Resumé: Denne databehandleraftale fastlægger vilkårene for Certiva ApS' behandling af personoplysninger på vegne af jer som kunde, jf. GDPR art. 28. Den udgør vores standardvilkår og kan underskrives som et selvstændigt bilag til jeres abonnementsaftale. Behov for tilpasninger? Skriv til mail@certcontrol.pro.

1. Parterne

Denne databehandleraftale ("Aftalen") indgås mellem:

  • Kunden — den juridiske enhed, der abonnerer på CertControl, og som er dataansvarlig ("den Dataansvarlige").
  • Certiva ApS, CVR 46450965, Nøddehaven 1, 3500 Værløse, Danmark — leverandør af CertControl og databehandler ("Databehandleren", "vi", "os").

Aftalen er accessorisk til abonnementsaftalen mellem parterne om brug af CertControl ("Hovedaftalen") og regulerer Databehandlerens behandling af personoplysninger på den Dataansvarliges vegne. Ved uoverensstemmelse mellem Aftalen og Hovedaftalen for så vidt angår behandling af personoplysninger har Aftalen forrang.

2. Definitioner

Begreberne "personoplysninger", "behandling", "dataansvarlig", "databehandler", "underdatabehandler", "den registrerede" og "persondatabrud" har den betydning, der følger af Databeskyttelsesforordningen (EU) 2016/679 ("GDPR"). "Databeskyttelseslovgivning" omfatter GDPR og den danske databeskyttelseslov med tilhørende regler.

3. Genstand, varighed, karakter og formål

  • Genstand: Behandling af personoplysninger i forbindelse med levering af CertControl — software til discovery, overvågning og livscyklusstyring af TLS/SSL-certifikater samt analyse af attack surface og compliance-dokumentation.
  • Varighed: Behandlingen løber, så længe Hovedaftalen er i kraft, og indtil data slettes eller tilbageleveres efter punkt 11.
  • Karakter og formål: Indsamling, registrering, opbevaring, organisering, visning, analyse og sletning af de i bilag A nævnte data udelukkende med det formål at levere og drive tjenesten over for den Dataansvarlige.

De nærmere kategorier af registrerede og personoplysninger fremgår af bilag A.

4. Den Dataansvarliges instruks

Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den Dataansvarlige, herunder for så vidt angår overførsel til tredjelande, medmindre EU-ret eller dansk ret kræver andet. Hovedaftalen, denne Aftale og den Dataansvarliges brug af tjenestens funktioner udgør den fulde, dokumenterede instruks. Hvis en instruks efter Databehandlerens vurdering er i strid med Databeskyttelseslovgivningen, underretter Databehandleren den Dataansvarlige herom.

5. Fortrolighed

Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. Adgang til kundedata er begrænset til det personale, der har et arbejdsbetinget behov.

6. Behandlingssikkerhed (art. 32)

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der svarer til risikoen. De konkrete foranstaltninger fremgår af bilag C og omfatter bl.a.:

  • Isolation pr. kunde — hver kunde kører i en dedikeret instans med separat database og separat netværk. Ingen multi-tenant-database deles på tværs af kunder.
  • Kryptering i transit via TLS (HTTPS) med HSTS, og kryptering i hvile af private nøgler med AES-256-GCM.
  • Adgangsstyring — autentificerede sessioner, bcrypt-hashede adgangskoder, brute-force-lockout, CSRF-beskyttelse, scopede API-tokens og valgfri to-faktor-godkendelse (TOTP).
  • Audit-log pr. instans over administrative handlinger samt daglige backups pr. kundeinstans, opbevaret i EU.
  • Dataminimering og maskering — interne hostnavne maskeres til [maskeret], inden data forlader kundens netværk via on-premise agenten.

7. Underdatabehandlere (art. 28, stk. 2 og 4)

Den Dataansvarlige giver hermed Databehandleren en generel forhåndsgodkendelse til at gøre brug af underdatabehandlere til levering af tjenesten. De aktuelle underdatabehandlere fremgår af bilag B.

Databehandleren underretter den Dataansvarlige om planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med rimeligt varsel, så den Dataansvarlige har mulighed for at gøre indsigelse, inden ændringen træder i kraft. Databehandleren pålægger enhver underdatabehandler de samme databeskyttelsesforpligtelser som dem, der er fastsat i denne Aftale, og forbliver fuldt ansvarlig over for den Dataansvarlige for underdatabehandlerens opfyldelse heraf.

8. Bistand til den Dataansvarlige

Databehandleren bistår, under hensyntagen til behandlingens karakter og så vidt muligt, den Dataansvarlige med:

  • at opfylde anmodninger fra registrerede om udøvelse af deres rettigheder (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse). Den Dataansvarlige kan til enhver tid selvbetjent eksportere og slette data direkte i sin instans;
  • at overholde forpligtelserne efter GDPR art. 32-36 (behandlingssikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring), under hensyntagen til de oplysninger, Databehandleren råder over.

