Databehandleraftale

Standardkontraktsbestemmelser i henhold til artikel 28, stk. 3, i forordning 2016/679 (databeskyttelsesforordningen) med henblik på databehandlerens behandling af personoplysninger

Version 2.0. Datatilsynets skabelon til databehandleraftale (standardkontraktsbestemmelser, version 1.2). Bestemmelserne er gengivet uændret; Accp ApS har alene udfyldt de felter og valg, skabelonen lægger op til, samt bilag A–D.

mellem

den virksomhed, der anvender Accp Finans og accepterer disse Bestemmelser ved sin kontaktperson (navn og CVR-nummer fremgår af accepten)

herefter ”den dataansvarlige”

og

Accp ApS, CVR 38165267, Landagervej 1, 3200 Helsinge

herefter ”databehandleren”

der hver især er en ”part” og sammen udgør ”parterne”

HAR AFTALT følgende standardkontraktsbestemmelser (Bestemmelserne) med henblik på at overholde databeskyttelsesforordningen og sikre beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder

2. Præambel

2.1 Disse Bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige.

2.2 Disse bestemmelser er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (databeskyttelsesforordningen).

2.3 I forbindelse med leveringen af regnskabsprogrammet Accp Finans behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med disse Bestemmelser.

2.4 Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.

2.5 Der hører fire bilag til disse Bestemmelser, og bilagene udgør en integreret del af Bestemmelserne.

2.6 Bilag A indeholder nærmere oplysninger om behandlingen af personoplysninger, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.

2.7 Bilag B indeholder den dataansvarliges betingelser for databehandlerens brug af underdatabehandlere og en liste af underdatabehandlere, som den dataansvarlige har godkendt brugen af.

2.8 Bilag C indeholder den dataansvarliges instruks for så vidt angår databehandlerens behandling af personoplysninger, en beskrivelse af de sikkerhedsforanstaltninger, som databehandleren som minimum skal gennemføre, og hvordan der føres tilsyn med databehandleren og eventuelle underdatabehandlere.

2.9 Bilag D indeholder bestemmelser vedrørende andre aktiviteter, som ikke af omfattet af Bestemmelserne.

2.10 Bestemmelserne med tilhørende bilag skal opbevares skriftligt, herunder elektronisk, af begge parter.

2.11 Disse Bestemmelser frigør ikke databehandleren fra forpligtelser, som databehandleren er pålagt efter databeskyttelsesforordningen eller enhver anden lovgivning.

3. Den dataansvarliges rettigheder og forpligtelser

3.1 Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (se forordningens artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.

3.2 Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.

3.3 Den dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som databehandleren instrueres i at foretage.

4. Databehandleren handler efter instruks

4.1 Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Denne instruks skal være specificeret i bilag A og C. Efterfølgende instruks kan også gives af den dataansvarlige, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med disse Bestemmelser.

4.2 Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

5. Fortrolighed

5.1 Databehandleren må kun give adgang til personoplysninger, som behandles på den dataansvarliges vegne, til personer, som er underlagt databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Listen af personer, som har fået tildelt adgang, skal løbende gennemgås. På baggrund af denne gennemgang kan adgangen til personoplysninger lukkes, hvis adgangen ikke længere er nødvendig, og personoplysningerne skal herefter ikke længere være tilgængelige for disse personer.

5.2 Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer, som er underlagt databehandlerens instruktionsbeføjelser, er underlagt ovennævnte tavshedspligt.

6. Behandlingssikkerhed

6.1 Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til disse risici.

Den dataansvarlige skal vurdere risiciene for fysiske personers rettigheder og frihedsrettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Afhængig af deres relevans kan det omfatte:

• a. Pseudonymisering og kryptering af personoplysninger
• b. evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester
• c. evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
• d. en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.

6.2 Efter forordningens artikel 32 skal databehandleren – uafhængigt af den dataansvarlige – også vurdere risiciene for fysiske personers rettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Med henblik på denne vurdering skal den dataansvarlige stille den nødvendige information til rådighed for databehandleren som gør vedkommende i stand til at identificere og vurdere sådanne risici.

