Databehandleraftale

1. Genstand og varighed

Piklo behandler personoplysninger på vegne af Kunden i forbindelse med levering af Piklo Booking-platformen (bookingsystem, klientstamdata, betalinger, SMS/email og kalenderstyring). Aftalen løber så længe Kunden anvender Piklos tjenester.

2. Behandlingens karakter

• Opbevaring og strukturering af klient-, booking- og betalingsdata
• Afsendelse af e-mail- og SMS-notifikationer
• Online betalingsformidling (via Stripe)
• Drift, vedligehold, fejlretning og logning
• Backup og sikkerhedsforanstaltninger

3. Kategorier af registrerede og oplysninger

Registrerede: Kundens klienter, medarbejdere og brugere.
Almindelige oplysninger: navn, e-mail, telefonnummer, adresse, bookinghistorik, betalingsmetode (kortdata behandles af Stripe, ikke Piklo).
Følsomme oplysninger: Kun hvis Kunden vælger at notere sundhedsoplysninger som interne noter. Sådanne data skal håndteres med ekstra omhu og kun deles på need-to-know-basis.

4. Piklos forpligtelser

Piklo:

• Behandler kun data efter dokumenterede instrukser fra Kunden (Piklos vilkår)
• Sikrer fortrolighed hos medarbejdere via NDA
• Implementerer passende tekniske og organisatoriske foranstaltninger (artikel 32)
• Hjælper Kunden med at opfylde anmodninger fra registrerede (artikel 12-22)
• Underretter Kunden om databrud senest 24 timer efter konstatering
• Sletter eller tilbageleverer data ved kontraktens ophør
• Stiller dokumentation til rådighed for audit

5. Tekniske og organisatoriske foranstaltninger

• HTTPS/TLS-kryptering i transit
• Krypteret database-storage hos Supabase (AES-256)
• Row-Level Security (RLS) på alle datatabeller
• To-faktor godkendelse for medarbejder-konti
• Append-only audit-log på alle data-modificerende handlinger
• Daglig backup med 30 dages opbevaring
• Sikker sletning ved kontraktens ophør
• Krypterede refresh-tokens for tredjeparts-integrationer (AES-256-GCM)

6. Underdatabehandlere (sub-processors)

Piklo anvender følgende godkendte underdatabehandlere:

• Supabase Inc. — database, auth, storage (EU-region, Frankfurt)
• Vercel Inc. — hosting (EU-region, Frankfurt)
• Stripe Payments Europe — betalinger (EU)
• Resend Inc. — transaktionel e-mail (EU)
• BulkGate s.r.o. — SMS-afsendelse (EU)
• Sentry GmbH — fejlovervågning (EU)

Ændringer i underdatabehandlere annonceres med 30 dages varsel via e-mail.

7. Overførsel til tredjelande

Alle underdatabehandlere er primært placeret i EU/EØS. Hvor data midlertidigt krydser grænsen (fx ved Stripe-supportering), sker det under EU's standard contractual clauses (SCCs).

8. Tilsyn og audit

Kunden kan én gang årligt anmode om dokumentation for Piklos sikkerhedsforanstaltninger. Større audits aftales mindst 30 dage i forvejen.

9. Ansvar og erstatning

Parternes ansvar reguleres af de almindelige brugervilkår. Piklos ansvar for tab forårsaget af databehandlingsfejl er begrænset til et beløb svarende til Kundens betaling for de seneste 12 måneder.

10. Klage

Du kan klage til Datatilsynet på datatilsynet.dk hvis du er uenig i Piklos eller Kundens behandling af dine personoplysninger.

Underskrift

Aftalen accepteres ved at oprette en konto og acceptere Piklos vilkår. Et signeret PDF-eksemplar kan rekvireres på dpa@piklo.dk.