ErhvervsvilkårBusiness terms

Bilag 1. Databehandleraftale for erhvervskunder

Version 1.0 · gælder fra 19. oktober 2026. Bilaget er en del af erhvervsvilkårene og følger opbygningen i Datatilsynets standardkontraktbestemmelser for databehandleraftaler.

1. Parter og baggrund

Den virksomhed, der har oprettet en firmakonto (»den dataansvarlige«), og IAK Partners ApS (binavn MyHomiva ApS), CVR 46686527, Biskorupvej 12, 5240 Odense NØ (»databehandleren«), har indgået denne databehandleraftale. Den gælder, når den dataansvarlige bruger MyHomiva Erhverv til at behandle personoplysninger om sine egne kunder, fx boligejere, kontaktpersoner og medarbejdere hos kunder. Aftalen sikrer, at behandlingen sker efter databeskyttelsesforordningens artikel 28, stk. 3.

For boligejere, der selv har oprettet en konto i MyHomiva, er databehandleren selvstændigt dataansvarlig. Det er beskrevet i privatlivspolitikken og er ikke omfattet af dette bilag.

2. Behandlingens genstand, formål og varighed

• Genstand: drift af MyHomiva Erhverv, hvor den dataansvarlige opretter og vedligeholder dokumentation, tegninger, opgaver, tilbud og sager på sine kunders boliger.
• Formål: at give den dataansvarlige og dennes brugere adgang til tjenesten og at gemme, vise, dele og eksportere det, den dataansvarlige lægger ind.
• Behandlingens art: indsamling, registrering, opbevaring, visning, deling med dem, den dataansvarlige giver adgang, eksport og sletning. Den automatiske behandling af dokumenter og kort til udkast og forslag og den automatiske assistent omfatter kun det, den dataansvarlige selv sender til dem.
• Typer af personoplysninger: almindelige personoplysninger: navn, adresse, e-mail, telefonnummer, boligens adresse og BFE-nummer, oplysninger om boligen og udført arbejde, fotos, dokumenter og noter. CPR-numre, bankoplysninger og følsomme oplysninger må ikke lægges ind i tjenesten.
• Kategorier af registrerede: den dataansvarliges kunder og deres husstande, kontaktpersoner hos kunder og samarbejdspartnere samt den dataansvarliges egne brugere.
• Varighed: så længe den dataansvarlige har en firmakonto, og indtil oplysningerne er slettet eller tilbageleveret efter punkt 10.

3. Den dataansvarliges forpligtelser

Den dataansvarlige har ansvaret for, at behandlingen har et lovligt grundlag, at de registrerede er oplyst om behandlingen, og at der kun lægges oplysninger ind, som den dataansvarlige må behandle. Den dataansvarlige instruerer databehandleren gennem sin brug af tjenesten og gennem dette bilag.

4. Databehandlerens forpligtelser

• Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre loven kræver andet. Kræver loven det, underretter databehandleren den dataansvarlige, før behandlingen sker, hvis loven tillader det.
• Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med databeskyttelsesreglerne.
• Databehandleren sikrer, at de personer, der har adgang til oplysningerne, er underlagt tavshedspligt og kun har adgang i det omfang, det er nødvendigt for driften og supporten.
• Databehandleren bruger ikke oplysningerne til egne formål, sælger dem ikke og bruger dem ikke til markedsføring.

5. Sikkerhed

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger efter databeskyttelsesforordningens artikel 32, herunder:

• kryptering af al trafik (TLS) og kryptering af data i hvile hos hostingleverandøren,
• adgangsstyring med personlige logins, to-trins-login og MitID Erhverv til firmakonti, automatisk udlogning og roller, så en bruger kun ser de boliger, der er givet adgang til,
• sikkerhedslog over logins og væsentlige handlinger, hvor e-mail erstattes af en kontrolværdi,
• adskillelse af kunders data i databasen og fillageret, daglig sikkerhedskopi og mulighed for at genskabe data,
• løbende opdatering af tjenesten og dens komponenter samt begrænset og logget administratoradgang.