6.3 Derudover skal databehandleren bistå den dataansvarlige med vedkommendes overholdelse af den dataansvarliges forpligtelse efter forordningens artikel 32, ved bl.a. at stille den nødvendige information til rådighed for den dataansvarlige vedrørende de tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren allerede har gennemført i henhold til forordningens artikel 32, og al anden information, der er nødvendig for den dataansvarliges overholdelse af sin forpligtelse efter forordningens artikel 32.

Hvis imødegåelse af de identificerede risici – efter den dataansvarliges vurdering – kræver gennemførelse af yderligere foranstaltninger end de foranstaltninger, som databehandleren allerede har gennemført, skal den dataansvarlige angive de yderligere foranstaltninger, der skal gennemføres, i bilag C.

7. Anvendelse af underdatabehandlere

7.1 Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2, og stk. 4, for at gøre brug af en anden databehandler (en underdatabehandler).

7.2 Databehandleren må således ikke gøre brug af en underdatabehandler til opfyldelse af disse Bestemmelser uden forudgående generel skriftlig godkendelse fra den dataansvarlige.

7.3 Databehandleren har den dataansvarliges generelle godkendelse til brug af underdatabehandlere. Databehandleren skal skriftligt underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer inden brugen af de(n) omhandlede underdatabehandler(e). Længere varsel for underretning i forbindelse med specifikke behandlingsaktiviteter kan angives i bilag B. Listen over underdatabehandlere, som den dataansvarlige allerede har godkendt, fremgår af bilag B.

7.4 Når databehandleren gør brug af en underdatabehandler i forbindelse med udførelse af specifikke behandlingsaktiviteter på vegne af den dataansvarlige, skal databehandleren, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der fremgår af disse Bestemmelser, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen overholder kravene i disse Bestemmelser og databeskyttelsesforordningen.

Databehandleren er derfor ansvarlig for at kræve, at underdatabehandleren som minimum overholder databehandlerens forpligtelser efter disse Bestemmelser og databeskyttelsesforordningen.

7.5 Underdatabehandleraftale(r) og eventuelle senere ændringer hertil sendes – efter den dataansvarliges anmodning herom – i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at tilsvarende databeskyttelsesforpligtelser som følger af disse Bestemmelser er pålagt underdatabehandleren. Bestemmelser om kommercielle vilkår, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.

7.6 (Valgfri bestemmelse – ikke anvendt.)

7.7 Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser. Dette påvirker ikke de registreredes rettigheder, der følger af databeskyttelsesforordningen, herunder særligt forordningens artikel 79 og 82, over for den dataansvarlige og databehandleren, herunder underdatabehandleren.

8. Overførsel til tredjelande eller internationale organisationer

8.1 Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V.

8.2 Hvis overførsel af personoplysninger til tredjelande eller internationale organisationer, som databehandleren ikke er blevet instrueret i at foretage af den dataansvarlige, kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt, skal databehandleren underrette den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

8.3 Uden dokumenteret instruks fra den dataansvarlige kan databehandleren således ikke inden for rammerne af disse Bestemmelser:

• a. overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland eller en international organisation
• b. overlade behandling af personoplysninger til en underdatabehandler i et tredjeland
• c. behandle personoplysningerne i et tredjeland

8.4 Den dataansvarliges instruks vedrørende overførsel af personoplysninger til et tredjeland, herunder det eventuelle overførselsgrundlag i databeskyttelsesforordningens kapitel V, som overførslen er baseret på, skal angives i bilag C.6.

8.5 Disse Bestemmelser skal ikke forveksles med standardkontraktsbestemmelser som omhandlet i databeskyttelsesforordningens artikel 46, stk. 2, litra c og d, og disse Bestemmelser kan ikke udgøre et grundlag for overførsel af personoplysninger som omhandlet i databeskyttelsesforordningens kapitel V.

9. Bistand til den dataansvarlige

9.1 Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel III.

