Databehandleraftale
Databehandleraftale (DPA) efter GDPR art. 28 mellem kunden og Gaard for Gaard Plan, Gaard Incidents og Gaard Studio.
Senest opdateret
Version 2026-11-02.
Denne databehandleraftale («DPA») er en bindende aftale efter GDPR art. 28, stk. 3, mellem kunden som dataansvarlig og Gaard som databehandler. Den gælder, når kunden opretter en konto, accepterer handelsbetingelserne eller på anden måde bruger Gaard Plan, Gaard Incidents eller Gaard Studio til at behandle personoplysninger. DPA’en er en del af aftalen sammen med handelsbetingelserne og privatlivspolitikken. Ved uoverensstemmelse om behandling af personoplysninger går DPA’en forud.
1. Parter
Dataansvarlig: kunden, dvs. den juridiske enhed, der er angivet i kundens konto i Gaard Plan, Gaard Incidents eller Gaard Studio (typisk med CVR-nummer).
Databehandler: Gaard, CVR-nr. 41985550, Jens Lillelunds Vej 3, 2. tv., 2920 Charlottenlund («Gaard»). Kontakt: hello@gaard.app.
2. Genstand, varighed, art og formål
Gaard behandler personoplysninger på kundens vegne for at levere det produkt, kunden bruger:
- Gaard Plan: vagtplan, bemanding, stempling (inkl. NFC og QR), medarbejderkort, kontrakter, personaleadministration, certifikater, beskeder, opslag og politikker, tjeklister, bemandingsleverandører, kundeportal, whistleblowerordning og de integrationer, kunden slår til (fx løn).
- Gaard Incidents: hændelseslog, sager, kamp-log, stadion, karantæne- og interesselister, indsigelser, fotos, statistik og auditlog.
- Gaard Studio: hosting, drift, vedligehold og support af kundens hjemmeside, herunder oplysninger som besøgende indtaster eller efterlader, fx via en kontaktformular.
Behandlingen omfatter indsamling, registrering, opbevaring, strukturering, tilpasning, søgning, videregivelse til underdatabehandlere, sletning og andre handlinger, der er nødvendige for at levere produktet efter kundens instruks.
Aftalen gælder fra kundens accept og så længe Gaard behandler personoplysninger for kunden, inkl. perioden for sletning eller returnering efter ophør.
2.1 Anvendelsesområde
DPA’en gælder alene behandling, der er omfattet af GDPR. Behandling, som kompetente myndigheder foretager for at forebygge, efterforske eller retsforfølge strafbare handlinger, herunder politiets generelle karantæneliste, falder uden for GDPR (art. 2, stk. 2, litra d) og følger retshåndhævelsesloven. Politiet er ikke part. Gaard er ikke kompetent myndighed og ikke databehandler for politiets register.
Kunden må ikke indlæse kopier af politiregistre i Gaard. Kopi, der er udleveret til kampdagens adgangskontrol uden for Gaard, skal slettes umiddelbart efter kampen. Ansigtsgenkendelse indgår ikke i Gaard.
3. Kategorier af registrerede og oplysninger
Gaard Plan
Registrerede: medarbejdere og andre personer, kunden opretter (inkl. midlertidigt personale, eksterne og personale hos bemandingsleverandører), kundens administratorer, kundens egne kunder med adgang til kundeportalen, indberettere og personer nævnt i whistleblowerindberetninger, og eksterne sagsbehandlere.
Oplysninger: navn, kontaktoplysninger, rolle, vagter og bemanding, check-in og fremmøde, stempelbevis, ferie og fravær, faste skemaer, tillæg, kontrakter og bevisdata ved underskrift (tidspunkt, IP-adresse og user-agent), adresse, profilbillede, medarbejderkort, certifikater og dokumenter, beskeder og billeder, læse- og bekræftelsesstatus, lønoplysninger når funktionen er slået til (CPR og kontonummer gemmes krypteret), push-tokens, enheds- og sikkerhedsmetadata, tekniske logs og aktivitetslog.
Whistleblowerordning: indberetninger kan indeholde alle typer oplysninger, også særlige kategorier (art. 9) og strafbare forhold (art. 10), om indberetteren, den berørte og tredjemand. Indhold, beskeder, filnavne og evt. identitet krypteres. Ved anonyme indberetninger registrerer Gaard ikke IP-adresse, bruger, session, enhed eller user-agent.
Uden for whistleblowerordningen må kunden ikke indlæse særlige kategorier (art. 9), fx diagnoser eller helbredsoplysninger, eller CPR-numre i fritekst, medmindre det er aftalt skriftligt, og der er lovligt grundlag.
