Gældende fra: 22. september 2026 · Version 1.0
Denne databehandleraftale (“Aftalen”) indgås mellem kunden (“den dataansvarlige”) og Sintec ApS, Enghaven 20, 6580 Vamdrup, CVR-nr. 42381861 (“databehandleren”), og gælder, når Sintec behandler personoplysninger på vegne af kunden i forbindelse med levering af software, drift, support eller integrationsydelser.
Aftalen opfylder kravene i databeskyttelsesforordningens (GDPR) artikel 28, stk. 3.
1. Baggrund og formål
Sintec leverer software og integrationer – herunder webshopløsninger, der udveksler data med økonomisystemer og leverandører. I den forbindelse kan Sintec få adgang til personoplysninger, som den dataansvarlige er ansvarlig for. Formålet med behandlingen er alene at levere de aftalte ydelser.
2. Instruks
Sintec behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige. Denne Aftale og den underliggende leveranceaftale udgør den samlede instruks. Sintec underretter straks den dataansvarlige, hvis en instruks efter Sintecs opfattelse strider mod gældende databeskyttelsesret.
Sintec videregiver ikke personoplysninger til tredjemand, medmindre det følger af Aftalen, af den dataansvarliges instruks eller af EU-retlige eller danske regler.
3. Varighed
Aftalen gælder, så længe Sintec behandler personoplysninger for den dataansvarlige, og ophører automatisk sammen med den underliggende leveranceaftale.
4. Behandlingens karakter, kategorier og registrerede
Se Bilag A.
5. Fortrolighed
Sintec sikrer, at de personer, der har adgang til personoplysningerne, er underlagt tavshedspligt, og at adgangen er begrænset til det nødvendige.
6. Behandlingssikkerhed
Sintec træffer de tekniske og organisatoriske foranstaltninger, der er beskrevet i Bilag B, jf. GDPR artikel 32. Foranstaltningerne fastlægges ud fra en risikovurdering, og Sintec kan justere dem, så længe sikkerhedsniveauet ikke forringes.
7. Underdatabehandlere
Den dataansvarlige giver Sintec generel godkendelse til at anvende underdatabehandlere. De aktuelle underdatabehandlere fremgår af Bilag C.
Sintec varsler ændringer eller tilføjelser med mindst 30 dage. Den dataansvarlige kan gøre indsigelse inden for varslingsperioden; kan parterne ikke blive enige, kan den dataansvarlige opsige den berørte ydelse.
Sintec indgår skriftlig aftale med hver underdatabehandler med forpligtelser, der mindst svarer til denne Aftale, og hæfter for underdatabehandlerens opfyldelse.
8. Overførsel til tredjelande
Personoplysninger behandles som udgangspunkt inden for EU/EØS. Overførsel til tredjelande sker kun, hvis der foreligger et gyldigt overførselsgrundlag – for eksempel en beslutning om tilstrækkeligt beskyttelsesniveau eller EU-Kommissionens standardkontraktbestemmelser – og efter forudgående orientering af den dataansvarlige.
9. Bistand til den dataansvarlige
Sintec bistår i rimeligt omfang den dataansvarlige med:
- besvarelse af anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse,
- overholdelse af forpligtelserne i GDPR artikel 32–36, herunder konsekvensanalyser og forudgående høring, og
- anmeldelse af brud på persondatasikkerheden.
Henvender en registreret sig direkte til Sintec, videresender Sintec henvendelsen til den dataansvarlige uden unødig forsinkelse og svarer ikke selv indholdsmæssigt.
10. Brud på persondatasikkerheden
Sintec underretter den dataansvarlige uden unødig forsinkelse og senest 24 timer efter at være blevet opmærksom på et brud. Underretningen indeholder de oplysninger, der er nødvendige for, at den dataansvarlige kan anmelde bruddet til Datatilsynet inden for 72 timer.
