Databehandleraftale

Vedrørende KON FOODs bestillingsapp

Ikrafttrædelsesdato: 13. oktober 2026

1. Aftalens parter

2. Formål og anvendelse

Denne aftale regulerer databehandlerens behandling af personoplysninger på vegne af KON FOOD ApS i forbindelse med levering, drift, vedligeholdelse og support af KON FOODs bestillingsapp.

Appen anvendes af KON FOODs erhvervskunder til at oprette en kundekonto og bestille varer.

Aftalen omfatter alene de aktiviteter, hvor databehandleren behandler personoplysninger på vegne af KON FOOD ApS. Den supplerer parternes aftale om appydelsen og har forrang ved modstrid om databeskyttelse.

Bilag 1 og 2 er en integreret del af aftalen.

3. Den dataansvarliges ansvar

KON FOOD ApS bestemmer formålet med behandlingen og er ansvarlig for, at der foreligger et lovligt behandlingsgrundlag.

KON FOOD ApS skal give kunder og øvrige registrerede de nødvendige oplysninger om behandlingen og sikre, at instrukser til databehandleren er lovlige.

KON FOOD ApS har ret og pligt til at føre passende tilsyn med databehandlerens behandling.

KON FOOD ApS har ret og pligt til at føre passende tilsyn med databehandlerens behandling.

4. Dokumenteret instruks

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra KON FOOD ApS. Instruksen består af denne aftale, bilagene og eventuelle efterfølgende skriftlige instrukser.

Oplysningerne må kun anvendes til at levere den aftalte appydelse. Databehandleren må ikke bruge dem til egen markedsføring, videresalg, træning af AI-modeller eller andre selvstændige formål.

Hvis databehandleren efter EU-ret eller national ret er forpligtet til behandling uden instruks, skal KON FOOD ApS informeres inden behandlingen, medmindre lovgivningen forbyder dette af hensyn til væsentlige samfundsinteresser.

Databehandleren skal straks informere KON FOOD ApS, hvis en instruks efter databehandlerens vurdering strider mod databeskyttelsesreglerne.

5. Fortrolighed og adgang

Databehandleren skal sikre, at personer med adgang til oplysningerne er underlagt en bindende fortrolighedsforpligtelse eller en passende lovbestemt tavshedspligt.

Adgang må kun gives, når det er nødvendigt for arbejdsopgaven. Brugerrettigheder skal kontrolleres løbende og fjernes, når behovet ophører.

Fortrolighedsforpligtelsen fortsætter efter samarbejdets ophør.

6. Sikkerhed

Databehandleren skal gennemføre passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32, under hensyn til behandlingens risici.

Følgende minimumskrav gælder for appydelsen:

• Individuelle medarbejderkonti og adgang efter arbejdsbetinget behov.
• Multifaktorlogin for administrative adgange.
• Krypteret overførsel af personoplysninger over offentlige netværk.
• Beskyttelse af lagrede oplysninger gennem kryptering eller tilsvarende dokumenterede, risikotilpassede foranstaltninger.
• Adgangskoder må ikke opbevares i læsbar form, men skal beskyttes med en anerkendt metode til sikker hashing og saltning.
• - Individuelle medarbejderkonti og adgang efter arbejdsbetinget behov.
• - Multifaktorlogin for administrative adgange.
• - Krypteret overførsel af personoplysninger over offentlige netværk.
• - Beskyttelse af lagrede oplysninger gennem kryptering eller tilsvarende dokumenterede, risikotilpassede foranstaltninger.
• - Adgangskoder må ikke opbevares i læsbar form, men skal beskyttes med en anerkendt metode til sikker hashing og saltning.
• - Regelmæssige sikkerhedsopdateringer og håndtering af sårbarheder.
• - Logning af administrative adgange og relevante sikkerhedshændelser.
• - Adskillelse af KON FOODs oplysninger fra andre kunders oplysninger.
• - Daglig sikkerhedskopiering af kundedata og bestillinger samt afprøvning af gendannelse mindst én gang årligt.
• - Løbende kontrol af sikkerhedsforanstaltningernes effektivitet.
• - Produktionsdata må ikke anvendes i udviklings- eller testmiljøer uden særskilt skriftlig instruks og passende beskyttelse.

