# Databehandleraftale for Factfil **Version 1.0 – gældende fra 11-10-2026.** --- ## Bestemmelser bygget på Datatilsynets standardkontraktsbestemmelser i henhold til artikel 28, stk. 3, i forordning 2016/679 (databeskyttelsesforordningen) med henblik på databehandlerens behandling af personoplysninger **mellem** **den virksomhed, som kontoen hos Factfil er oprettet til**, med det navn, CVR-nummer og den adresse, som databehandleren har registreret på kontoen efter den dataansvarliges oplysninger herefter »den dataansvarlige« **og** **Suverita ApS** CVR 46466829 Langelinie 24, st. th. 5230 Odense M Danmark herefter »databehandleren« der hver især er en »part« og sammen udgør »parterne« HAR AFTALT følgende bestemmelser (Bestemmelserne), der er bygget på Datatilsynets standardkontraktsbestemmelser, med henblik på at overholde databeskyttelsesforordningen og sikre beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder. **Tjenesten** er *Factfil*: konvertering af en færdig, godkendt dansk årsrapport i PDF-form til en iXBRL-fil til indberetning (Inline XBRL). Den dataansvarliges identitet, kontaktperson og de indstillinger, aftalen henviser til, er dem, der til enhver tid er registreret på den dataansvarliges konto. Navn, CVR-nummer, adresse og opbevaringsfristen efter bilag C.4 registreres af databehandleren, når kontoen oprettes, efter aftale med den dataansvarlige. Den dataansvarlige er ansvarlig for, at oplysningerne er rigtige, og giver databehandleren besked om ændringer, som databehandleren derefter registrerer. Hvem der er administrator hos den dataansvarlige, styrer den dataansvarlige selv på kontoen. --- ## 2. Præambel 2.1 Disse Bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige. 2.2 Bestemmelserne er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i databeskyttelsesforordningen. 2.3 I forbindelse med leveringen af Factfil behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med disse Bestemmelser. 2.4 Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne, herunder eventuelle abonnementsvilkår for tjenesten. 2.5 Der hører fire bilag til disse Bestemmelser, og bilagene udgør en integreret del af Bestemmelserne. **Bilag A** indeholder nærmere oplysninger om behandlingen. **Bilag B** indeholder den dataansvarliges betingelser for brug af underdatabehandlere og listen over godkendte underdatabehandlere. **Bilag C** indeholder instruksen, kravene til behandlingssikkerhed og procedurerne for tilsyn. **Bilag D** indeholder parternes regulering af andre forhold, herunder ansvar og lovvalg. 2.6 Bestemmelserne med tilhørende bilag skal opbevares skriftligt, herunder elektronisk, af begge parter. Databehandleren stiller den accepterede udgave til rådighed for den dataansvarlige på anmodning. 2.7 Disse Bestemmelser frigør ikke databehandleren fra forpligtelser, som databehandleren er pålagt efter databeskyttelsesforordningen eller enhver anden lovgivning. --- ## 3. Den dataansvarliges rettigheder og forpligtelser 3.1 Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (se forordningens artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser. 3.2 Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må ske behandling af personoplysninger. 3.3 Den dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for den behandling af personoplysninger, som databehandleren instrueres i at foretage. 3.4 **Den dataansvarlige indestår for at have ret til at overlade materialet.** Den dataansvarlige indestår over for databehandleren for, at den dataansvarlige er berettiget til at lade det uploadede materiale behandle af databehandleren, herunder at den dataansvarlige, hvis denne selv er databehandler for sin klient, har den fornødne godkendelse fra sin klient til at anvende databehandleren som underdatabehandler, jf. forordningens artikel 28, stk. 2 og 4, og til at give databehandleren lov til at danne rettelsesuddraget efter Bestemmelse 4.4. 3.5 **Den dataansvarlige må ikke uploade materiale med særlige kategorier af personoplysninger.** Den dataansvarlige indestår for ikke bevidst at overlade databehandleren materiale, der indeholder personoplysninger omfattet af forordningens artikel 9 eller 10 eller personnumre, ud over hvad en dansk årsrapport efter årsregnskabsloven i sig selv indeholder. Tjenesten er ikke indrettet til den slags oplysninger, og sikkerhedsniveauet i bilag C.2 er fastsat derefter. 3.6 **Den dataansvarlige oplyser selv sine brugere.** Den dataansvarlige giver sine egne brugere af tjenesten den oplysning om behandlingen af deres oplysninger i tjenesten, som forordningens artikel 13 kræver. Databehandleren bistår efter Bestemmelse 9. --- ## 4. Databehandleren handler efter instruks 4.1 Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Instruksen er specificeret i bilag A og C. Efterfølgende instruks kan også gives af den dataansvarlige, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med disse Bestemmelser. 4.2 Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med forordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret. 4.3 **Databehandleren efterkommer ikke en instruks, som databehandleren har underrettet om efter 4.2, før den dataansvarlige skriftligt har fastholdt eller ændret den.** Fastholder den dataansvarlige en instruks, som databehandleren fortsat anser for ulovlig, kan databehandleren afvise at udføre netop den behandling og i givet fald opsige tjenesten med det varsel, der følger af parternes øvrige aftale. En sådan afvisning er ikke misligholdelse. 4.4 **Databehandleren behandler ikke materialet til egne formål, med én undtagelse: rettelsesuddraget.** Når en bruger hos den dataansvarlige retter et tag, gemmer databehandleren et kort uddrag af rettelsen – rettelsesuddraget – for at gøre tjenestens genkendelse af regnskabslinjer bedre, både for den dataansvarlige og for tjenesten generelt. Uddraget består af: * den tekst, der står trykt på rækken ud for tallet, **renset for alle tal**, * det begreb, rettelsen gik fra og til, begrebets betegnelse i taksonomien, og hvilken del af regnskabet rækken stod i, * tallets art og periodetype, tallets placering i dokumentet (side og position), periodens datoer og eventuelle dimensioner – aldrig selve tallet, * PDF-filens producent-oplysning, konverteringens id og motorens version, * tidspunktet for rettelsen, og om den senere blev fortrudt, * en nøglet kontrolsum af det CVR-nummer, rapporten gælder, når databehandleren har aktiveret nøglen. Kontrolsummen kan skelne to selskaber fra hinanden, men kan ikke regnes tilbage til nummeret uden databehandlerens nøgle. **Uddraget indeholder aldrig beløb.