Ikrafttrædelsesdato: 24. maj 2026 — Version 1.1 (opdateret 29. maj 2026)
Denne Databehandleraftale (DPA) supplerer Vilkår for brug mellem Kunden ("Dataansvarlig") og PennaSystems ("Databehandler") for at sikre overholdelse af GDPR artikel 28.
Databehandleren behandler kun persondata på vegne af den Dataansvarlige baseret på dokumenteret instruks gennem Dataansvarlighedens brug af platformen. Behandlingen sker kun efter dokumenterede instruktioner.
Databehandleren sikrer passende tekniske foranstaltninger, herunder TLS-kryptering under transport og AES-256-kryptering i hvile.
Notifikation: I tilfælde af et persondata-brud skal Databehandleren underrette Dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på bruddet, hvilket gør det muligt for Dataansvarlige at opfylde sine lovmæssige forpligtelser.
Dataansvarlige giver generel godkendelse til brug af underdatabehandlere (opført på pennapay.com/da/legal/subprocessors). Databehandleren vil underrette registrerede brugere via e-mail mindst 30 dage før tilføjelse af en ny underdatabehandler. Hvis Dataansvarlige gør indsigelse, kan de opsige deres abonnement før ændringen træder i kraft.
Databehandleren forpligter sig til at være vært for den primære database og fillagring inden for EU/EØS. Overførsler til tredjelande er strengt begrænset til nødvendige underdatabehandler-operationer og sikres ved hjælp af GDPR kapitel V-mekanismer, der bygger på EU Standard Contractual Clauses (SCCs) eller tilstrækkelighed som EU-US Data Privacy Framework (DPF).
Dataansvarlige har ret til at verificere overholdelse. Da Databehandleren er en mikrovirksomhed (PMV), opfyldes dette primært ved at levere dokumentation. Hvis Dataansvarlige anmoder om en fysisk revision, aftaler parterne forhåndsaftale om det rimelige omfang og omkostningsfordeling, så Dataansvarliges revisionsrettigheder ikke forhindres.
Ved afslutning af abonnementet sletter Databehandleren alle Dataansvarliges data (inklusive slutklientdata) fra sine systemer inden for en rimelig tidsfrist, medmindre fortsat opbevaring er lovpligtigt påkrævet.