Databehandleraftale

1. Genstand og varighed

Behandlingen sker udelukkende med det formål at levere gavekortstjenesten: at udstede, levere, opslå og indløse gavekort samt at stille de tilhørende oversigter til rådighed for forretningen.

Aftalen løber, så længe forretningen har en konto hos pirr, og ophører samtidig med kontoen.

2. Kategorier af registrerede og oplysninger

Registrerede er købere og modtagere af gavekort samt forretningens egne brugere. Der behandles almindelige personoplysninger:

• Navn, emailadresse og telefonnummer.
• Den personlige hilsen, køberen skriver til modtageren.
• Ordre-, kort- og indløsningshistorik, herunder beløb og tidspunkter.
• Der behandles ingen særlige kategorier af personoplysninger (følsomme oplysninger).

3. Instruks

Databehandleren behandler alene personoplysninger efter dokumenteret instruks fra den dataansvarlige. Brug af tjenesten efter dens dokumenterede formål udgør en sådan instruks.

Databehandleren underretter den dataansvarlige, hvis en instruks efter databehandlerens opfattelse strider mod databeskyttelsesreglerne.

4. Fortrolighed og sikkerhed

Adgang til personoplysninger er begrænset til de personer, der har behov for det, og disse er underlagt fortrolighedsforpligtelse.

Der er truffet passende tekniske og organisatoriske foranstaltninger, herunder kryptering af data under transport, adgangsstyring baseret på roller, hashede adgangskoder, signerede webhooks og adskillelse af den enkelte forretnings data.

5. Underdatabehandlere

Den dataansvarlige giver generel godkendelse til brug af følgende underdatabehandlere:

• Stripe — betalingsafvikling og legitimering.
• PostStack — udsendelse af email og SMS til købere og modtagere.
• HostStack — hosting og drift af applikation og database.

6. Overførsel til tredjelande

Behandlingen sker som udgangspunkt inden for EU/EØS. Sker der overførsel til et tredjeland gennem en underdatabehandler, sker det på et gyldigt overførselsgrundlag, herunder EU-Kommissionens standardkontraktbestemmelser.

7. Bistand til den dataansvarlige

Databehandleren bistår i rimeligt omfang den dataansvarlige med at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning og begrænsning, samt med sikkerhed, anmeldelse af brud og konsekvensanalyser.

Bliver databehandleren opmærksom på et brud på persondatasikkerheden, underrettes den dataansvarlige uden unødig forsinkelse.

8. Sletning ved ophør

Ved aftalens ophør sletter databehandleren personoplysningerne, medmindre lovgivningen kræver fortsat opbevaring — herunder bogføringslovens krav om fem års opbevaring af regnskabsmateriale.

Den dataansvarlige kan inden ophør anmode om at få udleveret sine data i et almindeligt anvendt format.

9. Revision

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af denne aftale, og muliggør revision efter forudgående skriftlig aftale.