** Står der et navn trykt på samme linje som tallet, følger navnet med i rækketeksten. Uddraget opbevares i **24 måneder** fra registreringen og slettes derefter automatisk; det slettes ikke sammen med konverteringen. Den dataansvarlige giver databehandleren lov til at danne rettelsesuddraget. For uddraget er databehandleren selvstændigt dataansvarlig, og behandlingen er beskrevet i databehandlerens privatlivspolitik. Ud over rettelsesuddraget anvendes materialet ikke til at udvikle eller forbedre databehandlerens produkt. Motorens faste ordbog og mekanismer er udviklet på offentligt tilgængelige, allerede indberettede årsrapporter fra Erhvervsstyrelsens offentlige regnskabsdata på virk.dk. --- ## 5. Fortrolighed 5.1 Databehandleren må kun give adgang til personoplysninger, som behandles på den dataansvarliges vegne, til personer, som er underlagt databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Listen af personer, som har fået tildelt adgang, gennemgås løbende, og adgangen lukkes, når den ikke længere er nødvendig. 5.2 Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer er underlagt ovennævnte tavshedspligt. 5.3 **Adgangen er navngiven og teknisk afgrænset.** Der findes ingen delte konti og ingen fælles kodeord. Kodeord opbevares kun som en envejs-hash og forlader aldrig login-modulet. Det kontrolleres automatisk ved hver ny version af tjenesten, at et kodeord i læsbar form ikke kan komme ud af modulet. 5.4 **Databehandlerens drifts- og supportadgang til den underliggende server er administrativ adgang og ikke en almindelig brugeradgang.** Den er begrænset til de personer, der driver tjenesten, og enhver adgang til kundens materiale gennem tjenestens egne flader skrives i adgangsloggen, jf. bilag C.2: hver visning, hentning og sletning af en konvertering, med bruger, tidspunkt og IP-adresse. Oversigten over kontoens konverteringer og de løbende statusforespørgsler, mens en konvertering kører, skrives ikke i loggen. --- ## 6. Behandlingssikkerhed 6.1 Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til disse risici. 6.2 Den dataansvarlige skal vurdere risiciene ved behandlingen og gennemføre foranstaltninger for at imødegå dem. Afhængig af relevans kan det omfatte pseudonymisering og kryptering, evnen til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed, evnen til rettidigt at genoprette adgangen til oplysningerne, og en procedure for regelmæssig afprøvning og evaluering af foranstaltningernes effektivitet. 6.3 Databehandleren vurderer uafhængigt af den dataansvarlige risiciene ved behandlingen og gennemfører foranstaltninger for at imødegå dem. Den dataansvarlige stiller den nødvendige information til rådighed for databehandleren, så denne kan identificere og vurdere sådanne risici. 6.4 Databehandleren bistår den dataansvarlige med dennes overholdelse af artikel 32, bl.a. ved at stille information til rådighed om de tekniske og organisatoriske sikkerhedsforanstaltninger, databehandleren allerede har gennemført. Foranstaltningerne er beskrevet i **bilag C.2**, og afgrænsningerne står samme sted. 6.5 Kræver imødegåelse af de identificerede risici efter den dataansvarliges vurdering yderligere foranstaltninger end de allerede gennemførte, angiver den dataansvarlige disse skriftligt over for databehandleren, og de indføjes som et tillæg til bilag C.2. --- ## 7. Anvendelse af underdatabehandlere 7.1 Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2 og stk. 4, for at gøre brug af en anden databehandler (en underdatabehandler). 7.2 Databehandleren må således ikke gøre brug af en underdatabehandler til opfyldelse af disse Bestemmelser uden forudgående generel skriftlig godkendelse fra den dataansvarlige. **Databehandleren har den dataansvarliges generelle godkendelse til brug af underdatabehandlere.** Databehandleren skal skriftligt underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst **30 dages** varsel og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer inden brugen af den eller de omhandlede underdatabehandlere. Listen over godkendte underdatabehandlere fremgår af bilag B.1. 7.3 Gør databehandleren brug af en underdatabehandler, pålægger databehandleren gennem en kontrakt eller et andet retligt dokument underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der fremgår af disse Bestemmelser, herunder de fornødne garantier for gennemførelsen af tekniske og organisatoriske foranstaltninger. 7.4 Databehandleren er ansvarlig for at kræve, at underdatabehandleren som minimum overholder databehandlerens forpligtelser efter disse Bestemmelser og databeskyttelsesforordningen. 7.5 Underdatabehandleraftaler og senere ændringer hertil sendes efter den dataansvarliges anmodning i kopi til den dataansvarlige. Bestemmelser om kommercielle vilkår, som ikke påvirker det databeskyttelsesretlige indhold, sendes ikke. 7.6 (Udgår.) 7.7 Opfylder underdatabehandleren ikke sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser. Dette påvirker ikke de registreredes rettigheder, der følger af databeskyttelsesforordningen, herunder særligt forordningens artikel 79 og 82, over for den dataansvarlige og databehandleren, herunder underdatabehandleren. --- ## 8. Overførsel til tredjelande eller internationale organisationer 8.1 Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V. 8.2 Kræves en overførsel, som databehandleren ikke er instrueret i, i henhold til EU-ret eller national ret, som databehandleren er underlagt, underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser. 8.3 Uden dokumenteret instruks fra den dataansvarlige kan databehandleren ikke overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland eller en international organisation, overlade behandling til en underdatabehandler i et tredjeland eller behandle personoplysningerne i et tredjeland. 8.4 **Der overføres i dag ingen personoplysninger til et tredjeland.** Personoplysningerne opbevares og behandles på serveren i EU, jf. bilag B.1 og bilag C.5. Databehandlerens administrative fjernadgang til serveren kan ske fra databehandlerens egne enheder (computere og tablets), også under et ophold uden for EU/EØS, jf. bilag C.5; den er ikke en overførsel, fordi den, der logger ind, handler som en del af databehandleren. Databehandlerens udviklingsværktøj, der har hjemsted i USA, har ingen adgang til serveren, jf. bilag B.1. Den dataansvarliges instruks vedrørende overførsel og vedrørende fjernadgangen fremgår af bilag C.6. 