Gaard Incidents
Registrerede: klubbens operatører og personer, klubben registrerer på sager, karantæne- eller interesselister, herunder evt. mindreårige.
Oplysninger: sags- og hændelsesdata, kampdata, placering på stadion, personer på sager (navn, adresse, e-mail, telefon, fødselsdato (ikke CPR), tilhørsforhold, årsag, udseende, rolle), fotos, lister med dokumenteret grundlag, indsigelser og auditlog. Kan omfatte oplysninger om strafbare forhold (art. 10 og databeskyttelsesloven § 8). Kunden må ikke indlæse CPR-numre, helbredsoplysninger, kopier af politiregistre eller biometriske skabeloner.
Gaard Studio
Registrerede: besøgende på kundens hjemmeside og personer, der kontakter kunden via siden.
Oplysninger: almindelige personoplysninger, som besøgende indtaster eller efterlader, fx navn, e-mail, telefon og besked, samt tekniske logs (IP-adresse og user-agent). Kunden må ikke bede om særlige kategorier af oplysninger via hjemmesiden uden skriftlig aftale med Gaard.
4. Kundens instruks og ansvar
Gaard behandler kun personoplysninger efter dokumenteret instruks fra kunden. Instruksen er denne DPA, kundens indstillinger og brug af produktet og skriftlige anmodninger til support. Gaard må behandle oplysninger uden instruks, hvis EU-ret eller dansk ret kræver det. Gaard underretter i så fald kunden, medmindre loven forbyder det.
Kunden er ansvarlig for, at der er lovligt grundlag, at instruksen er lovlig, at de registrerede får de oplysninger, de har krav på efter art. 13 og 14, og at indholdet overholder ansættelses-, databeskyttelses- og whistleblowerretten. Skabeloner og vejledning i produkterne udgør ikke juridisk rådgivning.
Gaard underretter straks kunden, hvis en instruks efter Gaards vurdering er i strid med GDPR eller anden databeskyttelsesret.
5. Gaards forpligtelser
Gaard skal:
- behandle personoplysninger alene efter kundens instruks og kun for at levere produktet
- sikre, at personer med adgang har tavshedspligt
- gennemføre de sikkerhedsforanstaltninger, der er beskrevet i pkt. 6 (art. 32)
- kun bruge underdatabehandlere efter pkt. 7
- bistå kunden med at besvare anmodninger fra registrerede (art. 12–23) gennem funktioner i produktet og ved henvendelse
- bistå kunden med sikkerhed, brud, konsekvensanalyser og forhåndshøring af Datatilsynet (art. 32–36)
- slette eller returnere personoplysninger ved ophør efter pkt. 10
- stille de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, og give mulighed for revision efter pkt. 9
Modtager Gaard en anmodning direkte fra en registreret, sender Gaard den videre til kunden uden at besvare den selv, medmindre kunden har givet instruks om det.
6. Sikkerhed
Gaard bruger foranstaltninger, der under hensyn til risiko, teknikkens stade og omkostninger sikrer et passende sikkerhedsniveau, herunder:
- adgangskontrol og rollebaseret adgang (RBAC), MFA og passkeys, SSO og SCIM hvor kunden bruger det
- row-level security (RLS) og logisk adskillelse mellem kunder
- kryptering i transit (HTTPS/TLS) og certificate pinning i apps
- kryptering i hvile af særligt følsomme felter (CPR, kontonummer, integrationsnøgler og whistleblowerindhold) med AES-GCM
- whistleblowersager: adgang kun for udpegede sagsbehandlere, logning af hver adgang og fjernelse af metadata fra billeder
- Gaard Incidents: isoleret database-schema, RBAC pr. klubrolle, privat lager med tidsbegrænsede links og append-only auditlog
- logning og overvågning af drift og sikkerhed (pkt. 6.1)
- daglig backup af PostgreSQL-databasen hos databaseudbyderen; uploadede filer i Supabase Storage er ikke omfattet af denne backup
- sikker udvikling med kodegennemgang, afhængighedstjek og hemmelighedsscanning
Kunden er ansvarlig for egne brugeres adgangskoder og enheder og for korrekt tildeling af roller. Se også sikkerhed.
6.1 Aktivitetslog
For at understøtte sikkerheden (art. 32) og kundens dokumentation logger Gaard Plan bl.a. login, ændringer i medlemskab og roller, eksport af persondata, sikkerhedshandlinger, check-in/check-ud og sletning og gendannelse. Loggen indeholder tidspunkt, handling, aktør, berørt objekt og tekniske metadata. Adgangskoder, engangskoder, tokens og CPR- og kontonumre logges ikke.
