Databehandleraftale

1. Parter

Dataansvarlig: den virksomhed, der har oprettet kontoen i Butiksplan („kunden“).
Databehandler: Fixnow Group ApS, CVR 46629906, Odensevej 133, 5610 Assens („Butiksplan“).

2. Hvad aftalen dækker

Butiksplan behandler personoplysninger på kundens vegne for at levere vagtplanlægning, timeregistrering og de tilhørende funktioner, som beskrevet i handelsbetingelserne. Aftalen opfylder databeskyttelsesforordningens (GDPR) artikel 28.

3. Oplysninger og personer

• Registrerede: kundens medarbejdere og ledere.
• Oplysninger: navn, e-mail, telefon, rolle, butik og afdeling, medarbejdernummer, kontrakttimer, timeløn, ansættelsesdato, fødselsdato, vagter, fravær og ferie (herunder sygdom, som er en helbredsoplysning), ønsker til arbejdstid, timeregistreringer, humør-puls, tak-beskeder og overleveringsnoter. Svar på anonyme undersøgelser gemmes uden bruger og uden tidspunkt og kan derfor ikke føres tilbage til en person.
• Varighed: så længe kundens konto findes, plus 90 dage efter ophør, hvorefter alt slettes.

4. Butiksplans forpligtelser

1. Vi behandler kun oplysninger efter kundens dokumenterede instruks. Instruksen er, at vi leverer Butiksplan som beskrevet. Kræver loven, at vi behandler oplysninger på anden vis, siger vi det, medmindre loven forbyder det.
2. Alle, der arbejder for os og har adgang til oplysninger, er underlagt tavshedspligt.
3. Adgang til kundens data som led i support. Vi kan åbne kundens kæde i Butiksplan, når vi skal hjælpe med en fejl eller et spørgsmål. Adgangen er begrænset til de personer hos os, der driver tjenesten. Hvert besøg registreres og vises for kunden selv under Indstillinger: hvem der åbnede, og hvornår. Kunden kan altså til enhver tid se, hvornår vi har været inde, og bede om en forklaring.
4. Vi træffer passende tekniske og organisatoriske sikkerhedsforanstaltninger, se punkt 7.
5. Vi hjælper kunden med at besvare henvendelser fra registrerede (indsigt, rettelse, sletning, udlevering) inden for rimelig tid. De fleste kan kunden selv klare i appen.
6. Vi hjælper kunden med at overholde reglerne om sikkerhed, brud på persondatasikkerheden og konsekvensanalyser, i det omfang det er relevant for vores behandling.
7. Vi sletter eller tilbageleverer alle oplysninger ved ophør, jf. punkt 3, medmindre loven kræver opbevaring.
8. Vi stiller de oplysninger til rådighed, der er nødvendige for at vise, at vi overholder aftalen, og bidrager til revision og inspektion, som kunden eller en revisor udpeget af kunden gennemfører med rimeligt varsel.

5. Brud på persondatasikkerheden

Opdager vi et brud, der berører kundens oplysninger, underretter vi kunden uden unødig forsinkelse og senest 48 timer efter, vi er blevet bekendt med det, med de oplysninger kunden skal bruge til sin anmeldelse til Datatilsynet.

6. Underdatabehandlere

Kunden giver en generel godkendelse til, at vi bruger underdatabehandlere. Vi bruger i dag:

• Hostingleverandør med servere i EU (drift og sikkerhedskopi).
• Stripe (betaling; behandler kun kundens egne kontaktoplysninger, ikke medarbejdernes).
• E-mail- og SMS-udbyder (invitationer, påmindelser).
• Anthropic, til to ting:
  • AI-vagtplanen: kun de oplysninger, der skal til for udkastet — navne, timer og ønsker. Aldrig løn, fødselsdato eller sygdom.
  • Hjælperen under Hjælp: ingen personoplysninger overhovedet. Der sendes kun spørgsmålet, som brugeren selv har skrevet det, samt hvilken rolle der spørger, hvilket niveau butikken har, hvilke tilkøb der er slået til, og hvor mange butikker der er. Ingen navne, ingen vagter, ingen medarbejderoplysninger.

Ændrer vi underdatabehandlere, får kunden besked i appen mindst 30 dage før, og kan gøre indsigelse. Kan vi ikke imødekomme indsigelsen, kan kunden opsige aftalen uden varsel. Vi pålægger underdatabehandlere de samme forpligtelser, som vi selv har.

7. Sikkerhed

• Kryptering af al trafik (HTTPS) og af sikkerhedskopier.
• Adgangskoder og stempel-koder gemmes som salted hash.
• Logisk adskillelse af hver kunde i databasen; butikschefer ser kun deres egen butik.
• Adgang til produktionsdata er begrænset til få medarbejdere med behov, og alle handlinger logges.
• Daglig sikkerhedskopi med mulighed for gendannelse.
• Begrænsning af loginforsøg og signerede sessioner.

8. Overførsel til tredjelande

Oplysninger opbevares i EU. Sker der overførsel til lande uden for EU/EØS (fx ved AI-behandling), sker det på grundlag af EU-Kommissionens standardkontraktbestemmelser eller en tilsvarende lovlig ordning.

9. Kundens forpligtelser

Kunden har retsgrundlag for at behandle medarbejdernes oplysninger, informerer sine medarbejdere om behandlingen og lægger ikke flere oplysninger ind, end der er brug for. Kunden holder sine logins sikre og fjerner adgang for medarbejdere, der stopper.

10. Varighed og ophør

Aftalen gælder, så længe kunden har en konto, og indtil alle oplysninger er slettet eller tilbageleveret. Ved uoverensstemmelse mellem denne aftale og handelsbetingelserne gælder denne aftale for behandling af personoplysninger.

Vil I have aftalen som underskrevet dokument, så skriv til info@fixnowgroup.dk, og vi sender den som PDF.