Databehandleraftale

Sidst opdateret: 4. november 2026

Dette er en dansk oversættelse af databehandleraftalen. Ved uoverensstemmelser går den engelske version forud. Erhvervskunder kan få et kontrasigneret eksemplar ved at skrive til privacy@easydash.app.

Denne databehandleraftale (“Databehandleraftalen”) er en del af EasyDashs Servicevilkår (“Vilkårene”) mellem EasyDash ApS, CVR 46552539, Amagerfælledvej 146, 2. 9, 2300 København S, Danmark (“EasyDash”, “Databehandleren”) og den kunde der har accepteret Vilkårene (“Kunden”, “Den dataansvarlige”).

Aftalen gælder hver gang EasyDash behandler personoplysninger på Kundens vegne i forbindelse med leveringen af Tjenesten, som krævet i artikel 28 i forordning (EU) 2016/679 (“GDPR”). Kunden accepterer Databehandleraftalen ved at acceptere Vilkårene. Der kræves ingen underskrift, men EasyDash kontrasignerer gerne et eksemplar på anmodning.

1. Definitioner

Begreber som personoplysninger, behandling, dataansvarlig, databehandler, registreret, brud på persondatasikkerheden og tilsynsmyndighed har den betydning der er angivet i artikel 4 i GDPR.

Kundedata er alle personoplysninger i de filer, regneark og tilsluttede datakilder som Kunden eller Kundens brugere uploader til eller forbinder med Tjenesten, og i de dashboards der oprettes ud fra dem.

Underdatabehandler er enhver tredjepart som EasyDash bruger til at behandle Kundedata.

Tjenesten er EasyDash-tjenesten som beskrevet i Vilkårene.

2. Roller og omfang

2.1 For Kundedata er Kunden dataansvarlig og EasyDash databehandler.

2.2 For Kundens egne kontooplysninger (navn og e-mailadresse på Kundens brugere, faktureringsoplysninger og brugen af EasyDashs hjemmeside) er EasyDash selvstændig dataansvarlig. Den behandling er omfattet af EasyDashs privatlivspolitik og ikke af Databehandleraftalen.

2.3 Behandlingens genstand, karakter, formål og varighed, kategorierne af personoplysninger og kategorierne af registrerede er beskrevet i Bilag I.

3. Behandling efter dokumenteret instruks

3.1 EasyDash behandler kun Kundedata efter Kundens dokumenterede instruks, herunder med hensyn til overførsel til tredjelande, medmindre EU-retten eller dansk ret kræver andet. I så fald underretter EasyDash Kunden om dette retlige krav inden behandlingen, medmindre lovgivningen forbyder det.

3.2 Vilkårene, Databehandleraftalen og Kundens brug og opsætning af Tjenesten (upload af filer, tilslutning af ark, indstilling af synkroniseringstidsplaner, deling eller indlejring af dashboards, invitation af teammedlemmer, sletning af dashboards) udgør Kundens samlede dokumenterede instruks.

3.3 EasyDash giver straks Kunden besked hvis EasyDash mener at en instruks er i strid med GDPR eller anden databeskyttelsesret i EU eller Danmark.

4. Fortrolighed

EasyDash sikrer at enhver person der er bemyndiget til at behandle Kundedata, har påtaget sig en fortrolighedsforpligtelse, enten kontraktligt eller ved lov.

5. Sikkerhed

5.1 EasyDash gennemfører de tekniske og organisatoriske foranstaltninger der er beskrevet i Bilag II. De er udformet til at give et sikkerhedsniveau der passer til risikoen.

5.2 EasyDash kan opdatere foranstaltningerne over tid, så længe det samlede sikkerhedsniveau ikke forringes.

6. Underdatabehandlere

6.1 Kunden giver EasyDash generel tilladelse til at bruge underdatabehandlere. De underdatabehandlere der bruges på datoen for Databehandleraftalen, er opført i Bilag III.

