DATABEHANDLERAFTALE

Databehandleraftale for RenTjek

Version 2026-09-10b · Gældende fra 10. september 2026

Denne aftale regulerer Holmstad Group ApSs behandling af personoplysninger på et rengøringsfirmas vegne. Den følger opbygningen i Datatilsynets standardkontraktbestemmelser for databehandleraftaler efter databeskyttelsesforordningens artikel 28, stk. 3. Aftalen accepteres i produktet sammen med handelsbetingelserne, og bilag A til D nederst er en del af den.

Parterne

Dataansvarlig er den virksomhed, der opretter et firma i RenTjek. Navn, CVR, adresse og kontaktperson er dem, virksomheden selv har oplyst i firmaets oplysninger i produktet.

Databehandler er Holmstad Group ApS, CVR 44303663, Vesterlundvej 218, 8600 Silkeborg, Danmark. Kontakt om denne aftale: kontakt@rentjek.dk.

Er den dataansvarlige selv databehandler for en anden virksomhed, for eksempel fordi rengøringen udføres som underleverandør, skal betegnelserne og instruktionskæden tilpasses ved en særskilt aftale, inden virkelige data lægges i RenTjek.

1. Præambel

1.1 Denne aftale fastsætter de rettigheder og forpligtelser, der gælder, når databehandleren behandler personoplysninger på den dataansvarliges vegne.

1.2 Aftalen er udformet med henblik på parternes efterlevelse af databeskyttelsesforordningens artikel 28, stk. 3, som stiller specifikke krav til indholdet af en databehandleraftale.

1.3 Databehandlerens behandling sker med det formål at levere webtjenesten RenTjek til den dataansvarlige, sådan som tjenesten er beskrevet i handelsbetingelserne.

1.4 Aftalen er ikke gyldig uden bilag A til D. Bilagene udgør en integreret del af aftalen og står nederst på denne side i den udgave, der er gældende.

1.5 Aftalen fritager ikke databehandleren for forpligtelser, der følger direkte af databeskyttelsesforordningen eller anden lovgivning.

2. Den dataansvarliges rettigheder og forpligtelser

2.1 Den dataansvarlige er over for omverdenen, herunder de registrerede, ansvarlig for, at behandlingen sker inden for rammerne af databeskyttelsesforordningen og databeskyttelsesloven.

2.2 Den dataansvarlige har derfor ret og pligt til at træffe beslutning om, til hvilke formål og med hvilke hjælpemidler behandlingen må ske. Det omfatter navnlig beslutningen om, hvilke opgaver der dokumenteres, hvilke billeder der tages, hvem rapporten deles med, og hvilken opbevaringsfrist der vælges for billeder.

2.3 Den dataansvarlige er ansvarlig for, at der er et lovligt grundlag for behandlingen, herunder for at fotografere i private hjem og i erhvervslokaler, og for at de registrerede har fået de oplysninger, forordningens artikel 13 og 14 kræver. Databehandleren indhenter ikke samtykke og kan ikke indhente samtykke på den dataansvarliges vegne.

2.4 Den dataansvarlige indestår for, at den, der accepterer denne aftale i produktet, er berettiget til at forpligte virksomheden.

3. Databehandleren handler efter instruks

3.1 Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller dansk ret. En sådan retlig forpligtelse meddeles den dataansvarlige inden behandlingen, medmindre loven forbyder det.

3.2 Instruksen er beskrevet i bilag D og udgøres i praksis af de valg, den dataansvarlige selv foretager i produktet: hvilke opgaver der oprettes, hvilke billeder der lægges op, hvem en rapport deles med, hvilken frist der vælges for billeder, og hvornår noget slettes.

3.3 Databehandleren behandler ikke oplysningerne til egne formål. Oplysningerne bruges ikke til markedsføring, til demonstrationsmateriale eller til træning af AI-modeller, og de sammenstilles ikke med andre kunders oplysninger.

3.4 Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens vurdering strider mod databeskyttelsesforordningen eller databeskyttelseslovgivningen i øvrigt.

3.5 Databehandleren har ingen selvstændig ret til at videregive oplysningerne til tredjemand, bortset fra de underdatabehandlere, der fremgår af bilag B, og bortset fra videregivelse, der er påkrævet efter loven.