Dette indebærer, at databehandleren så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:

• a. oplysningspligten ved indsamling af personoplysninger hos den registrerede
• b. oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede
• c. indsigtsretten
• d. retten til berigtigelse
• e. retten til sletning (”retten til at blive glemt”)
• f. retten til begrænsning af behandling
• g. underretningspligten i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
• h. retten til dataportabilitet
• i. retten til indsigelse
• j. retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering

9.2 I tillæg til databehandlerens forpligtelse til at bistå den dataansvarlige i henhold til Bestemmelse 6.3., bistår databehandleren endvidere, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, den dataansvarlige med:

• a. den dataansvarliges forpligtelse til uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed, Datatilsynet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder
• b. den dataansvarliges forpligtelse til uden unødig forsinkelse at underrette den registrerede om brud på persondatasikkerheden, når bruddet sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder
• c. den dataansvarliges forpligtelse til forud for behandlingen at foretage en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger (en konsekvensanalyse)
• d. den dataansvarliges forpligtelse til at høre den kompetente tilsynsmyndighed, Datatilsynet, inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen.

9.3 Parterne skal i bilag C angive de fornødne tekniske og organisatoriske foranstaltninger, hvormed databehandleren skal bistå den dataansvarlige samt i hvilket omfang og udstrækning. Det gælder for de forpligtelser, der følger af Bestemmelse 9.1. og 9.2.

10. Underretning om brud på persondatasikkerheden

10.1 Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden.

10.2 Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 24 timer efter, at denne er blevet bekendt med bruddet, sådan at den dataansvarlige kan overholde sin forpligtelse til at anmelde bruddet på persondatasikkerheden til den kompetente tilsynsmyndighed, jf. databeskyttelsesforordningens artikel 33.

10.3 I overensstemmelse med Bestemmelse 9.2.a skal databehandleren bistå den dataansvarlige med at foretage anmeldelse af bruddet til den kompetente tilsynsmyndighed. Det betyder, at databehandleren skal bistå med at tilvejebringe nedenstående information, som ifølge artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse af bruddet til den kompetente tilsynsmyndighed:

• a. karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger
• b. de sandsynlige konsekvenser af bruddet på persondatasikkerheden
• c. de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.

10.4 Parterne skal i bilag C angive den information, som databehandleren skal tilvejebringe i forbindelse med sin bistand til den dataansvarlige i dennes forpligtelse til at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed.

11. Sletning og returnering af oplysninger

11.1 Ved ophør af tjenesterne vedrørende behandling af personoplysninger, er databehandleren forpligtet til at slette alle personoplysninger, der er blevet behandlet på vegne af den dataansvarlige og bekræfte over for den dataansvarlig, at oplysningerne er slettet, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.

11.2 Følgende regler i EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne efter ophør af tjenesterne vedrørende behandling af personoplysninger:

• a. Bogføringsloven (lov nr. 700 af 24. maj 2022) § 12, stk. 1, om opbevaring af regnskabsmateriale i 5 år fra udgangen af det regnskabsår, materialet vedrører.
• b. Bekendtgørelse nr. 97 af 26. januar 2023 om krav til digitale standard bogføringssystemer med senere ændringer, bilag 1, nr. 4, hvorefter udbyderen skal opbevare bogførte transaktioner og bilag i 5 år fra udgangen af det regnskabsår, de vedrører, uanset ophør af kundeforholdet.

Databehandleren forpligter sig til alene at behandle personoplysningerne til de(t) formål, i den periode og under de betingelser, som disse regler foreskriver.

12. Revision, herunder inspektion

12.1 Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og disse Bestemmelser, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

12.2 Procedurerne for den dataansvarliges revisioner, herunder inspektioner, med databehandleren og underdatabehandlere er nærmere angivet i Bilag C.7. og C.8.

12.3 Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter gældende lovgivningen har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter, der optræder på tilsynsmyndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

13. Parternes aftale om andre forhold

13.1 Parterne kan aftale andre bestemmelser vedrørende tjenesten vedrørende behandling af personoplysninger om f.eks. erstatningsansvar, så længe disse andre bestemmelser ikke direkte eller indirekte strider imod Bestemmelserne eller forringer den registreredes grundlæggende rettigheder og frihedsrettigheder, som følger af databeskyttelsesforordningen.

