Databehandleraftale

Når Branthiq ApS behandler personoplysninger på vegne af en kunde, indgås en databehandleraftale i overensstemmelse med GDPR artikel 28. Denne side beskriver de generelle vilkår - en konkret aftale tilpasses og underskrives separat ved opgavestart.

Parter

• Dataansvarlig: Kunden (den virksomhed Branthiq leverer til).
• Databehandler: Branthiq ApS, CVR 45786943.

Genstand og varighed

Databehandlingen vedrører de personoplysninger, der er nødvendige for at levere de aftalte ydelser (udvikling, hosting, support, marketing m.v.). Aftalen gælder så længe, der leveres ydelser hvor personoplysninger behandles.

Databehandlerens forpligtelser

Branthiq:

• Behandler kun personoplysninger efter dokumenteret instruks fra dataansvarlig.
• Sikrer fortrolighed - kun medarbejdere med behov har adgang.
• Implementerer passende tekniske og organisatoriske foranstaltninger (jf. art. 32).
• Bistår dataansvarlig med at opfylde de registreredes rettigheder.
• Underretter dataansvarlig uden unødig forsinkelse ved et brud på persondatasikkerheden.
• Sletter eller tilbageleverer personoplysninger ved aftalens ophør.
• Stiller alle nødvendige oplysninger til rådighed for revisioner.

Underdatabehandlere

Branthiq anvender følgende underdatabehandlere. Kunden har ved aftaleindgåelsen accepteret disse, og ændringer varsles med 30 dages frist.

Leverandør	Formål	Lokation / overførselsgrundlag
Netlify, Inc.	Hosting, CDN, deploy	USA - EU-US Data Privacy Framework
Supabase Inc.	Database, auth, storage	EU (Frankfurt)
Google LLC	Analytics, Tag Manager (kun ved samtykke)	USA - EU-US Data Privacy Framework
Google LLC	Mail og dokumenter (Google Workspace)	USA - EU-US Data Privacy Framework
Resend Inc.	Transaktionsmails fra løsninger, vi driver for kunden	USA - EU-Kommissionens SCCs
GitHub, Inc.	Kildekode, deploy-pipeline (ingen kunde-personoplysninger)	USA - EU-US Data Privacy Framework

Sikkerhed (art. 32)

De tekniske og organisatoriske foranstaltninger bygger på de underdatabehandlere, der er nævnt i denne aftale, og på det, vi selv gør i de løsninger, vi bygger.

• Transport: Hjemmesiden og vores løsninger hos Netlify leveres over HTTPS med mindst TLS 1.2, og et kald på http sendes videre til https. Hjemmesiden beder desuden browseren om kun at bruge HTTPS i et år efter hvert besøg (HSTS, sat i vores egen opsætning hos Netlify). (Netlify: Security)
• Kryptering hos Supabase: Data hos Supabase er krypteret i hvile med AES-256 og under transport med TLS. (Supabase: Security)
• Adgangskoder: I løsninger, der bruger Supabase Auth, gemmes adgangskoder kun som hash (bcrypt), aldrig i klartekst. (Supabase: Password security)
• Sikkerhedskopier: Databaserne hos Supabase sikkerhedskopieres dagligt og kan gendannes op til 14 dage tilbage. (Supabase: Backups)
• Adskillelse af data: I de løsninger, vi bygger på Supabase, bruger vi Row Level Security, så en bruger kun kan se de rækker, reglerne giver adgang til. I vores egen database er det slået til på tabellen med IP-adresser fra kontaktformularen. (Supabase: Row Level Security)
• Kode: Koden til hjemmesiden og vores løsninger ligger i git hos GitHub, hvor det for hver ændring er registreret, hvem der står som forfatter, og hvornår, og hjemmesiden lægges ud derfra.

Brud på persondatasikkerheden

Ved et databrud underretter vi dataansvarlig uden unødig forsinkelse og senest inden 24 timer efter konstatering. Underretningen indeholder alle relevante oplysninger jf. GDPR art. 33.

Audit

Dataansvarlig kan en gang årligt anmode om revision/audit. Revisionen kan udføres af dataansvarlig eller en uafhængig tredjepart efter forudgående aftale. Branthiq bærer egne omkostninger; revisor bærer egne.

Sletning og tilbagelevering

Ved aftalens ophør sletter eller tilbageleverer Branthiq alle personoplysninger inden 30 dage, medmindre lovgivning kræver fortsat opbevaring (fx bogføring i 5 år).

Lovvalg

Aftalen er underlagt dansk ret. Tvister afgøres ved Retten på Frederiksberg.

Indgåelse af konkret DPA

Skriv til admin@branthiq.com for at få tilsendt vores konkrete DPA-skabelon til underskrift.