Databehandleraftale

Aftale om behandling af personoplysninger i henhold til databeskyttelsesforordningen (GDPR) artikel 28, stk. 3.

Parterne

De to parter benævnes i det følgende hver for sig »parten« og samlet »parterne«. Den dataansvarlige benævnes tillige »kunden«, og databehandleren benævnes tillige »CARZILLA Fleet«.

Denne databehandleraftale er CARZILLA Fleets standardaftale og gælder for alle kunder, der lader CARZILLA Fleet oprette og administrere virksomhedens køretøjer i platformen. Aftalen indgås, når kunden accepterer den skriftligt eller elektronisk, herunder ved på skrift at give CARZILLA Fleet tilladelse til at oprette virksomhedens køretøjer, eller ved at acceptere vilkårene for brug af CARZILLA Fleet.

Har kunden og CARZILLA Fleet underskrevet en særskilt databehandleraftale, gælder den særskilte aftale i stedet for denne standardaftale.

1. Præambel og formål

1.1 Denne databehandleraftale (»aftalen«) fastlægger de rettigheder og forpligtelser, der gælder, når CARZILLA Fleet behandler personoplysninger på vegne af den dataansvarlige, jf. databeskyttelsesforordningens artikel 28, stk. 3.

1.2 Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige er at levere og drive flådestyringsplatformen CARZILLA Fleet, herunder biladministration og flådeoverblik, leasing- og kontraktstyring, servicebooking og værkstedskoordinering, skadeanmeldelse og forsikringsoplysninger, påmindelser om syn og udløb, brugerstyring og bilallokering, noter og dokumenter knyttet til køretøjerne samt de tilknyttede rådgivningsydelser om indkøb, leasing, service og udskiftning af køretøjer. CARZILLA Fleet behandler ikke GPS-, positions-, telematik- eller andre kørselsdata, jf. bilag A.

1.3 Aftalen er accessorisk til aftalen om brug af CARZILLA Fleet, uanset om den er indgået som abonnement, prøveperiode eller på anden måde, og gælder, så længe den dataansvarlige anvender CARZILLA Fleet. Ved uoverensstemmelse mellem denne aftale og vilkårene for brug af CARZILLA Fleet har denne aftale forrang for så vidt angår behandling af personoplysninger.

1.4 Til aftalen hører bilag A (oplysninger om behandlingen) og bilag B (godkendte underdatabehandlere). Bilagene udgør en integreret del af aftalen.

2. Den dataansvarliges forpligtelser og rettigheder

2.1 Den dataansvarlige er over for omverdenen ansvarlig for, at behandlingen af personoplysninger sker inden for rammerne af databeskyttelsesforordningen, databeskyttelsesloven og øvrig relevant lovgivning.

2.2 Den dataansvarlige har både rettighederne og pligterne til at træffe beslutning om, til hvilke formål og med hvilke hjælpemidler der må ske behandling, herunder hvilke oplysninger der lægges ind i platformen, og hvilke moduler der aktiveres.

2.3 Den dataansvarlige indestår for at have et gyldigt behandlingsgrundlag for de oplysninger, der behandles i platformen. Platformen indeholder ingen moduler eller integrationer, der indsamler positions-, kørsels- eller adfærdsdata om medarbejdere og førere. Skal sådanne funktioner tages i brug senere, kræver det en skriftlig tillægsaftale med opdateret bilag A, før behandlingen begynder.

2.4 Den dataansvarlige er ansvarlig for at have opfyldt sin oplysningspligt over for de registrerede, herunder egne medarbejdere og førere, og for at oplysningerne i platformen er relevante og begrænset til, hvad der er nødvendigt.

2.5 Den dataansvarlige er ansvarlig for at administrere egne brugere og adgange i platformen, herunder at lukke adgange for medarbejdere, der fratræder.

3. Databehandleren handler efter instruks

3.1 CARZILLA Fleet behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige. Denne aftale med bilag udgør den samlede instruks. Yderligere eller ændret instruks skal gives skriftligt.