4. Fortrolighed

4.1 Databehandleren giver kun adgang til personoplysninger, der behandles på den dataansvarliges vegne, til de personer, som er undergivet databehandlerens instruktionsbeføjelse, som har forpligtet sig til fortrolighed, og for hvem adgangen er nødvendig. Listen over personer med adgang gennemgås og revurderes løbende, og adgang, der ikke længere er nødvendig, inddrages.

4.2 Databehandleren er i dag en enkeltmandsdrevet virksomhed, hvor ejeren er den eneste person med driftsadgang til produktionsmiljøet. Kommer der flere personer med adgang, føres de på listen efter punkt 4.1, inden adgangen gives.

4.3 Databehandleren sikrer, at personer med adgang er bekendt med instruksen og med de sikkerhedsforanstaltninger i bilag C, der er relevante for deres opgave.

4.4 Databehandleren stiller på den dataansvarliges anmodning dokumentation til rådighed for, at de berørte personer er underlagt en fortrolighedsforpligtelse.

5. Behandlingssikkerhed

5.1 Databehandleren gennemfører de tekniske og organisatoriske sikkerhedsforanstaltninger, der er beskrevet i bilag C, og opretholder dem, så længe aftalen løber. Foranstaltningerne er gennemført, inden behandlingen begynder.

5.2 Bilag C beskriver alene foranstaltninger, der faktisk er i drift. Foranstaltninger, der er besluttet men ikke bygget, står i bilag C under "Endnu ikke i drift", så den dataansvarlige kan tage dem med i sin egen risikovurdering.

5.3 Databehandleren må ikke ændre foranstaltningerne, så det aftalte sikkerhedsniveau reduceres, uden at det er vurderet og meddelt den dataansvarlige.

5.4 Databehandleren bistår den dataansvarlige med at overholde forordningens artikel 32 ved at oplyse om de faktiske foranstaltninger og om væsentlige ændringer i dem.

5.5 Vurderer den dataansvarlige, at der er behov for yderligere foranstaltninger, fordi den dataansvarliges egen risikovurdering kræver det, aftales de særskilt. Databehandleren kan kræve betaling for foranstaltninger, der ligger ud over det, tjenesten leverer til alle kunder.

6. Anvendelse af underdatabehandlere

6.1 Databehandleren opfylder betingelserne i forordningens artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler.

6.2 Den dataansvarlige giver ved accepten af denne aftale en generel godkendelse af de underdatabehandlere, der er anført i bilag B.

6.3 Databehandleren underretter den dataansvarlige mindst 30 dage før en ny eller udskiftet underdatabehandler får adgang til personoplysninger. Underretningen oplyser leverandørens juridiske navn, opgave, hvilke oplysninger den behandler, datalokation og grundlaget for en eventuel overførsel til et tredjeland.

6.4 Den dataansvarlige kan inden varslets udløb gøre saglig indsigelse mod ændringen af grunde, der vedrører databeskyttelse. Parterne søger i så fald en løsning. Findes den ikke, ophører den berørte behandling eller den berørte del af tjenesten, uden at oplysningerne sendes til den leverandør, indsigelsen vedrører. Kan tjenesten ikke leveres uden leverandøren, kan hver part opsige aftalen til udløbet af den igangværende betalingsperiode.

6.5 Databehandleren indgår en skriftlig aftale med hver underdatabehandler, som pålægger denne mindst de samme databeskyttelsesforpligtelser som dem, der følger af denne aftale.

6.6 Databehandleren forbliver ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

6.7 Databehandleren stiller på anmodning en kopi af aftalen med en underdatabehandler til rådighed for den dataansvarlige. Kommercielle vilkår og oplysninger om andre kunder kan udelades, i det omfang det ikke forhindrer kontrol med databeskyttelsen.

7. Overførsel til tredjelande

7.1 Behandlingen sker i EU eller EØS. Database, login, private filer, webprodukt og PDF-generering ligger i Irland og Dublin, se bilag B.

7.2 Databehandleren overfører ikke selv personoplysninger til et tredjeland og giver ikke adgang fra et tredjeland uden den dataansvarliges dokumenterede instruks og et gyldigt overførselsgrundlag efter forordningens kapitel V.

7.3 To af leverandørerne i bilag B er koncerner med moderselskaber uden for EU. For Stripe og for den mailleverandør, der tages i brug efter bilag B, kan support- eller driftsadgang fra et tredjeland forekomme efter leverandørens egne vilkår. Grundlaget er i så fald leverandørens standardkontraktbestemmelser efter Kommissionens afgørelse 2021/914 og, hvor det er relevant, EU-US Data Privacy Framework. Bilag B angiver for hver leverandør, hvad der er kontrolleret, og hvad der endnu ikke er.