14. Ikrafttræden og ophør

14.1 Bestemmelserne træder i kraft på datoen for begge parters underskrift heraf.

14.2 Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i Bestemmelserne giver anledning hertil.

14.3 Bestemmelserne er gældende, så længe tjenesten vedrørende behandling af personoplysninger varer. I denne periode kan Bestemmelserne ikke opsiges, medmindre andre bestemmelser, der regulerer levering af tjenesten vedrørende behandling af personoplysninger, aftales mellem parterne.

14.4 Hvis levering af tjenesterne vedrørende behandling af personoplysninger ophører, og personoplysningerne er slettet eller returneret til den dataansvarlige i overensstemmelse med Bestemmelse 11.1 og Bilag C.4, kan Bestemmelserne opsiges med skriftlig varsel af begge parter.

14.5 Underskrift

På vegne af den dataansvarlige: den kontaktperson, der accepterer Bestemmelserne elektronisk på virksomhedens vegne. Navn, e-mail, tidspunkt og den accepterede version registreres ved accepten og gælder som underskrift, jf. Bilag D.

På vegne af databehandleren: Accp ApS, CVR 38165267, ved Lars Pedersen, administrerende direktør, e-mail privacy@accp.dk. Databehandlerens underskrift gives ved, at Accp ApS stiller Bestemmelserne til accept i Accp Finans, jf. Bilag D.

15. Kontaktpersoner hos den dataansvarlige og databehandleren

15.1 Parterne kan kontakte hinanden via nedenstående kontaktpersoner.

15.2 Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende kontaktpersoner.

Den dataansvarlige: virksomhedens kontaktperson, som registreret i Accp Finans (Indstillinger › Stamoplysninger), og virksomhedens administratorer.

Databehandleren: Lars Pedersen, administrerende direktør, Accp ApS, e-mail privacy@accp.dk.

Bilag A – Oplysninger om behandlingen

A.1. Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige

Levering af regnskabsprogrammet Accp Finans, et registreret digitalt standard bogføringssystem, så den dataansvarlige kan bogføre sine transaktioner, opbevare bilag og regnskabsmateriale, fakturere, afstemme bank, opgøre og indberette moms, danne rapporter og udveksle regnskabsdata som krævet efter bogføringsloven, samt administration af brugere og support.

A.2. Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige drejer sig primært om (karakteren af behandlingen)

Indsamling, registrering, strukturering, opbevaring, søgning, visning, sikkerhedskopiering, eksport, overførsel efter den dataansvarliges instruks (fx afsendelse af fakturaer og indberetning af moms), udlevering til offentlige myndigheder efter bogføringsloven samt sletning, når opbevaringsperioden er udløbet.

A.3. Behandlingen omfatter følgende typer af personoplysninger om de registrerede

• Kontaktoplysninger: navn, adresse, e-mailadresse, telefonnummer, CVR-, SE- og P-nummer, EAN- og Peppol-id.
• Økonomiske oplysninger: bankkontonummer, IBAN, posteringer og banktransaktioner (dato, beløb, tekst, modpart), fakturaer, kreditnotaer, rykkere, kontoudtog, saldi og åbne poster, momsangivelser og betalingsoplysninger.
• Bilagsfiler, som den dataansvarlige uploader eller modtager (fx købsfakturaer, kvitteringer, lønsedler og kontrakter). Bilag kan indeholde personnumre (CPR) og andre oplysninger, som den dataansvarlige selv har lagt i bilaget. Sådanne oplysninger behandles alene som en del af bilaget.
• Oplysninger om brugere af Accp Finans: navn, e-mailadresse, rolle og rettigheder, tidspunkter for log-ind og handlinger, IP-adresse og browseroplysninger i adgangs- og revisionsloggen samt MitID's pseudonyme identifikator og navn fra identitetsvalideringen (ikke CPR-nummer).

Behandlingen omfatter ikke tilsigtet særlige kategorier af personoplysninger (databeskyttelsesforordningens artikel 9) eller oplysninger om strafbare forhold (artikel 10). Forekommer sådanne oplysninger i et bilag, behandles de alene som en del af bilaget.

