Databehandleraftale

Sidst opdateret 2. oktober 2026

Denne databehandleraftale (»aftalen«) er indgået mellem den virksomhed, der har oprettet en konto i 1-5.io (»den dataansvarlige« eller »kunden«), og World of eCom AS, organisationsnummer/CVR-nr. 935 198 399, C. J. Hambros plass 2, 0164 Oslo, Norge (»databehandleren« eller »1-5.io«). Aftalen er en del af vilkårene og betingelserne for 1-5.io og opfylder kravene i databeskyttelsesforordningen (GDPR) artikel 28, stk. 3. Den træder i kraft, når kunden accepterer vilkårene, og gælder uden fornyet underskrift.

1. Genstand, varighed, karakter og formål

1. Genstand. Databehandleren behandler personoplysninger på vegne af den dataansvarlige, når tjenesten 1-5.io bruges til at bede kunder om bedømmelser og følge op på feedback.
2. Varighed. Behandlingen varer, så længe kunden har en konto og en aftale om tjenesten, og indtil oplysningerne er slettet eller tilbageleveret efter punkt 9.
3. Karakter. Opbevaring, organisering, overførsel, visning, eksport, anonymisering og sletning af oplysninger samt afsendelse af SMS og e-mail.
4. Formål. At levere tjenesten: sende anmodninger om anmeldelser på SMS og e-mail, modtage og opbevare bedømmelser, håndtere interne sager for bedømmelser på 1 til 3 stjerner, sende tilfredse kunder videre til anmeldelsesplatforme samt levere statistik, eksport og integrationer.

2. Kategorier af registrerede og personoplysninger

1. Registrerede: den dataansvarliges kunder og andre personer, der modtager en anmodning om anmeldelse; den dataansvarliges medarbejdere og øvrige brugere, der får adgang til tjenesten.
2. Personoplysninger: navn, mobilnummer, e-mailadresse, bedømmelse (1 til 5 stjerner), kommentar (for 1 til 3 stjerner), sagshistorik, beskedlog (SMS og e-mail: modtager, tidspunkt, indhold, leveringsstatus, afmelding), webhook- og API-data, som den dataansvarlige indsender, samt for brugere navn, e-mailadresse, rolle, login-log og revisionslog.
3. Der er ikke tiltænkt behandling af følsomme personoplysninger (art. 9). Kommentarer er fritekst, og den dataansvarlige skal opfordre kunderne til ikke at oplyse sådanne oplysninger.

3. Den dataansvarliges forpligtelser

1. Den dataansvarlige er ansvarlig for, at der er retligt grundlag for behandlingen og for at kontakte modtagerne, herunder samtykke eller legitim interesse, for at opfylde oplysningspligten over for de registrerede samt for at overholde kravene i markedsføringsloven.
2. Aftalen og tjenestens funktioner udgør den dataansvarliges fuldstændige og dokumenterede instruks ved aftalens indgåelse. Yderligere instrukser skal gives skriftligt og stå i rimeligt forhold til tjenestens karakter.

4. Databehandlerens forpligtelser

1. Dokumenteret instruks. Databehandleren behandler kun oplysningerne efter dokumenteret instruks fra den dataansvarlige, herunder ved overførsel til tredjeland, medmindre EU-retten eller medlemsstaternes nationale ret kræver andet. I så fald underretter databehandleren den dataansvarlige før behandlingen, medmindre lovgivningen forbyder en sådan underretning. Databehandleren underretter den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med databeskyttelsesreglerne.
2. Fortrolighed. Alle, der har adgang til oplysningerne hos databehandleren, er underlagt tavshedspligt eller en passende lovbestemt fortrolighedsforpligtelse og får kun adgang, når det er nødvendigt.
3. Sikkerhedsforanstaltninger (art. 32). Databehandleren har gennemført passende tekniske og organisatoriske foranstaltninger, herunder:
   • krypteret forbindelse (HTTPS/TLS) mellem brugere og tjenesten;
   • adgangskoder gemt som scrypt-hash, aldrig i klartekst;
   • valgfri totrinsgodkendelse (TOTP) for brugerkonti;
   • rollebaseret adgangsstyring (agent, leder, ejer) og princippet om mindste privilegium;
   • login-log og revisionslog over handlinger i kontoen;
   • e-mailbekræftelse af brugere;
   • login-cookie som er HttpOnly og SameSite samt begrænset sessionslængde (14 dage);
   • frekvensbegrænsning pr. telefonnummer, stille timer (21 til 08) og afmeldingsfunktion (link, og STOP for SMS) for at forhindre uønsket kontakt;
   • automatisk anonymisering efter den opbevaringstid, som den dataansvarlige vælger (30 til 1825 dage, standard 365), sletning pr. sag, eksport af alle data og kontosletning;
   • hosting hos leverandør i EU og begrænset adgang for medarbejdere;
   • API-nøgler med begrænset adgang og rutiner for hurtig udbedring af sårbarheder.
   Foranstaltningerne vurderes jævnligt og kan forbedres, dog uden at sikkerhedsniveauet forringes væsentligt.
4. Bistand ved de registreredes rettigheder. Databehandleren bistår den dataansvarlige, ved passende tekniske og organisatoriske foranstaltninger, med at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse. Funktioner til eksport og sletning findes i tjenesten. Henvender en registreret sig direkte til databehandleren, videresendes anmodningen uden unødig forsinkelse, og databehandleren svarer ikke selv uden instruks.
5. Bistand ved sikkerhed, vurderinger og forudgående høring. Databehandleren bistår med at opfylde forpligtelserne efter art. 32 til 36, herunder konsekvensanalyser vedrørende databeskyttelse (DPIA) og forudgående høring af tilsynsmyndigheden, under hensyntagen til behandlingens karakter og de oplysninger, som databehandleren har adgang til.
6. Underretning om brud på persondatasikkerheden. Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden. Underretningen sendes til kontoejerens e-mailadresse og skal så vidt muligt beskrive bruddets karakter, kategorier og omtrentligt antal berørte, de sandsynlige konsekvenser samt foranstaltninger, der er truffet eller foreslået. Oplysningerne kan gives løbende. Det er den dataansvarlige, der anmelder bruddet til Datatilsynet og underretter de registrerede, og databehandleren bistår hermed.
7. Sletning eller tilbagelevering. Se punkt 9.
8. Dokumentation. Databehandleren fører fortegnelse over behandlingsaktiviteter udført som databehandler (art. 30, stk. 2) og stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af forpligtelserne i artikel 28.

