig misligholdelse), sætter vi virksomheden til sletning med samme frist på 30 dage og giver ejeren besked pr. mail, så data kan eksporteres.
4. Efter fristen sletter vi automatisk alle oplysninger, inklusive dokumenterne i lageret, og bekræfter sletningen pr. mail til virksomhedens kontaktmail og ejeren. Vi bevarer kun et spor om selve sletningen og et bevis for, hvilke versioner af vilkårene og databehandleraftalen virksomheden accepterede (CVR-nummer, version, tidspunkt og tekstens kontrolsum). Begge renses efter 3 år.
5. Slettede data forsvinder fra backups senest 30 dage efter sletningen.

Vi opbevarer ikke kopier af jeres oplysninger efter sletningen, medmindre EU-ret eller dansk ret kræver det. I så fald fortæller vi jer hvad og hvor længe.

I har ret til at kontrollere, at vi overholder aftalen:

• På anmodning, højst én gang om året og ellers ved særlig anledning (fx efter et brud), giver vi jer en skriftlig redegørelse for vores foranstaltninger og eventuelle sikkerhedshændelser samt den dokumentation fra underdatabehandlerne, vi må videregive.
• Med rimelige mellemrum, eller hvis der er tegn på, at aftalen ikke overholdes, kan I eller en uafhængig revisor, I udpeger, gennemføre en inspektion. Det sker med mindst 30 dages varsel (kortere efter et brud), i almindelig arbejdstid og uden at bringe andre kunders fortrolighed i fare. I bærer selv omkostningerne ved inspektionen, medmindre den afdækker et væsentligt brud på aftalen.
• Vi giver tilsynsmyndigheden den adgang, loven kræver.

Aftalen gælder fra det tidspunkt, ejeren accepterer den ved oprettelsen af virksomheden, og så længe vi behandler personoplysninger for jer. Den kan ikke opsiges separat fra aftalen om tjenesten. Når tjenesten ophører, sletter eller tilbageleverer vi oplysningerne efter afsnit 10, og aftalen gælder, indtil det er sket.

Udgiver vi en ny version af aftalen, viser vi den til ejeren i appen. En ny version gælder fra ejerens accept; indtil da gælder den tidligere version. Accepterer I ikke den nye version, kan I opsige aftalen uden omkostning. Ændringer, der svækker jeres rettigheder, varsles desuden mindst 30 dage før pr. mail. Ændringer i Bilag B sker efter afsnit 6 og kræver ikke ny accept. Spørgsmål til aftalen sendes til info@pactora.dk.

Aftalen er underlagt dansk ret. Tvister løses som beskrevet i vilkårene.

Formål

At levere tjenesten: at lave, kontrollere, sende, underskrive, opbevare og dokumentere ansættelseskontrakter for den dataansvarlige, og at bevise, at en kontrakt blev indgået, af hvem og hvornår.

Behandlingens art

Indsamling (I indtaster), registrering, strukturering, opbevaring, visning for jeres brugere og for medarbejderen via underskriftslinket, afsendelse af e-mails, modtagelse af svar til jeres afsenderadresse og videresendelse af dem til jeres bekræftede kontaktmail, kryptering, automatisk kontrol af kontraktteksten (regler og AI på renset tekst), anonymisering og sletning. Ingen profilering og ingen automatiske afgørelser med retsvirkning.

CPR-numre indsamles ikke og må ikke indtastes. Følsomme oplysninger efter artikel 9 (fx helbred, fagforeningsmedlemskab, religion) forventes ikke, og I må ikke skrive dem ind i kontrakternes fritekst. Oplysninger om strafbare forhold må heller ikke lægges ind.

Kategorier af registrerede

• Den dataansvarliges medarbejdere og ansøgere til stillinger, som får en kontrakt oprettet.
• Andre personer, som den dataansvarlige nævner i kontrakterne (fx nærmeste leder).
• Den dataansvarliges brugere af tjenesten.

Varighed

Så længe aftalen løber og inden for opbevaringsfristerne i Bilag C. Ved ophør slettes eller tilbageleveres oplysningerne efter afsnit 10.

Godkendte underdatabehandlere pr. 18. oktober 2026. Overførselsgrundlaget er det, leverandøren selv oplyser på sine egne sider (tjekket 18. oktober 2026); det bekræftes i den databehandleraftale, vi indgår med hver leverandør. Listen holdes opdateret på siden om underdatabehandlere.

Formål og omfang

Vi behandler kun oplysningerne til formålene i Bilag A og kun i det omfang, tjenesten kræver det.

Sikkerhed

Mindst foranstaltningerne i afsnit 5. Dokumenter og mailindhold krypteres med vores egen nøgle; adgang kræver personlig konto med totrinsbekræftelse; adskillelsen mellem virksomheder håndhæves i databasen.

Placering og overførsel

Database, dokumenter og backups opbevares i EU (Frankfurt), og serverfunktionerne kører i Frankfurt. I instruerer os i at lade netop disse oplysninger behandle uden for EU, på grundlaget i Bilag B: mail-metadata, mailindhold og mail-logs hos Resend (USA); renset tekst til AI-kontrol, assistent og "Uddyb med AI" hos Anthropic (USA); tekniske logs hos Vercel; og leverandørernes support i begrænset omfang. Andre overførsler kræver en ny instruks.

Revision

Skriftlig redegørelse og dokumentation på anmodning efter afsnit 11; inspektion efter afsnit 11; årligt tilsyn med underdatabehandlerne efter afsnit 6.