Databehandleraftale

Aftalen indgås mellem den virksomhed eller selvstændige erhvervsdrivende, der abonnerer på FlowDule (“den dataansvarlige”), og FlowDule ApS (“databehandleren”). Den er en integreret del af kundens aftale om FlowDule og gælder fra den dokumenterede accept eller den senere ikrafttrædelsesdato, der fremgår af den udgivne version.

Kun en person, der er dokumenteret bemyndiget til at forpligte den dataansvarlige, må acceptere aftalen og bilagene. FlowDule registrerer mindst kunde, acceptant, bemyndigelse, versioner, dokumenthash, metode og tidspunkt. Materielle ændringer varsles efter punkt 16 og kan accepteres aktivt i platformen eller ved fortsat brug efter ikrafttrædelsen.

Aftalen regulerer alene FlowDules behandling på den dataansvarliges vegne. FlowDules behandling til egne aftale-, fakturerings-, brugeradministrations-, support-, sikkerheds- og lovpligtige formål er beskrevet i FlowDules privatlivspolitik og falder uden for denne aftale.

FlowDule stiller en multi-tenant SaaS-platform til rådighed med de moduler, den dataansvarlige vælger, eksempelvis booking, klientadministration, journal og dokumentation, kommunikation, betaling, webshop/event, rapportering og AI-assistance, som er en del af journalmodulet og kan slås fra for kæden efter anmodning.

Behandlingen varer, mens FlowDule leverer tjenesten, samt i den kontrollerede eksport-, tilbageleverings-, slette- og backupperiode efter ophør. Formål, moduler, registrerede, datakategorier, behandlingssteder og retention fastlægges af kædens indstillinger i platformen.

Behandlingen kan omfatte indsamling, registrering, strukturering, opbevaring, søgning, visning, tilpasning, transmission efter instruks, begrænsning, eksport og sletning. Formålet er alene at levere, sikre, vedligeholde og supportere de funktioner, som den dataansvarlige har bestilt og instrueret om.

FlowDule må ikke anvende kundens klient- eller journaldata til markedsføring, generel produktanalyse, modeltræning eller andre egne sekundære formål. Driftstelemetri må kun anvendes til FlowDules egne sikkerheds- og driftsformål, når den ikke indebærer genbrug af kundens indhold og behandlingen har selvstændigt lovligt grundlag.

Den endelige afgrænsning følger kædens egne indstillinger i platformen: aktiverede moduler og AI-funktionerne i dem, opbevaringsregler og landeprofil. Indstillingerne er tilgængelige for kunden i kædens indstillinger og udgør sammen med denne aftale kundens dokumenterede instruks. Kunden må ikke aktivere en kategori eller registreretgruppe, som ikke er omfattet af den accepterede instruks.

FlowDule behandler alene personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder ved overførsel til tredjelande. Instruksen består af denne aftale, kædens indstillinger i platformen på ethvert tidspunkt og efterfølgende skriftlige anvisninger, som FlowDule har accepteret. Kunden ændrer sin instruks ved at ændre indstillingerne; ændringen registreres med tidspunkt og bruger.

• Hvis EU-ret eller dansk ret kræver en behandling uden for instruksen, underretter FlowDule kunden om kravet før behandlingen, medmindre loven forbyder underretning af væsentlige samfundshensyn.
• FlowDule underretter straks kunden, hvis en instruks efter FlowDules vurdering strider mod GDPR eller anden databeskyttelsesret, og kan sætte den berørte handling i bero, mens parterne afklarer forholdet.
• Nye moduler, AI-use cases, datakategorier, regioner eller formål er ikke automatisk omfattet. De kræver opdateret instruks og, når ændringen er materiel, ny accept.

Den dataansvarlige bestemmer formål og væsentlige midler og er ansvarlig for, at instruksen og behandlingen er lovlig. Det omfatter blandt andet behandlingsgrundlag efter artikel 6 og 9, nationale hjemler, oplysningspligt, rettigheder, faglige journal- og opbevaringskrav, brugerstyring og eventuelle samtykker.