A.4. Behandlingen omfatter følgende kategorier af registrerede

• Den dataansvarliges ejere, ledelse, ansatte og andre brugere af Accp Finans.
• Den dataansvarliges kunder, leverandører og andre forretningsforbindelser samt kontaktpersoner hos disse, herunder personligt ejede virksomheder og privatkunder.
• Andre fysiske personer, der fremgår af den dataansvarliges posteringer, banktransaktioner og bilag.

A.5. Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige kan påbegyndes efter disse Bestemmelsers ikrafttræden. Behandlingen har følgende varighed

Behandlingen varer, så længe den dataansvarlige anvender Accp Finans. Efter ophør opbevares regnskabsmaterialet, så længe lovgivningen kræver det (Bestemmelse 11.2 og Bilag C.4), hvorefter det slettes.

Bilag B – Underdatabehandlere

B.1. Godkendte underdatabehandlere

Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af følgende underdatabehandlere:

• Hetzner Online GmbH, reg.nr. HRB 6089 (Amtsgericht Ansbach), Industriestr. 25, 91710 Gunzenhausen, Tyskland. Drift af servere, database og sikkerhedskopier for Accp Finans i datacentre i Tyskland og Finland.
• Google Ireland Limited (Google Workspace), reg.nr. 368047, Gordon House, Barrow Street, Dublin 4, Irland. Afsendelse af e-mails fra Accp Finans (fx fakturaer, rykkere, kontoudtog, invitationer og sikkerhedskoder) via Google Workspace. E-mailen og dens vedhæftede filer behandles.
• Visma e-conomic A/S (Sproom), CVR 29403473, Gærtorvet 3, 1799 København V. Afsendelse og modtagelse af e-fakturaer og andre elektroniske forretningsdokumenter via Nemhandel og Peppol (accesspunkt), når den dataansvarlige bruger e-fakturering.
• Tatic ApS (binavn OpenBanking IO ApS, open-banking.io), CVR 42532940, Mejsevej 2, 8370 Hadsten. Hentning af banktransaktioner og kontooplysninger fra den dataansvarliges bank, når den dataansvarlige har tilsluttet en bankforbindelse. Tatic ApS anvender Enable Banking Oy, Finland, som licenseret udbyder af kontooplysningstjenesten.

Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af ovennævnte underdatabehandlere for den beskrevne behandlingsaktivitet. Databehandleren må ikke – uden den dataansvarliges skriftlige godkendelse – gøre brug af en underdatabehandler til en anden behandlingsaktivitet end den beskrevne og aftalte eller gøre brug af en anden underdatabehandler til denne behandlingsaktivitet.

Den aktuelle liste offentliggøres også på accp.dk/juridisk/underdatabehandlere.

B.2. Varsel for godkendelse af underdatabehandlere

Databehandleren underretter den dataansvarliges kontaktperson pr. e-mail og i Accp Finans mindst 30 dage, før en underdatabehandler tilføjes eller udskiftes, jf. Bestemmelse 7.3. Gør den dataansvarlige indsigelse, kan den dataansvarlige opsige abonnementet til ophør, før ændringen træder i kraft.

Bilag C – Instruks vedrørende behandling af personoplysninger

C.1. Behandlingens genstand/instruks

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige sker ved, at databehandleren udfører følgende:

• stiller Accp Finans til rådighed og behandler de oplysninger, som den dataansvarlige og dennes brugere registrerer, uploader, importerer eller modtager i Accp Finans,
• udfører de handlinger, som den dataansvarliges brugere sætter i gang i Accp Finans, herunder afsendelse af fakturaer, rykkere og kontoudtog på e-mail og som e-faktura, modtagelse af e-fakturaer, hentning af banktransaktioner, import fra andre regnskabsprogrammer, afsendelse af momsangivelser til Skattestyrelsen og dannelse af regnskabsfiler og SAF-T-filer,
• udleverer bogførte transaktioner og bilag til offentlige myndigheder, når det kræves efter bogføringsloven og bekendtgørelse om krav til digitale standard bogføringssystemer,
• tager sikkerhedskopier, fører adgangs- og revisionslog og yder support efter den dataansvarliges anmodning.

