Flowtly – Databehandleraftale

Dette er en dansk oversættelse af den engelske version, stillet til rådighed for nemheds skyld. Den engelsksprogede version er bindende (se afsnit 1). Engelsk version · Polsk version

1. Generelle bestemmelser og aftalens genstand

Denne databehandleraftale (»Databehandleraftalen«) indgås mellem den Organisation, der anvender Flowtly-platformen, og som optræder som dataansvarlig som defineret i artikel 4, nr. 7, i forordning (EU) 2016/679 af 27. april 2016 (»GDPR«) (»den Dataansvarlige«), og Flowtly Prosta Spółka Akcyjna, med hjemsted i Warszawa (01-194), ul. Młynarska 8/12, Polen, registreret i erhvervsregistret i det nationale domstolsregister under KRS 0001188143, NIP 5273180297, REGON 542625051 (»Flowtly« eller »Databehandleren«), som optræder som databehandler som defineret i artikel 4, nr. 8, i GDPR.

Databehandleraftalen uddyber Parternes forpligtelser vedrørende behandling af personoplysninger, som omhandlet i § 11 i Vilkår og Betingelser for Flowtly-platformen (»Datasikkerhed«), og finder anvendelse på enhver behandling af personoplysninger, som Flowtly udfører på vegne af og efter dokumenteret instruks fra den Dataansvarlige i forbindelse med levering af adgang til Platformen. Databehandleraftalen ændrer ikke de ansvarsregler og ansvarsbegrænsninger, der er fastsat i § 12 i Vilkårene og Betingelserne — se afsnit 13.

Databehandleraftalen gennemfører kravene i artikel 28 i GDPR og er tilgængelig på denne side i den version, der er angivet i revisionshistorikken (afsnit 13). Databehandleraftalen finder anvendelse på en Organisation, der anvender Platformen, på samme grundlag, som Vilkårene og Betingelserne — i den affattelse, der er gældende for den pågældende Organisation — henviser til dette dokument. Den engelsksprogede version af dette dokument er den bindende version; denne danske oversættelse stilles, ligesom alle andre oversættelser, herunder den polske, til rådighed for nemheds skyld.

2. Definitioner

Ord med stort begyndelsesbogstav, som ikke er defineret i denne Databehandleraftale, har den betydning, der er tillagt dem i Vilkår og Betingelser for Flowtly-platformen. I denne Databehandleraftale forstås ved:

• GDPR — Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger;
• Dataansvarlig — Organisationen som dataansvarlig som defineret i artikel 4, nr. 7, i GDPR, der handler gennem personer, som er bemyndiget til at repræsentere den; dette adskiller sig fra rollen »Administrator« i henhold til Vilkårene og Betingelserne, som betegner en brugerrolle på Platformen og ikke status som dataansvarlig;
• TOM (tekniske og organisatoriske foranstaltninger) — de foranstaltninger, der er beskrevet i Flowtlys dokument »Tekniske og organisatoriske foranstaltninger«, som udgør bilag 1 til denne Databehandleraftale;
• Underdatabehandler — en anden databehandler, som Flowtly videreoverlader behandlingen af personoplysninger til med henblik på opfyldelse af denne Databehandleraftale;
• Brud på persondatasikkerheden — et brud som defineret i artikel 4, nr. 12, i GDPR.

3. Behandlingens varighed

Denne Databehandleraftale gælder i løbetiden for aftalen om adgang til Platformen mellem den Dataansvarlige og Flowtly i henhold til Vilkårene og Betingelserne og ophører, når denne aftale opsiges eller udløber, med forbehold for bestemmelser, der efter deres karakter fortsat finder anvendelse efter ophøret, herunder forpligtelsen til at slette eller tilbagelevere data som beskrevet i afsnit 11.

