Databehandleraftale

1. Hvad denne aftale er

Dette er den databehandleraftale, som artikel 28, stk. 3, i databeskyttelsesforordningen (EU) 2016/679 kræver. Den er et bilag til vilkårene for brug og accepteres sammen med dem i det øjeblik, organisationen oprettes.

Den er mellem Kunden som dataansvarlig og Piklo Systems, Tjebberupvej 101, 4300 Holbæk, Danmark, CVR-nummer 32709192, som databehandler. Er de to dokumenter uenige, går dette forud for så vidt angår behandling af personoplysninger.

2. Genstand, varighed, karakter og formål

Genstand. Piklo behandler personoplysninger på Kundens vegne, så Kunden kan drive sine bookinger, kontakte sine egne kunder og tage imod betalinger — det vil sige bruge det produkt, der er beskrevet i vilkårenes afsnit 2.

Varighed. Så længe Kunden har en organisation i Piklo, og derefter i den periode, der står i afsnit 11.

Behandlingens karakter. Opbevaring, strukturering, søgning, videregivelse, berigtigelse og sletning; afsendelse af e-mail på Kundens vegne; videregivelse af betalingsoplysninger til den betalingsudbyder, Kunden har koblet på; drift, vedligehold og fejlretning; backup.

Formål. Udelukkende leveringen af tjenesten. Piklo bruger ikke Kundens data til egne formål, sælger dem ikke, deler dem ikke med andre end de underdatabehandlere, der står i afsnit 8, og bruger dem ikke til at træne modeller.

3. Kategorier af registrerede og oplysninger

Registrerede

• Kundens egne kunder — dem, der booker.
• Kundens medarbejdere og andre, den giver adgang til sin organisation.

Personoplysninger

• Kontaktoplysninger: navn, e-mailadresse, telefonnummer, sprog og adressen på Kundens egne lokationer.
• Bookinger: hvad der blev booket, hvornår, hos hvem, status og historik, holddeltagelse og forløbstilmelding, ventelisteposter.
• Noter, som Kundens medarbejdere skriver om en kunde, i et fritekstfelt. Hvad der skrives i det felt, er Kundens beslutning, og Piklo hverken læser eller strukturerer det.
• Samtykker: at en person har accepteret Kundens bookingvilkår, hvornår, og hvilken version af ordlyden.
• Betalingsreferencer: beløb, valuta, status, betalingsudbyderens egne identifikatorer og kvitteringsadresse og — hvor et kort er gemt til depositum eller gebyr ved udeblivelse — udelukkende kortets type og sidste fire cifre.
• Loyalitet: optjente og brugte point, gavekort og klippekort.
• Loginoplysninger for Kundens medarbejdere: e-mailadresse og de autentifikationsdata, der hører til.
• Helbredsoplysninger — når det er slået til. Piklo Clinic, som tilføjer en journal, findes ikke i dag, og ingen del af det nuværende produkt er designet til eller beregnet på at rumme helbredsoplysninger. Fra den dag det findes, er journalen og de særlige kategorier af oplysninger i den omfattet af denne aftale og af de yderligere vilkår, den måtte kræve.

Piklo modtager og opbevarer aldrig et fuldt kortnummer, en udløbsdato eller en sikkerhedskode. Kortoplysninger indtastes på betalingsudbyderens egen hostede side og når aldrig Piklos systemer.

4. Kundens instruks

Piklo behandler kun personoplysninger efter Kundens dokumenterede instruks. Instruksen er vilkårene for brug, denne aftale og Kundens egen brug af produktet — hver indstilling, Kunden vælger, hvert felt den udfylder, hver besked den sender og hvert udtræk, den beder om, er en instruks.

Piklo giver Kunden besked, hvis en instruks efter Piklos opfattelse strider mod databeskyttelsesforordningen eller anden gældende databeskyttelseslovgivning, og kan suspendere den pågældende behandling, indtil instruksen trækkes tilbage eller bekræftes.

Kræver en retlig forpligtelse, at Piklo behandler data ud over Kundens instruks, oplyser Piklo Kunden om kravet før behandlingen, medmindre loven forbyder det.