C.2. Behandlingssikkerhed

Sikkerhedsniveauet skal afspejle:

Behandlingen omfatter regnskabsmateriale med fortrolige økonomiske oplysninger om den dataansvarlige og dennes forretningsforbindelser og kan omfatte personnumre i bilag. Bogføringsloven og bekendtgørelse om krav til digitale standard bogføringssystemer (§ 8) kræver et højt it-sikkerhedsniveau. Der skal derfor etableres et højt sikkerhedsniveau.

Databehandleren er herefter berettiget og forpligtet til at træffe beslutninger om, hvilke tekniske og organisatoriske sikkerhedsforanstaltninger, der skal gennemføres for at etableret det nødvendige (og aftalte) sikkerhedsniveau.

Databehandleren skal dog – under alle omstændigheder og som minimum – gennemføre følgende foranstaltninger, som er aftalt med den dataansvarlige:

• Pseudonymisering og kryptering: al kommunikation med Accp Finans sker krypteret (TLS 1.2 eller nyere). Adgangskoder gemmes som Argon2id-hash, nøgler til totrinsbekræftelse krypteres (AES-256-GCM), og sikkerhedskopier krypteres (AES-256), før de forlader serveren. Ved identitetsvalidering med MitID gemmes ikke CPR-nummer, kun MitID's pseudonyme identifikator.
• Vedvarende fortrolighed, integritet, tilgængelighed og robusthed: hver virksomheds data er adskilt og beskyttet i databasen (Row-Level Security). Adgang styres med roller og rettigheder. Bogførte transaktioner og bilag kan ikke ændres eller slettes (håndhævet i databasen). Der er en dokumenteret risikovurdering, som opdateres mindst årligt og ved væsentlige ændringer.
• Rettidig genoprettelse: automatisk fuld sikkerhedskopi mindst dagligt (mindst ugentligt fuld og dagligt inkrementel efter bekendtgørelsens § 7), opbevaret krypteret hos en anden udbyder eller lokation end driftsserveren i EU/EØS. Målet er genetablering inden for 4 timer og et datatab på højst 24 timer. Der er en beredskabsplan.
• Regelmæssig afprøvning, vurdering og evaluering: gendannelse af sikkerhedskopier afprøves automatisk hver uge og manuelt mindst hvert kvartal. Risikovurdering og beredskabsplan gennemgås og afprøves mindst årligt. Ændringer i Accp Finans testes automatisk, før de tages i brug.
• Adgang via internettet: brugere logger ind med adgangskode og totrinsbekræftelse. Kunder og brugere identitetsvalideres med MitID efter bekendtgørelsens krav. Databasen er ikke tilgængelig fra internettet. Administrativ adgang til servere sker kun med personlige SSH-nøgler, og servernes firewall tillader kun nødvendig trafik.
• Beskyttelse under transmission: TLS ved al kommunikation med brugere, underdatabehandlere og myndigheder. Kald til Skattestyrelsens moms-API signeres med databehandlerens OCES3-certifikat.
• Beskyttelse under opbevaring: data og sikkerhedskopier opbevares på servere i EU/EØS. Sikkerhedskopier er krypterede. Hemmeligheder (nøgler, adgangskoder, certifikater) findes kun på serverne og i databehandlerens adgangskodemanager.
• Fysisk sikring: behandlingen sker i underdatabehandlerens datacentre, der er ISO/IEC 27001-certificerede med adgangskontrol og overvågning. Databehandleren har ikke selv servere med personoplysninger i egne lokaler.
• Hjemme- og fjernarbejdspladser: databehandlerens medarbejdere arbejder på enheder med krypteret lager, adgangskode og automatisk skærmlås og bruger totrinsbekræftelse til alle administrative systemer. Den dataansvarliges data kopieres ikke til arbejdspladser, medmindre det er nødvendigt for at løse en sag, som den dataansvarlige har bedt om, og kopien slettes, når sagen er løst.
• Logning: log-ind, sessioner, ændringer af rettigheder, bogføring, eksport og udlevering samt administratorbrugeres adgang registreres i en uændringsbar, hash-kædet revisionslog, som opbevares lige så længe som den dataansvarliges regnskabsmateriale.