3.2 CARZILLA Fleet underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens vurdering er i strid med databeskyttelsesforordningen eller anden databeskyttelseslovgivning.

3.3 CARZILLA Fleet sikrer fortrolighed om de personoplysninger, der behandles. Adgang gives kun til de medarbejdere, for hvem det er nødvendigt for at levere ydelsen, og disse er underlagt tavshedspligt, der også gælder efter ansættelsesforholdets ophør.

3.4 CARZILLA Fleet behandler ikke personoplysninger til egne formål ud over aggregerede og anonymiserede data, der ikke kan henføres til en fysisk person, og som anvendes til drift, fejlretning og videreudvikling af platformen.

4. Behandlingssikkerhed

4.1 CARZILLA Fleet træffer de tekniske og organisatoriske foranstaltninger, der er nødvendige for at sikre et sikkerhedsniveau, der passer til risikoen, jf. databeskyttelsesforordningens artikel 32. Vurderingen tager hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål.

4.2 Foranstaltningerne omfatter som minimum:

• kryptering af data under transmission (TLS) og kryptering af data i hvile
• rollebaseret adgangsstyring efter mindste-privilegie-princippet og krav om flerfaktorgodkendelse for administrative adgange
• logisk adskillelse af den enkelte kundes data fra andre kunders data
• logning af adgang til og ændringer i personoplysninger
• regelmæssig backup med afprøvet reetableringsprocedure
• sårbarhedsscanning og periodisk penetrationstest af platformen
• formaliseret change management og adskilte drifts- og testmiljøer
• løbende awareness-træning af medarbejdere i informationssikkerhed og databeskyttelse
• beredskabsplan og procedure for håndtering af sikkerhedshændelser

4.3 Noter og dokumenter, som den dataansvarliges brugere selv lægger i platformen, beskyttes med de samme foranstaltninger som platformens øvrige data. Den dataansvarlige sørger for, at noter og dokumenter ikke indeholder flere personoplysninger end nødvendigt, jf. punkt 2.4.

4.4 CARZILLA Fleet gennemfører løbende risikovurderinger af eget sikkerhedsniveau og justerer foranstaltningerne i takt med ændringer i trusselsbilledet.

5. Underdatabehandlere

5.1 CARZILLA Fleet har den dataansvarliges generelle godkendelse til at gøre brug af underdatabehandlere. De på tidspunktet for aftalens indgåelse godkendte underdatabehandlere fremgår af bilag B.

5.2 CARZILLA Fleet underretter den dataansvarlige mindst 30 dage før, en ny underdatabehandler tages i brug, eller en eksisterende udskiftes. Underretning sker pr. e-mail til den dataansvarliges kontaktperson eller via meddelelse i platformen. Ændringer hos underdatabehandlernes egne underdatabehandlere videreformidles uden unødig forsinkelse, når CARZILLA Fleet har modtaget varsel herom.

5.3 Den dataansvarlige kan gøre begrundet indsigelse mod ændringen inden 30 dage fra underretningen. Kan parterne ikke finde en løsning, er den dataansvarlige berettiget til at opsige brugen af CARZILLA Fleet med virkning fra det tidspunkt, hvor den nye underdatabehandler tages i brug.

5.4 CARZILLA Fleet indgår skriftlig aftale med enhver underdatabehandler og pålægger denne de samme databeskyttelsesforpligtelser, som følger af denne aftale. CARZILLA Fleet er over for den dataansvarlige fuldt ansvarlig for underdatabehandlerens opfyldelse af sine forpligtelser.

