Databehandleraftale

Offentlig version 1.2 · 16. oktober 2026

1. Parterne

Denne databehandleraftale indgås mellem:

Kunden (den dataansvarlige)

Kunden er den virksomhed, der har indgået aftale med Keystone Labs ApS om brug af Impakta (hovedaftalen).
Databehandleraftalen er en del af hovedaftalen og træder i kraft, når hovedaftalen accepteres. Særskilt underskrift er ikke nødvendig.

Databehandleren

Navn: Keystone Labs ApS
CVR: 46087399
Adresse: Webersvej 49, 7500 Holstebro

Kontakt for databeskyttelse og sikkerhedsbrud:

Navn: Daniel Malmros
Email: dpa@impakta.io

2. Aftalens omfang

Aftalen gælder databehandlerens behandling af personoplysninger på kundens vegne ved levering af platformen. Behandlingens formål, omfang og varighed beskrives i bilag A.

Kunden er ansvarlig for at have et lovligt behandlingsgrundlag, informere de registrerede og give lovlige instrukser.

Aftalen har forrang for andre aftalevilkår om behandling af personoplysninger.

Databehandlerens behandling til egne formål, eksempelvis egen fakturering, omfattes ikke af denne aftale og beskrives særskilt i databehandlerens privatlivspolitik.

Aftalen gælder databehandlerens behandling af personoplysninger på kundens vegne ved levering af platformen. Behandlingens formål, omfang og varighed beskrives i bilag A.

Kunden er ansvarlig for at have et lovligt behandlingsgrundlag, informere de registrerede og give lovlige instrukser.

Aftalen har forrang for andre aftalevilkår om behandling af personoplysninger.

Databehandlerens behandling til egne formål, eksempelvis egen fakturering, omfattes ikke af denne aftale og beskrives særskilt i databehandlerens privatlivspolitik.

3. Kundens instruks

Databehandleren behandler kun personoplysninger efter kundens dokumenterede instruks. Instruksen består af denne aftale, kundens handlinger i platformen inden for bilag A og senere skriftlige instrukser.

Databehandleren må ikke bruge kundens platformindhold til egne formål.

Hvis EU-ret eller national ret kræver anden behandling, informerer databehandleren kunden før behandlingen, medmindre lovgivningen forbyder det.

Databehandleren underretter straks kunden, hvis en instruks efter databehandlerens vurdering strider mod databeskyttelsesreglerne. Den berørte behandling sættes i bero, indtil forholdet er afklaret.

Dokumentaflæsning af uploadede filer (fakturaer, kvitteringer m.m.) med OpenAI er en del af platformens kerneydelse. AI-assisterede forslag (matching, feltudfyldning, faktorvalg) er valgfrie; kundens valg i platformens sikkerhedsindstillinger udgør en del af instruksen. Til OpenAI overføres kun det nødvendige linje- og dokumentindhold, og kun når kunden uploader eller importerer en fil til dokumentaflæsning eller bruger AI-forslag.

Når kunden selv forbinder egne systemer (ERP-systemer eller en AI-assistent via MCP), overføres data til og fra disse systemer på kundens instruks. Leverandørerne af disse systemer er ikke databehandlerens underdatabehandlere.

Databehandleren må ikke bruge kundens platformindhold til egne formål.

Hvis EU-ret eller national ret kræver anden behandling, informerer databehandleren kunden før behandlingen, medmindre lovgivningen forbyder det.

4. Fortrolighed og sikkerhed

Databehandleren begrænser adgang til personoplysninger til personer, som har et arbejdsbetinget behov.

Personer med adgang er underlagt en fortrolighedsforpligtelse eller passende lovbestemt tavshedspligt. Fortroligheden gælder også efter samarbejdets ophør.

Databehandleren gennemfører passende tekniske og organisatoriske sikkerhedsforanstaltninger efter GDPR artikel 32, herunder foranstaltningerne i bilag B.

Foranstaltningerne vurderes løbende og kan opdateres, hvis beskyttelsesniveauet ikke forringes. Væsentlige ændringer meddeles kunden.

Databehandleren begrænser adgang til personoplysninger til personer, som har et arbejdsbetinget behov.

Personer med adgang er underlagt en fortrolighedsforpligtelse eller passende lovbestemt tavshedspligt. Fortroligheden gælder også efter samarbejdets ophør.

Databehandleren gennemfører passende tekniske og organisatoriske sikkerhedsforanstaltninger efter GDPR artikel 32, herunder foranstaltningerne i bilag B.

Foranstaltningerne vurderes løbende og kan opdateres, hvis beskyttelsesniveauet ikke forringes. Væsentlige ændringer meddeles kunden.

5. Underdatabehandlere

Kunden giver generel skriftlig godkendelse til de underdatabehandlere, der fremgår af det færdigudfyldte bilag B.