Kunden skal vælge korrekt faglig profil. En selvstændig psykoterapeut er ikke alene på grund af titlen omfattet af de journalregler, der gælder for autoriserede sundhedspersoner. Hvis kunden er autoriseret sundhedsperson eller omfattet af særregler, skal den relevante profil og retention dokumenteres før produktion.

FlowDule sikrer, at personer med adgang til personoplysninger er underlagt passende fortrolighed og kun behandler dem efter instruks. Adgang tildeles efter arbejdsbetinget behov, mindste privilegium og personlig identitet og revurderes regelmæssigt.

Supportadgang til kundens indhold kræver en konkret sag eller anden dokumenteret nødvendighed, passende godkendelse og logning. Nødadgang skal være tidsbegrænset, efterkontrolleres og lukkes straks efter behovets ophør.

FlowDule gennemfører og vedligeholder passende tekniske og organisatoriske foranstaltninger efter artikel 32 under hensyn til behandlingens karakter, omfang, sammenhæng, formål og risiko. De bindende foranstaltninger fremgår af det versions- og hashbundne TOMS-bilag, der accepteres sammen med denne aftale.

• adgangskontrol, autentifikation, rolle- og privilegiumstyring samt logning og efterkontrol
• kryptering under transport og, hvor relevant, i hvile, nøgle- og hemmelighedshåndtering samt miljøadskillelse
• sårbarheds-, ændrings-, patch- og leverandørstyring
• backup, gendannelse, kontinuitet, sletning og dokumenterede kontroller
• hændelsesberedskab og regelmæssig afprøvning og vurdering af foranstaltningernes effektivitet

Interne mål for backup, RPO, RTO eller svartider er ikke kundegarantier, medmindre de er udtrykkeligt optaget i et accepteret SLA. TOMS-bilaget beskriver de foranstaltninger, der anvendes i produktionen.

Under hensyn til behandlingens karakter og de oplysninger, FlowDule råder over, bistår FlowDule kunden med at opfylde forpligtelserne efter artikel 12-23 og artikel 32-36.

• Registreredes rettigheder: søgning, adgang, eksport, berigtigelse, begrænsning og sletning, hvor platformen og loven tillader det. FlowDule svarer ikke den registrerede direkte uden kundens instruks.
• Sikkerhed og brud: relevante tekniske oplysninger, hændelsesdata og afhjælpning efter punkt 11.
• Konsekvensanalyse og forudgående høring: produkt-, sikkerheds-, leverandør- og databehandlingsoplysninger, som kunden med rimelighed behøver. FlowDules produkt-DPIA erstatter ikke kundens egen vurdering.
• Myndighedsanmodninger: FlowDule underretter kunden, medmindre det er lovligt forbudt, og udleverer kun på gyldigt retligt grundlag og så snævert som muligt.

Almindelig, rimelig bistand er inkluderet. Uforholdsmæssigt omfattende særarbejde kan faktureres efter forudgående oplysning og accept, medmindre behovet skyldes FlowDules misligholdelse.

Kunden giver generel skriftlig tilladelse til de underdatabehandlere, der fremgår af den accepterede liste. Listen angiver mindst juridisk enhed, tjeneste/formål, datakategorier, behandlingslande, eventuelle tredjelandsoverførsler og grundlag.

FlowDule varsler en planlagt tilføjelse eller udskiftning mindst 30 dage før ikrafttræden. Kunden kan inden fristen gøre en sagligt begrundet databeskyttelsesindsigelse. Parterne søger en rimelig løsning; hvis ingen løsning findes, kan kunden opsige den berørte tjeneste fra ændringsdatoen og få ubrugt forudbetaling for den del forholdsmæssigt tilbage.

FlowDule indgår skriftlig aftale, som pålægger underdatabehandleren mindst de samme relevante databeskyttelsesforpligtelser, og FlowDule forbliver fuldt ansvarlig over for kunden for underdatabehandlerens opfyldelse af dem.