8.5 Disse Bestemmelser skal ikke forveksles med standardkontraktsbestemmelser som omhandlet i forordningens artikel 46, stk. 2, litra c og d, og kan ikke udgøre et grundlag for overførsel af personoplysninger som omhandlet i forordningens kapitel V. --- ## 9. Bistand til den dataansvarlige 9.1 Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder efter forordningens kapitel III, herunder oplysningspligten, indsigtsretten, retten til berigtigelse, retten til sletning, retten til begrænsning, underretningspligten ved berigtigelse eller sletning, retten til dataportabilitet, retten til indsigelse og retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling. 9.2 I tillæg hertil bistår databehandleren, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, den dataansvarlige med: a. den dataansvarliges forpligtelse til uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med det at anmelde brud på persondatasikkerheden til **Datatilsynet**, medmindre det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder, b. den dataansvarliges forpligtelse til uden unødig forsinkelse at underrette den registrerede om brud, når bruddet sandsynligvis vil medføre en høj risiko, c. den dataansvarliges forpligtelse til forud for behandlingen at foretage en konsekvensanalyse, d. den dataansvarliges forpligtelse til at høre **Datatilsynet** inden behandling, hvis en konsekvensanalyse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger. 9.3 Omfanget og udstrækningen af bistanden efter 9.1 og 9.2 fremgår af bilag C.3. 9.4 **Det, databehandleren i praksis kan bistå med, er afgrænset af tjenestens indretning, og afgrænsningen er skrevet ned i bilag C.3.** Databehandleren søger ikke i indholdet af kundens dokumenter, og kan derfor ikke af egen kraft finde alle forekomster af en bestemt person på tværs af kundens materiale. Databehandleren kan til gengæld inden for fristen i bilag C.3 udlevere eller slette alt materiale, der hører til en navngiven konvertering eller til hele den dataansvarliges konto, samt udlevere adgangsloggen for den dataansvarlige. Oplysningerne udleveres ad en sikker vej, som parterne aftaler, og aldrig som vedhæftet fil på e-mail. --- ## 10. Underretning om brud på persondatasikkerheden 10.1 Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden. 10.2 Databehandlerens underretning til den dataansvarlige skal om muligt ske senest **24 timer** efter, at denne er blevet bekendt med bruddet, sådan at den dataansvarlige kan overholde sin frist på 72 timer efter forordningens artikel 33. Underretningen sendes til den dataansvarliges kontaktperson efter Bestemmelse 15 på den e-mailadresse, den dataansvarlige oplyste, da kontoen blev oprettet. Databehandleren opbevarer adressen sammen med kontoens øvrige stamdata (navn, CVR-nummer og adresse), og den dataansvarlige meddeler ændringer efter Bestemmelse 15. Underretningen indeholder ikke flere personoplysninger end nødvendigt. Oplysninger fra den dataansvarliges materiale udleveres ad den sikre vej efter bilag C.3. 10.3 Databehandleren bistår den dataansvarlige med at tilvejebringe de oplysninger, der efter artikel 33, stk. 3, skal fremgå af anmeldelsen: karakteren af bruddet, herunder om muligt kategorierne og det omtrentlige antal berørte registrerede og registreringer, de sandsynlige konsekvenser, og de foranstaltninger der er truffet eller foreslås truffet. 10.4 De oplysninger, databehandleren skal tilvejebringe, er nærmere angivet i bilag C.3. --- ## 11. Sletning og returnering af oplysninger 11.1 **Ved ophør af tjenesten sletter databehandleren alle personoplysninger, der er behandlet på vegne af den dataansvarlige, og bekræfter skriftligt over for den dataansvarlige, at oplysningerne er slettet.** Sletningen omfatter også de rettelser og skabeloner, den dataansvarliges brugere har gemt, og brugerkontiene. Oplysninger i databasens sikkerhedskopier forsvinder, når kopierne slettes automatisk efter de frister, der står i bilag C.2. Den dataansvarlige har forud for sletningen adgang til selv at hente sit materiale, jf. bilag C.4, og har under alle omstændigheder originalen af den årsrapport, der blev uploadet. 11.2 Valget i 11.1 kan ændres af den dataansvarlige efter accepten, så materialet i stedet tilbageleveres. En sådan ændring skal være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med disse Bestemmelser. 11.3 **Undtagelsen er adgangsloggen.** Databehandleren opbevarer efter sletningen fortsat de audit-registreringer, der er beskrevet i bilag C.2 og C.4. Registreringerne indeholder alene identifikatorer, tidspunkter og IP-adresser og intet indhold fra kundens materiale. Formålet er at kunne besvare spørgsmålet, hvem der har haft adgang til hvad, også efter at materialet er slettet. Registreringerne slettes automatisk 12 måneder efter sletningen af det materiale, de angår, jf. bilag C.4. 11.4 **Sletningen omfatter ikke det, databehandleren er selvstændigt dataansvarlig for**, jf. bilag A.4 – herunder registreringen af den dataansvarliges accept af disse Bestemmelser, som databehandleren opbevarer efter aftalens ophør for at kunne dokumentere aftalen. Hvor længe, står i databehandlerens privatlivspolitik. --- ## 12. Revision, herunder inspektion 12.1 Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og disse Bestemmelser, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige. 12.2 Procedurerne for revisioner og inspektioner er nærmere angivet i bilag C.7 og C.8. 12.3 Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter gældende lovgivning har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter, der optræder på tilsynsmyndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation. --- ## 13. Parternes aftale om andre forhold 13.1 Parterne kan aftale andre bestemmelser vedrørende tjenesten, f.eks. om erstatningsansvar, så længe disse ikke direkte eller indirekte strider mod Bestemmelserne eller forringer den registreredes grundlæggende rettigheder og frihedsrettigheder. Sådanne bestemmelser står i bilag D. --- ## 14. Ikrafttræden og ophør 14.1 **Bestemmelserne træder i kraft på det tidspunkt, hvor en administrator hos den dataansvarlige accepterer dem ved første login efter kontoens oprettelse**, jf. § »Accept af Bestemmelserne«. Den udgave, der accepteres, er den, der er gældende på accepttidspunktet; udgavens versionsnummer og ikrafttrædelsesdato står øverst i dette dokument. 