Databehandleren indgår skriftlige aftaler med underdatabehandlerne, som pålægger dem samme databeskyttelsesforpligtelser som denne aftale. Databehandleren forbliver fuldt ansvarlig over for kunden for deres opfyldelse.

Databehandleren varsler nye eller udskiftede underdatabehandlere mindst 30 dage før brug. Varslet oplyser leverandørens identitet, opgave, behandlingslande og eventuelt overførselsgrundlag.

Kunden kan inden varslets udløb gøre begrundet indsigelse af hensyn til databeskyttelse.

Hvis parterne ikke finder en løsning, må den berørte behandling ikke overgå til den nye leverandør. Kunden kan opsige den berørte ydelse uden opsigelsesgebyr og få tilbagebetalt forudbetaling for den ubrugte periode.

Kunden giver generel skriftlig godkendelse til de underdatabehandlere, der fremgår af det færdigudfyldte bilag B.

Databehandleren varsler nye eller udskiftede underdatabehandlere mindst 30 dage før brug. Varslet oplyser leverandørens identitet, opgave, behandlingslande og eventuelt overførselsgrundlag.

Kunden kan inden varslets udløb gøre begrundet indsigelse af hensyn til databeskyttelse.

6. Behandling uden for EU og EØS

Behandling af personoplysninger uden for EU/EØS, herunder fjernadgang fra tredjelande, må kun ske efter kundens dokumenterede instruks og med et gyldigt overførselsgrundlag efter GDPR kapitel V.

Modtagere, behandlingslande og overførselsgrundlag fremgår af bilag B.

Databehandleren dokumenterer nødvendige vurderinger og supplerende beskyttelsesforanstaltninger og stiller dem til rådighed for kunden.

Behandling af personoplysninger uden for EU/EØS, herunder fjernadgang fra tredjelande, må kun ske efter kundens dokumenterede instruks og med et gyldigt overførselsgrundlag efter GDPR kapitel V.

Modtagere, behandlingslande og overførselsgrundlag fremgår af bilag B.

Databehandleren dokumenterer nødvendige vurderinger og supplerende beskyttelsesforanstaltninger og stiller dem til rådighed for kunden.

7. Bistand til kunden

Databehandleren bistår kunden med passende tekniske og organisatoriske foranstaltninger, så kunden kan håndtere de registreredes rettigheder, herunder indsigt, rettelse, sletning, begrænsning, dataportabilitet og indsigelse.

Henvendelser fra registrerede videresendes til kunden uden unødig forsinkelse. Databehandleren besvarer dem kun efter kundens instruks, medmindre lovgivningen kræver andet.

Databehandleren bistår også kunden med forpligtelser efter GDPR artikel 32-36, herunder sikkerhed, brudanmeldelser, konsekvensanalyser og forudgående høring.

Bistanden gives under hensyn til behandlingens karakter og de oplysninger, databehandleren har til rådighed, og i tide til kundens lovpligtige frister.

Henvendelser fra registrerede videresendes til kunden uden unødig forsinkelse. Databehandleren besvarer dem kun efter kundens instruks, medmindre lovgivningen kræver andet.

Databehandleren bistår også kunden med forpligtelser efter GDPR artikel 32-36, herunder sikkerhed, brudanmeldelser, konsekvensanalyser og forudgående høring.

Bistanden gives under hensyn til behandlingens karakter og de oplysninger, databehandleren har til rådighed, og i tide til kundens lovpligtige frister.

8. Brud på persondatasikkerheden

Databehandleren underretter kunden uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden. Første underretning må ikke afvente en afsluttet undersøgelse.

Underretningen beskriver så vidt muligt:

Bruddets karakter og tidspunkt.
Berørte person- og oplysningskategorier samt omtrentlige antal.
Kontaktperson for yderligere oplysninger.
Sandsynlige konsekvenser.
Iværksatte eller foreslåede afhjælpninger.

Manglende oplysninger gives løbende uden unødig forsinkelse.

Databehandleren begrænser bruddet, sikrer relevant dokumentation og bistår kunden med eventuel anmeldelse og underretning af registrerede.

Databehandleren underretter kunden uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden. Første underretning må ikke afvente en afsluttet undersøgelse.

Underretningen beskriver så vidt muligt:

Bruddets karakter og tidspunkt.
Berørte person- og oplysningskategorier samt omtrentlige antal.
Kontaktperson for yderligere oplysninger.
Sandsynlige konsekvenser.
Iværksatte eller foreslåede afhjælpninger.

Manglende oplysninger gives løbende uden unødig forsinkelse.

Databehandleren begrænser bruddet, sikrer relevant dokumentation og bistår kunden med eventuel anmeldelse og underretning af registrerede.

9. Dokumentation og tilsyn

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af GDPR artikel 28, til rådighed for kunden.