5. Fortrolighed

Alle, Piklo bemyndiger til at behandle Kundens personoplysninger, er underlagt en tavshedspligt, der fortsætter efter, at deres arbejde for Piklo ophører — enten gennem ansættelseskontrakt, en skriftlig fortrolighedserklæring eller en faglig tavshedspligt. Adgang gives kun til dem, der har brug for den for at levere tjenesten eller besvare en supporthenvendelse.

6. Sikkerhed

Piklo gennemfører passende tekniske og organisatoriske foranstaltninger efter artikel 32. De står i bilag A til denne aftale, som er en del af den. Bilag A beskriver de foranstaltninger, der er på plads; foranstaltninger, Piklo måtte tilføje senere, loves ikke her.

Piklo kan udskifte en foranstaltning med en tilsvarende eller bedre. Piklo sænker ikke det samlede beskyttelsesniveau uden at fortælle Kunden det.

7. Bistand til Kunden

Under hensyn til behandlingens karakter bistår Piklo Kunden med:

• Anmodninger fra registrerede efter artikel 12-22. Produktets egne flader er det første svar: Kunden kan selv finde, rette, udtrække og slette en kundes oplysninger. Kan en anmodning ikke besvares den vej, hjælper Piklo på forespørgsel. Piklo svarer ikke en registreret direkte på Kundens vegne; en anmodning, der når Piklo om en af Kundens kunder, videregives til Kunden.
• Sikkerhed, anmeldelse af brud og konsekvensanalyser efter artikel 32-36, med de oplysninger Piklo ligger inde med.

Bistand ydes uden beregning for anmodninger, der står i rimeligt forhold. Piklo kan opkræve et rimeligt vederlag for gentagne eller åbenbart overdrevne anmodninger og siger det, før der udføres arbejde.

8. Underdatabehandlere

Kunden giver Piklo generel godkendelse til at bruge nedenstående underdatabehandlere. Hver af dem er bundet af databeskyttelsesvilkår, der ikke er mindre beskyttende end denne aftale.

• Supabase — databasen, autentifikationen og fillagringen. Alle kundedata ligger her. Region: EU, Frankfurt (`eu-central-1`).
• Vercel — hosting af Piklos tre webapplikationer og måling af, hvordan de bruges: sidevisninger og henvisere, talt uden cookies og uden at identificere nogen, og rapporteret til det samme site, den besøgende allerede er på. Applikationens funktioner kører i EU, Frankfurt (`fra1`); indholdsleveringsnetværket er fortsat globalt for statiske filer.
• Stripe Payments Europe, Limited, Irland — betalinger. Piklo videregiver beløbet, valutaen, beskrivelsen af det købte og, hvor den har en, kundens e-mailadresse. Kortoplysninger går direkte fra kundens browser til Stripe.
• Resend — afsendelse af de e-mails, produktet sender på Kundens vegne, og loginmails til kundeportalen. Region: EU, Irland (`eu-west-1`).
• TOPefekt s.r.o. (under navnet BulkGate), B. Němcové 767/13, 787 01 Šumperk, Tjekkiet, CVR-nr. 294 44 268 — afsendelse af de SMS-beskeder, produktet sender på Kundens vegne. Piklo videregiver modtagerens mobilnummer, beskedens tekst og afsendernavnet. BulkGate videregiver beskeden til mobiloperatører, SMS-aggregatorer og andre teleudbydere for at levere den, og deres egne vilkår tillader overførsel til tredjelande, hvor leveringen kræver det. Kilde: BulkGates Terms and Conditions og deres Agreement on Personal Data Processing, læst 5. september 2026 på `bulkgate.com/en/legal/`.
• Sentry. Fejlrapportering for alle tre applikationer. Fejlrapporter kan indeholde brudstykker af en forespørgsel; Piklos egne renseregler fjerner de headere, cookies og forespørgselsparametre, der kan identificere nogen, før en fejl forlader systemet, sessionsoptagelse bruges ikke, og SDK'et er sat op til ikke af sig selv at vedhæfte en besøgendes IP-adresse eller forespørgselsheadere.

Ændringer. Piklo giver Kunden besked pr. e-mail mindst 30 dage før, en underdatabehandler tilføjes eller udskiftes. Kunden kan gøre indsigelse på saglige databeskyttelsesmæssige grunde inden for de 30 dage. Kan indsigelsen ikke løses, kan Kunden opsige aftalen uden yderligere betalingsforpligtelse, og afsnit 11 gælder for data.