Kundens administratorer kan se loggen under Indstillinger → Aktivitetslog. Gaard Plans standardopbevaring er 365 dage. Enterprise-kunder kan vælge 180, 365, 1.095 eller 2.555 dage. Sletning sker ved den daglige oprydning efter periodens udløb.
I Gaard Incidents føres en append-only auditlog pr. klub, som følger klubbens opbevaringsregler.
7. Underdatabehandlere
Kunden giver Gaard generel tilladelse til at bruge underdatabehandlere. Gaard sikrer ved skriftlig aftale, at hver underdatabehandler har de samme databeskyttelsesforpligtelser som i denne DPA, og Gaard er over for kunden ansvarlig for underdatabehandlernes overholdelse.
Varsling og indsigelse: Gaard varsler tilføjelse eller udskiftning af underdatabehandlere mindst 30 dage før, ved opdatering af denne side og besked i produktet eller på mail til kundens kontaktperson. Kunden kan inden fristen gøre saglig indsigelse. Kan parterne ikke finde en løsning, kan kunden opsige det berørte abonnement til ophør, før ændringen træder i kraft, og få forudbetalt beløb for den resterende periode tilbage. Ved akutte sikkerhedsbehov kan fristen være kortere.
Gaard Plan
| Leverandør | Formål | Placering | Overførsel |
|---|---|---|---|
| Supabase | Database, login, filer og realtid | EU (AWS, Stockholm) | Primært EU. Eventuel support kan ske med SCC. |
| Vercel | Hosting. Web Analytics og Speed Insights kun ved den enkelte brugers samtykke til statistik | USA / EU (edge) | USA: EU-US Data Privacy Framework og/eller SCC. |
| Sentry (Functional Software, Inc.) | Fejlmonitorering uden standard-PII. Ydelsessporing kun ved samtykke til statistik, session replay kun ved samtykke til session replay | USA | USA: EU-US Data Privacy Framework og/eller SCC. |
| Salary (Shine Salary ApS) | Løn, når kunden slår integrationen til | Danmark / EU | EU. |
| Zenegy (Zenegy ApS) | Løn, når kunden slår integrationen til | Danmark / EU | EU. |
| Stripe | Betaling, abonnement og fakturering | USA / EU | USA: EU-US Data Privacy Framework og/eller SCC. |
| Resend | Transaktionsmail | USA | USA: SCC. |
| Apple | Push (APNs), Apple Maps, Apple Weather, App Attest og Apple Wallet | USA | USA: EU-US Data Privacy Framework og/eller SCC. |
| Google (Firebase, Maps og Play) | Push (FCM) og crashrapporter (Crashlytics) på Android, Google Maps og Play Integrity | USA | USA: EU-US Data Privacy Framework og/eller SCC. |
Desuden bruges opslagstjenester, som kun modtager selve opslaget: Klimadatastyrelsens Adressevælger, cvrapi.dk, Open-Meteo og DigiCert (tidsstempel på underskrevne kontrakter, kun et fingeraftryk af dokumentet).
Gaards egen brugsstatistik [TIL JURIST-GENNEMGANG]: Med den enkelte brugers samtykke måler Gaard brugen af Gaard Plan med Google Analytics 4 (Google Ireland Ltd. / Google LLC, EU/USA, EU-US Data Privacy Framework og/eller SCC). Det sker med Gaard som dataansvarlig til produktforbedring, ikke på kundens vegne, og omfatter ingen af kundens indholdsdata: ingen ID’er på personer, virksomheder eller vagter, ingen navne, e-mails, beskeder, fritekst, vagttider eller lønbeløb. Whistleblowerordningen, indberetninger, beskeder, kontrakter og kundeportalen er helt undtaget. Gaard Incidents bruger ikke Google Analytics. Se privatlivspolitikken og cookiepolitikken.
Gaard Incidents
| Leverandør | Formål | Placering | Overførsel |
|---|---|---|---|
| Supabase | Database, login og fotos | EU (AWS, Stockholm) | Primært EU. Eventuel support kan ske med SCC. |
| Vercel | Hosting | USA / EU (edge) | USA: EU-US Data Privacy Framework og/eller SCC. |
| Sentry (Functional Software, Inc.) | Fejlmonitorering uden session replay og uden standard-PII | USA | USA: EU-US Data Privacy Framework og/eller SCC. |
| Resend | Transaktionsmail | USA | USA: SCC. |
| Stripe | Betaling, abonnement og fakturering (kun kontaktdata om klubben) | USA / EU | USA: EU-US Data Privacy Framework og/eller SCC. |
Gaard Studio
| Leverandør | Formål | Placering | Overførsel |
|---|---|---|---|
| Vercel | Hosting og CDN for kundens hjemmeside | USA / EU (edge) | USA: EU-US Data Privacy Framework og/eller SCC. |
| Resend | Afsendelse af mail fra hjemmesidens formularer, hvor det er sat op | USA | USA: SCC. |
| GitHub (Microsoft) | Opbevaring af hjemmesidens kildekode og indhold | USA | USA: EU-US Data Privacy Framework og/eller SCC. |
Bruger kundens hjemmeside andre tjenester, fx et nyhedsbrev eller et bookingsystem, som kunden selv har valgt og har aftale med, er de ikke Gaards underdatabehandlere.