14.2 Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i Bestemmelserne giver anledning hertil. 14.3 Bestemmelserne er gældende, så længe tjenesten varer. I denne periode kan Bestemmelserne ikke opsiges, medmindre andre bestemmelser, der regulerer levering af tjenesten, aftales mellem parterne. 14.4 Ophører leveringen af tjenesten, og er personoplysningerne slettet eller returneret i overensstemmelse med Bestemmelse 11.1 og bilag C.4, kan Bestemmelserne opsiges med skriftligt varsel af begge parter. 14.5 **Ændring af Bestemmelserne.** Databehandleren kan foreslå ændringer i Bestemmelserne. En ændring træder først i kraft, når den er varslet direkte over for den dataansvarlige med mindst 30 dages varsel og accepteret af denne. **En ændring træder ikke i kraft ved, at en ny version offentliggøres på databehandlerens hjemmeside.** Hver version bærer versionsnummer og dato. --- ## 15. Kontaktpersoner hos den dataansvarlige og databehandleren 15.1 Parterne kan kontakte hinanden via nedenstående kontaktpersoner og er forpligtet til løbende at orientere hinanden om ændringer. **Hos den dataansvarlige:** den administrator, der er registreret på den dataansvarliges konto. Den dataansvarlige kan til enhver tid selv ændre, hvem det er, og er ansvarlig for, at oplysningerne er aktuelle. Er der registreret flere administratorer, kan databehandleren give underretninger efter disse Bestemmelser til dem alle. **Hos databehandleren:** direktionen, Suverita ApS, telefon 53 64 10 83, e-mail hello@suverita.com --- ## Accept af Bestemmelserne Bestemmelserne er en fast del af aftalen om tjenesten og er ens for alle kunder. Databehandleren opretter den dataansvarliges konto, og Bestemmelserne **accepteres elektronisk af en administrator hos den dataansvarlige ved første login**. Administratoren bekræfter ved accepten at kunne binde den dataansvarlige. Indtil Bestemmelserne er accepteret, kan kontoen ikke bruges til at uploade eller se materiale. En ny version accepteres på samme måde ved næste login. Der udfyldes intet pr. kunde. Databehandleren registrerer ved accepten, **hvilken version** af Bestemmelserne der blev accepteret, **hvornår** den blev accepteret, og **hvem** der accepterede, samt IP-adressen og en kontrolsum af den tekst, der blev vist. Registreringen stilles til rådighed for den dataansvarlige, og den accepterede tekst kan hentes ordret, også efter at en nyere version er gældende. Elektronisk form er skriftlig form efter forordningens artikel 28, stk. 9. Den dataansvarlige kan til enhver tid anmode om en udgave med underskrifter; teksten er den samme. --- # Bilag A – Oplysninger om behandlingen ## A.1 Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige Konvertering af en **færdig, godkendt dansk årsrapport i PDF-form** til en iXBRL-fil til indberetning (Inline XBRL), som den dataansvarlige derefter **selv** indberetter til Erhvervsstyrelsen. Databehandleren indberetter ikke på den dataansvarliges vegne – den dataansvarlige indsender selv med MitID gennem Regnskab Special. Behandlingen tjener ikke noget selvstændigt formål hos databehandleren, bortset fra rettelsesuddraget, som er beskrevet i Bestemmelse 4.4. ## A.2 Behandlingens karakter Automatiseret, deterministisk tekst- og talbehandling: 1. modtagelse af en PDF gennem en TLS-beskyttet upload, 2. udtræk af ord og tal fra PDF'ens tekstlag, 3. opbygning af et iXBRL-dokument, der viser de samme sider, 4. validering af dokumentet mod ÅRL-taksonomien med valideringsværktøjet Arelle, som kører **lokalt på serveren**, uden opslag udadtil, 5. visning af resultatet for den dataansvarliges bruger, gennemgang og download, 6. automatisk sletning efter fristen i bilag C.4. **Ingen profilering og ingen automatiske afgørelser om enkeltpersoner.** Konverteringen er deterministisk: samme PDF, samme motorversion, samme skabelon og samme rettelser giver samme output, og motorversionen stemples på jobbet og vises for brugeren. ## A.3 Typer af personoplysninger **Almindelige personoplysninger (forordningens artikel 6):** * navne og titler på fysiske personer, som årsrapporten selv trykker: medlemmer af ledelse og bestyrelse, revisor, underskrivere og, hvor rapporten navngiver dem, ejere eller deltagere, * vederlag til en navngiven enkeltperson, hvor årsrapporten oplyser det, * CVR-nummer, virksomhedsnavn og adresse på den rapporterende virksomhed. For en enkeltmandsvirksomhed kan disse identificere en fysisk person, * regnskabstal, balancedato og regnskabsklasse. Disse er i almindelighed ikke personoplysninger, men behandles sammen med ovenstående, * oplysninger om den dataansvarliges brugere af tjenesten: brugernavn, e-mailadresse og rolle, kodeordet i envejs-hashet form, og sporene af brugernes handlinger i tjenesten – adgangsloggens tidspunkter, IP-adresser og handlinger, og hvem der har oprettet, bekræftet, rettet eller gemt hvad. **Der behandles ikke bevidst særlige kategorier af personoplysninger (artikel 9), oplysninger om strafbare forhold (artikel 10) eller personnumre**, jf. Bestemmelse 3.5. Dokumentet er den dataansvarliges, og databehandleren kan ikke garantere, hvad der lægges i en PDF. ## A.4 Kategorier af registrerede | Kategori | Hvor de optræder | |---|---| | Medlemmer af ledelse og bestyrelse i den rapporterende virksomhed | Navne i ledelsespåtegningen og i noten om ledelsesvederlag | | Revisor og revisionsvirksomhedens medarbejdere | Navn og titel i revisorpåtegningen | | Ejere eller deltagere, hvor årsrapporten navngiver dem | Fx noten om ejerforhold | | Indehaveren af en enkeltmandsvirksomhed | Virksomhedens navn, CVR og adresse | | Den dataansvarliges brugere af tjenesten | Brugerkontiene og sporene af brugernes handlinger i tjenesten, herunder adgangsloggen | **Hvad databehandleren selv er dataansvarlig for.