9. Overførsel uden for EU og EØS

Personoplysninger behandles uden for EU og EØS ét sted i dag: hos Piklos leverandører, når deres supportmedarbejdere uden for EU behandler en fejl. Hverken databasen, applikationsfunktionerne eller afsendelsen af e-mail ligger uden for EU.

Overførslerne sker efter Europa-Kommissionens standardkontraktbestemmelser (SCC), som de er indarbejdet i hver leverandørs egne databehandlervilkår, sammen med de supplerende foranstaltninger, der er beskrevet i bilag A — særligt at alt undervejs er krypteret, og at ingen leverandør uden for EU har databasen.

Piklo overfører ikke personoplysninger til et tredjeland uden et gyldigt overførselsgrundlag.

10. Brud på persondatasikkerheden

Piklo underretter Kunden om et brud på persondatasikkerheden, der berører Kundens personoplysninger, uden unødigt ophold og senest 48 timer efter, at Piklo er blevet bekendt med det, pr. e-mail til organisationens ejer.

Underretningen beskriver bruddets karakter, kategorierne og det omtrentlige antal berørte registrerede og registreringer, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslås. Kan det hele ikke gives på én gang, gives det i etaper uden yderligere unødigt ophold.

Det er Kunden som dataansvarlig, der anmelder til tilsynsmyndigheden og, hvor det kræves, til de registrerede. Piklo bistår.

11. Sletning og tilbagelevering af data

Ved aftalens ophør og efter Kundens valg tilbageleverer eller sletter Piklo de personoplysninger, den behandler for Kunden.

Kunden har 30 dage fra ophøret til at trække sine data ud eller bede om at få dem tilbageleveret. Piklo leverer dem i et almindeligt anvendt, maskinlæsbart format. Efter de 30 dage slettes data fra Piklos driftssystemer.

Kopier i Piklos leverandørers backups slettes ikke enkeltvis; de overskrives, efterhånden som backuppen udgår. Databasebackupperne gemmes i 7 dage, så en sletning er gennemført i backupperne senest 7 dage efter selve sletningen. Indtil da er de kopier beskyttet af de samme foranstaltninger som driftsdata og bruges ikke til andet end at genskabe tjenesten.

Det samme gælder en enkelt sletning i aftalens løbetid: en oplysning, Kunden sletter, er væk fra driftssystemet med det samme og ude af backupperne inden for 7 dage.

Piklo beholder intet derefter ud over det, en retlig forpligtelse kræver, og sine egne fakturaoptegnelser over for Kunden, som er Piklos egne data.

12. Revision og dokumentation

Piklo stiller de oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelse af artikel 28 — denne aftale, bilag A og listen over underdatabehandlere, alt sammen offentliggjort og versioneret på denne adresse.

En gang om året og efter et brud, der berører Kunden, kan Kunden bede om yderligere dokumentation for Piklos foranstaltninger. En revision på stedet eller med adgang aftales mindst 30 dage i forvejen, begrænses til det nødvendige, må ikke forstyrre driften eller nå en anden kundes data og sker for Kundens regning. Piklo kan opfylde en revisionsanmodning med en uafhængig rapport, hvor en sådan findes.

13. Klage

Er du uenig i Piklos eller Kundens behandling af dine personoplysninger, kan du klage til en databeskyttelsestilsynsmyndighed.

Piklo Systems er etableret i Danmark, og vores tilsynsmyndighed er Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby (datatilsynet.dk).

Du kan altid klage til databeskyttelsesmyndigheden i det land, hvor du bor eller arbejder. Oversigt over alle myndigheder i EØS: edpb.europa.eu.

14. Ansvar

Ansvar efter denne aftale følger afsnit 10 i vilkårene for brug, medmindre databeskyttelsesforordningen selv fordeler ansvaret mellem dataansvarlig og databehandler, i hvilket tilfælde forordningen gælder.

15. Hvordan aftalen indgås og ændres

Aftalen accepteres elektronisk sammen med vilkårene for brug, når organisationen oprettes. Den accepterede version, det sprog den blev læst på, personen der accepterede, og datoen gemmes, og organisationen kan altid se dem under Indstillinger → Abonnement.

Piklo kan ændre aftalen med 30 dages varsel pr. e-mail på samme vilkår som vilkårenes afsnit 12. En ændring, der ville sænke beskyttelsesniveauet, kræver Kundens accept.