4. Behandlingens karakter, formål og omfang; kategorier af data og registrerede

Behandlingens karakter og formål. Flowtly behandler udelukkende personoplysninger for at give den Dataansvarlige adgang til Platformen i overensstemmelse med Vilkårene og Betingelserne og den Dataansvarliges dokumenterede instrukser. Behandlingsaktiviteterne omfatter navnlig: indsamling, opbevaring, fremsøgning, ændring, eksport og sletning af data inden for Organisationskontoen, udført i forbindelse med Platformens funktionalitet inden for HR og løn, projekter, fakturering og fakturahåndtering — som er redskaber til støtte for Organisationens styring af disse områder og ikke et regnskabsredskab, jf. § 12, stk. 2, i Vilkårene og Betingelserne — samt opbevaring af data på servere, der administreres af Flowtly, teknisk support og sikring af Platformens sikkerhed og kontinuitet.

Kategorier af registrerede omfatter navnlig: den Dataansvarliges medarbejdere og samarbejdspartnere, Brugere og Administratorer, kontrahenter og deres repræsentanter, jobkandidater — i det omfang den Dataansvarlige anvender den relevante funktionalitet på Platformen — og andre fysiske personer, hvis data den Dataansvarlige eller dennes Brugere indtaster på Platformen i forbindelse med brugen heraf.

Kategorier af personoplysninger omfatter navnlig: identifikations- og kontaktoplysninger, HR- og ansættelsesoplysninger (herunder løn, arbejdstid, registrering af fravær), fakturerings- og fakturadata, kontrahentdata og — i det omfang den Dataansvarlige lovligt indtaster dem på Platformen, hvor det er nødvendigt for at opfylde forpligtelser i henhold til arbejdsretlig eller socialsikringsretlig lovgivning — særlige kategorier af personoplysninger som omhandlet i artikel 9 i GDPR (f.eks. helbredsoplysninger i forbindelse med sygefravær, fagforeningsmæssigt tilhørsforhold). Ansvaret for retsgrundlaget for at indtaste sådanne data på Platformen påhviler den Dataansvarlige. Det nærmere omfang af datakategorierne svarer til det omfang, der er beskrevet i Privatlivspolitikken.

5. Databehandlerens forpligtelser

Flowtly forpligter sig til at:

1. behandle personoplysninger udelukkende efter dokumenteret instruks fra den Dataansvarlige — herunder for så vidt angår overførsel af personoplysninger til et tredjeland eller en international organisation — medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret, som Flowtly er underlagt; i så fald underretter Flowtly den Dataansvarlige om dette retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsinteresser;
2. sikre, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt (se afsnit 7);
3. gennemføre og opretholde de tekniske og organisatoriske foranstaltninger, der er beskrevet i TOM, i overensstemmelse med artikel 32 i GDPR (se afsnit 8);
4. overholde de betingelser for brug af Underdatabehandlere, der er beskrevet i afsnit 9;
5. yde den Dataansvarlige den bistand, der er beskrevet i afsnit 10;
6. efter ophøret af leveringen af behandlingsrelaterede tjenester slette eller tilbagelevere alle personoplysninger til den Dataansvarlige og slette eksisterende kopier i overensstemmelse med afsnit 11, medmindre EU-retten eller medlemsstaternes nationale ret kræver opbevaring af personoplysningerne;
7. stille alle oplysninger, der er nødvendige for at påvise overholdelse af forpligtelserne i artikel 28 i GDPR, til rådighed for den Dataansvarlige og give mulighed for og bidrage til revisioner, herunder inspektioner, i overensstemmelse med afsnit 11.

6. Den Dataansvarliges instrukser

Vilkårene og Betingelserne, konfigurationen af Platformen og den måde, hvorpå den Dataansvarlige og de Brugere, som denne har bemyndiget, anvender Platformen, betragtes som den Dataansvarliges dokumenterede instrukser, ligesom særskilte instrukser sendt i dokumentform (herunder e-mail) til business.support@flowtly.eu. Den Dataansvarlige er ansvarlig for lovligheden af de instrukser, denne giver. Hvis en instruks fra den Dataansvarlige efter Flowtlys vurdering er i strid med GDPR eller anden databeskyttelseslovgivning, underretter Flowtly straks den Dataansvarlige herom.