6.2 EasyDash giver Kunden mindst 30 dages varsel før en underdatabehandler tilføjes eller udskiftes, dels ved en mail til kontoejeren, dels ved at opdatere listen på vores side om underdatabehandlere. Kunden kan gøre indsigelse med rimelig begrundelse i databeskyttelse inden for den frist. Hvis parterne ikke kan løse indsigelsen, kan Kunden opsige den berørte del af Tjenesten og få et forholdsmæssigt beløb tilbage for forudbetalte gebyrer for den ubrugte periode.

6.3 EasyDash pålægger hver underdatabehandler databeskyttelsesforpligtelser der er mindst lige så beskyttende som dem i Databehandleraftalen. EasyDash hæfter fuldt ud over for Kunden for at underdatabehandlerne opfylder disse forpligtelser.

7. Bistand ved anmodninger fra registrerede

7.1 Under hensyn til behandlingens karakter bistår EasyDash Kunden med passende tekniske og organisatoriske foranstaltninger og så vidt muligt med at besvare anmodninger fra registrerede der udøver deres rettigheder efter kapitel III i GDPR.

7.2 Hvis EasyDash modtager en anmodning om Kundedata direkte fra en registreret, videresender EasyDash anmodningen til Kunden uden unødigt ophold og svarer ikke selv, bortset fra at bekræfte at anmodningen er givet videre.

7.3 Meget af dette kan Kunden selv gøre: Kunden kan redigere eller slette kildedataene, slette et dashboard (hvilket sletter den gemte fil) eller bede om at få kontoen slettet ved at skrive til privacy@easydash.app.

8. Bistand ved sikkerhed, brud og konsekvensanalyser

8.1 EasyDash bistår Kunden med at overholde artikel 32–36 i GDPR under hensyn til behandlingens karakter og de oplysninger EasyDash har til rådighed.

8.2 Brud på persondatasikkerheden. EasyDash underretter Kunden uden unødigt ophold og under alle omstændigheder inden for 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden der berører Kundedata. Underretningen indeholder, så vidt det da er kendt: bruddets karakter, kategorierne og det omtrentlige antal berørte registrerede og registreringer, de sandsynlige konsekvenser og de foranstaltninger der er truffet eller foreslået. EasyDash giver yderligere oplysninger efterhånden som de foreligger.

8.3 EasyDash giver Kunden de rimelige oplysninger Kunden har brug for til at gennemføre en konsekvensanalyse vedrørende databeskyttelse eller en forudgående høring af en tilsynsmyndighed, hvor det er påkrævet.

9. Sletning eller tilbagelevering når Tjenesten ophører

9.1 Når Kunden sletter et dashboard, sletter EasyDash dashboardets gemte kildefil og kompilerede data fra det aktive system. Kopier i rapporter der allerede er sendt, slettes på de vilkår der er angivet i punkt 9.4.

9.2 Når Kundens konto ophører, sletter EasyDash al Kundedata inden for 30 dage, medmindre EU-retten eller dansk ret kræver at EasyDash beholder den. Inden da kan Kunden eksportere sine dashboards via Tjenesten.

9.3 EasyDashs databaseabonnement tager i øjeblikket ikke automatiske sikkerhedskopier, så slettede Kundedata gemmes ikke i en sikkerhedskopi. Før EasyDash begynder at gemme sikkerhedskopier, opdaterer EasyDash dette punkt med, hvor længe de gemmes. Sikkerhedskopier bruges ikke til at gendanne enkelte kunders poster.

9.4 Hver planlagt rapport gemmer en kopi af de tal den viste da den blev sendt. Kopien kan åbnes af de personer som Kundens rapportindstilling giver adgang til: enhver der har rapportens link, eller modtagere (og, hvis Kunden vælger det, kolleger på en modtagers eget domæne) der bekræfter deres e-mailadresse med en engangskode. EasyDash sletter kopien 13 måneder efter afsendelsen (7 dage ved en testudsendelse) eller inden for to dage efter at Kunden har tilbagekaldt rapporten. En rapport som Kunden har markeret som gemt, bliver liggende indtil Kunden holder op med at gemme den, tilbagekalder den eller sletter sit projekt. Når kopien er slettet, gemmer EasyDash rapportens titel, dato og periode i yderligere 13 måneder.

