Databehandleraftale
Databehandleraftale (DPA) mellem Gaard og kunden for vagtplan, bemanding og Gaard Incidents.
Senest opdateret
Denne databehandleraftale («DPA») udgør en bindende aftale efter GDPR art. 28 mellem kunden som dataansvarlig og Gaard som databehandler. Aftalen gælder alene den behandling, der er omfattet af GDPR, når kunden opretter konto, accepterer handelsbetingelserne eller på anden måde bruger Gaard eller Gaard Incidents til behandling af personoplysninger. Ved brug af Gaard Incidents accepterer kunden vilkårene, privatlivspolitikken og denne DPA. DPA’en er en del af aftaleforholdet sammen med handelsbetingelserne og privatlivspolitikken.
1. Parter
Dataansvarlig: Kunden, den juridiske enhed, der er angivet i kundens Gaard- eller Gaard Incidents-konto (typisk via CVR eller klub), og som bestemmer formål og midler for behandlingen af egne data.
Databehandler: Gaard, CVR-nr. 41985550, Jens Lillelunds Vej 3, 2. tv., 2920 Charlottenlund («Gaard», «vi», «os»). Kontakt: hello@gaard.app.
2. Genstand, varighed og art
Gaard behandler personoplysninger på vegne af kunden som led i levering af SaaS-tjenesten. For Gaard (vagtplan) omfatter det vagtplan, bemanding, check-in, kontrakter, personaleadministration og tilhørende integrationer (fx løn), som kunden aktiverer. For Gaard Incidents omfatter det stadion-hændelseslog, sager, kamp-log, karantæne- og interesselister, medier og audit efter kundens instruks i produktet.
Behandlingen omfatter opbevaring, registrering, strukturering, tilpasning, videregivelse til underdatabehandlere, sletning og øvrige handlinger, der er nødvendige for at levere tjenesten efter kundens instruks i produktet.
Aftalen gælder fra kundens accept og så længe Gaard behandler personoplysninger for kunden, inkl. en rimelig periode efter ophør til sletning, returnering og lovpligtig opbevaring.
2.1 Anvendelsesområde
GDPR gælder først, hvis behandlingen falder inden for det materielle anvendelsesområde i art. 2. Denne DPA er den bindende art. 28-aftale alene for kundens GDPR-behandling i Gaard og Gaard Incidents.
Behandling, der foretages af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, herunder politiets generelle karantæneliste, falder uden for GDPR, jf. art. 2, stk. 2, litra d, og følger retshåndhævelsesloven. Politiet er ikke part i denne aftale. Gaard er ikke kompetent myndighed og er ikke databehandler for politiets register.
Kunden må ikke indlæse kopier af politiregistre, herunder politiets generelle karantæneliste, i Gaard. Kopi, der er udleveret til kampdagens adgangskontrol uden for Gaard, skal slettes eller makuleres umiddelbart efter kampafholdelse. Ansigtsgenkendelse indgår ikke i Gaard.
3. Kategorier af registrerede og oplysninger
Registrerede: medarbejdere og øvrige personer, kunden opretter eller lader behandle i Gaard (inkl. midlertidigt personale og eksterne på vagter), samt kundens administratorer og kontaktpersoner i det omfang, de indgår i kundedata. I Gaard Incidents desuden operatører og personer, kunden registrerer på sager, karantæne- eller interesselister.
Oplysningstyper: typisk navn, kontaktoplysninger, rolle/stilling, vagter og bemanding, check-in/fremmøde, ferie/fravær, faste skemaer, kontraktdokumenter og -status, bevisdata ved underskrift (tidspunkt, IP-adresse og user-agent), medarbejderadresse på kontrakten, lokationsadresser og afledte koordinater, valgfrit profilbillede, lønrelaterede felter når aktiveret (inkl. CPR og bankoplysninger krypteret i Gaard), push-tokens, enheds-/sikkerhedsmetadata samt tekniske logs og en organisationsintern aktivitetslog nødvendige for drift, sikkerhed og accountability.
Gaard Incidents (bilag): sags- og hændelsesdata; kampdata; personer på sager (navn, adresse, e-mail, telefon, fødselsdato, ikke CPR, tilhørsforhold, årsag, udseende, rolle); fotos som sagdokumentation; karantæne- og interesselister med dokumenteret grundlag; PDF-udskrift; append-only auditlog. Ansigtsgenkendelse og biometrisk identifikation indgår ikke.
I Gaard (vagtplan) må kunden ikke indlæse særlige kategorier af personoplysninger (GDPR art. 9), herunder diagnoser, helbredsoplysninger, race, politisk overbevisning eller CPR-numre i fritekst, eller data der ikke er nødvendige for tjenesten, medmindre det er aftalt skriftligt og lovligt grundlag foreligger. CPR og bankoplysninger gemmes i Gaard til lønadministration og sendes til Salary, når kunden aktiverer integrationen og eksporterer løn.