Databehandleren giver mulighed for og bidrager til revisioner og inspektioner udført af kunden eller en revisor, som kunden har bemyndiget.

Tilsyn tilrettelægges normalt med rimeligt varsel og hensyn til sikkerhed og andre kunders fortrolighed. Dokumentation og fjernrevision kan anvendes først, men begrænser ikke retten til nødvendig inspektion.

Sikkerhedsbrud, konkret mistanke eller myndighedskrav kan kræve kortere varsel.

Eventuel betaling for ekstraordinær bistand aftales på forhånd og må ikke hindre lovpligtig kontrol eller rettidig bistand. Databehandleren afhjælper egen misligholdelse uden betaling.

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af GDPR artikel 28, til rådighed for kunden.

Databehandleren giver mulighed for og bidrager til revisioner og inspektioner udført af kunden eller en revisor, som kunden har bemyndiget.

Sikkerhedsbrud, konkret mistanke eller myndighedskrav kan kræve kortere varsel.

Eventuel betaling for ekstraordinær bistand aftales på forhånd og må ikke hindre lovpligtig kontrol eller rettidig bistand. Databehandleren afhjælper egen misligholdelse uden betaling.

10. Ophør og sletning

Ved samarbejdets ophør vælger kunden, om personoplysningerne skal tilbageleveres og derefter slettes, eller alene slettes.

Tilbagelevering sker i et almindeligt anvendeligt, maskinlæsbart format med tilhørende filer.

Sletning omfatter aktive data, historiske versioner, rapportkopier, midlertidige data og kopier hos underdatabehandlere efter fristerne i bilag A. Databehandleren bekræfter gennemførelsen skriftligt og oplyser om eventuel resterende backupperiode.

Hvis EU-ret eller national ret kræver fortsat opbevaring, oplyser databehandleren kunden om grundlag, omfang og varighed, medmindre dette er forbudt. Oplysningerne isoleres og bruges kun til det lovpligtige formål.

Aftalen gælder for resterende oplysninger, indtil de er slettet.

Ved samarbejdets ophør vælger kunden, om personoplysningerne skal tilbageleveres og derefter slettes, eller alene slettes.

Tilbagelevering sker i et almindeligt anvendeligt, maskinlæsbart format med tilhørende filer.

Aftalen gælder for resterende oplysninger, indtil de er slettet.

11. Accept og ændringer

Accepten af hovedaftalen dokumenteres med aftaleversion, bilag, dato og den bemyndigede persons identitet.

Databehandleren kan opdatere denne version. Materielle ændringer varsles kunden mindst 30 dage før ikrafttræden, og den version og dato, der fremgår af siden, gælder.

Dansk ret gælder med respekt for ufravigelig databeskyttelsesret. Hovedaftalens ansvarsvilkår begrænser ikke registreredes rettigheder eller myndigheders beføjelser.

Accepten af hovedaftalen dokumenteres med aftaleversion, bilag, dato og den bemyndigede persons identitet.

Databehandleren kan opdatere denne version. Materielle ændringer varsles kunden mindst 30 dage før ikrafttræden, og den version og dato, der fremgår af siden, gælder.

Dansk ret gælder med respekt for ufravigelig databeskyttelsesret. Hovedaftalens ansvarsvilkår begrænser ikke registreredes rettigheder eller myndigheders beføjelser.

12. Ansvar

Parternes erstatningsansvar efter denne aftale er det samme som efter hovedaftalen. Det gælder dog ikke, i det omfang ufravigelig lovgivning, herunder GDPR artikel 82, fastsætter andet.

En underskrevet kopi af aftalen kan rekvireres på dpa@impakta.io.

Parternes erstatningsansvar efter denne aftale er det samme som efter hovedaftalen. Det gælder dog ikke, i det omfang ufravigelig lovgivning, herunder GDPR artikel 82, fastsætter andet.

En underskrevet kopi af aftalen kan rekvireres på dpa@impakta.io.

Bilag A : Behandling og slettefrister

Genstand og formål

Databehandleren behandler personoplysninger på kundens vegne ved levering af platformen. Formålet er at indsamle, strukturere, dokumentere, versionere og genbruge kundens bæredygtighedsdata til løbende drift, klimaberegninger og rapportering. Genbrug sker alene inden for dette formål og giver ikke databehandleren ret til at bruge kundens data til andre formål.

Behandlingen omfatter personoplysninger i kundens platformindhold samt oplysninger om brugere, adgang og hændelser, der behandles efter kundens instruks.

Kategorier af registrerede

Behandlingen kan omfatte oplysninger om kundens brugere og medarbejdere, kontaktpersoner hos kundens leverandører, kunder og samarbejdspartnere, indehavere af enkeltmandsvirksomheder samt øvrige personer omtalt i dokumenter og fritekst inden for den aftalte brug.