7. Fortrolighed

Flowtly sikrer, at kun personer, der er autoriseret af Flowtly, har adgang til personoplysninger, i det omfang det er nødvendigt for udførelsen af deres opgaver, og at sådanne personer er underlagt tavshedspligt vedrørende personoplysninger, også efter at deres ansættelse eller engagement hos Flowtly er ophørt.

8. Behandlingssikkerhed (artikel 32 i GDPR)

Flowtly gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen ved behandlingen, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne, behandlingens karakter, omfang, sammenhæng og formål samt risikoen for fysiske personers rettigheder og frihedsrettigheder. Den aktuelle beskrivelse af disse foranstaltninger er Flowtlys dokument »Tekniske og organisatoriske foranstaltninger«, som udgør bilag 1 til denne Databehandleraftale.

Flowtly vil ikke i denne Databehandleraftales løbetid sænke det samlede niveau af behandlingssikkerhed, der er beskrevet i TOM (»forpligtelsen til ikke at sænke sikkerhedsniveauet«); udskiftning af en given foranstaltning med en anden, der giver et tilsvarende eller højere beskyttelsesniveau, udgør ikke en sænkning. Enhver ændring af TOM — herunder enhver sådan udskiftning — registreres som en ny, dateret version i den revisionshistorik, der er tilgængelig på det pågældende dokuments side, således at den version af TOM, der var gældende på en given behandlingsdato, altid kan fastslås ud fra denne historik.

9. Underdatabehandling (Underdatabehandlere)

Den Dataansvarlige giver Flowtly en generel skriftlig godkendelse til at gøre brug af Underdatabehandlere til opfyldelse af denne Databehandleraftale (artikel 28, stk. 2, i GDPR). Flowtly indgår med hver Underdatabehandler en aftale, der pålægger denne de samme databeskyttelsesforpligtelser, som gælder for Flowtly i henhold til denne Databehandleraftale, herunder for så vidt angår tekniske og organisatoriske foranstaltninger. Flowtly forbliver fuldt ansvarlig over for den Dataansvarlige for opfyldelsen af en Underdatabehandlers databeskyttelsesforpligtelser i overensstemmelse med artikel 28, stk. 4, i GDPR.

Flowtly underretter den Dataansvarlige om enhver påtænkt tilføjelse eller udskiftning af Underdatabehandlere mindst 30 dage i forvejen med angivelse af den nye Underdatabehandler og omfanget af dennes aktiviteter og giver den Dataansvarlige mulighed for at gøre indsigelse mod ændringen. Indsigelser, begrundet i legitime databeskyttelsesmæssige hensyn, sendes til business.support@flowtly.eu senest 30 dage efter underretningen; manglende indsigelse inden for denne frist betragtes som accept af ændringen. Flowtly påbegynder ikke behandling af den Dataansvarliges personoplysninger gennem en ny Underdatabehandler, før indsigelsesfristen er udløbet, eller, hvis der rettidigt er gjort indsigelse, før denne er afklaret. I tilfælde af en berettiget indsigelse, som ikke på anden måde kan imødekommes, aftaler Parterne i god tro, hvordan der skal forholdes, herunder om nødvendigt opsigelse af tjenesteaftalen i det omfang, den ville kræve brug af den pågældende Underdatabehandler.

Aktuelt anvendte Underdatabehandlere, i overensstemmelse med Platformens Privatlivspolitik:

Underdatabehandler	Behandlingens omfang	Behandlingssted
Google Cloud (Google Ireland Limited)	Hosting af Platformen og cloudinfrastruktur	EU (europe-west1, Belgien)
Stripe	Betalingsbehandling	EU / uden for EØS, afhængigt af den pågældende handling
Kontomatik	Integration af bankdata	Polen (EU)
Functional Software, Inc. (Sentry)	Overvågning af systemfejl	USA
Anthropic, PBC	Behandling af dokumentindhold til AI-baserede funktioner (dokumentanalyse, assistent)	USA
Postmark (ActiveCampaign, Inc.)	Afsendelse af transaktionelle e-mails (fakturaer, påmindelser, notifikationer)	USA

Ovenstående liste afspejler status pr. offentliggørelsesdatoen for den relevante version af denne Databehandleraftale og opdateres i overensstemmelse med den ovenfor beskrevne procedure. Den aktuelle liste over Underdatabehandlere kan også rekvireres ved henvendelse til ovenstående adresse.