7.4 Et valg af EU-hosting betyder ikke i sig selv, at al support- og driftsadgang ligger i EU eller EØS. Databehandleren undersøger forholdet pr. leverandør og skriver resultatet i bilag B, frem for at nøjes med at oplyse en region.

7.5 Ophører grundlaget for en overførsel, eller erklæres det ugyldigt, underretter databehandleren den dataansvarlige uden unødig forsinkelse og standser den berørte overførsel, indtil et gyldigt grundlag foreligger.

8. Bistand til den dataansvarlige

8.1 Databehandleren bistår, under hensyntagen til behandlingens karakter og så vidt muligt, den dataansvarlige med at opfylde den dataansvarliges forpligtelse til at besvare anmodninger fra registrerede om indsigt, rettelse, sletning, begrænsning, dataportabilitet og indsigelse.

8.2 Modtager databehandleren en anmodning fra en registreret, videresendes den til den dataansvarlige uden unødig forsinkelse og som arbejdsregel inden 2 arbejdsdage. Databehandleren besvarer ikke anmodningen på den dataansvarliges vegne, medmindre den dataansvarlige instruerer det, eller en retlig pligt kræver det.

8.3 Databehandleren bistår desuden den dataansvarlige med:

• at sikre overholdelsen af forpligtelserne om behandlingssikkerhed i artikel 32
• at anmelde brud på persondatasikkerheden til Datatilsynet efter artikel 33
• at underrette de registrerede om et brud efter artikel 34
• at gennemføre en konsekvensanalyse efter artikel 35 og en forudgående høring efter artikel 36, ved at oplyse om behandlingens karakter og de faktiske foranstaltninger

8.4 Bistanden efter punkt 8.1 og 8.3 er indeholdt i abonnementet i det omfang, den kan ydes med produktets egne funktioner og med de oplysninger, der findes i denne aftale og dens bilag. Kræver en anmodning et væsentligt arbejde ud over det, aftales betalingen særskilt, uden at nødvendige sikkerheds- og rettighedsopgaver forsinkes af den aftale.

8.5 Produktet giver den dataansvarlige direkte adgang til selv at hente, rette og slette oplysninger om en opgave, en kunde eller en medarbejder, så en anmodning i de fleste tilfælde kan opfyldes uden databehandlerens medvirken.

9. Underretning om brud på persondatasikkerheden

9.1 Databehandleren underretter den dataansvarlige uden unødig forsinkelse, efter at databehandleren er blevet bekendt med et brud på persondatasikkerheden, og senest 48 timer efter, at databehandleren er blevet bekendt med det.

9.2 Underretningen sker på mail til den kontaktadresse, den dataansvarlige har oplyst i produktet, og til firmaets ejer. Underretningen sendes, selv om oplysningerne endnu er ufuldstændige, og suppleres derefter.

9.3 Underretningen beskriver så vidt muligt:

• hvad der er sket, og hvornår det skete og blev opdaget
• hvilke kategorier af registrerede og oplysninger der er berørt, og et omtrentligt antal
• de sandsynlige konsekvenser af bruddet
• hvad der er gjort eller foreslås gjort for at afhjælpe bruddet og begrænse skaderne
• kontaktoplysninger på den, der kan svare, og hvornår næste opdatering kommer

9.4 Databehandleren bistår den dataansvarliges vurdering af, om bruddet skal anmeldes til Datatilsynet inden for de 72 timer, artikel 33 giver den dataansvarlige, og af om de registrerede skal underrettes. Databehandleren anmelder ikke på den dataansvarliges vegne.

9.5 Databehandleren dokumenterer hændelsen, herunder de faktiske omstændigheder, virkningerne og de afhjælpende foranstaltninger, og stiller dokumentationen til rådighed for den dataansvarlige.

10. Sletning og returnering af oplysninger

10.1 Under aftalens løbetid sletter databehandleren oplysningerne efter de frister, der er beskrevet i bilag C, afsnittet om opbevaring, og som den dataansvarlige selv vælger for billeder.

