Databehandlervilkår

1. Parter og roller

Kunden er dataansvarlig, og Shiftentra, Finlandsgade 26, st. tv., 6700 Esbjerg, CVR 46650735, er databehandler. Vilkårene udgør parternes databehandleraftale efter GDPR artikel 28.

2. Behandlingens rammer

Behandlingen varer, så længe abonnementet og en eventuel efterfølgende lovlig opbevaringsperiode består. Formålet er at levere sikker vagtplanlægning, tidsregistrering, personaleadministration, kommunikation, support og dokumentation.

Behandlingen omfatter indsamling, registrering, strukturering, opbevaring, søgning, visning, overførsel efter instruks, rettelse, sikkerhedskopiering og sletning.

3. Registrerede og oplysninger

De registrerede er navnlig kundens medarbejdere, ledere, administratorer og andre personer, kunden lovligt opretter. Oplysningerne kan omfatte identitets- og kontaktoplysninger, ansættelsesoplysninger, personalegruppe og rolle, vagt- og fraværsdata, ind- og udstempling, pauser, beskeder, tekniske sikkerhedslogs og dokumentation af ændringer.

Kunden må ikke indlæse følsomme oplysninger, medmindre det er nødvendigt, lovligt og aftalt.

4. Kundens instruks

Shiftentra behandler kun oplysninger efter kundens dokumenterede instruks, som består af aftalen, kundens brug af funktionerne og efterfølgende skriftlige instrukser. Hvis en instruks efter Shiftentras vurdering strider mod databeskyttelsesreglerne, underrettes kunden, og behandlingen kan sættes på pause.

5. Shiftentras forpligtelser

• Kun personer med et arbejdsbetinget behov og fortrolighedspligt får adgang.
• Der anvendes passende tekniske og organisatoriske sikkerhedsforanstaltninger, herunder adgangskontrol, organisationsadskillelse, logning og beskyttelse under transport.
• Kunden bistås rimeligt med registreredes rettigheder, sikkerhedsvurderinger, konsekvensanalyser og kontakt til tilsynsmyndigheder.
• Et brud på persondatasikkerheden meddeles kunden uden unødig forsinkelse, når Shiftentra bliver bekendt med det.
• Nødvendig dokumentation stilles til rådighed, og rimelig revision kan gennemføres efter aftale uden at kompromittere andre kunders data eller sikkerheden.

6. Underdatabehandlere

Kunden giver generel godkendelse til brug af underdatabehandlere. Den aktuelle og nærmere beskrevne liste findes på siden om underdatabehandlere. Listen omfatter blandt andet Vercel til hosting og fillagring, Neon til database, Resend til driftsmails og, når kunden aktivt bruger AI-funktioner, OpenAI til den konkrete AI-behandling. Stripe behandler betalingsoplysninger i sin egen rolle efter betalingsforløbets vilkår.

Underdatabehandlere pålægges databeskyttelsesforpligtelser, der i det væsentlige svarer til disse vilkår. Væsentlige ændringer varsles normalt 30 dage før. Kunden kan gøre saglig indsigelse; kan parterne ikke finde en sikker løsning, kan den berørte behandling eller aftalen ophøre.

7. Overførsler uden for EU/EØS

Oplysninger overføres kun uden for EU/EØS, når der findes et gyldigt overførselsgrundlag, eksempelvis en tilstrækkelighedsafgørelse eller EU-Kommissionens standardkontraktbestemmelser, og nødvendige supplerende sikkerhedsforanstaltninger er vurderet.

8. Ophør, returnering og sletning

Kunden skal hente nødvendige udtræk inden adgangens ophør. Efter aftalens afslutning slettes eller returneres personoplysninger efter kundens valg, medmindre EU-ret eller dansk ret kræver fortsat opbevaring. Sikkerhedskopier udfases efter den normale, sikrede rotationsperiode og anvendes ikke til andre formål.

9. Kontakt

Instrukser og spørgsmål om databehandling sendes til kontakt@shiftentra.com.