6. Overførsel til tredjelande

6.1 Den dataansvarliges applikationsdata, herunder backup, opbevares i datacentre inden for EU/EØS (AWS-region eu-north-1, Stockholm, Sverige). Trafik- og driftslogs, som indeholder IP-adresser, kan dog behandles uden for EU/EØS, og enkelte underdatabehandlere og disses underdatabehandlere er etableret uden for EU/EØS og kan få adgang til data i forbindelse med drift og support. Det udgør en overførsel til tredjeland og sker kun på et gyldigt overførselsgrundlag, herunder EU-Kommissionens standardkontraktbestemmelser (SCC), en tilstrækkelighedsafgørelse eller EU-U.S. Data Privacy Framework.

6.2 Ved overførsel på grundlag af standardkontraktbestemmelser gennemfører CARZILLA Fleet en vurdering af retstilstanden i modtagerlandet og implementerer de nødvendige supplerende foranstaltninger. Vurderingen (TIA) udleveres til den dataansvarlige på anmodning og opdateres ved væsentlige ændringer i behandlingskæden eller i retstilstanden i modtagerlandet.

6.3 Eventuelle overførsler til tredjelande og grundlaget herfor fremgår af bilag B, herunder behandlingssteder, supportlande og underdatabehandlernes egne underdatabehandlere.

7. Bistand til den dataansvarlige

7.1 CARZILLA Fleet bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige med opfyldelse af dennes forpligtelse til at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse.

7.2 CARZILLA Fleet bistår desuden den dataansvarlige med at sikre overholdelse af forpligtelserne i databeskyttelsesforordningens artikel 32 til 36, herunder behandlingssikkerhed, anmeldelse af brud, konsekvensanalyse og forudgående høring af tilsynsmyndigheden.

7.3 Bistand, der går ud over hvad der følger af platformens standardfunktionalitet, kan faktureres særskilt efter CARZILLA Fleets til enhver tid gældende timesatser. Den dataansvarlige orienteres om det forventede omfang, inden arbejdet påbegyndes.

8. Brud på persondatasikkerheden

8.1 CARZILLA Fleet underretter uden unødig forsinkelse og senest 24 timer efter at være blevet opmærksom på et brud på persondatasikkerheden den dataansvarlige herom.

8.2 Underretningen indeholder, i det omfang oplysningerne er tilgængelige, en beskrivelse af bruddets karakter, de berørte kategorier og det omtrentlige antal registrerede, de sandsynlige konsekvenser samt de foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet og begrænse skadevirkningerne.

8.3 Underretning sker til den kontaktperson, den dataansvarlige har oplyst over for CARZILLA Fleet, og til den dataansvarliges administratorbrugere i platformen. Den dataansvarlige er ansvarlig for at holde kontaktoplysningerne opdaterede i platformen.

8.4 Anmeldelse til Datatilsynet og eventuel underretning af de registrerede foretages af den dataansvarlige.

9. Sletning og tilbagelevering af oplysninger

9.1 Ved ophør af kundens brug af CARZILLA Fleet stiller CARZILLA Fleet den dataansvarliges data til rådighed for eksport i et almindeligt anvendt og maskinlæsbart format i 30 dage regnet fra ophørsdatoen.

9.2 Herefter sletter eller anonymiserer CARZILLA Fleet samtlige personoplysninger, der er behandlet på vegne af den dataansvarlige, senest 90 dage efter ophør, medmindre den dataansvarlige forinden skriftligt har anmodet om tilbagelevering i stedet for sletning.

9.3 Sletning omfatter også kopier hos underdatabehandlere. Data i backup slettes i takt med den almindelige backuprotation. Der tages daglig backup, og backups opbevares i 7 dage, hvorefter de overskrives. Personoplysninger i backup er derfor endeligt slettet senest 7 dage efter sletning i produktionsmiljøet.

9.4 CARZILLA Fleet kan opbevare personoplysninger i det omfang og så længe, det følger af EU-retten eller dansk ret, herunder bogføringsloven, eller er nødvendigt for at fastlægge, gøre gældende eller forsvare et retskrav.

10. Revision, tilsyn og dokumentation

10.1 CARZILLA Fleet stiller alle oplysninger, der er nødvendige for at påvise overholdelse af denne aftale og databeskyttelsesforordningens artikel 28, til rådighed for den dataansvarlige.