9. Persondatabrud (art. 33, stk. 2)

Databehandleren underretter den Dataansvarlige uden unødig forsinkelse, efter at være blevet bekendt med et persondatabrud, der vedrører personoplysninger behandlet på den Dataansvarliges vegne. Underretningen indeholder de oplysninger, der med rimelighed er tilgængelige, så den Dataansvarlige kan opfylde sin egen eventuelle anmeldelsespligt over for tilsynsmyndigheden (jf. art. 33, stk. 1) inden for 72 timer.

10. Overførsel til tredjelande

Personoplysningerne hostes og behandles inden for EU/EØS. Data overføres ikke til lande uden for EU/EØS som led i den normale drift. Skulle en overførsel undtagelsesvis blive nødvendig, sker den kun efter den Dataansvarliges instruks og på et gyldigt overførselsgrundlag efter GDPR kapitel V (fx EU-Kommissionens standardkontraktbestemmelser, SCC).

11. Sletning eller tilbagelevering ved ophør

Den Dataansvarlige kan til enhver tid og selvbetjent eksportere sine data fra tjenesten (certifikatregister, rapporter og øvrige data) direkte fra sin instans. Ved ophør af Hovedaftalen sletter eller tilbageleverer Databehandleren efter den Dataansvarliges valg alle personoplysninger og sletter eksisterende kopier, medmindre EU-ret eller dansk ret kræver fortsat opbevaring. Backups udløber efter den fastsatte opbevaringsperiode.

12. Revision og inspektion (art. 28, stk. 3, litra h)

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af art. 28, til rådighed for den Dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der gennemføres af den Dataansvarlige eller en anden revisor bemyndiget af den Dataansvarlige. Revisioner varsles med rimeligt varsel, gennemføres i normal arbejdstid og må ikke unødigt forstyrre Databehandlerens drift. Databehandleren kan opfylde dele af denne forpligtelse ved at fremlægge dokumentation for sine sikkerhedsforanstaltninger og besvare sikkerhedsspørgeskemaer.

13. Ansvar, varighed og lovvalg

Parternes ansvar reguleres af Hovedaftalen. Aftalen er gældende, så længe Databehandleren behandler personoplysninger på den Dataansvarliges vegne. Aftalen er underlagt dansk ret, og enhver tvist afgøres ved de danske domstole, jf. Hovedaftalens værnetingsbestemmelse.

Bilag A — Oplysninger om behandlingen

Kategorier af registrerede: Den Dataansvarliges brugere/medarbejdere (kontoindehavere) samt eventuelle personer, hvis oplysninger måtte fremgå af certifikat- eller domænedata.

Kategorier af personoplysninger:

  • Kontooplysninger: navn, e-mailadresse, firmatilknytning og adgangskode (bcrypt-hashed).
  • Tekniske oplysninger: certifikat-metadata, domæner og hostnavne (interne maskeret), TLS-konfiguration, scanresultater.
  • Brugs- og logoplysninger: IP-adresser, sessionsidentifikatorer og audit-log over handlinger i tjenesten.

Særlige kategorier (følsomme oplysninger): Behandles ikke. Tjenesten er ikke beregnet til behandling af følsomme personoplysninger efter GDPR art. 9.

Bilag B — Underdatabehandlere

Underdatabehandler Formål Lokation
Hostinger International Ltd. Hosting og infrastruktur (VPS) Frankfurt, Tyskland (EU)

Transaktionsmails og PDF-generering afvikles på Databehandlerens egen, self-hostede infrastruktur i samme EU-miljø og involverer ikke yderligere tredjeparter. Listen vedligeholdes; ændringer varsles efter punkt 7.

Bilag C — Tekniske og organisatoriske foranstaltninger

  • Hosting i EU: data hostes hos en EU-baseret udbyder i et datacenter i Frankfurt. Data forlader ikke EU under normal drift.
  • Isolation pr. kunde: dedikeret instans med separat database og netværk; ingen delte ressourcer på tværs af kunder.
  • Kryptering: TLS/HTTPS i transit med HSTS; private nøgler krypteret i hvile med AES-256-GCM.
  • Adgangskontrol: autentificerede sessioner, bcrypt-hashede adgangskoder, brute-force-lockout, CSRF-beskyttelse, Content-Security-Policy, scopede API-tokens og valgfri TOTP-to-faktor.
  • Logning og robusthed: audit-log pr. instans og daglige backups pr. kundeinstans, opbevaret i EU.
  • Dataminimering: maskering af interne hostnavne; on-premise agenten kommunikerer udelukkende udgående via HTTPS uden indgående porte eller fjernudførelse.

Kontakt

For spørgsmål til denne databehandleraftale eller for at få den udfærdiget til underskrift:
Certiva ApS (CVR: 46450965)
Nøddehaven 1, 3500 Værløse, Danmark
Tlf.: +45 25 68 14 03
E-mail: mail@certcontrol.pro
Web: certcontrol.pro/da/contact