** Databehandleren er **selvstændigt dataansvarlig** for de få behandlinger, den foretager til **egne** formål: administrationen og dokumentationen af kundeforholdet (kontaktpersoner, stamdata, fakturering og registreringen af accepten af disse Bestemmelser), supportmails, rettelsesuddraget efter Bestemmelse 4.4 og sikkerheden af tjenesten som helhed (login-forsøg, der ikke kan henføres til en kunde, og serverens tekniske logge). De er **ikke** omfattet af disse Bestemmelser og er beskrevet i **databehandlerens privatlivspolitik**, som databehandleren offentliggør uden login på tjenestens egen adresse under stien `/privatlivspolitik`. Politikkens version og dato står øverst i politikken, og den til enhver tid gældende version er den, der gælder. ## A.5 Behandlingens varighed Behandlingen kan påbegyndes efter Bestemmelsernes ikrafttræden og løber, så længe aftalen løber. For det enkelte materiale er varigheden den frist, der fremgår af bilag C.4. Ved aftalens ophør slettes materialet efter Bestemmelse 11.1. --- # Bilag B – Underdatabehandlere ## B.1 Godkendte underdatabehandlere Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af følgende underdatabehandlere: | Navn | CVR/reg.nr. | Adresse | Beskrivelse af behandling | Behandlingssted | |---|---|---|---|---| | Scaleway SAS | RCS Paris 433 115 904 | 8, rue de la Ville-l'Évêque, 75008 Paris, Frankrig | Hosting: virtuel server, blokdisk, netværk, administreret database og et lager til tjenestens programmel. Underdatabehandleren opbevarer alt materiale, den dataansvarlige uploader, alt output og databasen, herunder databasens sikkerhedskopier. Programlageret indeholder kun tjenestens programmel og ingen af den dataansvarliges oplysninger | **Region `nl-ams-1` (Amsterdam), Nederlandene, EU** | Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af ovennævnte underdatabehandlere for den beskrevne behandlingsaktivitet. Databehandleren må ikke – uden den dataansvarliges skriftlige godkendelse – gøre brug af en underdatabehandler til en anden behandlingsaktivitet end den beskrevne og aftalte eller gøre brug af en anden underdatabehandler til denne behandlingsaktivitet. **Der er kun én.** Det er ikke et tilfælde, men resultatet af en række valg, som hver især er bygget ind i tjenesten: * **ingen mail-leverandør** – login sker mod en brugerliste på databehandlerens egen maskine, og der sendes ingen mails som led i tjenesten, * **ingen alarm- eller overvågningstjeneste** – driftsalarmer skrives i maskinens egen journal og forlader ikke serveren, * **ingen fejlrapporteringstjeneste og ingen logning ud af huset** – tjenestens kode bruger ikke almindelig logning, og det kontrolleres automatisk ved hver ny version, * **intet eksternt objektlager** – filerne ligger på serverens egen disk i en mappe, der hører til den enkelte kunde, * **databehandlerens testinfrastruktur er ikke en leverancevej** – databehandlerens egne kørsler mod Erhvervsstyrelsens testmiljø bruger databehandlerens egne eksempel- og testfiler, aldrig den dataansvarliges materiale. Den dataansvarliges egen fil sendes kun dertil på den dataansvarliges eget klik, jf. knappen »Test hos ERST« i C.1. **Udviklingsværktøjet.** Databehandleren udvikler tjenesten og bygger nye versioner af dens programmel i GitHub (GitHub, Inc., USA). En ny version signeres og lægges i underdatabehandlerens programlager i Amsterdam, hvorfra serveren selv henter den og kontrollerer signaturen, før den tages i brug. GitHub har ingen adgang til serveren, databasen eller den dataansvarliges materiale, og der sendes ingen af den dataansvarliges oplysninger til GitHub. **Underdatabehandlerens egne underdatabehandlere.** Hostingleverandøren anvender selv underleverandører til datacenterdrift, herunder colocation. Flere af dem har hovedsæde uden for EU, men behandlingsstedet er efter leverandørens egen offentliggjorte liste i EU. Der er dermed ikke tale om en overførsel til et tredjeland, jf. Bestemmelse 8.4. ## B.2 Varsel for godkendelse af underdatabehandlere Varslet er **30 dage**, jf. Bestemmelse 7.2. Gør den dataansvarlige indsigelse inden for varslet, og kan parterne ikke finde en løsning, kan den dataansvarlige opsige tjenesten med virkning fra det tidspunkt, ændringen træder i kraft, uden at dette er misligholdelse. --- # Bilag C – Instruks vedrørende behandling af personoplysninger ## C.1 Behandlingens genstand og instruks Databehandleren instrueres i at foretage følgende og intet andet: 1. **modtage** den årsrapport i PDF-form, som den dataansvarliges bruger uploader, sammen med de identitetsfelter brugeren indtaster (virksomhedsnavn, CVR, balancedato, regnskabsklasse), 2. **kontrollere** filen ved døren og afvise den med en navngiven grund, hvis den ikke kan behandles forsvarligt (filsignatur, størrelse, sidetal og tekstlag), 3. **udtrække** ord og tal fra PDF'ens tekstlag, 4. **opbygge** et iXBRL-dokument, der viser de samme sider, og hvor de tagged figurer er synlige, 5. **validere** dokumentet mod ÅRL-taksonomien og vise dommen for brugeren, 6. **opbevare** materialet og resultatet, indtil fristen i C.4 indtræder, og stille det til rådighed for den dataansvarliges egne brugere, 7. **slette** materialet efter C.4 eller straks på den dataansvarliges anmodning, 8. **gemme** de rettelser, den dataansvarliges brugere laver, som regler i skabeloner på den dataansvarliges konto, så næste konvertering får samme rettelse foreslået eller udført, 9. **hente** den seneste årsrapport, som virksomheden med kontoens CVR-nummer har indberettet til Erhvervsstyrelsen, og bruge den som forslag til den dataansvarliges skabelon, 10. **give** den dataansvarliges brugere adgang til tjenesten med navngivne konti, som oprettes efter aftale med den dataansvarlige og styres af dennes administrator, og **føre** en adgangslog over brugernes handlinger i tjenesten, jf. C.2 og C.4, 11. **se på** en navngiven konvertering, når en bruger hos den dataansvarlige beder om det, for at finde årsagen til en fejl i netop den konvertering og lave konverteringen om. Databehandleren beholder ingen kopi af materialet ud over det, disse Bestemmelser i øvrigt tillader, og bruger ikke materialet som testmateriale. En rettelse af selve tjenesten indeholder intet af materialet. **Skabelonerne.** En skabelonregel består af rækketeksten renset for tal eller den nærmeste overskrift, og det begreb, rettelsen gav, samt hvem der gemte reglen og hvornår. Til hver skabelon husker kontoen desuden, hvilket CVR-nummer der sidst brugte den, så næste års regnskab for samme selskab åbner med samme skabelon. Skabelonerne hører til den dataansvarliges konto og bruges ikke for andre kunder. Den dataansvarlige kan selv slette en skabelon eller en regel; den bruges så ikke mere, men bevares med en sletningsmarkering, så en konvertering fortsat kan gøre rede for den skabelon, den blev bygget med. Ved aftalens ophør slettes skabelonerne efter Bestemmelse 11.1. **Sidste års indberetning.** En indberettet årsrapport er offentlig og kan hentes fra Erhvervsstyrelsens offentlige register på CVR-nummeret. Databehandleren kan udlede forslag til skabelonens regler af den dataansvarliges egen seneste indberetning. Et forslag ændrer ikke et tag af sig selv, og forslagene bruges kun på den dataansvarliges konto. Den dataansvarlige kan fravælge hentningen ved at give databehandleren besked. **Materiale sendes ikke pr. e-mail.