Databehandleraftale

Calco behandler personoplysninger på vegne af den Dataansvarlige med det formål at levere Calco-tjenesten, herunder generering af tilbud og relaterede funktioner. Behandlingen sker udelukkende for at stille tjenestens funktioner til rådighed for den Dataansvarlige og i overensstemmelse med vilkårene og denne Aftale. Behandlingen varer så længe den Dataansvarlige anvender tjenesten.

Når Calco bruger samlede mønstre på tværs af kunder til at forbedre tjenesten (fx hvilken grossistvare der passer til en tilbudslinje), sker det som selvstændig dataansvarlig og kun med mønstre, som mindst tre uafhængige virksomheder har bekræftet. Priser samt slutkunders navne og adresser indgår ikke. Se Calcos privatlivspolitik.

• Slutkunders og kontakters personoplysninger: navn, adresse og kontaktoplysninger (e-mail, telefon)
• Indhold i tilbud, herunder opgavebeskrivelser samt billeder og dokumenter, som den Dataansvarlige uploader, og som kan indeholde personoplysninger
• Slutkunders svar på tilbudslinks: tidspunkt og IP-adresse ved accept eller afvisning, en eventuel begrundelse for afvisning og kvittering for oplysning om fortrydelsesret
• Mails i en forbundet indbakke (Microsoft 365 eller Google Workspace), hvis den Dataansvarlige forbinder den: afsenders navn og e-mail, emne, tekst og oplysninger om vedhæftede filer
• Oplysninger, der deles med eller modtages fra en partnervirksomhed via Calco Connect, samt navn, e-mail, telefon og CVR på inviterede virksomheder
• Den Dataansvarliges egne medarbejdere (brugere): navn, e-mail, telefon og brugeraktivitet i tjenesten, herunder IP-adresse og browseroplysninger i revisionsloggen
• Adgangsnøgler og tokens til systemer, som den Dataansvarlige forbinder (ordrestyring, regnskab og indbakke), krypteret med AES-256

Calco behandler kun personoplysninger efter dokumenteret instruks fra den Dataansvarlige, herunder i forhold til overførsel til tredjelande, medmindre EU-ret eller dansk ret kræver andet. Instruksen udgøres af denne Aftale, vilkårene og den Dataansvarliges brug af tjenesten. Calco underretter straks den Dataansvarlige, hvis Calco mener, at en instruks strider mod databeskyttelsesreglerne.

Calco sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. Adgang gives kun til personer, for hvem det er nødvendigt for at opfylde Calcos forpligtelser.

Calco gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der svarer til risikoen, jf. artikel 32, herunder kryptering i transit (TLS 1.2 eller nyere), kryptering af API-nøgler og andre følsomme credentials via AES-256 (pgcrypto), adgangsstyring og row-level security i databasen samt logning af adgang og hændelser.

Den Dataansvarlige giver hermed generel godkendelse til, at Calco anvender følgende underdatabehandlere:

• Supabase Inc. (database, login og fillager - data ligger i EU, Frankfurt)
• Cloudflare Inc. (hosting, netværk og anonym statistik - USA, globalt netværk)
• Anthropic PBC (beregning af tilbud og vurdering af indbakke-mails - USA)
• Resend Inc. (afsendelse af e-mail - USA)
• Stripe (betaling - Irland/USA)
• Expo / 650 Industries Inc. (push-beskeder og app-opdateringer - USA)
• Telegram (interne driftsalarmer til Calcos team - De Forenede Arabiske Emirater)
• Google (kalenderinvitation ved onboarding samt læsning af Gmail, kun hvis den forbindes - Irland/USA)
• Microsoft (læsning af Outlook-indbakke, kun hvis den forbindes - Irland/USA)
• De ordrestyrings- og regnskabssystemer, som den Dataansvarlige selv vælger at forbinde: Apacta, Minuba, Ordrestyring, Kompas4, e-conomic, Dinero, Billy eller Fortnox

Adresseopslag til beregning af kørsel: danske adresser slås op hos Dataforsyningen (den danske stat), norske hos Kartverket (den norske stat) og svenske hos OpenStreetMap Foundation (Nominatim, Storbritannien - EU-godkendt beskyttelsesniveau). Der sendes kun vej, husnummer, postnummer og by - aldrig navne eller andre oplysninger om kunden.

Calco varsler ændringer i brugen af underdatabehandlere mindst 30 dage i forvejen, og den Dataansvarlige kan gøre indsigelse mod ændringen. Overførsler til tredjelande sker på grundlag af EU-Kommissionens standardkontraktbestemmelser (SCC) og, hvor modtageren er tilsluttet, EU-US Data Privacy Framework. Calco indgår en skriftlig aftale med hver underdatabehandler, der pålægger denne de samme databeskyttelsesforpligtelser som i denne Aftale, og Calco hæfter for underdatabehandlernes overholdelse heraf.

Calco bistår i det omfang det er muligt den Dataansvarlige med passende tekniske og organisatoriske foranstaltninger med at besvare anmodninger fra registrerede om udøvelse af deres rettigheder, herunder indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse.

Calco bistår den Dataansvarlige med at sikre overholdelse af forpligtelserne efter artikel 32-36, herunder behandlingssikkerhed, anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden og de registrerede, konsekvensanalyser vedrørende databeskyttelse (DPIA) samt forudgående høring af tilsynsmyndigheden, under hensyntagen til behandlingens karakter og de oplysninger, Calco har til rådighed.

Calco underretter den Dataansvarlige uden unødigt ophold efter at være blevet bekendt med et brud på persondatasikkerheden. Underretningen indeholder de relevante oplysninger om bruddet, herunder karakteren af bruddet, de berørte kategorier af oplysninger og registrerede, de sandsynlige konsekvenser samt de foranstaltninger, der er truffet eller foreslås truffet.

Ved ophør af tjenesten sletter eller tilbageleverer Calco efter den Dataansvarliges valg alle personoplysninger senest 30 dage efter ophør og sletter eksisterende kopier, medmindre EU-ret eller dansk ret kræver fortsat opbevaring af personoplysningerne.

Calco stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af forpligtelserne i denne Aftale, til rådighed for den Dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den Dataansvarlige eller en anden revisor, som den Dataansvarlige har bemyndiget.