FlowDule underretter kunden uden unødig forsinkelse efter at være blevet bekendt med et brud, der vedrører kundens personoplysninger. Målet er første underretning senest 24 timer efter intern bekræftelse; dette mål begrænser ikke kravet om underretning uden unødig forsinkelse.

Underretningen gives trinvist, hvis nødvendigt, og indeholder så vidt muligt bruddets karakter, berørte kategorier og omtrentlige antal registrerede og registreringer, sandsynlige konsekvenser, trufne eller foreslåede foranstaltninger samt kontaktpunkt. FlowDule dokumenterer hændelsen og samarbejder om begrænsning og undersøgelse.

Kunden træffer som dataansvarlig beslutning om anmeldelse til Datatilsynet og underretning af registrerede. FlowDule foretager ikke anmeldelsen på kundens vegne uden udtrykkelig skriftlig instruks.

Behandlingen sker som udgangspunkt i EU/EØS i de regioner, der fremgår af underdatabehandlerlisten. Fjernadgang fra et tredjeland er også en overførsel og skal være omfattet af instruksen.

Enhver overførsel uden tilstrækkelighedsafgørelse kræver et gyldigt grundlag efter GDPR kapitel V, normalt EU-Kommissionens gældende standardkontraktbestemmelser, samt dokumenteret transfer impact assessment og nødvendige supplerende foranstaltninger. FlowDule sikrer for hver overførsel et gyldigt overførselsgrundlag, der dækker den faktiske leverandør-, support- og adgangskæde.

Modtager FlowDule eller en underdatabehandler en myndighedsanmodning, prøves gyldighed og omfang, kunden underrettes når lovligt, og der udleveres kun det nødvendige. FlowDule dokumenterer anmodningen og bestrider uforholdsmæssige eller ulovlige krav, når der er rimeligt grundlag.

FlowDule stiller alle oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28, og giver mulighed for og bidrager til audit, herunder inspektion, udført af kunden eller en af kunden bemyndiget uafhængig revisor.

Kontrol gennemføres risikobaseret og begynder normalt med opdateret TOMS, leverandør- og kontrolmateriale, testresultater samt relevante uafhængige erklæringer. Kunden kan gennemføre yderligere audit én gang årligt og desuden efter et brud, et myndighedskrav eller dokumenteret konkret mistanke om væsentlig manglende efterlevelse.

Audit varsles normalt mindst 30 dage, afgrænses til kundens behandling og gennemføres uden adgang til andre kunders data, credentials eller detaljer, der skaber ny sikkerhedsrisiko. Kunden bærer rimelige særskilte omkostninger, medmindre audit viser væsentlig misligholdelse fra FlowDule. Begrænsningerne må ikke hindre en nødvendig audit eller kompetent myndigheds beføjelser.

Ved ophør sletter eller tilbageleverer FlowDule efter kundens valg alle personoplysninger og eksisterende kopier, medmindre EU-ret eller dansk ret kræver opbevaring. Kundens valg og eventuelle undtagelser dokumenteres.

• Kunden kan eksportere under aftalen og i mindst 30 kalenderdage efter den aftalte overgangsperiode. Formater, datakategorier, relationer og metadata følger Handelsbetingelserne og den gældende eksportbeskrivelse.
• Efter udtræksperioden slettes produktionsdata kontrolleret. FlowDule udsteder en slettekvittering med kunde, instruks/version, kategorier, tidspunkt, ansvarlig, backupudløb og eventuelle lovlige undtagelser - uden det slettede indhold.
• Backupkopier slettes ved dokumenteret rotation (30 dage). Indtil udløb er de isoleret og underlagt samme beskyttelse og må ikke genindføres i almindelig drift. Ved restore genanvendes sletteledger og gyldige legal holds før miljøet åbnes.
• FlowDules bogføringspligt kan omfatte egne faktura- og regnskabsdata, men giver ikke i sig selv grundlag for at bevare kundens klient- eller journaldata.