10.2 CARZILLA Fleet kan opfylde dokumentationskravet ved at fremlægge en revisionserklæring (ISAE 3000 eller tilsvarende) eller en gyldig ISO 27001-certificering udarbejdet af en uafhængig, kvalificeret tredjepart. Den dataansvarlige accepterer, at en sådan erklæring træder i stedet for egen inspektion.

10.3 Ønsker den dataansvarlige herudover at gennemføre fysisk inspektion, kan dette ske én gang årligt med mindst 30 dages skriftligt varsel, i normal arbejdstid og uden væsentlig forstyrrelse af driften. Den dataansvarlige afholder egne omkostninger, og CARZILLA Fleets medgåede tid faktureres særskilt.

10.4 Datatilsynet har til enhver tid adgang til de fysiske lokaliteter og til at få de oplysninger, der er nødvendige for tilsynets kontrol.

11. Ikrafttræden og ophør

11.1 Aftalen træder i kraft, når den dataansvarlige accepterer den, jf. indledningen, og senest når CARZILLA Fleet efter den dataansvarliges anmodning opretter den dataansvarliges køretøjer i platformen.

11.2 Aftalen gælder, så længe den dataansvarlige anvender CARZILLA Fleet, og kan ikke opsiges særskilt så længe behandlingen består.

11.3 Punkt 9 om sletning og tilbagelevering samt punkt 13 om ansvar gælder også efter aftalens ophør.

12. Ændringer i aftalen

12.1 CARZILLA Fleet kan ændre aftalen, hvis ændringen er nødvendig som følge af ændret lovgivning, praksis fra tilsynsmyndigheder eller ændringer i platformen. Væsentlige ændringer varsles mindst 30 dage før ikrafttræden pr. e-mail eller ved meddelelse i platformen.

12.2 Fortsat brug af platformen efter ændringens ikrafttræden anses som accept af ændringen. Kan den dataansvarlige ikke acceptere ændringen, kan brugen af CARZILLA Fleet opsiges med virkning fra ændringens ikrafttræden.

13. Ansvar

13.1 Parternes ansvar over for hinanden reguleres af ansvars- og erstatningsbestemmelserne i aftalen om brug af CARZILLA Fleet.

13.2 CARZILLA Fleet er ansvarlig for underdatabehandleres handlinger og undladelser i samme omfang som for egne forhold.

13.3 Ansvarsbegrænsninger gælder ikke ved forsæt eller grov uagtsomhed.

14. Lovvalg og værneting

14.1 Aftalen er underlagt dansk ret.

14.2 Enhver tvist, der udspringer af aftalen, og som ikke kan løses i mindelighed, afgøres ved Retten i Aarhus som første instans.

Bilag A Oplysninger om behandlingen

Bilaget beskriver formålet med, karakteren af og omfanget af den behandling, CARZILLA Fleet foretager på vegne af den dataansvarlige.

A.1 Formålet med behandlingen

Levering, drift, support og vedligeholdelse af flådestyringsplatformen CARZILLA Fleet, så den dataansvarlige kan administrere sine køretøjer, leasingaftaler, service, skader, fakturaer og brugere.

A.2 Behandlingens karakter

Indsamling, registrering, opbevaring, strukturering, ændring, søgning, sammenstilling, visning, videregivelse til den dataansvarliges valgte samarbejdspartnere (fx værksted, leasingselskab, forsikringsselskab), begrænsning og sletning.

A.3 Kategorier af registrerede

• den dataansvarliges medarbejdere, herunder brugere af platformen
• førere og brugere af den dataansvarliges køretøjer, herunder eventuelle medarbejderes familiemedlemmer ved fri bil
• kontaktpersoner hos den dataansvarlige og hos dennes samarbejdspartnere

A.4 Kategorier af personoplysninger

Kørekortoplysninger, oplysninger om færdselsforseelser, parkeringsafgifter og lignende oplysninger om strafbare forhold (artikel 10) behandles kun, hvis den dataansvarlige aktivt vælger at registrere dem i platformen, og den dataansvarlige indestår i så fald for behandlingsgrundlaget.