I Gaard Incidents behandler Gaard sagsdata, personfelter og fotos på kundens instruks. Kunden må ikke indlæse CPR-numre, diagnoser eller helbredsjournal, kopier af politiregistre eller biometriske skabeloner. Kunden skal have lovligt grundlag. Gaard opfinder ikke hjemlen og deler ikke sager mellem klubber.
4. Kundens instruks og ansvar
Gaard behandler kun personoplysninger efter dokumenteret instruks fra kunden. Instruks sker primært via kundens brug af produktet og skriftlige anmodninger til support, hvor det er relevant.
Kunden er alene ansvarlig for lovligt behandlingsgrundlag over for egne registrerede, for at instruksen er lovlig, og for at indholdet i Gaard og Gaard Incidents overholder ansættelses-, arbejds-, sikkerheds- og databeskyttelsesret. Skabeloner i Gaard er vejledende og udgør ikke juridisk rådgivning.
Gaard underretter kunden uden unødig forsinkelse, hvis en instruks efter Gaards vurdering er i strid med GDPR eller anden databeskyttelsesret, medmindre loven forbyder underretning.
5. Gaards forpligtelser
- Behandle personoplysninger alene efter kundens instruks og til formål forbundet med levering af tjenesten.
- Sikre, at personer med adgang er underlagt fortrolighed (aftale eller lovpligtig tavshedspligt).
- Iværksætte passende tekniske og organisatoriske sikkerhedsforanstaltninger (se pkt. 6).
- Inddrage underdatabehandlere kun på vilkårene i pkt. 7.
- I rimeligt omfang bistå kunden med at opfylde forpligtelser over for registrerede og tilsynsmyndigheder.
- Efter aftalens ophør slette eller returnere kundedata efter pkt. 10, med forbehold for lovpligtig opbevaring.
- Stille de oplysninger til rådighed, der er nødvendige for at dokumentere overholdelse af art. 28, og muliggøre revision efter pkt. 9.
6. Sikkerhed
Gaard anvender foranstaltninger, der under hensyntagen til risiko, teknikkens stade og omkostninger er egnede til at beskytte personoplysninger, herunder blandt andet:
- adgangskontrol og rollebaseret adgang i produktet (RBAC)
- row-level security (RLS) og logisk isolation mellem organisationer
- kryptering i transit (HTTPS/TLS)
- kryptering af særligt følsomme felter i hvile i Gaard vagtplan (fx CPR og bankkontonummer samt Salary API-nøgle)
- valgfri passkey-baseret MFA for brugere
- logging og overvågning relevant for drift og sikkerhed (se pkt. 6.1)
- backup og gendannelsesprocedurer hos hosting-/databaseudbydere
- Gaard Incidents: isoleret Postgres-schema, RBAC pr. klubrolle, privat media-bucket med signed URLs og append-only auditlog
Kunden er ansvarlig for egne brugeres adgangskoder, enhedssikkerhed og korrekt tildeling af administratorrettigheder.
6.1 Aktivitetslog og opbevaring
For at understøtte behandlingssikkerhed (GDPR art. 32), efterforskning af misbrug og kundens accountability logger Gaard blandt andet autentificering, ændringer i medlemskab og roller, eksport af persondata, sikkerhedsrelaterede handlinger, check-in/check-out og sletning/gendannelse af papirkurvsdata.
Loggen indeholder typisk tidspunkt, handling, aktør, berørt entitet og tekniske metadata. Adgangskoder, engangskoder, rå tokens og CPR-/kontonumre gemmes ikke i loggen.
Kundens administratorer kan se organisationens aktivitetslog i produktet under Indstillinger → Aktivitetslog. Aktivitetsloggen opbevares ca. 6 måneder (180 dage) og slettes herefter automatisk, medmindre længere opbevaring er aftalt skriftligt eller kræves efter lov.
I Gaard Incidents føres en append-only auditlog pr. klub. Opbevaring følger kundens verificerede retention-politik i produktet; Gaard hardcoder ikke perioder.
7. Underdatabehandlere
Kunden giver Gaard generel tilladelse til at inddrage underdatabehandlere, der er nødvendige for at levere tjenesten. Gaard indgår aftaler med underdatabehandlere, der pålægger dem databeskyttelsesforpligtelser mindst på niveau med denne DPA.