9.5 En engangskode er gyldig i 10 minutter og slettes inden for et døgn. Registreringen af hvilken bekræftet adresse der åbnede en rapport, og hvornår, vises kun for Kundens projektejere og redaktører og slettes sammen med rapportens kopi efter punkt 9.4. Modtagernes e-mailadresser fjernes fra rapporten samtidig. En enhed der har bekræftet en adresse, gemmer en signeret cookie i 90 dage, så senere rapporter fra samme projekt åbnes uden en ny kode.

10. Oplysninger og revision

10.1 EasyDash stiller de oplysninger til rådighed for Kunden der er nødvendige for at påvise overholdelse af artikel 28 i GDPR.

10.2 Kunden kan auditere EasyDashs overholdelse, eller lade en uafhængig revisor med tavshedspligt gøre det, en gang om året og med mindst 30 dages skriftligt varsel. Første skridt er et skriftligt spørgeskema, som EasyDash besvarer fuldt ud. En inspektion på stedet eller på afstand følger kun hvis spørgeskemaet ikke i rimeligt omfang besvarer Kundens spørgsmål, eller hvis en tilsynsmyndighed kræver det. Kunden afholder selv sine omkostninger til revisionen.

10.3 Hvis en underdatabehandler er involveret, kan EasyDash imødekomme en anmodning om revision ved at fremlægge underdatabehandlerens gældende certificeringer eller revisionsrapporter fra tredjepart (for eksempel SOC 2 eller ISO 27001).

11. Internationale overførsler

11.1 EasyDash opbevarer Kundedata i Det Europæiske Økonomiske Samarbejdsområde (EØS), bortset fra at e-mailunderdatabehandleren opbevarer mailindhold og leveringslogs i USA i 30 dage. Nogle underdatabehandlere er etableret i, eller kan få adgang til data fra, lande uden for EØS, som angivet i Bilag III.

11.2 Enhver sådan overførsel sker på grundlag af et af følgende: en tilstrækkelighedsafgørelse fra Europa-Kommissionen (herunder EU-US-rammen for databeskyttelse (Data Privacy Framework), for modtagere der er certificeret under den) eller standardkontraktbestemmelserne vedtaget ved Kommissionens gennemførelsesafgørelse (EU) 2021/914, som er indarbejdet i EasyDashs aftale med den pågældende underdatabehandler.

12. Ansvar og forrang

12.1 Hver parts ansvar efter Databehandleraftalen er underlagt de begrænsninger der fremgår af Vilkårene, undtagen hvor GDPR ikke tillader en sådan begrænsning.

12.2 Hvis Databehandleraftalen strider mod Vilkårene med hensyn til behandlingen af Kundedata, har Databehandleraftalen forrang.

13. Varighed, lovvalg og ændringer

13.1 Databehandleraftalen gælder så længe EasyDash behandler Kundedata for Kunden.

13.2 Databehandleraftalen er underlagt dansk ret. Domstolene i København har eksklusiv kompetence, uden at det berører de registreredes eller tilsynsmyndighedernes rettigheder. Den kompetente tilsynsmyndighed for EasyDash er Datatilsynet.

13.3 EasyDash kan opdatere Databehandleraftalen hvor det er påkrævet ved lov eller på grund af en ændring af underdatabehandlere (efter punkt 6.2). Andre væsentlige ændringer følger fremgangsmåden for varsling af ændringer i Vilkårene.

Bilag I · Beskrivelse af behandlingen

Behandlingens genstand

Hosting og behandling af de filer og regnearksdata som Kunden leverer, med henblik på at oprette, gemme, synkronisere, vise og dele dashboards.