** Den dataansvarlige sender ikke årsrapporter eller andet materiale til databehandleren pr. e-mail. En henvendelse til databehandlerens support behøver kun konverteringens nummer. Knappen »Skriv til os« på resultatsiden åbner brugerens eget mailprogram med en mail til databehandlerens supportadresse, hvor nummeret og sætningen »Vedhæft ikke årsrapporten – nummeret er nok.« står udfyldt. Supportmails behandles i databehandlerens almindelige mailsystem, som ikke er en del af tjenesten, jf. databehandlerens privatlivspolitik. **Test hos Erhvervsstyrelsen.** Klikker en bruger hos den dataansvarlige på knappen »Test hos ERST«, sender databehandleren den færdige iXBRL-fil – præcis den fil, brugeren kan hente – til Erhvervsstyrelsens testmodtager, som svarer med en valideringskvittering. Denne afsendelse af en færdig fil til Erhvervsstyrelsens testmodtager sker alene på den dataansvarliges egen handling i tjenesten og er omfattet af denne instruks. Filen indberettes ikke. Erhvervsstyrelsen modtager filen som myndighed og er ikke underdatabehandler. Afsendelsen skrives i adgangsloggen. Databehandleren indberetter ikke til Erhvervsstyrelsen på den dataansvarliges vegne, videregiver ikke materialet til nogen tredjepart ud over afsendelsen til Erhvervsstyrelsens testmodtager ovenfor, og anvender ikke materialet til egne formål ud over rettelsesuddraget i Bestemmelse 4.4. ## C.2 Behandlingssikkerhed **Sikkerhedsniveauet afspejler**, at behandlingen omfatter almindelige personoplysninger efter forordningens artikel 6, i et begrænset antal pr. dokument, i materiale der er **fortroligt indtil indberetning og offentligt derefter**, og at behandlingen ikke omfatter særlige kategorier af personoplysninger eller personnumre. Der skal derfor etableres et **normalt til højt** sikkerhedsniveau, med særlig vægt på fortrolighed før indberetning og på adskillelsen mellem den dataansvarliges materiale og andre kunders. Databehandleren er herefter berettiget og forpligtet til at træffe beslutninger om, hvilke tekniske og organisatoriske sikkerhedsforanstaltninger, der skal gennemføres for at etablere det nødvendige (og aftalte) sikkerhedsniveau. Databehandleren skal dog – under alle omstændigheder og som minimum – gennemføre følgende foranstaltninger, som er aftalt med den dataansvarlige: ### Fortrolighed * **Transport.** TLS på hele fladen. En webserver afslutter den krypterede forbindelse, og selve applikationen lytter kun på maskinens egen interne adresse, så den ikke kan nås uden om TLS. `Strict-Transport-Security` sættes, når forbindelsen faktisk er HTTPS. * **Adgangskontrol.** Navngivet login pr. person, ingen delte kodeord. Kodeord opbevares kun som en envejs-hash beregnet med scrypt, en anerkendt og bevidst langsom algoritme, med et tilfældigt salt pr. bruger. Gentagne fejlede login-forsøg på samme brugernavn spærrer navnet midlertidigt (i dag, så længe der har været 5 fejlede forsøg inden for de seneste 5 minutter). Sessionscookien er `HttpOnly`, `SameSite=lax` og `Secure` bag TLS. Adgangskontrollen **fejler lukket**: kan brugerlisten ikke læses, svarer hele tjenesten 503 i stedet for at åbne sig. * **Kundeadskillelse.** Hver bruger hører til én kunde, og alle opslag på konverteringer går gennem én fælles adgangsprøve. En administrator er administrator i sin egen organisation, aldrig på tværs. Det kontrolleres automatisk ved hver ny version, at ingen side i tjenesten rører en konvertering uden om adgangsprøven. Filerne ligger i en mappe pr. kunde. * **Ingen kundedata i serverens tekniske logge.** Tjenestens kode må ikke skrive kundens materiale eller brugernes indtastninger i serverens tekniske logge. Koden bruger ikke almindelig logning; kun køen og driftsalarmerne skriver korte statuslinjer med en fast udformning, og det kontrolleres automatisk ved hver ny version. Webserveren fører ingen almindelig log over de adresser, der besøges; en fejlmelding fra webserveren kan dog indeholde adressen og IP-adressen. * **Adgangsloggen har faste felter:** en handling fra en **lukket** liste, et tidspunkt, en IP-adresse og identifikatorer for bruger, kunde og eventuelt konvertering. Den bærer aldrig filnavne, selskabsnavne eller tal. Den eneste tekst, en bruger selv bestemmer, er det brugernavn, der blev skrevet ved et afvist login – og det kan ved en fejl være noget andet end et brugernavn. * **Logge er fortrolige.** Fordi en log kan indeholde det, en bruger selv har skrevet, har kun de navngivne personer, der driver tjenesten, adgang til loggene. Ud over underdatabehandleren, der opbevarer dem, får ingen ekstern leverandør adgang til deres indhold, medmindre databehandlerens direktion undtagelsesvis giver en tidsbegrænset og dokumenteret tilladelse, fx til fejlsøgning. * **Fjernadgang.** Databehandlerens administrative adgang til serveren sker kun over en krypteret forbindelse og fra databehandlerens egne enheder (computere og tablets), også når medarbejderen ikke er på databehandlerens adresse i Danmark, og kun når driften eller en henvendelse efter bilag C.1, punkt 11, kræver det. Databehandleren henter ikke materialet ned på enhederne og gemmer det ikke dér. * **CSRF, loft over forsøg og sikkerheds-headers.** Et session-bundet token på alle tilstandsændrende forespørgsler, et loft over login-forsøg pr. brugernavn og pr. IP-adresse og over uploads pr. kunde (i dag 10 fejlede login-forsøg pr. 15 minutter og 60 uploads i timen), og en Content-Security-Policy pr. ruteklasse. ### Integritet * **Determinisme.** Samme PDF, samme motorversion, samme skabelon og samme rettelser giver samme output. Motorens version stemples på jobbet og vises på resultatsiden. * **Validering.** Hvert output valideres mod ÅRL-taksonomien, og dommen vises for brugeren. Er dommen ikke ren, kan dokumentet ses i browseren, men indberetningsfilen kan først hentes, når brugeren har bekræftet at have set fundene; fundene står listet, og bekræftelsen logges. * **Der afvises aldrig i stilhed.