Databehandleraftale for Vufio

Aftalen indgås mellem:

Den dataansvarlige: den hundetræner eller virksomhed, der har oprettet en trænerkonto i Vufio ("Træneren").

og

Databehandleren: DsUniSoft, CVR 44849739, C/O Daniel Sørensen, Dyssevej 53, 4683 Rønnede ("Vufio").

Aftalen accepteres, når Træneren opretter en trænerkonto og accepterer Vufios vilkår. Den er en del af vilkårene.

1. Baggrund og formål

1.1 Træneren bruger Vufio til at registrere og administrere sine kunder, deres hunde og træningen. Træneren er dataansvarlig for disse oplysninger. Vufio behandler dem på Trænerens vegne.

1.2 Aftalen gælder ikke de oplysninger, Vufio selv er dataansvarlig for: brugerkonti og login, hundeejerens egne hundeprofiler, trænerens abonnement og betaling til Vufio, samt drift og sikkerhed af platformen. Dem beskriver Vufios privatlivspolitik.

2. Vufios forpligtelser

2.1 Vufio behandler kun personoplysninger efter Trænerens dokumenterede instruks. Instruksen er at levere Vufio som beskrevet i vilkårene og bilag A, samt det, Træneren selv gør i Vufio (opretter, retter, deler, sletter). Mener Vufio, at en instruks er i strid med databeskyttelsesreglerne, giver Vufio straks besked.

2.2 Vufio sikrer, at de personer, der har adgang til oplysningerne, har tavshedspligt.

2.3 Vufio har ikke som udgangspunkt adgang til Trænerens private noter, videoer eller feedback. Vufio tilgår dem kun, når det er nødvendigt for at løse en fejl, Træneren har bedt om hjælp til, eller hvis loven kræver det.

2.4 Vufio gennemfører de sikkerhedsforanstaltninger, der står i bilag C.

2.5 Vufio hjælper Træneren med at opfylde de registreredes rettigheder (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse). Får Vufio en henvendelse direkte fra en registreret om Trænerens oplysninger, sender Vufio den videre til Træneren uden unødig forsinkelse og svarer ikke selv på den, medmindre Træneren beder om det.

2.6 Vufio hjælper Træneren med konsekvensanalyser og forudgående høring, i det omfang det er relevant for Vufios del af behandlingen.

2.7 Vufio stiller de oplysninger til rådighed, der er nødvendige for at vise, at aftalen overholdes, og giver mulighed for revision (se punkt 7).

3. Underdatabehandlere

3.1 Træneren giver med denne aftale generel godkendelse til, at Vufio bruger underdatabehandlere. De nuværende står i bilag B.

3.2 Vufio giver Træneren besked mindst 30 dage før en ny underdatabehandler tages i brug eller en eksisterende udskiftes. Træneren kan gøre indsigelse. Kan parterne ikke blive enige, kan Træneren opsige abonnementet til ophør, før ændringen træder i kraft.

3.3 Vufio pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og hæfter over for Træneren for deres overholdelse.

4. Overførsel til tredjelande

4.1 Vufio overfører kun personoplysninger til lande uden for EU/EØS, når der er et gyldigt overførselsgrundlag efter GDPR kapitel V, fx EU-Kommissionens beslutning om EU-U.S. Data Privacy Framework for certificerede virksomheder eller EU-Kommissionens standardkontraktbestemmelser. Overførslerne fremgår af bilag B.

5. Brud på persondatasikkerheden

5.1 Vufio underretter Træneren uden unødig forsinkelse og senest 48 timer efter, at Vufio er blevet opmærksom på et brud på persondatasikkerheden, der omfatter Trænerens oplysninger. Så vidt muligt oplyser Vufio, hvad der er sket, hvilke oplysninger og hvor mange personer det omfatter, sandsynlige konsekvenser og hvad der er gjort.

5.2 Vufio hjælper Træneren med at anmelde bruddet til Datatilsynet og underrette de registrerede, hvis det er nødvendigt.

6. Ophør, sletning og tilbagelevering

6.1 Aftalen gælder, så længe Vufio behandler personoplysninger for Træneren.

6.2 Når abonnementet ophører, bliver Trænerens konto skrivebeskyttet i 90 dage, så Træneren kan hente sine oplysninger. Derefter sletter Vufio Trænerens oplysninger, herunder videoer og billeder, medmindre lovgivning kræver, at de opbevares. Træneren kan også selv slette sin konto og alle oplysninger med det samme under Min konto.