Behandlingens karakter

Indsamling (upload, eller aflæsning fra et tilsluttet Google Sheet, en Google Analytics-ejendom, en Search Console-hjemmeside eller en Meta-annoncekonto), opbevaring, fortolkning og statistisk profilering, AI-assisteret oprettelse af layout og AI-skrevne resuméer af aggregerede tal, kompilering til diagramdata, visning, deling via link eller indlejring, udsendelse af planlagte rapporter på mail, planlagt gensynkronisering og sletning.

Formål

At levere Tjenesten til Kunden som beskrevet i Vilkårene.

Varighed

Så længe Kunden beholder det pågældende dashboard eller den pågældende konto, plus sletningsperioden i punkt 9.

Kategorier af registrerede

Alle der optræder i Kundens data. Det er typisk Kundens egne kunder, medarbejdere, leverandører eller andre forretningskontakter. Det omfatter også Kundens teammedlemmer der er inviteret til kontoen, personer der ser dashboards som Kunden deler, og modtagerne af rapporter som Kunden planlægger.

Kategorier af personoplysninger

Bestemmes udelukkende af Kunden. Typisk navne, kontaktoplysninger til erhvervsbrug, identifikatorer og kommercielle eller finansielle tal der er knyttet til en person. For inviterede teammedlemmer: navn og e-mailadresse. For dem der ser delte dashboards: tekniske data som IP-adresse og, hvis den der ser dashboardet, samtykker, produktanalyse. For modtagere af planlagte rapporter: e-mailadresse, de engangskoder der mailes for at bekræfte den, og hvornår hver bekræftet adresse åbnede en rapport.

Særlige kategorier af personoplysninger

Ingen er tilsigtet. Efter punkt 5 i Vilkårene må Kunden ikke uploade oplysninger om særlige kategorier (art. 9 i GDPR) eller oplysninger om straffedomme (art. 10) uden forudgående skriftlig aftale med EasyDash.

Hyppighed

Løbende så længe Tjenesten bruges. Tilsluttede ark og rapporter synkroniseres igen, og planlagte rapporter sendes, efter de tidsplaner Kunden indstiller.

Bilag II · Tekniske og organisatoriske foranstaltninger

Hosting og kryptering

Kundedata opbevares i Supabase (Postgres-database og filopbevaring) i AWS-regionen eu-west-1, Irland.
Data er krypteret i hvile (AES-256) og under overførsel (TLS 1.2 eller nyere).
Worker-tjenesten, der behandler data, kører hos Railway i Google Cloud-regionen europe-west4, Nederlandene. Webapplikationens serverfunktioner kører hos Vercel i regionen dub1, Irland.

Adgangskontrol

Sikkerhed på rækkeniveau (row-level security) i databasen begrænser hver bruger der er logget ind, til brugerens egne poster.
Service-role-legitimationsoplysninger der omgår disse politikker, ligger kun hos komponenter på serversiden (behandlingsworkeren og nogle få serverruter). De sendes aldrig til en browser.
Adgang til produktion er begrænset til EasyDashs grundlægger. Udbydernes konti er beskyttet med multifaktorautentificering.
Adgangskodebeskyttede delingslinks bruger signerede tokens, og et dashboard kan kun deles eller indlejres når Kunden slår det til.
Indlejringer kan begrænses til de domæner Kunden angiver.