AI-funktionerne i journalen er en del af journalmodulet og er tilgængelige for kæder, der har slået journalmodulet til, og for kædens brugere efter deres rolle; der er ikke et særskilt aktiveringstrin for hver enkelt AI-funktion. FlowDule slår AI fra for kæden efter anmodning med de undtagelser, der fremgår af AI-informationen. De fleste AI-resultater er udkast, som en kompetent bruger aktivt skal kontrollere før lagring, kommunikation eller faglig anvendelse. Nogle resultater godkendes ikke enkeltvis: den automatiske notatfeedback til behandleren, maskinoversættelsen af delt indhold for klienten og oversættelsen af supportsager og platformmeddelelser. Resumé, nøgleord og næste skridt skrives på notatet, når behandleren har bedt om dem; behandleren skal læse dem og kan rette eller fjerne dem.

AI må ikke træffe selvstændig diagnose, triage, behandlingsbeslutning, adgangsafgørelse eller anden automatiseret individuel afgørelse. Kundens klient- og journaldata må ikke bruges til træning af generelle modeller. FlowDule skal kunne dokumentere leverandørvilkår, dataflow, retention og sletning før produktionsaktivering.

FlowDule kan foreslå ændringer ved lov-, sikkerheds- eller produktændringer. En ændring må ikke ensidigt udvide formål, datakategorier, AI-use cases, regioner eller overførsler eller sænke beskyttelsesniveauet. Materielle ændringer varsles mindst 30 dage før ikrafttræden. Den dataansvarlige kan acceptere ændringen i platformen inden datoen eller gøre indsigelse. Anvender den dataansvarlige fortsat platformen efter datoen, betragtes det som accept af den nye version, og accepten registreres med version, dokumenthash og varslingstidspunkt. Ønsker den dataansvarlige ikke at være bundet, kan de berørte dele af aftalen opsiges med virkning fra det tidspunkt, ændringen ville træde i kraft.

En senere instruks har kun forrang inden for sit udtrykkelige omfang og må ikke pålægge FlowDule at handle ulovligt. Ved konflikt om persondatabehandling går denne aftale og bilagene forud for handelsbetingelserne.

Parternes ansvar følger GDPR artikel 82 og ufravigelig ret. Eventuelle aftaleretlige begrænsninger følger Handelsbetingelserne, men kan ikke begrænse registreredes eller myndigheders rettigheder eller fravige ansvar, der ikke lovligt kan begrænses.

Aftalen ophører, når FlowDule ikke længere behandler personoplysninger på kundens vegne, og alle tilbageleverings-, slette- og dokumentationsforpligtelser er opfyldt. Bestemmelser om fortrolighed, audit, ansvar og dokumentation består i det omfang, deres formål kræver det.

Aftalen er underlagt dansk ret. Værneting følger Handelsbetingelserne, uden at dette begrænser Datatilsynets eller andre kompetente myndigheders beføjelser.

Der udfyldes ikke et særskilt bilag pr. kunde. Kundens dokumenterede instruks er kædens egne indstillinger i platformen sammen med denne aftale, jf. punkt 4 og 5. Ændringer i indstillingerne registreres med tidspunkt og bruger. Tabellen viser, hvor de enkelte dele af instruksen fremgår.

Det accepterede TOMS-bilag identificeres med titel, version og dokumenthash i Bilag A. Bilaget udleveres til kunden ved accept af aftalen og kan til enhver tid rekvireres via privacy@flowdule.com. Den offentlige Sikkerhedsbeskrivelsen er kun informativ; ved uoverensstemmelse har det accepterede TOMS-bilag forrang.

Den accepterede offentlige underdatabehandlerliste identificeres med version og hash i Bilag A. FlowDule tager kun en underdatabehandler i brug til personoplysninger, når juridisk enhed, tjeneste, formål, datakategorier, behandlingsregion, supportadgang, databehandleraftale og overførselsgrundlag er på plads, og, ved overførsel til et land uden for EU og EØS, en overførselsvurdering (transfer impact assessment) med de supplerende foranstaltninger, der er nødvendige.