Databehandleraftale (DPA)

1. Parter og Formål

Denne databehandleraftale ('Aftalen') er indgået mellem den dataansvarlige ('Kunden'), som anvender Nordify-platformen, og Nordify ApS, CVR 45039856 ('Databehandleren').

Aftalen regulerer Databehandlerens behandling af personoplysninger på vegne af Kunden i forbindelse med levering af Nordifys tjenester, jf. GDPR Art. 28.

2. Behandlingens Art og Formål

Databehandleren behandler personoplysninger udelukkende med henblik på at levere platformens kerneydelser:

Behandling sker så længe kundeforholdet består, og slettes eller anonymiseres herefter i overensstemmelse med afsnit 9.

• Matching af transportopgaver mellem afsendere og vognmænd
• Ruteoptimering og logistikplanlægning
• Generering af CO₂-data og ESG-rapportering
• Kommunikation mellem parter i en transportopgave
• Fakturering og afregning af gebyrer

3. Kategorier af Registrerede og Personoplysninger

Registrerede personer omfatter:

Personoplysninger omfatter: navne, e-mail, telefonnumre, adresser, GPS-data (når aktiveret), virksomhedsoplysninger, køretøjsdata og dokumentation.

Der behandles ikke følsomme personoplysninger (jf. GDPR Art. 9) medmindre dette udtrykkeligt er aftalt skriftligt.

• Kundens medarbejdere og kontaktpersoner
• Chauffører og disponenter tilknyttet kundens virksomhed
• Modtagere og afsendere af gods

4. Databehandlerens Forpligtelser

Databehandleren forpligter sig til:

• Kun at behandle personoplysninger efter dokumenterede instruktioner fra den dataansvarlige
• At sikre, at medarbejdere med adgang til personoplysninger er underlagt fortrolighed
• At implementere passende tekniske og organisatoriske sikkerhedsforanstaltninger (jf. afsnit 7)
• At bistå den dataansvarlige med opfyldelse af registreredes rettigheder (GDPR Art. 15-22)
• At bistå med overholdelse af GDPR Art. 32-36 (sikkerhed, konsekvensanalyser, forudgående høring)
• At slette eller tilbagelevere alle personoplysninger ved ophør af aftalen
• At stille al nødvendig information til rådighed for revision og tilsyn

5. Underdatabehandlere

Databehandleren anvender følgende underdatabehandlere til levering af tjenesten:

Databehandleren må ikke engagere nye underdatabehandlere uden forudgående skriftligt varsel til den dataansvarlige med mindst 14 dages frist.

Den dataansvarlige kan gøre indsigelse mod en ny underdatabehandler. Kan parterne ikke nå enighed, kan den dataansvarlige opsige aftalen med 30 dages varsel.

• Supabase Inc. (USA) — Database og autentificering — EU SCC
• Vercel Inc. (USA) — Hosting og CDN — EU SCC
• Google LLC (USA) — Analytics og kortdata — EU SCC
• Resend Inc. (USA) — Transaktionelle e-mails — EU SCC

6. Overførsel til Tredjelande

Overførsel af personoplysninger til lande uden for EU/EØS sker kun, hvor det er nødvendigt for tjenestens drift, og kun med tilstrækkelige garantier:

• EU Standard Contractual Clauses (SCC) med alle underdatabehandlere
• Dataminimering — kun nødvendige data overføres
• Kryptering under transit og hvile
• Løbende vurdering af tredjelandes beskyttelsesniveau

7. Sikkerhedsforanstaltninger

Databehandleren implementerer følgende tekniske og organisatoriske foranstaltninger:

• TLS/SSL-kryptering af alle data under transit
• AES-256-kryptering af data i hvile
• Rollebaseret adgangskontrol (RBAC) med principle of least privilege
• Multi-faktor-autentificering for administrative konti
• Automatiserede sikkerhedskopier med kryptering
• Kontinuerlig overvågning og anomalidetektion
• Regelmæssige penetrationstest og sikkerhedsaudits
• Medarbejdertræning i datasikkerhed og GDPR

8. Databrud og Notifikation

Ved brud på persondatasikkerheden skal Databehandleren uden unødig forsinkelse — og senest inden 24 timer efter opdagelse — underrette den dataansvarlige.

Notifikationen skal indeholde:

Databehandleren bistår den dataansvarlige med notifikation til Datatilsynet (inden 72 timer jf. GDPR Art. 33) og til berørte registrerede (jf. GDPR Art. 34) efter behov.

• Beskrivelse af bruddet og de berørte kategorier af registrerede
• Estimeret antal berørte registrerede
• Sandsynlige konsekvenser
• Trufne og foreslåede foranstaltninger

9. Sletning og Tilbagelevering

Ved ophør af aftalen sletter Databehandleren alle personoplysninger inden 30 dage, medmindre lovgivning kræver opbevaring.

Den dataansvarlige kan anmode om eksport af data i et struktureret, maskinlæsbart format (CSV/JSON) inden sletning.

Databehandleren bekræfter skriftligt, at sletning er gennemført.

10. Revision og Tilsyn

Den dataansvarlige har ret til — med rimeligt varsel — at gennemføre eller lade gennemføre revisioner af Databehandlerens overholdelse af denne aftale.

Databehandleren stiller al nødvendig information og adgang til rådighed for revisionen.

Revisionen kan udføres af den dataansvarlige selv eller en uafhængig tredjepart, og må ikke forstyrre Databehandlerens daglige drift uforholdsmæssigt.

11. Ansvar og Erstatning

Databehandleren er ansvarlig for skader, der direkte skyldes manglende overholdelse af denne aftale eller GDPR.

Databehandlerens samlede erstatningsansvar under denne aftale er begrænset til det beløb, Kunden har betalt i gebyrer til Nordify i de 12 måneder forud for hændelsen.

Denne begrænsning gælder ikke ved forsætlig eller groft uagtsom adfærd.

12. Varighed og Opsigelse

Denne aftale træder i kraft ved Kundens accept af Nordifys TOS og gælder så længe Databehandleren behandler personoplysninger på vegne af Kunden.

Aftalen kan opsiges af begge parter med 30 dages skriftligt varsel. Ved opsigelse gælder afsnit 9 om sletning.

13. Kontakt