10.2 Ved aftalens ophør gælder følgende, medmindre den dataansvarlige instruerer noget andet inden for det, der er lovligt:

• 30 dage med skrivebeskyttet adgang i produktet, hvor den dataansvarlige selv kan hente sine oplysninger
• derefter sletning af billeder inden 7 dage
• udfasning af backupkopier senest 35 dage efter den primære sletning
• PDF-rapporter følger deres egen frist på 5 år fra godkendelsen og slettes ikke automatisk, blot fordi aftalen ophører. I den resterende del af de 5 år kan den dataansvarlige få rapporterne udleveret ved at skrive til support@rentjek.dk. Ønsker den dataansvarlige dem slettet tidligere, gennemføres det på anmodning

10.3 Den dataansvarlige kan til enhver tid instruere en tidligere sletning af billeder eller rapporter, i det omfang det er lovligt.

10.4 Databehandleren bekræfter skriftligt på anmodning, at sletningen er gennemført.

10.5 En sletning efterlader et spor uden indhold: billedet står som slettet med tidspunkt, og opgavens historik får en linje om, at billederne henholdsvis rapporten blev slettet. Sporet findes for at kunne bekræfte en sletning, og det indeholder ingen personoplysninger fra det slettede materiale.

10.6 Gendannes en backup, anvendes sletteoversigten igen, inden oplysningerne bliver tilgængelige, så et materiale, der var slettet, ikke kommer tilbage.

11. Revision, herunder inspektion

11.1 Databehandleren stiller på anmodning de oplysninger til rådighed, der er nødvendige for, at den dataansvarlige kan påvise overholdelsen af denne aftale og af forordningens artikel 28. Denne aftale med bilag, en beskrivelse af de faktiske foranstaltninger og leverandørernes egne erklæringer og databehandleraftaler udgør den dokumentation, databehandleren har.

11.2 Databehandleren giver den dataansvarlige og en af den dataansvarlige bemyndiget uafhængig revisor mulighed for at foretage revision, herunder inspektion, af behandlingen. Omfang og tidspunkt aftales med et rimeligt varsel og tilrettelægges ud fra risikoen og under hensyn til andre kunders fortrolighed. Efter et brud på persondatasikkerheden kan en nødvendig kontrol ikke afvises med henvisning til varsel eller tilrettelæggelse.

11.3 En revision efter punkt 11.2 gennemføres højst én gang årligt, medmindre der er en konkret anledning. Den dataansvarlige bærer sine egne omkostninger, og databehandleren kan kræve betaling for medgået tid ud over det, der kan klares med den dokumentation, punkt 11.1 nævner.

11.4 Databehandleren har ikke en ISAE 3402-, ISAE 3000- eller ISO 27001-erklæring. Det oplyses her, fordi et manglende certifikat ikke må forveksles med et opnået. Leverandørerne i bilag B har deres egne erklæringer, og databehandleren henviser til dem, hvor de er relevante.

11.5 Databehandleren samarbejder med Datatilsynet og andre kompetente tilsynsmyndigheder og giver de oplysninger, en myndighed anmoder om.

12. Parternes aftaler med andre parter

12.1 Denne aftale er ikke til hinder for, at parterne har indgået andre aftaler, herunder handelsbetingelserne for RenTjek, i det omfang de ikke strider mod denne aftale eller mod databeskyttelsesreglerne.

12.2 Ved uoverensstemmelse mellem denne aftale og handelsbetingelserne om behandling af personoplysninger gælder denne aftale.

12.3 Ansvaret mellem parterne for et krav fra en registreret eller en bøde fra en tilsynsmyndighed følger forordningens artikel 82 og bæres af den part, der efter reglerne er ansvarlig for forholdet. Ansvarsbegrænsningen i handelsbetingelsernes afsnit 14 ændrer ikke den fordeling.

13. Ikrafttræden og ophør

13.1 Aftalen træder i kraft, når den dataansvarliges ejer accepterer den i produktet, og inden der behandles en enkelt personoplysning. Produktet nægter at oprette kunder, adresser, opgaver og billeder, indtil accepten er givet.

13.2 Om accepten registreres: aftaletypen, den accepterede udgave, tidspunktet og hvilken brugerkonto der trykkede. IP-adresse og browseroplysninger registreres bevidst ikke, fordi de ville være yderligere personoplysninger om ejeren, indsamlet for at dokumentere noget, de tre registrerede felter allerede dokumenterer. Slettes brugerkontoen senere, bliver accepten stående uden brugerhenvisning: det er virksomhedens aftale, ikke personens.