Databehandleren skal dokumentere overholdelsen. Væsentlige ændringer, der reducerer sikkerhedsniveauet, kræver KON FOOD ApS’ forudgående skriftlige accept.

7. Underdatabehandlere

Databehandleren må kun anvende underdatabehandlere med KON FOOD ApS’ forudgående, specifikke skriftlige godkendelse.

Hostingfirmaer og øvrige underdatabehandlere skal angives i bilag 2. Angivelsen “burasi doldurulacak” udgør ikke en godkendelse.

Før en underdatabehandler får adgang til oplysninger, skal databehandleren indgå en bindende aftale, som pålægger underdatabehandleren mindst de samme relevante databeskyttelsesforpligtelser som denne aftale.

Databehandleren er fuldt ansvarlig over for KON FOOD ApS for underdatabehandlerens opfyldelse af sine forpligtelser.

8. Behandlingslande og internationale overførsler

Personoplysninger skal behandles inden for EU/EØS, medmindre KON FOOD ApS særskilt giver en dokumenteret instruks om andet.

Kravet omfatter hosting, sikkerhedskopiering og fjernadgang fra supportmedarbejdere. Overførsel til lande uden for EU/EØS kræver desuden et gyldigt overførselsgrundlag efter GDPR kapitel V og eventuelle nødvendige supplerende foranstaltninger.

Databehandleren skal dokumentere grundlaget inden overførslen. Godkendelse af en underdatabehandler udgør ikke i sig selv godkendelse af en international overførsel.

9. Bistand og registreredes rettigheder

Databehandleren skal under hensyn til behandlingens karakter bistå KON FOOD ApS med at håndtere anmodninger om indsigt, rettelse, sletning, begrænsning, indsigelse og dataportabilitet.

Anmodninger modtaget direkte fra en registreret skal videresendes til info@konfood.dk uden unødig forsinkelse og senest inden to arbejdsdage.

Databehandleren må ikke besvare anmodningen på KON FOOD ApS’ vegne uden instruks. Databehandleren skal efter instruks foretage nødvendige søgninger, udtræk, rettelser, begrænsninger og sletninger.

Databehandleren skal desuden, under hensyn til behandlingens karakter og de tilgængelige oplysninger, bistå KON FOOD ApS med forpligtelserne efter GDPR artikel 32–36, herunder sikkerhed, håndtering af brud, konsekvensanalyser og forudgående høring af Datatilsynet.

10. Brud på persondatasikkerheden

Databehandleren skal underrette KON FOOD ApS uden unødig forsinkelse og senest 24 timer efter at være blevet bekendt med et brud på persondatasikkerheden.

Underretningen sendes til info@konfood.dk. Ved akutte hændelser kontaktes Enes Avci desuden på +45 60 13 70 13.

Underretningen skal, i det omfang oplysningerne foreligger, indeholde:

• Beskrivelse af hændelsen og tidspunktet for opdagelsen.
• Kategorier og omtrentligt antal berørte personer og oplysninger.
• Sandsynlige konsekvenser.
• Gennemførte og foreslåede afhjælpende foranstaltninger.
• Kontaktoplysninger på den ansvarlige for hændelseshåndteringen.

Manglende oplysninger må ikke forsinke den første underretning. Oplysningerne suppleres løbende uden unødig forsinkelse.

Databehandleren skal straks begrænse skaden, bevare relevant dokumentation og bistå KON FOOD ApS med vurdering og håndtering.

KON FOOD ApS beslutter, om bruddet skal anmeldes til Datatilsynet og meddeles de registrerede. Dette begrænser ikke databehandlerens egne lovpligtige forpligtelser.

11. Dokumentation og tilsyn

Databehandleren skal stille alle nødvendige oplysninger til rådighed for at dokumentere overholdelse af aftalen og GDPR artikel 28.

KON FOOD ApS eller en bemyndiget, uafhængig revisor kan gennemføre revision og inspektion. Databehandleren skal tillade og bidrage til dette.

Ordinære tilsyn varsles som udgangspunkt med ti arbejdsdage. Ved sikkerhedsbrud, begrundet mistanke om væsentlige mangler eller myndighedskrav kan tilsyn gennemføres med kortere varsel.

Revisionsrapporter og anden dokumentation kan indgå i tilsynet, men erstatter ikke retten til yderligere kontrol, når dette er nødvendigt.

Konstaterede mangler skal afhjælpes uden unødig forsinkelse efter en tidsplan, der afspejler risikoen.

