Databehandleraftale

Denne databehandleraftale ("DPA") er indgået i medfør af databeskyttelsesforordningens (GDPR) artikel 28, stk. 3, mellem dig som bruger af Accountiq ("den dataansvarlige") og Accountiq ApS, CVR — (indsæt) ("databehandleren"). Aftalen træder i kraft, når du opretter en konto, og gælder så længe du bruger tjenesten.

1. Behandlingens karakter og formål

Databehandleren behandler personoplysninger på vegne af den dataansvarlige med det formål at levere Accountiq (regnskab, fakturering, løn, bilagshåndtering m.v.).

2. Typer af personoplysninger

Almindelige oplysninger (navn, kontaktoplysninger, økonomiske oplysninger) samt — hvis lønmodulet bruges — CPR-numre og NemKonto-oplysninger på medarbejdere.

3. Kategorier af registrerede

Kunder, leverandører, medarbejdere og andre kontakter, som den dataansvarlige registrerer i Accountiq.

4. Databehandlerens forpligtelser

• Behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige.
• Sikrer fortrolighed hos alle medarbejdere med adgang.
• Træffer passende tekniske og organisatoriske foranstaltninger (TLS, kryptering at rest, adgangsstyring, logning, backup, separation pr. virksomhed).
• Bistår den dataansvarlige med at besvare anmodninger fra registrerede og med håndtering af brud.
• Underretter den dataansvarlige uden unødig forsinkelse og senest 72 timer efter at være blevet bekendt med et brud på persondatasikkerheden.

5. Underdatabehandlere

Den dataansvarlige giver hermed generel godkendelse til, at databehandleren anvender følgende underdatabehandlere. Listen kan ændres med 30 dages varsel pr. e-mail.

Underdatabehandler	Formål	Lokation
Supabase (Postgres)	Database	EU (Frankfurt)
Railway	Applikations-hosting	EU (Amsterdam)
SMTP-udbyder	E-mailudsendelse	EU
Groq	AI-assistance (ingen CPR/passwords sendes)	USA — Standardkontraktbestemmelser
Sentry	Fejlovervågning (PII filtreres)	EU/USA — SCC
Stripe	Kortbetaling (selvstændig dataansvarlig)	EU/USA — SCC

6. Sletning og tilbagelevering

Ved aftalens ophør sletter databehandleren alle personoplysninger inden 90 dage, medmindre EU-ret eller dansk ret foreskriver opbevaring (f.eks. bogføringslovens 5-årskrav). Den dataansvarlige kan inden sletning anmode om eksport af data i SAF-T XML og CSV.

7. Audit

Den dataansvarlige har ret til én årlig audit. Databehandleren stiller på anmodning sin seneste sikkerhedsdokumentation og pen-test-rapport til rådighed.

8. Lovvalg og værneting

Aftalen er undergivet dansk ret. Tvister afgøres ved Københavns Byret.

9. Kontakt

Spørgsmål rettes til kontakt@accountiq.dk.