13.3 Aftalen er gældende, så længe behandlingen består. Uanset handelsbetingelsernes ophør forbliver denne aftale gældende, indtil behandlingen ophører og oplysningerne er slettet efter punkt 10.

13.4 Denne udgave er version 2026-09-10b og gælder fra 10. september 2026. Den erstatter version 2026-09-10.

13.5 Skrives aftalen om, får den en ny udgavebetegnelse, og den dataansvarlige skal acceptere den nye udgave, før der igen kan oprettes kunder, adresser, opgaver og billeder. En accept af en tidligere udgave tæller ikke. Alt, der allerede ligger i firmaets konto, kan fortsat læses, hentes og afleveres. En ændring af underdatabehandlere følger uændret de 30 dages varsel i punkt 6.3; et udgaveskifte erstatter ikke det varsel.

13.6 Accepten kan alene gives af firmaets ejer og alene for firmaets eget vedkommende. Databehandleren kan se, om og hvornår accepten er givet, men kan ikke give den på den dataansvarliges vegne.

14. Kontaktpersoner

14.1 Databehandlerens kontakt for spørgsmål om denne aftale, om rettighedsanmodninger og om brud på persondatasikkerheden: kontakt@rentjek.dk. Sager om drift og support: support@rentjek.dk.

14.2 Den dataansvarliges kontakt er den mailadresse og den ejer, der er registreret på firmaet i produktet. Den dataansvarlige holder oplysningen opdateret, fordi en underretning efter punkt 9 sendes dertil.

14.3 Databehandleren har ikke pligt til at udpege en databeskyttelsesrådgiver efter forordningens artikel 37 og har ikke udpeget en frivilligt.

Bilag A. Oplysninger om behandlingen

A.1 Behandlingens genstand

Databehandleren driver webtjenesten RenTjek, hvor den dataansvarlige dokumenterer udført rengøring med billeder, tjeklister og en rapport, som deles med den dataansvarliges egen kunde.

A.2 Behandlingens varighed

Behandlingen løber, så længe den dataansvarlige har et aktivt abonnement eller en aktiv prøveperiode, og derefter i den afviklingsperiode, der er beskrevet i punkt 10.

A.3 Formål

• at oprette og planlægge rengøringsopgaver med kunde og adresse
• at modtage, sanere, opbevare og vise før- og efterbilleder af det udførte arbejde
• at registrere en tjekliste og eventuelle afvigelser
• at danne en låst rapport som PDF, når ejeren godkender opgaven
• at dele rapporten med en navngiven kundekontakt gennem en adgangsbeskyttet kundeportal
• at administrere brugere, adgange og firmaets egne indstillinger
• at slette oplysningerne efter de aftalte frister

A.4 Behandlingens karakter

Indsamling, registrering, organisering, opbevaring, tilpasning i form af nedskalering og fjernelse af metadata, søgning, visning, videregivelse ved deling efter ejerens valg, begrænsning og sletning.

A.5 Kategorier af registrerede

A.6 Kategorier af personoplysninger

A.7 Følsomme oplysninger

Behandling af de særlige kategorier af oplysninger i forordningens artikel 9 og af oplysninger om strafbare forhold efter artikel 10 er ikke tiltænkt og er ikke en del af tjenestens formål. Et billede fra et privat hjem kan utilsigtet vise noget, der afslører helbred, religion eller andre følsomme forhold. Den dataansvarlige skal minimere det efter handelsbetingelsernes punkt 9.3 og håndtere en nødvendig undtagelse særskilt med databehandleren, inden den behandling begynder. Der behandles ikke CPR-numre i tjenesten.

A.8 Behandlingens lokalitet

Irland (eu-west-1) og Dublin, se bilag B. Databehandlerens egen driftsadgang sker fra Danmark.

Bilag B. Underdatabehandlere

Den dataansvarlige giver ved accepten en generel godkendelse af de leverandører, der er anført her. Ændringer varsles mindst 30 dage før adgang, se punkt 6.3.

B.1 Resend i drift

Resend er slået til fra 11. september 2026. Domænet rentjek.dk er verificeret hos Resend i regionen eu-west-1 (Irland) med DKIM, SPF og en CNAME hos Dandomain. Supabase Auth i produktion sender login-koder gennem Resend via custom SMTP i stedet for Supabases egen mailtjeneste, og RenTjeks egne invitationsmails, velkomstmails og varsler sendes direkte fra appen via Resends API. DPA/SCC-bilaget med Resend er endnu ikke hentet og arkiveret, det er en åben opgave for den dataansvarlige på linje med de øvrige leverandører i tabellen.