12. Opbevaring og sletning under samarbejdet

Databehandleren må ikke selv fastlægge nye opbevaringsformål.

KON FOOD ApS bestemmer, hvornår kundekonti og bestillingsoplysninger skal slettes, under hensyn til virksomhedens dokumentations- og lovkrav.

Databehandleren skal gennemføre en skriftlig sletteinstruks uden unødig forsinkelse og senest inden 30 dage, medmindre en kortere frist er nødvendig for at overholde en lovpligtig frist. Tekniske sikkerhedslogs opbevares som udgangspunkt i højst 90 dage. Relevant dokumentation om konkrete sikkerhedshændelser kan bevares længere efter dokumenteret instruks.

13. Tilbagelevering og sletning ved ophør

Ved ydelsens ophør skal databehandleren efter KON FOOD ApS’ valg tilbagelevere eller slette alle personoplysninger og slette eksisterende kopier, medmindre EU-ret eller national ret kræver opbevaring.

Tilbagelevering sker gennem en sikker overførsel i CSV- eller JSON-format med nødvendige beskrivelser af felter og relationer. Adgangskoder i læsbar form må ikke indgå. Tilbagelevering og sletning i aktive systemer skal afsluttes senest 30 dage efter KON FOOD ApS’ instruks.

Ved ydelsens ophør skal databehandleren efter KON FOOD ApS’ valg tilbagelevere eller slette alle personoplysninger og slette eksisterende kopier, medmindre EU-ret eller national ret kræver opbevaring.

Tilbagelevering sker gennem en sikker overførsel i CSV- eller JSON-format med nødvendige beskrivelser af felter og relationer. Adgangskoder i læsbar form må ikke indgå.

Tilbagelevering og sletning i aktive systemer skal afsluttes senest 30 dage efter KON FOOD ApS’ instruks.

Oplysninger i sikkerhedskopier skal slettes eller udløbe senest 90 dage efter instruksen. Indtil da skal de beskyttes og må kun anvendes til nødvendig gendannelse. Ved gendannelse skal sletteinstruksen gennemføres igen.

Databehandleren skal sikre tilsvarende håndtering hos underdatabehandlere og skriftligt bekræfte afsluttet sletning.

Hvis lovgivningen kræver fortsat opbevaring, skal databehandleren oplyse hjemmel, omfattede oplysninger og opbevaringsperiode, medmindre lovgivningen forbyder underretning.

14. Varighed og misligholdelse

Aftalen gælder fra 13. oktober 2026 og fortsætter, så længe databehandleren behandler personoplysninger på vegne af KON FOOD ApS.

Ved væsentlig misligholdelse kan KON FOOD ApS kræve behandlingen standset og forholdet afhjulpet inden en rimelig, skriftligt fastsat frist.

Hvis forholdet ikke afhjælpes, kan KON FOOD ApS ophæve den berørte ydelse. Ved alvorlig eller uoprettelig misligholdelse kan ophævelse ske straks.

Forpligtelser om fortrolighed, sikkerhed, dokumentation, tilbagelevering og sletning fortsætter, indtil de er opfyldt.

15. Omkostninger, ansvar og lovvalg

Almindelig opfyldelse af denne databehandleraftale indgår i betalingen for appydelsen, medmindre andet udtrykkeligt aftales skriftligt.

Ekstraordinær bistand kan prissættes særskilt efter forudgående skriftlig aftale. Uenighed om betaling må ikke forsinke nødvendig hændelseshåndtering eller overholdelse af lovpligtige frister.

Databehandleren afholder omkostningerne ved afhjælpning af egne overtrædelser.

Parternes ansvar følger gældende ret og eventuelle gyldige bestemmelser i hovedaftalen.

Ufravigelige rettigheder og forpligtelser efter GDPR begrænses ikke.

Aftalen er underlagt dansk ret. Tvister afgøres ved de kompetente danske domstole.

Bilag 1 – Behandlingsbeskrivelse og instruks

Bilag 2 – Hosting og underdatabehandlere

Oplysningerne skal være udfyldt, og relevante underdatabehandlere skal være godkendt skriftligt, inden de får adgang til personoplysninger.

Underskrifter

Parterne accepterer aftalen med bilag. Underskriftsdatoen skal være den faktiske dato for underskrift.