** Kan et dokument ikke behandles forsvarligt, afvises det med en navngiven grund frem for at give et usikkert resultat. ### Tilgængelighed og robusthed * Konverteringerne kører i en kø med en tidsgrænse pr. kørsel (i dag 15 minutter) og højst tre forsøg, så en død kørsel bliver et ærligt fejljob og aldrig et job, der hænger. * Driftsalarmer med faste mellemrum (i dag hvert 5. minut) på kø-alder, fejlrate, kørsler uden livstegn og diskplads, i maskinens egen journal og uden en ekstern tjeneste. ### Sikkerhedskopiering * **Kun databasen** sikkerhedskopieres, og alle kopier ligger i EU. Underdatabehandleren tager sine egne kopier af den administrerede database og opbevarer dem i **7 dage** (underdatabehandlerens standardindstilling). Desuden tager databehandleren selv en kopi, krypteret med AES-256 og lagt på serveren, hver gang tjenesten opdateres, og en automatisk oprydning sletter de kopier, der er **15 døgn eller ældre**. En kopi hos databehandleren kan derfor ligge i op til 16 dage. En slettet konverterings oplysninger i databasen kan findes i en kopi i op til 16 dage hos databehandleren og i op til 7 dage hos underdatabehandleren. * **Jobmapperne, det vil sige PDF'er, iXBRL-filer og rapporter, sikkerhedskopieres bevidst ikke.** Det er dataminimering: den dataansvarlige har originalen. * **Afgrænsning:** nøglen til databehandlerens egen kopi ligger på samme maskine. Kopien er dermed beskyttet, hvis en disk eller en fil forlader serveren, men ikke mod en, der allerede har fuld adgang til maskinen. ### Afgrænsninger 1. **Databasens egen rækkeniveau-sikkerhed bruges ikke.** Adskillelsen mellem kunderne hviler på tjenestens kode og den automatiske kontrol, der er beskrevet under »Kundeadskillelse«. 2. **Serverens disk er ikke krypteret ved hvile.** 3. **Der er ikke gennemført en ekstern penetrationstest.** Databehandleren har selv gennemgået tjenesten efter de lette punkter i OWASP ASVS og efterprøvet hvert punkt med en test eller et kald. Yderligere foranstaltninger, som den dataansvarliges risikovurdering måtte kræve efter Bestemmelse 6.5, angives skriftligt af den dataansvarlige og bliver et tillæg til dette bilag. ## C.3 Bistand til den dataansvarlige Databehandleren bistår inden for følgende omfang: * **Indsigt, berigtigelse, sletning og begrænsning.** Databehandleren kan for en navngiven konvertering eller for hele den dataansvarliges konto udlevere det uploadede materiale, det producerede output og de tilhørende audit-registreringer, og kan slette materialet. For en navngiven bruger kan databehandleren udlevere brugerkontoens oplysninger og brugerens linjer i adgangsloggen. Frist: **10 arbejdsdage** fra en skriftlig anmodning fra den dataansvarliges kontaktperson. Oplysningerne udleveres ad en sikker vej, som parterne aftaler, og aldrig som vedhæftet fil på e-mail. * **Afgrænsningen, jf. Bestemmelse 9.4.** Databehandleren indekserer ikke indholdet af dokumenterne og kan derfor ikke af egen kraft finde alle forekomster af en navngiven fysisk person på tværs af den dataansvarliges materiale. Den dataansvarlige, som kender sine egne sager, anviser de konverteringer, en anmodning angår. * **Brud.** Databehandleren underretter efter Bestemmelse 10.2 og leverer de oplysninger, der er nævnt i 10.3, i det omfang de kan fastslås. Adgangsloggen er det primære grundlag. * **Konsekvensanalyse og forudgående høring.** Databehandleren stiller dette bilag, bilag B og en oversigt over de tekniske kontroller til rådighed som dokumentation. Databehandleren udarbejder ikke konsekvensanalysen. * **Dataportabilitet.** Output leveres i det format, tjenesten producerer: et iXBRL-dokument og en rapport. Der er ingen indlåsning, og den dataansvarlige kan til enhver tid hente sine filer. ## C.4 Opbevaringsperiode og sletterutine * **Standardfristen er 30 dage** efter at kørslen er afsluttet. Fristen kan **strammes pr. kunde**: den er en indstilling på den enkelte kundes konto, ikke en fast værdi i programmet, og den sættes af databehandleren, når kontoen oprettes, efter aftale med den dataansvarlige. Den frist, der gælder for den dataansvarlige, er den, der er registreret på den dataansvarliges konto. * Fristen står på den enkelte konvertering og vises for den dataansvarliges brugere. Sletningsjobbet regner den ikke selv ud, netop for at der ikke slettes en dag før eller efter den dato, kunden fik at vide. * **Sletningen omfatter alt:** oplysningerne om konverteringen, de producerede filer, hele jobmappen, herunder den uploadede PDF, og de rettelser, brugerne har gemt på konverteringen. To ting overlever sletningen og er beskrevet andetsteds: databasens sikkerhedskopier efter fristerne i C.2 og rettelsesuddraget (Bestemmelse 4.4). * **Sletningen sker på fristen og ikke før.** Sletningsjobbet kører hver time og sletter en konvertering, når dens frist er passeret. Intet andet sletter en konvertering på alder. * **Sporet skrives i samme transaktion som sletningen.** Kan sporet ikke skrives, slettes intet. Fejler filsletningen bagefter, registreres både sletningen og fejlen, og fladen siger det. * Der er en **»slet nu«**-knap pr. konvertering, og den dataansvarlige kan bruge den uden at kontakte databehandleren. * **Adgangsloggen overlever sletningen med vilje**, jf. Bestemmelse 11.3, og opbevares i **12 måneder** efter sletningen af det materiale, den angår; derefter slettes den automatisk. Linjer, der ikke angår en konvertering (login, log ud, oprettelser, ændring af stamdata, accept), slettes 12 måneder efter registreringen. * **Brugerkontiene** findes, så længe den dataansvarlige har dem. Den dataansvarliges administrator kan lukke en brugers adgang; kontoen bevares da lukket, så adgangsloggen fortsat kan henføres til den. Kontiene slettes ved aftalens ophør efter Bestemmelse 11.1. ## C.5 Lokalitet for behandling Behandling af de af Bestemmelserne omfattede personoplysninger kan ikke uden den dataansvarliges forudgående skriftlige godkendelse ske på andre lokaliteter end følgende: | Lokalitet | Hvem behandler dér | |---|---| | Region `nl-ams-1` (Amsterdam), Nederlandene | Underdatabehandleren Scaleway SAS, jf. bilag B.1, samt databehandleren selv, hvis applikation kører på den nævnte server | | Databehandlerens egne enheder (computere og tablets), også når medarbejderen ikke er på databehandlerens adresse i Danmark | Databehandlerens administrative fjernadgang til serveren over en krypteret forbindelse, kun når driften eller en henvendelse efter C.1, punkt 11, kræver det. Databehandleren henter ikke materialet ned på enhederne og gemmer det ikke dér | ## C.6 Instruks vedrørende overførsel af personoplysninger til tredjelande **Den dataansvarlige instruerer databehandleren i ikke at overføre personoplysninger til tredjelande eller internationale organisationer.