B.2 Hvad der ikke bruges

Der er ingen analyseværktøjer, ingen annonceringsværktøjer, ingen fejlrapporteringstjeneste hos tredjemand og ingen AI-tjeneste i produktet. Billeder og rapporter sendes ikke til nogen anden leverandør end de to, der opbevarer og viser dem. Der er ikke en separat backupleverandør, se bilag C.

Bilag C. Sikkerhedsforanstaltninger

Foranstaltningerne herunder er i drift. Bilaget beskriver ikke en hensigt, og et punkt, der endnu ikke er bygget, står i afsnit C.7.

C.1 Adskillelse af den enkelte virksomheds data

• Row Level Security er slået til på hver tabel, og hver forespørgsel kontrolleres på serveren mod den indloggede brugers eget firma. En bruger fra et firma kan ikke læse, ændre eller slette et andet firmas oplysninger.
• Adgangskontrollen ligger i databasen, ikke i brugerfladen. En skjult knap er ikke en autorisation, og et kald, der ikke kom fra en knap, afvises på samme måde.
• Databasens interne skema er ikke eksponeret i det offentlige API, og nye tabeller får ingen adgang, før den er givet eksplicit.
• Tjenestens administrative nøgle findes alene på serveren og udleveres aldrig til en browser eller til en app.

C.2 Filer og billeder

• Alle filer ligger i private lagre. Der findes ikke et offentligt link til et billede eller til en rapport.
• En fil hentes gennem serveren, som først kontrollerer, at den, der spørger, må se netop den fil.
• EXIF, GPS og XMP fjernes fra hvert billede, inden det gemmes. Billedet afkodes og kodes om, så alt, der ikke er billedpunkter, ikke længere findes i filen. Orienteringen anvendes på billedet, og resultatet kontrolleres bagefter: sidder der stadig metadata, afvises billedet.
• Filtypen kontrolleres på filens faktiske indhold og ikke på navnet. HTML-filer, SVG-filer og programfiler afvises.
• Der er ingen positionssporing af medarbejdere og ingen automatisk bedømmelse af rengøringskvalitet.

C.3 Login og adgang

• Login sker med en engangskode på mail. Der findes ikke en adgangskode, der kan genbruges et andet sted eller lækkes fra en anden tjeneste.
• Sessioner kan tilbagekaldes, og en fjernet medarbejder mister adgangen til firmaets opgaver.
• En invitation er et engangstoken med 256 tilfældige bit. Tokenet alene giver ingen adgang: indløsningen kræver et login som netop den bekræftede mailadresse. En genudsendelse roterer tokenet, og adgangen fra en invitation udløber som standard efter 7 dage.
• Adgangsinformation til en bolig ses kun af ejeren og af den medarbejder, opgaven er tildelt. Den kommer aldrig med i rapporten, i PDF-filen eller i kundeportalen.
• Afsendelsen af mails har et loft pr. modtager og pr. firma, så en send-igen-knap ikke kan bruges til at fylde en fremmed postkasse.

C.4 Kryptering

• Al trafik til og fra tjenesten kører krypteret over HTTPS.
• Oplysningerne er krypteret, når de ligger stille, som en del af Supabases og Vercels standardopsætning for lagring.
• Databehandleren har ikke en selvstændig krypteringsnøgle for kundens data ud over leverandørernes egen kryptering. Det oplyses her, fordi en påstand om egen nøglestyring ikke ville være rigtig.

C.5 Logning og sporbarhed

• Adgang til databasen og til API'et logges hos Supabase, og webproduktets forespørgsler logges hos Vercel.
• Logs indeholder ikke indhold. En fejl logges som art og årsag, aldrig som modtagerens mailadresse, et token, en rapportadresse eller et billede.
• Opgavens egen historik viser, hvem der oprettede, afleverede og godkendte, og hvornår billeder eller rapport blev slettet.
• Rapporten er låst efter godkendelsen. En ændring kræver en ny version, og den gamle består.