10. Bistand til den Dataansvarlige; brud på persondatasikkerheden

Udøvelse af de registreredes rettigheder. Under hensyntagen til behandlingens karakter bistår Flowtly så vidt muligt den Dataansvarlige — ved hjælp af passende tekniske og organisatoriske foranstaltninger, der er tilgængelige på Platformen, og gennem support, der anmodes om på adressen i afsnit 6 — med opfyldelse af dennes forpligtelse til at besvare anmodninger fra registrerede om udøvelse af deres rettigheder i henhold til kapitel III i GDPR.

Overholdelse af artikel 32–36 i GDPR. Flowtly bistår den Dataansvarlige med at sikre overholdelse af forpligtelserne i henhold til artikel 32–36 i GDPR, herunder forpligtelsen til at anmelde brud på persondatasikkerheden til tilsynsmyndigheden og den særskilte forpligtelse til at underrette de registrerede, hvis et brud sandsynligvis vil indebære en høj risiko for deres rettigheder og frihedsrettigheder, samt konsekvensanalyser vedrørende databeskyttelse og forudgående høring af tilsynsmyndigheden, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for Flowtly.

Brud på persondatasikkerheden. Flowtly underretter den Dataansvarlige om et brud på persondatasikkerheden, som Flowtly har konstateret, uden unødig forsinkelse og under alle omstændigheder senest 48 timer efter, at Flowtly er blevet bekendt med det, uden at afvente, at hændelsens fulde omstændigheder er klarlagt. Den første underretning indeholder de oplysninger, der er angivet i artikel 33, stk. 3, i GDPR, i det omfang de er tilgængelige på det pågældende tidspunkt, og suppleres trinvis, efterhånden som yderligere omstændigheder klarlægges. Fristen på 48 timer er Flowtlys maksimale kontraktlige frist for denne første underretning og fritager ikke Flowtly for forpligtelsen til at handle uden unødig forsinkelse, hvor dette er muligt tidligere; den er uafhængig af fristen på 72 timer, inden for hvilken den Dataansvarlige som dataansvarlig skal anmelde bruddet til tilsynsmyndigheden i henhold til artikel 33, stk. 1, i GDPR, hvor anmeldelse er påkrævet.

11. Ophør af behandlingen; revisioner og inspektioner

Ophør af behandlingen. Efter ophøret af leveringen af behandlingsrelaterede tjenester meddeler den Dataansvarlige Flowtly i dokumentform senest 30 dage efter denne begivenhed, om Flowtly skal slette eller tilbagelevere personoplysningerne; manglende meddelelse inden for denne frist berettiger Flowtly til at slette dataene. Flowtly udfører den valgte handling — sletning fra produktionssystemerne eller tilbagelevering i et almindeligt anvendt elektronisk format efterfulgt af sletning — inden for en rimelig frist, der ikke overstiger 30 dage fra modtagelsen af den Dataansvarliges instruks, medmindre EU-retten eller polsk ret pålægger Flowtly at opbevare dataene yderligere i henhold til en retlig forpligtelse, der direkte påhviler Flowtly (f.eks. skatte- eller regnskabsregler vedrørende Flowtlys egne regnskabsoptegnelser) — hvilket ikke omfatter den Dataansvarliges egne regnskabsoptegnelser, der behandles på Platformen. Sikkerhedskopier, der indeholder slettede data, forbliver beskyttet i overensstemmelse med TOM og overskrives i den almindelige rotationscyklus for sikkerhedskopiering, der er beskrevet deri, uden at slettede data gendannes i produktionssystemet.