** Personoplysningerne opbevares og behandles på serveren i EU, jf. C.5. Den dataansvarlige instruerer samtidig databehandleren i, at den administrative fjernadgang efter C.5 må ske, også under et ophold uden for EU/EØS (behandling i et tredjeland, jf. Bestemmelse 8.3). Fjernadgangen er ikke en overførsel, fordi den, der logger ind, handler som en del af databehandleren og ikke videregiver oplysningerne til nogen. Der er derfor ikke aftalt noget overførselsgrundlag efter forordningens kapitel V. Giver den dataansvarlige ikke i disse Bestemmelser eller efterfølgende en dokumenteret instruks om overførsel til et tredjeland, er databehandleren ikke berettiget til at foretage sådanne overførsler. ## C.7 Procedurer for den dataansvarliges revisioner og inspektioner 1. **Dokumentation som førstevalg.** Databehandleren stiller én gang årligt og ved væsentlige ændringer dette bilag, bilag B og en oversigt over de tekniske kontroller til rådighed for den dataansvarlige, sammen med underdatabehandlerens egne offentliggjorte sikkerhedsdokumenter. Dokumentationen fremsendes uden unødig forsinkelse på anmodning. 2. **Uafhængig erklæring.** Databehandleren indhenter ikke i dag en revisionserklæring fra en uafhængig tredjepart. Den dataansvarlige kan anmode om det; udgiften afholdes af den dataansvarlige, jf. bilag D.4.4. 3. **Inspektion.** Den dataansvarlige eller dennes repræsentant kan foretage inspektion af de lokaliteter og systemer, hvorfra databehandleren behandler personoplysninger, når den dataansvarlige finder det nødvendigt, og efter mindst 14 dages varsel. Den dataansvarliges egne udgifter afholdes af denne selv; databehandleren afsætter den nødvendige tid. 4. Baseret på resultatet er den dataansvarlige berettiget til at anmode om gennemførelse af yderligere foranstaltninger. ## C.8 Procedurer for revisioner og inspektioner hos underdatabehandlere Databehandleren indhenter og gennemgår årligt underdatabehandlerens offentliggjorte dokumentation for tekniske og organisatoriske foranstaltninger samt dennes egen liste over underdatabehandlere, og videresender den til den dataansvarlige på anmodning. Databehandleren foretager ikke fysisk inspektion hos underdatabehandleren. Den dataansvarlige kan, hvis denne finder det nødvendigt, anmode om at få gennemført en inspektion hos underdatabehandleren i det omfang, underdatabehandlerens egne vilkår tillader det. Databehandlerens og underdatabehandlerens eventuelle udgifter herved er den dataansvarlige uvedkommende. Den dataansvarliges eventuelle deltagelse ændrer ikke ved, at databehandleren fortsat har det fulde ansvar for underdatabehandlerens overholdelse af Bestemmelserne og forordningen. --- # Bilag D – Parternes regulering af andre forhold ## D.1 Forholdet til abonnementsvilkårene D.1.1 Bestemmelserne er en del af aftalen mellem parterne om levering af tjenesten. Har databehandleren udstedt skriftlige abonnementsvilkår for Factfil, er Bestemmelserne bilag til dem; findes der ikke sådanne vilkår, udgør Bestemmelserne sammen med oprettelsen af kontoen det fulde aftalegrundlag for behandlingen af personoplysninger. Er der uoverensstemmelse mellem Bestemmelserne og abonnementsvilkårene om behandlingen af personoplysninger, har Bestemmelserne forrang. D.1.2 Dette bilag regulerer alene forhold, der har betydning for databeskyttelsen. Bilaget må ikke fortolkes, så det direkte eller indirekte strider mod Bestemmelserne eller forringer de registreredes grundlæggende rettigheder og frihedsrettigheder, jf. Bestemmelse 13.1. ## D.2 Ansvar mellem parterne D.2.1 Hver part er ansvarlig efter dansk rets almindelige regler for det tab, parten påfører den anden part ved at overtræde Bestemmelserne eller databeskyttelsesreglerne. D.2.2 Ingen af parterne er ansvarlig for indirekte tab, herunder driftstab, tabt fortjeneste og tab af goodwill. D.2.3 Hver parts samlede ansvar over for den anden part efter Bestemmelserne er for hvert forhold, der begrunder ansvaret, begrænset til det samlede vederlag, den dataansvarlige har betalt for den eller de konverteringer, forholdet angår. D.2.4 Begrænsningerne i D.2.2 og D.2.3 gælder ikke, hvis tabet er forvoldt ved forsæt eller grov uagtsomhed. D.2.5 Begrænsningerne gælder alene mellem parterne. De begrænser ikke de registreredes ret til erstatning efter databeskyttelsesforordningens artikel 82, og de ændrer ikke ved, at hver part selv bærer de bøder, en myndighed eller en domstol pålægger netop den part. ## D.3 Krav fra registrerede og regres D.3.1 Rejser en registreret eller en tilsynsmyndighed et krav mod den ene part, der vedrører behandling, som den anden part har foretaget, underretter parten den anden part uden unødig forsinkelse. Parterne samarbejder om kravets behandling, og ingen af parterne anerkender et krav på den anden parts vegne uden dennes samtykke. D.3.2 Har en part betalt fuld erstatning efter artikel 82, stk. 4, kan parten søge regres hos den anden part for den del af erstatningen, der svarer til den anden parts andel af ansvaret, jf. artikel 82, stk. 5. ## D.4 Omkostninger ved bistand, revision og inspektion D.4.1 Databehandlerens bistand efter Bestemmelse 9 og bilag C.3 er indeholdt i vederlaget, så længe bistanden ligger inden for det omfang, bilag C.3 beskriver. D.4.2 Bistand ud over bilag C.3 afregnes efter databehandlerens til enhver tid gældende timepris, som oplyses, før arbejdet påbegyndes, og kun efter forudgående aftale med den dataansvarlige. Databehandlerens tidsforbrug ved en inspektion efter bilag C.7, punkt 3, afregnes ikke. D.4.3 Bistand, der er nødvendig, fordi databehandleren selv har overtrådt Bestemmelserne, afregnes ikke. D.4.4 Ønsker den dataansvarlige en revisionserklæring fra en uafhængig tredjepart efter bilag C.7, punkt 2, betaler den dataansvarlige erklæringen. ## D.5 Force majeure D.5.1 Ingen af parterne er ansvarlig for manglende opfyldelse, der skyldes forhold uden for partens kontrol, som parten ikke burde have forudset ved aftalens indgåelse og ikke kunne afværge, fx krig, naturkatastrofe, strejke, lockout eller omfattende nedbrud i den offentlige infrastruktur. D.5.2 Force majeure fritager ikke for pligten til at underrette om brud på persondatasikkerheden efter Bestemmelse 10 eller for pligten til at slette efter Bestemmelse 11, i det omfang pligterne kan opfyldes. ## D.6 Lovvalg og værneting D.6.1 Bestemmelserne og dette bilag er underlagt dansk ret. D.6.2 Tvister, som parterne ikke kan løse ved forhandling, afgøres ved retten på databehandlerens hjemting som første instans.