Databehandleraftale

1. Parter og baggrund

1.1 Denne databehandleraftale ("Aftalen") er indgået mellem Kunden som dataansvarlig og Grundex ApS, CVR-nr. 46552326, Valby Langgade 236, 2500 Valby ("Grundex"), som databehandler. Kunden og øvrige definerede begreber har samme betydning som i Grundex' forretningsbetingelser ("Betingelserne").

1.2 Aftalen er et bilag til Betingelserne og indgås ved Kundens accept af Betingelserne, jf. Betingelsernes pkt. 1.2 og 9.2. Aftalen opfylder kravene i databeskyttelsesforordningens (forordning (EU) 2016/679, "Forordningen") artikel 28, stk. 3.

1.3 Aftalen omfatter alene de personoplysninger, som Grundex behandler på Kundens vegne, jf. Bilag A. Den behandling, som Grundex foretager som selvstændig dataansvarlig, herunder af oplysninger om Brugere og af data fra offentlige registre, er beskrevet i Grundex' persondatapolitik.

2. Instruks

2.1 Grundex behandler alene personoplysninger efter dokumenteret instruks fra Kunden, herunder for så vidt angår overførsel til tredjelande, medmindre det kræves i henhold til EU-retten eller dansk ret. I så fald underretter Grundex Kunden om dette retlige krav forud for behandlingen, medmindre den pågældende ret forbyder det.

2.2 Kundens instruks fremgår af Bilag A til C og af Kundens brug af Platformens funktioner.

2.3 Grundex underretter straks Kunden, hvis en instruks efter Grundex' opfattelse er i strid med Forordningen eller anden databeskyttelseslovgivning.

3. Fortrolighed og sikkerhed

3.1 Grundex giver alene adgang til personoplysningerne til personer, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det omfang det er nødvendigt.

3.2 Grundex gennemfører de tekniske og organisatoriske foranstaltninger, der kræves i henhold til Forordningens artikel 32. Foranstaltningerne er beskrevet i Bilag C.

4. Underdatabehandlere og overførsel til tredjelande

4.1 Kunden giver Grundex generel tilladelse til at anvende underdatabehandlere. De underdatabehandlere, der anvendes ved Aftalens indgåelse, og overførselsgrundlaget for overførsler uden for EU/EØS fremgår af Bilag B.

4.2 Grundex underretter Kunden skriftligt om tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel. Gør Kunden saglig indsigelse, og kan parterne ikke finde en løsning, kan Kunden opsige Abonnementet med virkning fra ændringens ikrafttræden uden krav på kompensation.

4.3 Grundex pålægger enhver underdatabehandler de samme databeskyttelsesforpligtelser som i Aftalen og hæfter over for Kunden for underdatabehandlerens opfyldelse af dem.

5. Bistand og brud på persondatasikkerheden

5.1 Grundex bistår under hensyntagen til behandlingens karakter Kunden med at besvare anmodninger om udøvelse af de registreredes rettigheder og med at overholde Forordningens artikel 32-36. Modtager Grundex en anmodning direkte fra en registreret, videresendes den til Kunden uden unødig forsinkelse.

5.2 Grundex underretter Kunden uden unødig forsinkelse, og senest 48 timer efter at være blevet opmærksom på det, om brud på persondatasikkerheden, der vedrører personoplysninger omfattet af Aftalen.

5.3 Bistand, der går ud over det, Kunden selv kan udføre via Platformens funktioner, kan afregnes efter medgået tid, dog ikke bistand i anledning af et brud på persondatasikkerheden hos Grundex eller dennes underdatabehandlere.

6. Sletning og tilbagelevering

6.1 Ved ophør af Betingelserne kan Kunden inden for 30 dage få udleveret personoplysningerne, jf. Betingelsernes pkt. 15.5. Grundex sletter herefter personoplysningerne, dog senest 60 dage efter ophøret, medmindre EU-retten eller dansk ret kræver opbevaring. Oplysninger i sikkerhedskopier slettes, i takt med at sikkerhedskopierne udløber.

6.2 Grundex' revisionslog over Brugernes handlinger opbevares af Grundex som selvstændig dataansvarlig af hensyn til sikkerhed og dokumentation og er ikke omfattet af pkt. 6.1.