Revisioner og inspektioner. Flowtly stiller alle oplysninger, der er nødvendige for at påvise overholdelse af forpligtelserne i henhold til artikel 28 i GDPR, til rådighed for den Dataansvarlige og giver den Dataansvarlige eller en revisor, der er bemyndiget af den Dataansvarlige, mulighed for at foretage revisioner, herunder inspektioner, af behandlingens overensstemmelse med denne Databehandleraftale og medvirker ved gennemførelsen heraf. En revision gennemføres efter mindst 30 dages forudgående skriftligt varsel, inden for Flowtlys normale arbejdstid, på en måde, der er så lidt forstyrrende for Flowtlys virksomhed, som det med rimelighed er muligt, og som respekterer fortroligheden af oplysninger vedrørende Flowtlys øvrige kunder, højst én gang pr. kalenderår — disse begrænsninger gælder ikke, hvis revisionen gennemføres i forbindelse med en rimelig mistanke om et brud på persondatasikkerheden eller anden væsentlig manglende overholdelse af denne Databehandleraftale, eller efter anmodning fra en kompetent tilsynsmyndighed. Tilrådighedsstillelse af oplysninger i henhold til første punktum er ikke begrænset til én gang om året.

12. Internationale dataoverførsler

Størstedelen af behandlingen af personoplysninger finder sted inden for Det Europæiske Økonomiske Samarbejdsområde (EØS) — Platformens infrastruktur og dens OCR-behandling af dokumenter opretholdes i EU-regionen hos den udbyder, der er nævnt i afsnit 9. Tre af de Underdatabehandlere, der er nævnt i afsnit 9 — Functional Software, Inc. (der driver virksomhed som Sentry), Anthropic, PBC og Postmark (ActiveCampaign, Inc.) — er etableret i USA, uden for EØS. Flowtly sikrer, at overførsler af personoplysninger til disse Underdatabehandlere — og enhver anden overførsel af personoplysninger uden for EØS, som måtte finde sted i forbindelse med de øvrige Underdatabehandlere eller deres egne underdatabehandlere — sker på grundlag af en passende mekanisme i henhold til kapitel V i GDPR: navnlig de standardkontraktbestemmelser, der er godkendt ved Europa-Kommissionens gennemførelsesafgørelse (EU) 2021/914 (i henhold til det modul, der passer til forholdet mellem Flowtly og Underdatabehandleren), eller — i det omfang en given Underdatabehandler støtter sig herpå — EU–U.S. Data Privacy Framework, suppleret med yderligere garantier, hvor en vurdering af overførslens virkninger viser, at det er nødvendigt. Oplysninger om den mekanisme, der anvendes for en given Underdatabehandler, stilles til rådighed for den Dataansvarlige efter anmodning sendt til adressen i afsnit 6.

13. Ansvar og afsluttende bestemmelser

Begrænsningen af Flowtlys ansvar, der er fastsat i § 12 i Vilkårene og Betingelserne (»Ansvar«), finder tilsvarende anvendelse på behandling af personoplysninger i henhold til denne Databehandleraftale, i det omfang det er retligt tilladt. Dette berører ikke ufravigelig lovgivning, herunder: artikel 82 i GDPR for så vidt angår registreredes krav mod Flowtly, tilsynsmyndighedernes beføjelser i henhold til GDPR og den polske civillovbogs regler om ansvar for skade forvoldt med forsæt.

Forhold, der ikke er reguleret af denne Databehandleraftale, reguleres, alt efter omstændighederne, af Vilkårene og Betingelserne, herunder disses bestemmelser om lovvalg og tvistløsning. Denne Databehandleraftale er underlagt polsk ret.

Dette dokument er den version, der blev offentliggjort den 28. oktober 2026. Historikken over eventuelle tidligere versioner er tilgængelig nedenfor.