C.3. Bistand til den dataansvarlige

Databehandleren skal så vidt muligt – inden for det nedenstående omfang og udstrækning – bistå den dataansvarlige i overensstemmelse med Bestemmelse 9.1 og 9.2 ved at gennemføre følgende tekniske og organisatoriske foranstaltninger:

• Accp Finans har funktioner, så den dataansvarlige selv kan søge, se, rette stamdata, eksportere (bl.a. SAF-T, CSV og PDF) og administrere brugere. Det dækker de fleste anmodninger fra registrerede.
• Bogførte transaktioner og bilag kan ikke slettes eller ændres, så længe bogføringsloven kræver opbevaring. Anmodninger om sletning eller begrænsning, der ikke kan imødekommes af den grund, besvares med en forklaring.
• Kan den dataansvarlige ikke selv besvare en anmodning med funktionerne i Accp Finans, bistår databehandleren uden unødig forsinkelse og som udgangspunkt inden 5 arbejdsdage efter anmodning til privacy@accp.dk.
• Ved brud på persondatasikkerheden giver databehandleren den dataansvarlige følgende oplysninger, i det omfang de er kendt, jf. Bestemmelse 10.4: tidspunktet for bruddet og for opdagelsen, bruddets karakter, de berørte kategorier og det omtrentlige antal registrerede og registreringer, de sandsynlige konsekvenser, de trufne og foreslåede foranstaltninger og en kontaktperson. Oplysninger, der ikke kendes ved første underretning, gives løbende.
• Databehandleren stiller sin beskrivelse af sikkerhedsforanstaltningerne og risikovurderingen til rådighed for den dataansvarliges egen risikovurdering og eventuelle konsekvensanalyse.

C.4. Opbevaringsperiode/sletterutine

Personoplysningerne opbevares, så længe den dataansvarlige anvender Accp Finans. Ved ophør af tjenesten vedrørende behandling af personoplysninger kan den dataansvarlige eksportere sine data, og databehandleren udleverer efter anmodning bogførte transaktioner og bilag i et struktureret, maskinlæsbart format. Herefter opbevarer databehandleren regnskabsmaterialet og den tilhørende revisionslog i 5 år fra udgangen af det seneste regnskabsår, som materialet vedrører (Bestemmelse 11.2), og sletter det derefter og bekræfter sletningen over for den dataansvarlige, jf. Bestemmelse 11.1. Sikkerhedskopier slettes efter deres opbevaringstid (højst 72 måneder) i takt med, at nye tages.

Ved ophør af tjenesten vedrørende behandling af personoplysninger, skal databehandleren enten slette eller tilbagelevere personoplysningerne i overensstemmelse med bestemmelse 11.1, medmindre den dataansvarlige – efter underskriften af disse bestemmelser – har ændret den dataansvarlige oprindelige valg. Sådanne ændringer skal være dokumenteret og opbevares skriftligt, herunder elektronisk, i tilknytning til bestemmelserne.

C.5. Lokalitet for behandling

Behandling af de af Bestemmelserne omfattede personoplysninger kan ikke uden den dataansvarliges forudgående skriftlige godkendelse ske på andre lokaliteter end følgende:

• Hetzner Online GmbH's datacentre i Falkenstein og Nürnberg (Tyskland) og Helsinki (Finland): drift, database og sikkerhedskopier.
• Databehandlerens adresse, Landagervej 1, 3200 Helsinge, og databehandlerens medarbejderes arbejdspladser i Danmark: administration og support via fjernadgang, jf. C.2.
• Google Ireland Limiteds infrastruktur: afsendelse af e-mails, jf. C.6.
• Visma e-conomic A/S’ (Sproom) systemer i EU/EØS: e-fakturering.
• Tatic ApS (Danmark) og Enable Banking Oy (Finland): bankdata.