7. Revision og varighed

7.1 Grundex stiller alle oplysninger, der er nødvendige for at påvise overholdelse af Forordningens artikel 28 og Aftalen, til rådighed for Kunden og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af Kunden eller en revisor, som Kunden har bemyndiget.

7.2 Grundex udarbejder på Kundens anmodning, og højst én gang årligt, en skriftlig redegørelse for overholdelsen af Aftalen. Fysisk inspektion varsles med mindst 30 dage og afholdes for Kundens regning, medmindre inspektionen afdækker væsentlige mangler hos Grundex.

7.3 Aftalen gælder, så længe Grundex behandler personoplysninger på Kundens vegne.

Bilag A. Behandlingen

A.1 Formål, karakter og varighed

Grundex behandler personoplysninger på Kundens vegne for at levere de funktioner på Platformen, som Kunden vælger at anvende. Behandlingen omfatter opbevaring, visning, beregning, generering af dokumenter (PDF), fremsendelse til underdatabehandlere efter Bilag B og sletning. Behandlingen varer, så længe Aftalen er i kraft, med de sletningsfrister, der fremgår af Bilag C.

A.2 Personoplysninger og registrerede

• Køberrådgivning: Kundens klienter (boligkøbere). Navn, e-mailadresse, status i købsforløbet, finansieringsforudsætninger (f.eks. udbetaling, rente, løbetid, om køber er enlig eller par), bemærkninger og dokumenter, som Kunden uploader til tjeklisten. Uploadede dokumenter kan indeholde yderligere oplysninger, herunder oplysninger omfattet af Forordningens artikel 9 eller CPR-numre. Kunden er ansvarlig for ikke at uploade flere oplysninger end nødvendigt.
• Gemt: navne eller betegnelser, som Kunden knytter til gemte ejendomme og grupper, f.eks. navnet på en klient.
• Brevdue: ejere af de ejendomme, som Kunden vælger at sende breve til. Brevets indhold, som Kunden selv skriver, det flettede brev med modtagerens navn og adresse, som Grundex printer og sender, og Kundens registrering af modtagere, der har gjort indsigelse over for Kunden. Grundex' fremfinding af ejerens navn, adresse og ejerforhold i offentlige registre sker som selvstændig dataansvarlig og er ikke omfattet af Aftalen, jf. https://www.grundex.dk/brev.
• Chat: de oplysninger, Kunden selv skriver i Platformens chatfunktion, som kan omfatte oplysninger om Kundens klienter.
• Rapporter og eksporter: personoplysninger, som indgår i de rapporter og eksporter af tjeklisten, Kunden genererer.

Bilag B. Underdatabehandlere

Breve bestilt via Brevdue printes og kuverteres af Grundex selv og afleveres lukkede til postbefordring. Postvirksomheden er ikke underdatabehandler.

Bilag C. Sikkerhed og sletning

C.1 Sikkerhedsforanstaltninger

• Al kommunikation med Platformen er krypteret med TLS.
• Hver Kundes data er adskilt, så en Bruger alene har adgang til sin egen Kundes data. Køberrådgivningsdata og uploadede dokumenter er desuden alene tilgængelige for den Bruger, der har oprettet dem.
• Administrativ adgang til servere og database er begrænset til Grundex' egne medarbejdere og kræver nøglebaseret login.
• Følsomme legitimationsoplysninger krypteres med AES-256-GCM.
• Brugernes handlinger registreres i en revisionslog, som ikke kan ændres.

C.2 Sletning

• Genererede ejendoms- og virksomhedsrapporter (PDF) slettes 7 dage efter oprettelse.
• Eksporter af tjeklisten slettes 90 dage efter oprettelse.
• Dokumenter i køberrådgivningens tjekliste slettes 90 dage efter, at Kunden har afsluttet klienten.
• Det flettede Brevdue-brev med modtagernes navne og adresser slettes 14 dage efter afsendelse, eller 90 dage efter bestilling, hvis det ikke sendes.
• Øvrige oplysninger opbevares, indtil Kunden sletter dem, eller Aftalen ophører, jf. pkt. 6.

Kontaktoplysninger

Grundex ApS
CVR-nr.: 46552326
Valby Langgade 236, 2500 Valby
E-mail: mail@grundex.dk