Databehandleraftale
Aftale om behandling af personoplysninger efter databeskyttelsesforordningens artikel 28.
ScaleGroup ApS ("Scaleweb")
CVR-nr.: 44921995
Adresse: Hovedvejen 76, 2600 Glostrup
Gældende fra 1. oktober 2026 — version 1.0
Denne databehandleraftale er en integreret del af aftalen mellem kunden og Scaleweb og gælder, så længe Scaleweb behandler personoplysninger på kundens vegne. Ved uoverensstemmelse mellem denne aftale og handelsbetingelserne går denne aftale forud for så vidt angår behandling af personoplysninger.
1. Parterne og rollefordelingen
1.1. Kunden er dataansvarlig. Scaleweb er databehandler.
1.2. Aftalen omfatter de personoplysninger, som Scaleweb behandler på kundens vegne, når kunden bruger Scalewebs tjenester — herunder hjemmeside, database, mailbokse, kontaktformularer, besøgsstatistik og kundeportal.
1.3. Scaleweb er selvstændig dataansvarlig for oplysninger om kunden som virksomhed og om kundens kontaktpersoner, herunder navn, e-mail, telefon, adresse, CVR og betalingsoplysninger. Den behandling er beskrevet i privatlivspolitikken og er ikke omfattet af denne aftale.
1.4. Kunden indestår for at have et gyldigt behandlingsgrundlag for de personoplysninger, der behandles gennem tjenesterne, og for at have opfyldt sin oplysningspligt over for de registrerede.
2. Instruks
2.1. Scaleweb behandler alene personoplysninger efter dokumenteret instruks fra kunden. Denne aftale, handelsbetingelserne og kundens brug af tjenesterne udgør instruksen.
2.2. Scaleweb behandler ikke personoplysninger til egne formål.
2.3. Scaleweb kan anvende statistik om brugen af tjenesterne til drift, fejlfinding og videreudvikling. Dette sker udelukkende i anonymiseret form, hvor enkeltpersoner ikke kan identificeres — hverken direkte eller ved sammenstilling.
2.4. Scaleweb underretter kunden, hvis en instruks efter Scalewebs vurdering strider mod databeskyttelseslovgivningen.
3. Varighed
3.1. Aftalen gælder, så længe Scaleweb behandler personoplysninger for kunden.
3.2. Ved ophør sletter Scaleweb oplysningerne efter punkt 9.
4. Kategorier af registrerede og personoplysninger — bilag A
4.1. Kategorier af registrerede: kundens egne kunder, brugere og besøgende; personer der skriver til kunden; kundens medarbejdere med adgang til kundeportalen; samt afsendere og modtagere af post til og fra kundens mailbokse.
4.2. Kategorier af personoplysninger:
| Hvor | Oplysninger |
|---|---|
| Mailbokse | Indholdet af al ind- og udgående post, herunder vedhæftede filer, samt afsender- og modtageradresser |
| Kontaktformularer på hjemmesiden | Navn, e-mail, telefon, virksomhed, emne, beskedtekst og afsenderens IP-adresse |
| Kundens egen database | De oplysninger kundens løsning selv indsamler. Indholdet bestemmes af kunden — for en køreskole typisk elevoplysninger, bookinger og betalinger |
| Supportsager | Det kunden selv skriver eller vedhæfter, hvilket kan omfatte oplysninger om kundens egne brugere |
| Filer og billeder | Materiale kunden eller kundens brugere lægger op |
| Besøgsstatistik | Besøgte sider, henvisningskilde, enhedstype og geografi på byniveau |
| Kundeportalen | Navn, e-mail, rolle samt login- og aktivitetslog med IP-adresse og user-agent for kundens egne medarbejdere |
| Telefoni | Telefonnumre og eventuelle opkaldsoptagelser, når kunden kontakter supporten telefonisk |
4.3. Tjenesterne er ikke indrettet til behandling af følsomme personoplysninger efter artikel 9 eller oplysninger om strafbare forhold. Har kunden brug for at behandle sådanne oplysninger gennem tjenesterne, skal det aftales skriftligt på forhånd.
5. Underdatabehandlere — bilag B
5.1. Kunden giver hermed generel godkendelse til, at Scaleweb anvender underdatabehandlere.
5.2. Scaleweb har indgået databehandleraftaler med sine underdatabehandlere, der pålægger dem forpligtelser svarende til Scalewebs egne efter denne aftale.