6.3 Træneren kan selv hente sine oplysninger i et almindeligt maskinlæsbart format (JSON) under Min konto. Videoer og billeder udleveres som filer på anmodning til info@vufio.dk.

6.4 Sikkerhedskopier slettes løbende inden for 30 dage efter sletningen.

7. Revision og tilsyn

7.1 Vufio giver én gang om året, eller efter et brud på sikkerheden, Træneren en skriftlig redegørelse for, hvordan aftalen overholdes. Vufio henviser desuden til underdatabehandlernes egne revisionserklæringer (fx SOC 2 og ISO 27001).

7.2 Ønsker Træneren en fysisk inspektion, betaler Træneren selv omkostningerne.

8. Ansvar og lovvalg

8.1 Parternes ansvar følger vilkårene for Vufio og GDPR art. 82.

8.2 Aftalen er underlagt dansk ret. Tvister afgøres ved de danske domstole.

---

Bilag A: Behandlingen

Formål: at levere Vufio til Træneren: kundekartotek, hundeprofiler i trænerens kontekst, træningsmål og noter, forløb og øvelser, hjemmeopgaver, videofeedback med tidsstemplede kommentarer og modtagelse af henvendelser fra trænerens offentlige profil.

Behandlingens art: indsamling, registrering, opbevaring, visning, deling med den pågældende hundeejer, afsendelse af e-mailnotifikationer og sletning.

Kategorier af registrerede:

• Trænerens kunder (hundeejere), med og uden Vufio-konto.
• Personer, der sender en henvendelse via trænerens offentlige profil.
• Trænerens medarbejdere, hvis organisationen har flere trænere.
• Personer, der tilfældigt optræder i videoer.

Typer af personoplysninger:

• Navn, e-mail og telefonnummer.
• Oplysninger om kundens hund(e): navn, race, fødselsdato, billede.
• Trænerens noter om kunden og hunden, træningsmål og fremgang.
• Kommentarer fra kunde og træner.
• Videoer og tidsstemplede kommentarer til videoer.
• Beskeder i henvendelser.
• Historik over hændelser i kontoen.

Vufio er ikke beregnet til følsomme personoplysninger (GDPR art. 9) eller personnumre. Træneren må ikke registrere den slags i noter eller kommentarer.

Varighed: så længe Træneren har en konto, plus perioden i punkt 6.2.

Lokation: se bilag B.

Bilag B: Underdatabehandlere

Stripe er ikke underdatabehandler efter denne aftale, fordi Stripe kun behandler Trænerens egne betalingsoplysninger over for Vufio, som Vufio er dataansvarlig for. Bruger Træneren betaling ved booking, sker betalingen på Trænerens egen Stripe-konto efter Trænerens egen aftale med Stripe. Stripe er da Trænerens leverandør, ikke Vufios underdatabehandler. Vufio gemmer beløb, status og Stripes reference til betalingen som en del af Trænerens bookinger.

Bilag C: Sikkerhedsforanstaltninger

• Kryptering af al trafik med HTTPS/TLS.
• Adgangskoder gemmes som PBKDF2-hash med salt.
• Login-sessioner gemmes som hash og udløber efter 30 dage. Cookien er HttpOnly og Secure.
• Adgangskontrol på serveren ved hvert kald. Data er adskilt pr. trænerorganisation, og en træner kan ikke se en anden træners data, heller ikke om en fælles hund. Dette er dækket af automatiske tests.
• Hundeejeren bestemmer, hvilke hunde hver træner må se.
• Videoer og billeder ligger i privat lagring og vises kun via signerede, tidsbegrænsede links (højst 1 time).
• Uploads går direkte til lagringen via signerede links; serveren håndterer ikke selve videofilen.
• Spambeskyttelse (Turnstile) og begrænsning af gentagne indsendelser på den offentlige kontaktformular.
• Hændelseslog pr. organisation.
• Vufios administratorer har ikke som udgangspunkt adgang til private videoer og noter.
• Sikkerhedskopier af databasen gemmes i 30 dage og slettes derefter automatisk.