C.6 Opbevaring, sletning og backup

• Billeder, originaler og miniaturer: den dataansvarlige vælger 30, 90, 180 eller 365 dage regnet fra afleveringen. Standardfristen er 365 dage. Sletningen udføres automatisk af en serverkørsel én gang i døgnet og kræver ikke en anmodning pr. opgave. Et skift af frist virker også for materiale, der allerede ligger der, både opad og nedad.
• PDF-rapporten inklusive de miniaturer, den indeholder: 5 år fra godkendelsen, uafhængigt af den valgte fotofrist.
• Billeder på en opgave, der aldrig blev afleveret og godkendt, har ingen frist og slettes ikke af den daglige kørsel. Det er en bevidst asymmetri: en medarbejder midt i en opgave må ikke få billederne revet væk. Åbne opgaver uden aktivitet er dækket af en særskilt regel, se afsnit C.7.
• Sletningen fjerner filen fra lageret, før rækken i databasen fjernes, så der ikke kan blive en fil tilbage, som intet peger på.
• Databasebackup: daglig fysisk backup hos Supabase med syv dages historik. Point-in-Time Recovery er ikke tilkøbt.
• Backup af filer: Supabases databasebackup omfatter ikke billeder og PDF-filer i lageret. En separat kopi af filerne findes ikke, se afsnit C.7.
• Backupkopier udfases senest 35 dage efter den primære sletning.
• Sikkerhedslogs opbevares 30 dage. Kontooplysninger slettes normalt senest 30 dage efter aftalens ophør.

C.7 Endnu ikke i drift

Disse punkter er besluttet, men ikke bygget. De står her, så den dataansvarlige kan tage dem med i sin egen risikovurdering, frem for at læse et bilag, der lover mere, end der findes.

• Varsel til ejeren før en automatisk sletning af billeder eller rapporter, 14 og 3 dage før. Sletningen kører, varslet gør ikke.
• En separat kopi af filerne i lageret, altså billeder og PDF-rapporter, ud over Supabases egen lagring. Databasebackuppen dækker dem ikke. En sletning hos leverandøren eller en fejl i lageret kan derfor betyde et tab af filer, som ikke kan gendannes fra en kopi.
• Reglen om åbne opgaver uden aktivitet, varsel efter 180 dage og sletning 30 dage senere, er beskrevet men ikke bygget.
• En dokumenteret genoprettelsesøvelse med et fast interval. En restore er ikke prøvet i produktion.
• En erklæring fra en uafhængig revisor om databehandlerens egne foranstaltninger, se punkt 11.4.

C.8 Organisatoriske foranstaltninger

• Databehandlerens driftsadgang er begrænset til ejeren, se punkt 4.2, og beskyttet med totrinsbekræftelse hos hver leverandør.
• Nøgler og adgangskoder til leverandørerne opbevares i en nøglering på databehandlerens egen maskine og ligger aldrig i kildekoden eller i et versionsstyringssystem.
• Ændringer i databasen sker gennem versionsstyrede migrationer, som er gennemgået og prøvet med automatiske tests, inden de kommer i drift.
• Adgangen til produktionsmiljøet gennemgås, når en person eller en leverandør kommer til eller falder væk.
• Udvikling og test sker mod syntetiske data. Virkelige kundebilleder bruges ikke i udvikling, i tests eller i fejlrapporter.

Bilag D. Instruks

D.1 Instruksens form

Den dataansvarliges instruks gives gennem produktet. De valg, den dataansvarlige foretager, er instruksen, og databehandleren behandler ikke personoplysninger ud over det, de valg medfører:

D.2 Behandling uden en handling fra den dataansvarlige

Databehandleren udfører ud over ovenstående alene den behandling, der er nødvendig for at drive tjenesten:

• den daglige sletning efter de valgte frister
• afsendelse af login-koder, invitationer og velkomstmail
• opbevaring af tekniske logs uden indhold til sikkerhed og fejlsøgning
• opbevaring af faktureringsoplysninger til brug for abonnementet
• backup af databasen hos Supabase

D.3 En ændring af instruksen

En instruks ud over det, produktet selv giver mulighed for, gives skriftligt til kontakt@rentjek.dk fra firmaets ejer. Databehandleren bekræfter, om instruksen kan udføres, og oplyser efter punkt 3.4, hvis den efter databehandlerens vurdering strider mod databeskyttelsesreglerne.

D.4 Ingen instruks om tredjelandsoverførsel

Den dataansvarlige har ikke instrueret en overførsel af personoplysninger til et tredjeland. Bilag B beskriver de faktiske forhold, herunder hvor en leverandørs support kan give adgang uden for EU, og på hvilket grundlag.