5.3. På tidspunktet for denne version anvendes følgende underdatabehandlere:
| Underdatabehandler | Formål | Hvilke oplysninger | Placering |
|---|---|---|---|
| Hetzner Online GmbH | Servere, lagring, sikkerhedskopier | Alt hostet indhold: hjemmeside, database, mailbokse, filer og backups | EU |
| Resend | Udsendelse af systemmails og videresendelse af kundens udgående post | Afsender, modtager, emne og indhold | EU/USA |
| Amazon Web Services (SES) | Afsendelse af e-mail | Afsender, modtager, emne og indhold | EU (eu-north-1, Stockholm) |
| Anthropic | AI-assistent i kundeportalen, SEO-analyse og AI-assisteret opbygning af hjemmesider | Portalsamtaler, fakturaoversigter, supportsager, tekst fra kontaktformularer samt kildekoden til kundens hjemmeside | USA |
| Matomo Cloud (InnoCraft Ltd.) | Besøgsstatistik | Besøgsdata: sider, henvisninger, enhedstype og geografi på byniveau | EU |
| Curanet A/S (team.blue) | Domæneregistrering og DNS | Registrantens navn, adresse, e-mail, telefon og CVR | Danmark |
| DK Hostmaster A/S | Registrering af .dk-domæner (via Curanet) | Registrantoplysninger | Danmark |
| Stripe | Betalinger og abonnementer — også betalinger foretaget af kundens egne slutbrugere, hvor dette indgår i løsningen | Navn, e-mail, adresse, betalingsoplysninger | EU/USA |
| Expo, Apple (APNs) og Google (FCM) | Push-beskeder til Scaleweb-appen | Enheds-tokens samt titel og tekst i beskeden | EU/USA |
| Browserudbydernes push-tjenester | Push-beskeder i browseren | Abonnements-endpoint og beskedindhold. Udbyderen bestemmes af brugerens egen browser | EU/USA |
| Zendesk | Supporthenvendelser | Navn, e-mail og indholdet af henvendelsen | EU/USA |
| Samtaler.dk | Telefoni | Telefonnumre på begge parter samt eventuelle opkaldsoptagelser | Danmark |
| DataForSEO | SEO-data og indhentning af Google-anmeldelser | Kundens domæne og søgeord. Returnerer anmeldelser inkl. anmelderens navn | EU/USA |
| Google LLC | Hastighedsmåling (PageSpeed) og intern alarmering via Google Chat | Offentlige side-URL'er. Alarmbeskeder kan indeholde modtager-e-mailadresser fra mailserverens log | EU/USA |
| GitHub, Inc. | Kodelager for kundens hjemmeside | Kildekode og indhold, der er lagt i kodelageret | USA |
| Visma Dinero | Bogføring | Faktureringsoplysninger: navn, adresse, e-mail, CVR | EU |
| Let's Encrypt (ISRG) | TLS-certifikater | Domænenavne. Disse offentliggøres i Certificate Transparency-logs | USA |
5.4. Servere, lagring og sikkerhedskopier ligger hos Hetzner Online GmbH i EU. Scaleweb driver ikke eget datacenter.
5.5. Scaleweb varsler skriftligt, mindst 30 dage før en underdatabehandler udskiftes eller tilføjes. Kunden kan gøre indsigelse inden ikrafttrædelsen. Kan parterne ikke finde en løsning, kan kunden opsige aftalen efter handelsbetingelsernes punkt 4.
6. Overførsel til tredjelande
6.1. Hovedparten af behandlingen sker inden for EU/EØS.
6.2. Enkelte underdatabehandlere er etableret i USA, jf. bilag B. Overførsel hertil sker på grundlag af EU-Kommissionens standardkontraktbestemmelser og, hvor leverandøren er certificeret, EU-U.S. Data Privacy Framework.
6.3. Scaleweb overfører ikke personoplysninger til andre tredjelande uden forudgående skriftlig aftale med kunden.
7. Sikkerhed — bilag C
7.1. Scaleweb træffer de tekniske og organisatoriske foranstaltninger, der fremgår nedenfor, jf. databeskyttelsesforordningens artikel 32.