Denne aftale findes på flere sprog. Den engelske udgave er den bindende; en oversættelse er en hjælp til læseren, og ved uoverensstemmelse gælder den engelske udgave.

Bilag A — tekniske og organisatoriske foranstaltninger

Dette bilag beskriver, hvad der er på plads. Det er bevidst konkret, og det påstår ikke foranstaltninger, produktet ikke har.

Adgangskontrol i databasen

• Row level security er slået til på hver eneste tabel i applikationens skema, uden undtagelse. En tabel uden policies giver ingen adgang til nogen.
• Adgang er afgrænset til den organisation, en person er medlem af. Et medlem af én organisation kan ikke læse en anden organisations rækker, og der findes ingen forespørgsel, der går på tværs af organisationer.
• Roller inden for en organisation — ejer, administrator, medarbejder — afgør, hvad et medlem må læse og ændre. Betalings- og abonnementsdata kan kun læses af ejere og administratorer.
• Den offentlige bookingside har hverken session eller almindelig læseadgang. Alt, en besøgende kan se eller skrive, går gennem et lille antal navngivne databasefunktioner med snævre argumenter, hver med en eksplicit tildeling. Funktioner fødes uden rettigheder og får præcis dem, de skal have, med begrundelsen skrevet ved siden af; en automatisk kontrol i bygningen fejler, hvis en funktion står åben.
• Et lille antal handlinger kører med en servicelegitimation, der går uden om row level security — afsendelse af påmindelser, registrering af en beskeds resultat, skrivning af en betaling efter udbyderens webhook. Hver er en navngiven funktion, ingen af dem rører en tabel direkte, og legitimationen findes aldrig i noget, der sendes til en browser.

Kryptering

• Al trafik er over HTTPS/TLS, også mellem Piklo og hver underdatabehandler.
• Databasen og backupperne er krypteret i hvile hos databaseudbyderen.
• Sessionscookies sættes af Piklo og gælder kun Piklos egne adresser, er markeret `SameSite=Lax`, så de ikke sendes fra andre sites, og går over HTTPS. De er ikke markeret `HttpOnly`, fordi login-biblioteket læser dem i browseren; privatlivspolitikken navngiver dem hver især.

Logning

• En append-only auditlog registrerer tilsidesættelser af bookingreglerne og tilbagerulninger af en bookings status: hvem, hvornår, på hvad. Ingen klient kan skrive i den, og den har ingen opdateringsvej.
• Hver e-mail, produktet sender, logges med modtager, skabelon, resultat og udbyderens egen reference, så en fejlet besked er synlig for Kunden frem for tavs.
• Databaseudbyderen gemmer platform- og autentifikationslogs i 7 dage; hostingudbyderen gemmer runtime-logs i 1 dag. Ingen af delene er under Piklos kontrol ud over valget af abonnement.

Betalingsdata

• Piklo modtager aldrig et fuldt kortnummer, en udløbsdato eller en sikkerhedskode. Betalingssider hostes af betalingsudbyderen.
• Det, Piklo gemmer om et gemt kort, er korttypen og de sidste fire cifre, så en person kan genkende, hvilket kort det er.
• Penge går direkte til Kundens egen konto hos betalingsudbyderen. Piklo holder ikke midler.

Backup

• Databaseudbyderen tager en backup dagligt og gemmer den i 7 dage på Piklos nuværende abonnement.
• Backups er krypteret i hvile og bruges kun til at genskabe tjenesten.

Udvikling og drift

• Ændringer når produktion gennem et versionsstyret repository og en automatiseret pipeline, der kører testsuiten og en række værn på hver ændring. En rød pipeline deployer ikke.
• Legitimationsoplysninger ligger som miljøhemmeligheder hos hostingudbyderen, kan kun skrives dér og ligger ikke i repositoriet.
• Skemaændringer i databasen skrives som migrationer, gennemgås som tekst og køres bevidst.

Hvad der ikke er på plads i dag, og derfor ikke påstås

• Der er ikke tofaktorgodkendelse på medarbejderkonti.
• Der er ingen uafhængig sikkerhedscertificering og ingen penetrationstestrapport.
• Der er ingen serviceaftale (SLA) og ingen garanteret oppetid.