Underdatabehandlere (Gaard vagtplan)
| Leverandør | Formål | Placering | Overførsel |
|---|---|---|---|
| Supabase | Database, autentifikation og app-data | EU (AWS, Stockholm) | Primært EU. Eventuel support kan ske med SCC. |
| Vercel | Hosting. På gaard.app desuden Web Analytics uden cookies. I appen Web Analytics og Speed Insights kun ved samtykke | USA / EU (edge) | USA: EU-US Data Privacy Framework og/eller SCC. |
| Sentry (Functional Software, Inc.) | Fejlmonitorering (uden PII som standard). I Gaard vagtplan desuden session replay og ydelsessporing ved samtykke | USA | USA: EU-US Data Privacy Framework og/eller SCC. |
| Salary (Shine Salary ApS) | Løn, når kunden aktiverer integrationen | Danmark / EU | EU. |
| Zenegy (Zenegy ApS) | Løn, når kunden aktiverer integrationen | Danmark / EU | EU. |
| Stripe | Betaling, abonnement og fakturering, når betaling er aktiveret | USA / EU | USA: EU-US Data Privacy Framework og/eller SCC. |
| Resend | Transaktionsmail | USA | USA: SCC / tilsvarende garantier hos leverandøren. |
| Apple | Push (APNs), Apple Maps, Apple Weather og App Attest (tjek af enheden ved stempling) | USA | USA: EU-US Data Privacy Framework og/eller SCC. |
| Google (Firebase, Maps og Play) | Push-notifikationer (FCM) og crashrapporter (Crashlytics) på Android, Google Maps til kort i Android-appen og Play Integrity til tjek af enheden ved stempling | USA | USA: EU-US Data Privacy Framework og/eller SCC. |
Desuden bruges offentlige opslagstjenester, som kun modtager selve opslaget: Klimadatastyrelsens Adressevælger (adresseforslag, når en adresse indtastes), cvrapi.dk (CVR-opslag, når virksomheden oprettes) og Open-Meteo (vejr og placering af mødesteder i Android-appen).
Underdatabehandlere (Gaard Incidents)
| Leverandør | Formål | Placering | Overførsel |
|---|---|---|---|
| Supabase | Database, autentifikation og app-data | EU/EØS | Primært EU. |
| Vercel | Hosting | USA / EU (edge) | USA: EU-US Data Privacy Framework og/eller SCC. |
| Sentry (Functional Software, Inc.) | Fejlmonitorering uden session replay og uden standard-PII | USA | USA: EU-US Data Privacy Framework og/eller SCC. |
| Resend | Transaktionsmail | USA | USA: SCC / tilsvarende garantier hos leverandøren. |
8. Overførsel til tredjelande
Behandling sker primært i EU/EØS. Følgende underdatabehandlere kan behandle data i USA som led i cloud-leverancen: Vercel, Sentry, Stripe (Gaard vagtplan), Resend, Apple (Gaard vagtplan) og Google (Gaard vagtplan). Gaard Incidents bruger Supabase, Vercel, Resend og Sentry. Overførsel sker med passende garantier efter GDPR, typisk EU-US Data Privacy Framework og/eller EU-standardkontrakter (SCC).
9. Brud, bistand og revision
Ved brud på persondatasikkerheden, der involverer kundedata, underretter Gaard kunden uden unødig forsinkelse og senest inden for 72 timer efter Gaard er blevet bekendt med bruddet, med de oplysninger Gaard rimeligt råder over.
Gaard bistår i rimeligt omfang kunden med anmodninger fra registrerede, konsekvensanalyser og henvendelser fra Datatilsynet. I Gaard (vagtplan) kan kunden selv trække GDPR-eksport og gennemgå aktivitetsloggen. I Gaard Incidents kan kunden udskrive en sag som PDF og eksportere en persons klubdata som JSON under Dataansvar.
Kunden kan højst én gang årligt (eller ved konkret mistanke om væsentlig manglende overholdelse) anmode om skriftlig dokumentation for Gaards sikkerhedsforanstaltninger. Fysisk eller fjernrevision kræver rimeligt varsel, fortrolighedsaftale og må ikke true andre kunders sikkerhed eller Gaards drift.
10. Ophør, sletning og returnering
Når kunden sletter virksomheden i Gaard (vagtplan), slettes kundedata med det samme (cascade). Sikkerhedskopier udfases inden for 30 dage. Kunden kan eksportere data og slette virksomheden under Virksomhed i indstillingerne, eller anmode skriftligt om returnering inden ophør.
I Gaard Incidents slettes klubdata efter kundens retention og papirkurv/purge i produktet. Administrator kan slette hele klubben under Dataansvar → Klubophør.
Medarbejdere i papirkurven anonymiseres efter 30 dage; vagt-historik beholdes til kundens bogføring. Anonymiserede rester slettes efter indeværende år plus 5 år. Organisations aktivitetslog slettes efter ca. 6 måneder. Gaards egne bilag (Stripe-fakturering) opbevares efter bogføringsloven.
11. Ansvar og lovvalg
Ansvar mellem parterne for denne DPA følger handelsbetingelserne, med forbehold for ufravigelig databeskyttelsesret. Hver part er ansvarlig over for tilsynsmyndigheder og registrerede i overensstemmelse med GDPR.
Aftalen er underlagt dansk ret. Tvister afgøres ved danske domstole med værneting som angivet i handelsbetingelserne, medmindre ufravigelige regler foreskriver andet.
12. Ændringer
Gaard kan opdatere denne DPA for at afspejle ændringer i tjenesten, underdatabehandlere eller gældende ret. Opdateret version offentliggøres på denne side med ny «senest opdateret»-dato. Ved væsentlige ændringer til ugunst for kunden underrettes kunden med rimeligt varsel. Fortsat brug efter ikrafttræden udgør accept. Accepterer kunden ikke ændringerne, skal brugen ophøre.
Spørgsmål om denne aftale: hello@gaard.app. Se også privatlivspolitikken, handelsbetingelserne, cookiepolitikken og support.