C.6. Instruks vedrørende overførsel af personoplysninger til tredjelande

Den dataansvarlige instruerer databehandleren i at sende e-mails fra Accp Finans via Google Workspace (Google Ireland Limited, Bilag B). Google kan i den forbindelse behandle e-mailen og dens vedhæftede filer uden for EU/EØS, herunder i USA. Overførslen sker på grundlag af Europa-Kommissionens afgørelse om tilstrækkeligt beskyttelsesniveau under EU-U.S. Data Privacy Framework (databeskyttelsesforordningens artikel 45), som Google LLC er certificeret under, og subsidiært EU-Kommissionens standardkontraktbestemmelser (artikel 46, stk. 2, litra c) i Googles databehandlervilkår.

Øvrig behandling, herunder opbevaring af regnskabsmateriale og sikkerhedskopier, sker i EU/EØS.

Hvis den dataansvarlige ikke i disse Bestemmelser eller efterfølgende giver en dokumenteret instruks vedrørende overførsels af personoplysninger til et tredjeland, er databehandleren ikke berettiget til inden for rammerne af disse Bestemmelser at foretage sådanne overførsler.

C.7. Procedurer for den dataansvarliges revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til databehandleren

Databehandleren udarbejder én gang om året for egen regning en skriftlig redegørelse for sin overholdelse af databeskyttelsesforordningen og disse Bestemmelser med de sikkerhedsforanstaltninger, der er gennemført, resultatet af årets gendannelsestest og eventuelle brud. Redegørelsen og risikovurderingen sendes til den dataansvarlige på anmodning.

Den dataansvarlige kan anfægte redegørelsen og anmode om yderligere dokumentation. Den dataansvarlige eller en uafhængig revisor med tavshedspligt, som den dataansvarlige har bemyndiget, kan desuden med 30 dages varsel foretage en inspektion hos databehandleren, når den dataansvarlige finder det nødvendigt. Den dataansvarliges udgifter ved inspektionen afholdes af den dataansvarlige selv. Databehandleren afsætter den tid, der er nødvendig for inspektionen. Inspektionen må ikke give adgang til andre kunders oplysninger.

C.8. Procedurer for revisioner, herunder inspektioner, med behandling af personoplysninger, som er overladt til underdatabehandlere

Databehandleren fører én gang om året tilsyn med underdatabehandlerne ved at gennemgå deres gældende revisionserklæringer eller certificeringer (fx ISO/IEC 27001 og ISAE 3402/SOC 2) og databehandleraftaler. Har en underdatabehandler ikke en sådan erklæring eller certificering, indhenter databehandleren en skriftlig redegørelse fra underdatabehandleren. Resultatet af tilsynet indgår i den årlige redegørelse efter C.7 og sendes til den dataansvarlige på anmodning.

Bilag D – Parternes regulering af andre forhold

D.1. Den dataansvarliges elektroniske accept i Accp Finans, afgivet af kontaktpersonen på den dataansvarliges vegne, sidestilles med underskrift efter Bestemmelse 14.1 og 14.5. Ved accepten registreres bruger, tidspunkt, IP-adresse, version og en kontrolsum (SHA-256) af den accepterede tekst. Databehandleren opbevarer registreringen, og den dataansvarlige kan til enhver tid se og udskrive den accepterede version under Indstillinger › Databehandleraftale i Accp Finans.

D.2. Indtil accepten kan databehandleren alene oprette den dataansvarliges virksomhed i Accp Finans med de oplysninger, der hentes fra CVR, og forberede opsætningen.

D.3. Databehandlerens medarbejdere, der er oprettet som administratorbrugere i Accp Finans, har efter den dataansvarliges instruks adgang til den dataansvarliges virksomhed for at oprette, opsætte, administrere og yde support. Administratorbrugerne fremgår af den dataansvarliges brugerliste, og deres adgang logges.

D.4. Erstatningsansvar og øvrige kommercielle forhold reguleres af abonnementsvilkårene for Accp Finans, jf. Bestemmelse 13.1. Abonnementsvilkårene kan ikke begrænse den dataansvarliges eller de registreredes rettigheder efter disse Bestemmelser eller databeskyttelsesforordningen.