Der behandles ikke særlige kategorier af personoplysninger (artikel 9) som led i den almindelige brug af platformen.

Der behandles ikke GPS-, positions-, telematik- eller kørselsdata, og platformen har ingen integration til telematikudstyr i køretøjerne. Kilometerstand registreres manuelt af brugeren eller ved service.

A.5 Behandlingens varighed

Behandlingen er ikke tidsbegrænset og varer, indtil kundens brug af CARZILLA Fleet ophører. Herefter gælder sletningsfristerne i aftalens punkt 9.

Bilag B Godkendte underdatabehandlere

Den dataansvarlige har ved aftalens indgåelse godkendt nedenstående underdatabehandlere. Listen opdateres efter proceduren i aftalens punkt 5.

Applikationsdata, herunder oplysninger om køretøjer, brugere, leasing, service og dokumenter, og backup opbevares i Sverige. Behandling uden for EU/EØS kan ske i tre situationer: (1) Netlify behandler trafiklogs med IP-adresser i USA og i det globale CDN, (2) Supabase behandler drifts- og API-logs med IP-adresser på sin logplatform hos Google LLC, og (3) support- og driftsmedarbejdere hos Supabase arbejder efter et follow-the-sun-princip fra flere lande og kan ved fejlretning og drift få adgang til database og logdata. Adgangen er begrænset efter mindste-privilegie-princippet, kræver tofaktorgodkendelse, og alle handlinger på kundeprojekter logges. Data er krypteret under transmission (TLS 1.2 eller nyere) og i hvile (AES-256) med projektspecifikke nøgler, der er beskyttet i HSM'er.

CARZILLA Fleet anvender ikke ekstern e-mail- eller SMS-udbyder, eksternt supportsystem, ekstern fejllognings- eller betalingsservice eller ekstern telematikleverandør. Der anvendes ikke webanalyse, statistikværktøjer eller andre sporingsteknologier i det indloggede område af platformen. Tages sådanne tjenester i brug, opdateres dette bilag efter proceduren i aftalens punkt 5.

For overførsler til Supabase Pte. Ltd. (Singapore) og Supabase, Inc. (USA) har CARZILLA Fleet udarbejdet en vurdering af overførselsrisici (TIA) med udgangspunkt i Supabases egen TIA af 14. marts 2025. Overførsler til Netlify, Inc., Amazon Web Services, Inc. og Google LLC sker til virksomheder, der er certificeret under EU-U.S. Data Privacy Framework og dermed omfattet af Kommissionens tilstrækkelighedsafgørelse af 10. juli 2023. TIA udleveres til den dataansvarlige på anmodning.

Supabases øvrige underdatabehandlere fremgår af Supabases DPA, Schedule 3 (version 1. juni 2026), og Netlifys fremgår af netlify.com/legal/subprocessors. Heraf leverer Cloudflare, Inc., Fly.io, Inc., Upstash, Inc. og Vercel, Inc. hostingydelser, og Functional Software, Inc. (Sentry) leverer fejlovervågning. De kan i begrænset omfang behandle trafik- og fejldata. De øvrige på Supabases liste bruges til Supabases kommunikation med CARZILLA Fleet som kunde og modtager ikke den dataansvarliges data. CARZILLA Fleet deler ikke personoplysninger om den dataansvarliges registrerede i supporthenvendelser til underdatabehandlere, medmindre det er nødvendigt for at løse en konkret driftsfejl, og anvender ikke leverandørernes AI-assistenter på den dataansvarliges data.

Spørgsmål til denne aftale eller til CARZILLA Fleets behandling af personoplysninger rettes til Rasmus Vind, rasmus@carzilla.dk.