Databehandleraftale

Den Dataansvarlige driver en privat pasningsordning og bruger Spireby til at registrere og dele oplysninger om børn med forældrene (dagbog, fremmøde, beskeder, billeder og kalender). Spireby opbevarer og viser oplysningerne på den Dataansvarliges vegne og bestemmer ikke selv formålet med behandlingen. Den Dataansvarlige er ansvarlig for at have et lovligt grundlag for behandlingen, herunder for at indhente nødvendige samtykker fra forældre.

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den Dataansvarlige. Brugen af Spireby — oprettelse af konto, børn, forældre og indtastning af oplysninger — udgør den Dataansvarliges instruks. Databehandleren behandler ikke oplysningerne til egne formål og videregiver dem ikke, medmindre det er nødvendigt for at levere tjenesten eller kræves ved lov.

Formål: at levere Spireby-tjenesten, så pasningsordningen og forældrene kan dele barnets hverdag.

Varighed: så længe den Dataansvarlige har en aktiv konto i Spireby. Ved ophør slettes eller tilbageleveres oplysningerne, jf. afsnit 9.

Kategorier af registrerede: børn, forældre/værger og medarbejdere i pasningsordningen.

Typer af oplysninger:

• Om børn: navn, fødselsdato, evt. billede, allergier, nødkontakt, noter, start-/slutdato, fremmøde, dagbogsnotater og samtykkevalg.
• Om voksne: navn, e-mail, telefonnummer, krypteret adgangskode og evt. profilbillede.
• Indhold: beskeder, opslag, billeder og dokumenter.

Der behandles ikke følsomme oplysninger ud over, hvad den Dataansvarlige selv vælger at registrere (fx allergier, som er helbredsoplysninger omfattet af GDPR art. 9). Sådanne oplysninger behandles alene med henblik på forsvarlig pasning af barnet, vises kun for barnets forældre og ordningens personale og er omfattet af samme slettefrister som øvrige oplysninger. Den Dataansvarlige er ansvarlig for, at der foreligger gyldigt behandlingsgrundlag for de oplysninger, der registreres.

• behandler kun oplysninger efter instruks fra den Dataansvarlige;
• sikrer, at personer med adgang til oplysningerne er underlagt fortrolighed;
• træffer passende tekniske og organisatoriske sikkerhedsforanstaltninger, jf. afsnit 6;
• bistår den Dataansvarlige med at opfylde forpligtelser over for de registrerede og myndigheder;
• stiller oplysninger til rådighed, der er nødvendige for at påvise overholdelse af GDPR art. 28.

Databehandleren træffer passende foranstaltninger efter GDPR artikel 32, herunder:

• kryptering af adgangskoder og transport (HTTPS);
• adgangsstyring, så hver pasningsordning kun kan se egne data;
• login med personlige konti og sikre sessioner;
• hosting og database i EU.

Den Dataansvarlige giver generel tilladelse til, at Databehandleren bruger underdatabehandlere til at levere tjenesten. Databehandleren sikrer, at underdatabehandlere er underlagt tilsvarende forpligtelser. Aktuelle underdatabehandlere:

• Vercel — hosting/drift (EU-region);
• Neon — database (EU, Frankfurt);
• Vercel Blob — fillagring af billeder og dokumenter (EU);
• Resend — e-mailudsendelse (EU, Irland);
• Expo — levering af push-notifikationer (USA; overførselsgrundlag: EU-US Data Privacy Framework og/eller EU-standardkontrakter). Push-indhold er altid generisk og uden personoplysninger;
• Google (Firebase Cloud Messaging) og Apple (APNs) — teknisk push-levering til Android/iOS (USA; samme overførselsgrundlag);
• Stripe — betalingsbehandling af abonnement (USA; overførselsgrundlag: EU-US Data Privacy Framework og/eller EU-standardkontrakter).

Databehandleren giver besked ved ændringer i underdatabehandlere, så den Dataansvarlige kan gøre indsigelse. Kontakt: kontakt@spireby.dk.

Personoplysninger opbevares og behandles som udgangspunkt inden for EU/EØS. Betalingsbehandling via Stripe kan indebære overførsel til USA; dette sker på et gyldigt overførselsgrundlag efter GDPR kapitel 5 (EU-US Data Privacy Framework og/eller EU-standardkontrakter). Sker der i øvrigt overførsel til et tredjeland, sker det kun på et tilsvarende gyldigt grundlag.

Bistand: Databehandleren bistår den Dataansvarlige med at besvare anmodninger fra registrerede (indsigt, berigtigelse, sletning m.m.) og med sikkerhed, anmeldelse af brud og eventuelle konsekvensanalyser.

Brud: Databehandleren underretter den Dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden.

Sletning ved ophør: Når Aftalen ophører, sletter Databehandleren personoplysningerne, medmindre lovgivning kræver fortsat opbevaring (fx bogføringsmateriale). Sletning omfatter også filer i skylageret. Den Dataansvarlige kan bede om at få data tilbageleveret inden sletning.

Databehandleren stiller efter anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af denne Aftale, og giver mulighed for og bidrager til revisioner i rimeligt omfang.

Aftalen træder i kraft ved accept (oprettelse af pasningsordning) og gælder, så længe Databehandleren behandler oplysninger på den Dataansvarliges vegne. Ophører brugen af Spireby, ophører Aftalen, og afsnit 9 om sletning finder anvendelse. Spørgsmål kan rettes til kontakt@spireby.dk.