Dataminimering over for AI-udbyderen

For at oprette et layout, foreslå diagrammer eller lave et ark igen sender EasyDash OpenAI en beskrivelse af op til 60 kolonner (navne, datatyper, antal forskellige værdier, andel tomme celler, minimum, maksimum og gennemsnit for talkolonner samt første og sidste dato for datokolonner), op til fem eksempler på etiketter fra kolonner med højst 25 forskellige værdier som en heuristisk kontrol ikke markerer som direkte identifikatorer, antallet af rækker, hvilke kolonner der kan kombineres til en rate, den fokustekst Kunden eventuelt skriver, og titlerne og indstillingerne for de diagrammer der allerede er på arket.
Rækker fra filen sendes ikke til nogen AI-funktion.
OpenAI behandler dataene i USA, bruger som udgangspunkt ikke API-data til træning og opbevarer dem i op til 30 dage til overvågning af misbrug, medmindre lovgivningen kræver længere.
For at skrive et AI-resumé sender EasyDash OpenAI aggregerede tal fra kun én dashboardside: for hvert nøgletal dets titel, dets værdi, dets sammenligningsværdi, ændringen og datoerne for perioden, og for hvert søjlediagram dets titel, navnet på den kolonne det grupperer efter og dets fem største søjler (etiket og værdi), sammen med dashboardets valuta og sprog. Hvert tal i den returnerede tekst kontrolleres mod disse inputdata, og en sætning med et tal der ikke findes blandt dem, kasseres.
Kunden kan slå AI-resuméer fra for sin konto, hvorefter der ikke sendes resuméedata. Dashboards der oprettes ud fra en skabelon, får deres layout uden AI, medmindre skabelonen ikke længere findes, og Tjenesten falder tilbage til et AI-layout. AI-genererede layouts og resuméer er mærket som sådan i Tjenesten.
For at udføre en ændring som Kunden beder om med egne ord, sender EasyDash OpenAI anmodningsteksten (højst 500 tegn), titlerne og indstillingerne for de berørte diagrammer og arkets navn samt den kolonnebeskrivelse der bruges til layouts uden eksempler på etiketter. Den returnerede ændring er begrænset til diagrammernes redigerbare indstillinger og vises for Kunden inden den udføres.

Google- og Meta-data

Adgang til Google Sheets er begrænset til de enkelte filer brugeren vælger i Googles filvælger (drive.file). Adgang til Google Analytics og Search Console er skrivebeskyttet (analytics.readonly, webmasters.readonly) og begrænset til den rapport brugeren forbinder for hver ejendom eller hver hjemmeside. Intet i brugerens Google-konto ændres nogensinde.
Adgangstokens til Google og Meta er krypteret med AES-256-GCM, opbevares i databasen under sikkerhed på rækkeniveau (row-level security) og bruges kun til at synkronisere de ark og rapporter brugeren har forbundet. Adgang til Meta er skrivebeskyttet (ads_read), og intet i brugerens annoncekonti ændres nogensinde.

Kontrol med ændringer og udvikling

Hver kodeændring gennemgår versionsstyring, automatisk linting, typekontrol og tests før den når produktion.
Ændringer i databaseskemaet er sporede migreringer, der genafspilles og kontrolleres mod produktion.

Tilgængelighed og robusthed

Databasen sikkerhedskopieres i øjeblikket ikke automatisk. Hvert dashboards kildefil gemmes i et separat fillager, så et dashboard kan bygges igen ud fra sin fil.
Planlagte jobs overvåges, og en kørsel der udebliver, udløser en alarm.

Sletning

Sletning af et dashboard fjerner dets gemte fil og kompilerede data.
Sletning af en konto fjerner al Kundedata inden for 30 dage.
Rapportkopier slettes 13 måneder efter afsendelsen eller inden for to dage efter at de er tilbagekaldt.

Personale

Alle der får adgang til produktion, har skriftligt påtaget sig tavshedspligt før adgangen gives.

Håndtering af hændelser

Mistanke om brud undersøges straks, og Kunden underrettes efter punkt 8.2.

Overførselsgrundlag

[OWNER: bekræft GoDaddys databehandlervilkår og overførselsgrundlag]

Ikke underdatabehandlere efter Databehandleraftalen. Google (Sheets, Analytics, Search Console, Log ind med Google) og Meta (Meta Ads) er tjenester som Kundens brugere selv vælger at forbinde med deres egne konti. EasyDash modtager data fra dem, men de behandler ikke Kundedata på EasyDashs vegne. Stripe behandler faktureringsdata med EasyDash som dataansvarlig, efter privatlivspolitikken.