6. Underdatabehandlere

Den dataansvarlige giver en generel godkendelse til, at databehandleren bruger underdatabehandlere. Ved lanceringen bruges disse:

• Cloudflare, Inc. (EU/USA): hosting, database og fillager. Overførsel til USA sker under EU-U.S. Data Privacy Framework.
• Stripe Payments Europe, Ltd. (Irland): betaling og abonnementsstyring for den dataansvarliges eget abonnement.
• Idura ApS (Danmark): login og identitetsbekræftelse med MitID Erhverv.
• Resend, Inc. (USA, servere i EU): afsendelse af servicemails. Overførsel sker efter EU-Kommissionens standardkontraktbestemmelser.
• OpenAI, L.L.C. (USA, primær) og Anthropic, PBC (USA, reserve): automatisk behandling af dokumenter og kort for at lave udkast og forslag samt den automatiske assistent. Der sendes kun det nødvendige, og data bruges ikke til at træne leverandørernes modeller. Overførsel sker efter EU-Kommissionens standardkontraktbestemmelser.

Databehandleren har indgået skriftlige aftaler med underdatabehandlerne, der pålægger dem de samme forpligtelser som i dette bilag. Databehandleren varsler ændringer i listen med mindst 30 dages varsel på e-mail til firmakontoens ejer. Gør den dataansvarlige indsigelse inden ændringen, kan den dataansvarlige opsige firmakontoen med virkning fra ændringens ikrafttræden, og databehandleren refunderer forudbetalt abonnement for den resterende periode. Databehandleren er ansvarlig over for den dataansvarlige for underdatabehandlernes opfyldelse af deres forpligtelser.

7. Overførsel til tredjelande

Personoplysninger overføres kun til lande uden for EU/EØS, når der er et gyldigt overførselsgrundlag, fx EU-U.S. Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser, som angivet under punkt 6.

8. Bistand til den dataansvarlige

Databehandleren bistår med rimelige midler den dataansvarlige med at besvare anmodninger fra de registrerede (indsigt, rettelse, sletning, udlevering, indsigelse og begrænsning) og med at opfylde forpligtelserne efter artikel 32–36, herunder konsekvensanalyser og forudgående høringer, i det omfang oplysningerne findes hos databehandleren. Tjenesten giver den dataansvarlige mulighed for selv at se, rette, eksportere og slette oplysninger.

9. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter, at databehandleren er blevet bekendt med et brud på persondatasikkerheden, der vedrører den dataansvarliges oplysninger. Underretningen sendes til firmakontoens ejer og indeholder det, den dataansvarlige skal bruge til sin anmeldelse til Datatilsynet: bruddets karakter, de berørte kategorier og det omtrentlige antal registrerede og oplysninger, de sandsynlige konsekvenser og de foranstaltninger, databehandleren har truffet eller foreslår.

10. Sletning og tilbagelevering

Når firmakontoen ophører, kan den dataansvarlige i 30 dage eksportere alle oplysninger (PDF og JSON). Herefter sletter databehandleren oplysningerne, herunder kopier hos underdatabehandlerne, senest 90 dage efter ophøret, medmindre loven kræver fortsat opbevaring. Oplysninger, som en boligejer selv har lagt ind på sin egen bolig, er ikke omfattet, da databehandleren er selvstændigt dataansvarlig for dem.

11. Dokumentation og tilsyn

Databehandleren stiller alle oplysninger til rådighed, der er nødvendige for at påvise, at forpligtelserne i artikel 28 og dette bilag er opfyldt, og giver mulighed for og bidrager til revisioner og inspektioner, som den dataansvarlige eller en uafhængig revisor udpeget af den dataansvarlige gennemfører. Tilsyn varsles med mindst 30 dage, gennemføres højst én gang om året, medmindre en konkret hændelse giver anledning til mere, og den dataansvarlige afholder egne omkostninger.

12. Ikrafttræden og ophør

Bilaget gælder fra firmakontoens oprettelse og så længe, databehandleren behandler personoplysninger for den dataansvarlige. Det kan kun ændres skriftligt, og ændringer varsles som beskrevet i erhvervsvilkårenes punkt 9. Ved uoverensstemmelse mellem erhvervsvilkårene og dette bilag gælder bilaget for behandlingen af personoplysninger. Spørgsmål om bilaget sendes til [email protected].