5. Underdatabehandlere

1. Generel godkendelse. Den dataansvarlige giver databehandleren en generel godkendelse til at gøre brug af underdatabehandlere. De underdatabehandlere, der er godkendt ved aftalens indgåelse, fremgår af tabellen nedenfor.
2. Varsel om ændringer. Databehandleren giver den dataansvarlige skriftlig besked (e-mail til kontoejeren eller meddelelse i tjenesten) mindst 30 dage, før en ny underdatabehandler tages i brug, eller en eksisterende udskiftes.
3. Ret til at gøre indsigelse. Den dataansvarlige kan inden for 30 dage gøre indsigelse mod ændringen med saglige databeskyttelsesmæssige grunde. Parterne forsøger at finde en løsning. Lykkes det ikke, kan den dataansvarlige opsige aftalen om tjenesten med virkning fra den dato, ændringen træder i kraft, uden omkostninger og med refusion af forudbetalt beløb for tiden efter ophøret.
4. Vilkår. Databehandleren pålægger hver underdatabehandler de samme databeskyttelsesforpligtelser som i denne aftale i en skriftlig aftale og hæfter fuldt ud over for den dataansvarlige for underdatabehandlerens opfyldelse.

6. Overførsel til tredjelande

1. Databehandleren overfører kun personoplysninger til lande uden for EU/EØS i overensstemmelse med GDPR kapitel V, i dag til USA via Twilio, på grundlag af Europa-Kommissionens standardkontraktbestemmelser og eventuelt EU-U.S. Data Privacy Framework samt supplerende foranstaltninger, hvor det er nødvendigt.
2. Den dataansvarlige giver hermed instruks om sådanne overførsler i det omfang, de er nødvendige for at levere tjenesten (herunder SMS- og e-mailafsendelse). En kopi af garantierne udleveres på anmodning.

7. Revision og tilsyn

1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af artikel 28, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af den dataansvarlige eller en uafhængig revisor, som den dataansvarlige har bemyndiget.
2. Revision skal varsles mindst 30 dage i forvejen, foregå i almindelig arbejdstid, ikke forstyrre driften uforholdsmæssigt og være omfattet af tavshedspligt. Revision er normalt begrænset til én pr. år, medmindre der er sket et brud, eller en tilsynsmyndighed kræver det. Den dataansvarlige afholder egne omkostninger og betaler databehandlerens omkostninger ud over rimeligt tidsforbrug. Databehandleren kan i første omgang påvise overholdelse gennem dokumentation, certificeringer eller revisionsrapporter, hvis dette er tilstrækkeligt til formålet.

8. Ansvar

Ansvaret mellem parterne følger vilkårene og betingelserne for tjenesten, herunder ansvarsbegrænsningen. Dette berører ikke de registreredes ret til erstatning efter GDPR artikel 82 eller tilsynsmyndighedernes beføjelser. Hver part bærer sin andel af ansvaret over for de registrerede efter art. 82, stk. 4 og 5, og har den regresret, der følger af lovgivningen.

9. Sletning og tilbagelevering ved ophør

1. Ved ophør af aftalen om tjenesten kan den dataansvarlige eksportere alle data (JSON eller CSV) i en periode på 30 dage.
2. Herefter sletter eller anonymiserer databehandleren alle personoplysninger og sletter eksisterende kopier inden for yderligere 30 dage, medmindre EU-retten eller national ret kræver fortsat opbevaring. Oplysninger i sikkerhedskopier overskrives efter normal rotation og er i mellemtiden beskyttet af denne aftale.
3. Den dataansvarlige kan til enhver tid slette enkelte sager eller hele kontoen i tjenesten og kan vælge opbevaringstid (30 til 1825 dage), som styrer den automatiske anonymisering. Databehandleren bekræfter sletning skriftligt på anmodning.

10. Aftalens varighed og ophør

Aftalen gælder, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige. Bestemmelserne om fortrolighed, ansvar og sletning gælder også efter aftalens ophør. Ved væsentlig misligholdelse af aftalen kan den dataansvarlige suspendere behandlingen og opsige aftalen om tjenesten.

11. Lovvalg og værneting

Aftalen er underlagt dansk ret. Tvister afgøres af de danske domstole med Københavns Byret som første instans, i overensstemmelse med vilkårene og betingelserne for tjenesten. Aftalen skal fortolkes i overensstemmelse med GDPR og databeskyttelsesloven, og ved modstrid har GDPR forrang.

12. Kontakt

Henvendelser om behandlingen og om brud sendes til [email protected]. Databehandler: World of eCom AS, C. J. Hambros plass 2, 0164 Oslo.