Gældende efter databeskyttelsesforordningen (GDPR) artikel 28
Denne databehandleraftale (“Aftalen”) regulerer JITS ApS’ (“SIGNITS”/“Databehandleren”) behandling af personoplysninger på vegne af kunden (“Den dataansvarlige”), når kunden bruger SIGNITS til digital underskrift og kontrakthåndtering. Aftalen er en integreret del af abonnementsvilkårene og træder automatisk i kraft, når kunden opretter og anvender en SIGNITS-konto.
Databehandler:
JITS ApS (SIGNITS)
Odensevej 80, 5471 Søndersø
CVR-nr. 37590029
E-mail: kontakt@jit.nu
Dataansvarlig: Den virksomhed eller person, der har oprettet en SIGNITS-konto og afsender dokumenter til underskrift. Den dataansvarlige bestemmer formålet med og midlerne til behandlingen.
Databehandleren behandler personoplysninger udelukkende med det formål at levere SIGNITS-tjenesten: at oprette, sende, underskrive (med MitID eller e-mail-godkendelse), arkivere og dokumentere kontrakter og aftaler med tilhørende revisionsspor. Behandlingen sker alene efter dokumenteret instruks fra den dataansvarlige, jf. afsnit 5.
Aftalen gælder, så længe Databehandleren behandler personoplysninger på vegne af den dataansvarlige – det vil sige, så længe SIGNITS-kontoen er aktiv. Ved ophør finder afsnit 12 (sletning) anvendelse.
Kategorier af registrerede: Kundens brugere/medarbejdere, underskrivere og modtagere af dokumenter samt eventuelle personer nævnt i dokumenternes indhold.
Typer af oplysninger:
Databehandleren behandler som udgangspunkt ikke særlige kategorier af oplysninger (følsomme oplysninger). Uploader den dataansvarlige sådanne oplysninger i dokumenter, sker det på den dataansvarliges ansvar og instruks.
Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder for så vidt angår overførsel til tredjelande. Brugen af tjenestens funktioner (oprettelse, afsendelse, underskrift, arkivering) udgør den dataansvarliges instruks. Databehandleren underretter straks den dataansvarlige, hvis en instruks efter Databehandlerens opfattelse strider mod GDPR eller anden databeskyttelseslovgivning.
Databehandleren sikrer, at kun de personer, der er nødvendige for at levere tjenesten, har adgang til personoplysningerne, og at disse personer er underlagt tavshedspligt.
Databehandleren træffer passende tekniske og organisatoriske foranstaltninger, herunder:
Den dataansvarlige giver Databehandleren generel godkendelse til at anvende følgende underdatabehandlere til levering af tjenesten:
| Underdatabehandler | Formål | Placering |
|---|---|---|
| Criipto A/S | MitID-verifikation af underskrivere | Danmark (EU) |
| Serverhosting | Drift og lagring af platform og dokumenter | Danmark (EU) |
| Microsoft 365 (Exchange Online) | Udsendelse af system- og notifikations-e-mails | EU (DPF-certificeret) |
Databehandleren pålægger enhver underdatabehandler de samme databeskyttelsesforpligtelser som i denne Aftale. Ved planlagte ændringer i listen af underdatabehandlere varsler Databehandleren den dataansvarlige med rimeligt varsel, så den dataansvarlige har mulighed for at gøre indsigelse. Betalinger håndteres af Stripe som selvstændig dataansvarlig og er ikke omfattet af denne Aftale.
Personoplysninger opbevares og behandles inden for EU/EØS. Sker der undtagelsesvis overførsel til et tredjeland (f.eks. via en underdatabehandler), sker det kun på et gyldigt overførselsgrundlag, såsom EU-Kommissionens standardkontraktbestemmelser (SCC) eller EU-US Data Privacy Framework.
Databehandleren bistår i rimeligt omfang den dataansvarlige med:
Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på et brud på persondatasikkerheden og bistår med de oplysninger, der er nødvendige for den dataansvarliges eventuelle anmeldelse til Datatilsynet.
Ved ophør af tjenesten sletter eller tilbageleverer Databehandleren efter den dataansvarliges valg alle personoplysninger og sletter eksisterende kopier, medmindre lovgivning kræver fortsat opbevaring. Sletning sker som udgangspunkt inden for 30 dage efter ophør. Den dataansvarlige kan til enhver tid selv eksportere sine dokumenter fra platformen.
Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af artikel 28, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, som gennemføres af den dataansvarlige eller en af denne bemyndiget revisor, med rimeligt varsel.
Parternes ansvar følger de almindelige erstatningsregler i GDPR og dansk ret samt SIGNITS’ abonnementsvilkår. Databehandleren kan opdatere denne Aftale, når det er nødvendigt af hensyn til lovgivning eller tjenestens indretning; væsentlige ændringer varsles.
Aftalen træder i kraft ved oprettelse af SIGNITS-kontoen og er bindende uden separat underskrift. Ønsker den dataansvarlige en underskrevet kopi – f.eks. til revisor eller advokat – kan den rekvireres ved at skrive til kontakt@jit.nu, og den kan underskrives digitalt via SIGNITS.