8. Overførsel til tredjelande
Databaser og filer opbevares i EU. De underdatabehandlere, der er markeret med USA ovenfor, kan behandle personoplysninger i USA. Overførsel sker kun efter GDPR kapitel V, på grundlag af EU-Kommissionens tilstrækkelighedsafgørelse for EU-US Data Privacy Framework, hvor leverandøren er certificeret, og ellers EU-standardkontrakter (SCC) med supplerende foranstaltninger. Gaard overfører ikke personoplysninger til andre tredjelande uden kundens instruks.
9. Brud, bistand og revision
Ved brud på persondatasikkerheden, der berører kundens oplysninger, underretter Gaard kunden uden unødig forsinkelse og senest 48 timer efter, at Gaard er blevet bekendt med bruddet, så kunden kan anmelde det til Datatilsynet inden for 72 timer. Underretningen indeholder, så vidt muligt, bruddets art, berørte kategorier og antal, sandsynlige konsekvenser og de foranstaltninger, der er truffet.
Gaard hjælper kunden med anmodninger fra registrerede, konsekvensanalyser og henvendelser fra Datatilsynet. Kunden kan selv eksportere data og se aktivitetsloggen i Gaard Plan og eksportere en persons data og udskrive sager i Gaard Incidents. Bistand ud over produktets funktioner kan faktureres efter medgået tid, medmindre behovet skyldes Gaards egen fejl.
Kunden kan én gang årligt, og ved konkret mistanke om væsentlig misligholdelse, anmode om skriftlig dokumentation for Gaards sikkerhedsforanstaltninger og overholdelse af DPA’en. Kunden eller en uafhængig revisor kan foretage revision med mindst 30 dages varsel, under fortrolighed og uden at bringe andre kunders sikkerhed eller Gaards drift i fare. Kunden betaler sine egne omkostninger. Revision af underdatabehandlere sker ved deres egne revisionsrapporter (fx SOC 2 og ISO 27001).
10. Ophør, sletning og returnering
Kunden kan til enhver tid eksportere sine data i produktet. Ved ophør sletter Gaard kundens personoplysninger, medmindre kunden inden ophøret skriftligt beder om at få dem returneret, eller EU-ret eller dansk ret kræver opbevaring.
- Gaard Plan: når kunden sletter virksomheden, slettes kundedata med det samme. Sikkerhedskopier udfases inden for 30 dage. Medarbejdere i papirkurven anonymiseres efter 30 dage, og anonymiserede vagtrester slettes efter indeværende år plus 5 år. Whistleblowersager slettes efter kundens frist i ordningen.
- Gaard Incidents: klubdata slettes efter klubbens opbevaringsregler, papirkurv og sletning i produktet. Administrator kan slette hele klubben under Dataansvar → Klubophør.
- Gaard Studio: ved ophør udleverer Gaard på anmodning hjemmesidens indhold og data og sletter dem derefter senest 30 dage efter ophør.
Gaards egne bogføringsbilag (fx fakturaer) opbevares efter bogføringsloven.
11. Ansvar og lovvalg
Parternes ansvar efter denne DPA følger handelsbetingelserne, med forbehold for ufravigelig databeskyttelsesret og hver parts ansvar over for registrerede og myndigheder efter GDPR art. 82 og 83.
Aftalen er underlagt dansk ret. Tvister afgøres ved danske domstole med værneting som i handelsbetingelserne.
12. Ændringer
Gaard kan opdatere DPA’en for at afspejle ændringer i produkterne, underdatabehandlere eller lovgivningen. Den gældende version står på denne side med dato øverst. Ændringer, der er til ugunst for kunden, varsles mindst 30 dage før, de træder i kraft. Kunden kan i varslingsperioden opsige abonnementet til ophør, før ændringen gælder. Ændringer, som loven kræver, kan gælde med kortere varsel.
Spørgsmål om aftalen: hello@gaard.app. Se også privatlivspolitikken, handelsbetingelserne, cookiepolitikken og sikkerhed.