11. Dokumentation og tilsyn
Sintec stiller på anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af Aftalen, og giver mulighed for og bidrager til revisioner, herunder inspektioner, der gennemføres af den dataansvarlige eller en af denne bemyndiget revisor.
Tilsyn varsles med mindst 30 dage og gennemføres i almindelig arbejdstid uden unødig forstyrrelse af driften. Den dataansvarlige afholder egne omkostninger og Sintecs dokumenterede timeforbrug, medmindre tilsynet afdækker væsentlig misligholdelse.
12. Sletning og tilbagelevering
Ved ophør sletter eller tilbageleverer Sintec efter den dataansvarliges valg alle personoplysninger, medmindre EU-retten eller dansk ret kræver fortsat opbevaring. Den dataansvarlige skal fremsætte sit valg senest 30 dage efter ophør; herefter slettes oplysningerne.
Bemærk, at oplysninger, der er bogført i den dataansvarliges eget økonomisystem, er omfattet af bogføringslovens opbevaringspligt og ikke slettes af Sintec.
13. Ansvar
Parternes ansvar følger GDPR artikel 82 samt ansvarsbestemmelserne i den underliggende leveranceaftale.
14. Lovvalg og værneting
Aftalen er underlagt dansk ret, og tvister afgøres ved Sintecs værneting.
Bilag A – Behandlingens karakter og omfang
Formål: Levering, drift, vedligeholdelse, support og fejlsøgning af webshop- og integrationsløsninger, herunder overførsel af ordre- og kundedata til den dataansvarliges økonomisystem.
Behandlingens karakter: Indsamling, registrering, opbevaring, strukturering, overførsel, søgning og sletning.
Kategorier af registrerede:
- Kunder og potentielle kunder hos den dataansvarlige
- Kontaktpersoner hos erhvervskunder
- Medarbejdere hos den dataansvarlige med adgang til løsningen
Kategorier af personoplysninger:
- Identifikations- og kontaktoplysninger: navn, firmanavn, adresse, e-mail, telefonnummer, CVR-nummer
- Ordre- og faktureringsoplysninger: ordrenumre, varelinjer, beløb, betalingsmetode, leveringsadresse
- Brugeroplysninger: brugernavn, rolle, IP-adresse og tidsstempler i logfiler
Der behandles ikke følsomme personoplysninger (GDPR artikel 9) eller oplysninger om strafbare forhold. Kortoplysninger behandles ikke af Sintec, men direkte af betalingsudbyderen.
Bilag B – Tekniske og organisatoriske sikkerhedsforanstaltninger
- Al kommunikation mellem webshop, økonomisystem og leverandør-API’er sker krypteret over HTTPS/TLS.
- Adgangsnøgler og tokens opbevares i løsningens konfiguration og er kun tilgængelige for brugere med administratorrettigheder.
- Adgang gives efter mindste privilegium og fjernes, når behovet ophører.
- Løsningen og dens afhængigheder holdes opdateret med sikkerhedsopdateringer.
- Der føres driftslog over integrationens kald og fejl til brug for fejlsøgning. Logs indeholder ikke adgangsnøgler.
- Der tages sikkerhedskopi af webstedet og databasen hos hostingleverandøren.
- Medarbejdere med adgang er underlagt tavshedspligt og instrueres i behandling af personoplysninger.
Bilag C – Godkendte underdatabehandlere
| Underdatabehandler | Ydelse | Placering |
|---|---|---|
| one.com A/S | Webhotel, database og sikkerhedskopi | EU |
| Visma e-conomic A/S | Økonomisystem, som ordre- og kundedata overføres til | EU/Danmark |
Anvender den dataansvarlige yderligere tjenester i løsningen – for eksempel en betalingsgateway eller en mailudbyder – indgår den dataansvarlige selv aftale med disse.
Kontakt
Sintec ApS · Enghaven 20 · 6580 Vamdrup · CVR 42381861
E-mail: info@sintec.dk · Telefon: 26 23 92 20