| Område | Foranstaltning |
|---|---|
| Kryptering under transport | TLS på alle offentlige endepunkter med automatisk udstedelse og fornyelse af certifikater (Let's Encrypt) samt HSTS. Mailadgang sker over IMAPS. |
| Kryptering af integrationsnøgler | Adgangsnøgler til tredjepartstjenester gemmes krypteret (AES-256-GCM). Driftshemmeligheder opbevares som forseglede hemmeligheder. |
| Adgangskoder | Adgangskoder gemmes aldrig i klartekst; de hashes med bcrypt. |
| Adgangsstyring | Rollebaseret adgang. Adgang til en kundes data forudsætter ejerskab eller en eksplicit teamtildeling med angivne rettigheder. Scalewebs medarbejdere har adgang i det omfang, det er nødvendigt for support og drift. |
| Sessioner og tokens | Kortlivede signerede adgangstokens (EdDSA, 2 timer). Det enkelte token kan spærres ved logout, og samtlige tokens for en bruger kan spærres med øjeblikkelig virkning. |
| To-faktor | To-faktor-login (TOTP) kan aktiveres på den enkelte konto, med engangskoder til gendannelse af adgang. |
| Logning af følsomme handlinger | Der føres log over følsomme administrative handlinger — herunder visning af hemmeligheder, rolleændringer, adgang som en anden bruger (impersonation) og sletning af kunder — med aktør, tidspunkt, IP og user-agent. |
| Adskillelse mellem kunder | Hver kunde kører i sit eget isolerede miljø med egen database og egne mailbokse. Driftsværktøjet kan kun ændre miljøer, der er mærket som kundemiljøer, og afviser Scalewebs egne systemmiljøer. |
| Sikkerhedskopier | Daglig sikkerhedskopiering af database og mail til objektlagring i EU med 30 dages opbevaring. Kopierne gendannes automatisk hver nat som kontrol, og der udsendes alarm, hvis en gendannelse fejler eller udebliver. |
| Overvågning | Automatisk overvågning af oppetid og driftsfejl døgnet rundt med alarmering. |
| Logopbevaring | Adgangslogs fra kantlaget, som indeholder IP-adresser, opbevares i 30 dage. |
| Sletning | Trinvis og varslet nedlukning ved ophør: hjemmesiden lukkes efter 30 dage, og driftsmiljøet — database, mailbokse, DNS og kodelager — slettes efter 60 dage. |
7.2. Listen beskriver de foranstaltninger, der faktisk er indført. Foranstaltninger, der ikke fremgår, er ikke indført, og kunden kan ikke lægge til grund, at de findes.
7.3. Foranstaltningerne kan ændres, hvis de erstattes af tilsvarende eller bedre. Væsentlige forringelser varsles efter punkt 5.5.
7.4. Scaleweb sikrer, at medarbejdere med adgang til personoplysninger er pålagt fortrolighed.
8. Bistand til kunden
8.1. Scaleweb bistår kunden med at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning og dataportabilitet.
8.2. Henvender en registreret sig direkte til Scaleweb, videresender Scaleweb henvendelsen til kunden og besvarer den ikke selv.
8.3. Scaleweb bistår kunden med sikkerhed, anmeldelse af brud og konsekvensanalyser efter forordningens artikel 32-36.
8.4. Bistand efter dette punkt ydes uden særskilt betaling i sædvanligt omfang.
9. Brud på persondatasikkerheden
9.1. Scaleweb underretter kunden uden unødig forsinkelse og senest 24 timer efter at have konstateret et brud på persondatasikkerheden.
9.2. Underretningen beskriver bruddets karakter, de berørte kategorier og det omtrentlige antal registrerede, de sandsynlige konsekvenser samt de foranstaltninger, der er truffet.
9.3. Det er kunden, der som dataansvarlig anmelder bruddet til Datatilsynet og eventuelt underretter de registrerede.
10. Sletning ved ophør
10.1. Ved ophør slettes driftsmiljøet efter handelsbetingelsernes punkt 6.4: hjemmesiden lukkes efter 30 dage, og database, mailbokse, DNS og kodelager slettes efter 60 dage.
10.2. Kunden kan frem til sletningen gratis anmode om at få udleveret sine data. Der opkræves ikke gebyr for at forlade Scaleweb.
10.3. Domænet er registreret i kundens eget navn og følger kunden.
10.4. Sikkerhedskopier udløber automatisk senest 30 dage efter sletningen.
10.5. Oplysninger i Scalewebs administrationssystem opbevares efter handelsbetingelsernes punkt 6.8. Kunden kan anmode om sletning af disse oplysninger, i det omfang anden lovgivning ikke kræver dem opbevaret.
10.6. Bogføringsmateriale opbevares i 5 år i henhold til bogføringsloven.
11. Revision og dokumentation
11.1. Scaleweb stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelsen af artikel 28.
11.2. Kunden kan én gang årligt anmode om dokumentation for Scalewebs sikkerhedsforanstaltninger. Anmodningen besvares skriftligt inden 30 dage.
11.3. Ønsker kunden en fysisk revision ud over dette, aftales omfang og tidspunkt skriftligt, og kunden afholder omkostningerne.
12. Ansvar
12.1. Parterne hæfter efter databeskyttelsesforordningens artikel 82 og dansk ret.
12.2. Handelsbetingelsernes ansvarsbegrænsning i punkt 9.6 gælder ikke for bøder eller erstatning pålagt efter databeskyttelseslovgivningen.
13. Ikrafttræden, ændringer og lovvalg
13.1. Aftalen træder i kraft, når kunden indgår aftale med Scaleweb, og erstatter tidligere aftaler om behandling af personoplysninger.
13.2. Ændringer varsles efter punkt 5.5.
13.3. Aftalen er underlagt dansk ret, og tvister afgøres ved Retten i Glostrup.
13.4. Spørgsmål til denne aftale rettes til info@scaleweb.dk.