Databehandleraftale

1. Parterne

Den dataansvarlige: den virksomhed, der har bestilt testen, som angivet i bestillingen (navn og CVR-nummer).

Databehandleren: Mark Jessing (Hvidvasktjek), CVR 46768167, kontakt@lcarapport.dk.

2. Formål og instruks

Databehandleren behandler personoplysninger på den dataansvarliges vegne alene for at udføre den bestilte uafhængige test af hvidvaskpolitikker og udarbejde rapporten. Bestillingen og denne aftale udgør den dataansvarliges dokumenterede instruks. Databehandleren må ikke behandle oplysningerne til andre formål. Mener databehandleren, at en instruks er i strid med databeskyttelsesreglerne, underretter databehandleren straks den dataansvarlige.

3. Hvilke oplysninger og registrerede

• Registrerede: den dataansvarliges kunder, kunders reelle ejere og kontaktpersoner samt den dataansvarliges ansatte, i det omfang de fremgår af de uploadede dokumenter.
• Oplysninger: almindelige oplysninger som navn, kundenummer, virksomhedsoplysninger, ejerforhold, rolle og oplysninger om kundekendskabsprocedurer. Der kan forekomme oplysninger om strafbare forhold i undersøgelsesnotater.
• CPR-numre må ikke uploades. Den dataansvarlige overstreger dem, før dokumenterne sendes. Modtager databehandleren alligevel CPR-numre, behandles de efter denne aftale og slettes sammen med øvrige uploads.

4. Varighed og sletning

Aftalen gælder, så længe databehandleren behandler oplysninger for den dataansvarlige. Uploadede dokumenter slettes automatisk senest 90 dage efter, at rapporten er leveret, og ved annullering. Den dataansvarlige kan bede om tidligere sletning eller tilbagelevering. Rapporten indeholder ikke CPR-numre og opbevares som dokumentation for den leverede ydelse.

5. Fortrolighed

Kun databehandleren selv har adgang til oplysningerne. Personer, der måtte få adgang, er underlagt tavshedspligt. Databehandleren er opmærksom på tavshedspligten i hvidvasklovens § 38 om undersøgelser og underretninger.

6. Sikkerhed (artikel 32)

• Overførsel sker krypteret (HTTPS). Uploadlinket er personligt og tilfældigt genereret.
• Dokumenterne gemmes på en server i EU, som kun databehandleren har adgang til, med tilfældige filnavne uden for den offentlige hjemmeside.
• Administrationsadgang kræver adgangskode. Der bruges ingen cookies eller sporing på siden.
• Oplysningerne bruges ikke til andre kunder, til markedsføring eller til træning af systemer.

7. Underdatabehandlere

Den dataansvarlige giver generel godkendelse til følgende underdatabehandlere:

• Webdock ApS (Danmark): hosting af server og database.
• Mailudbyderen, der leverer bekræftelsesmails (indeholder kun navn, firma og link, ikke dokumenter).

Databehandleren underretter den dataansvarlige mindst 30 dage før en ny underdatabehandler tages i brug, så den dataansvarlige kan gøre indsigelse. Underdatabehandlere pålægges samme forpligtelser som i denne aftale.

8. Overførsel til tredjelande

Oplysningerne overføres ikke til lande uden for EU/EØS.

9. Bistand til den dataansvarlige

Databehandleren bistår så vidt muligt den dataansvarlige med at besvare anmodninger fra registrerede (fx om indsigt eller sletning) og med at overholde artikel 32-36, under hensyn til behandlingens art og de oplysninger, databehandleren har.

10. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud, så den dataansvarlige kan anmelde det til Datatilsynet inden for 72 timer.

11. Dokumentation og revision

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise, at artikel 28 og denne aftale overholdes, og giver mulighed for revision, herunder inspektion, foretaget af den dataansvarlige eller en revisor, som den dataansvarlige har bemyndiget. Rimelige omkostninger ved inspektion afholdes af den dataansvarlige.

12. Ophør, prioritet og lovvalg

Ved aftalens ophør slettes alle uploadede dokumenter, medmindre lovgivning kræver opbevaring. Ved uoverensstemmelse mellem denne aftale og betingelserne går denne aftale forud for så vidt angår behandling af personoplysninger. Dansk ret gælder.

Version 1.0 af 3. oktober 2026. Accepten gemmes med tidspunkt og versionsnummer på bestillingen.