Typer af personoplysninger

Behandlingen kan omfatte:

Navn, arbejds-e-mail, telefonnummer, stilling, virksomhedstilknytning og adresse.
Brugeridentifikation, adgangsroller og oplysninger om brugerhandlinger.
Personhenførbare faktura-, betalings- og transaktionsoplysninger.
Personoplysninger i uploadede dokumenter, bilag, rapporter, kommentarer og supportmateriale.
IP-adresser, tidsstempler og tekniske hændelsesoplysninger, som er nødvendige for at levere og sikre ydelsen på kundens vegne.

Behandlingens karakter

Oplysninger indsamles gennem kundens indtastninger, uploads, aktiverede ERP-integrationer og leverandørindberetninger.

Behandlingen omfatter registrering, strukturering, opbevaring, dokumentudtræk med OCR og AI, AI-assisterede forslag, beregning, sammenstilling, versionering, rapportering, eksport, tilbagelevering, nødvendig support og sletning.

Dokumentaflæsning med OpenAI indgår i kerneydelsen som beskrevet i punkt 3. Valgfrie AI-forslag behandles efter kundens dokumenterede valg i platformen. Personoplysninger må ikke anvendes til træning af generelle AI-modeller.

Udveksling af oplysninger med kundens tilsluttede systemer, herunder AI-assistenter via MCP, sker efter kundens dokumenterede instruks og inden for de tildelte adgangsrettigheder. Relevante underdatabehandlere og behandlingssteder fremgår af bilag B.

Oplysninger uden for den aftalte brug

Den aftalte brug omfatter ikke CPR-numre, særlige kategorier af personoplysninger efter GDPR artikel 9 eller oplysninger om strafbare forhold efter artikel 10.

Kunden skal undlade at indsende sådanne oplysninger og fjerne dem fra dokumenter før upload. Hvis databehandleren bliver opmærksom på utilsigtet modtagelse, underrettes kunden uden unødig forsinkelse. Databehandleren sletter oplysningerne efter kundens instruks uden unødig forsinkelse. Indtil sletning behandles de alene efter lovlig instruks og med passende sikkerhedsforanstaltninger.

Planlagt behandling af disse oplysningstyper kræver forudgående særskilt skriftlig aftale om behandlingens omfang, instruks og sikkerhedsforanstaltninger.

Behandlingens varighed

Behandlingen sker i aftaleperioden og efter ophør i den afgrænsede periode, der er nødvendig for tilbagelevering og sletning efter punkt 10 og nedenstående frister. Eventuel lovpligtig opbevaring håndteres efter punkt 10.

Opbevaring og slettefrister

I aftaleperioden opbevares personoplysninger efter kundens instruks. Versionering giver ikke i sig selv grundlag for ubegrænset opbevaring.

Kundens data er samlet slettet senest 38 dage efter ophør (30 dage fra aktive systemer og højst 8 dage i backup), bortset fra logs hos underdatabehandlere efter fristerne nedenfor.

Følgende frister gælder:

Tilbagelevering: Senest 30 dage efter ophør.
Sletning fra aktive systemer: Senest 30 dage efter ophør. Hos underdatabehandlere gælder fristerne for logs nedenfor.
Resterende levetid i backup: Højst 8 dage efter sletning fra aktive systemer.
AI-forbrugslog hos databehandleren: 90 dage. Fristen gælder brugsmetadata og er ikke en generel frist for dokumenter eller AI-input.
MCP-revisionslog: 90 dage.
Øvrige logs og midlertidige data:
- Midlertidige importfiler: slettes, når importen er afsluttet.
- Interne jobkø-data (fx filnavn og filsti): 7 dage efter jobbets afslutning og senest ved ophør efter punkt 10.
- Notifikationer og kopier af afsendte notifikationsmails: i aftaleperioden. De slettes straks, når brugeren sletter sin konto.
- IP-adresser gemmes ikke i aktivitetsloggen.
- Logs hos underdatabehandlere slettes efter den pågældende leverandørs opbevaringsperiode:
  - Vercel (hostinglogs): op til 30 dage.
  - Sentry (fejlrapporter): op til 90 dage.
  - Resend (afsendte e-mails og leveringslogs): 30 dage og backup op til 7 dage.
  - OpenAI (misbrugslogs): op til 30 dage.
  - Fly.io (OCR-service): uploadede filer behandles i hukommelsen og gemmes ikke.
Aktiviteter, versionshistorik, importlinjer, rapporter og vedhæftede filer: I aftaleperioden (kundens data), derefter efter punkt 10.

Når en bruger sletter sin konto, anonymiseres brugeroplysningerne straks.

Anonymiseringen omfatter loginkonto, navn, e-mail, password, notifikationer og køede notifikationsmails.

Backupkopier er adgangsbegrænsede og bruges kun til gendannelse frem til udløb. Tidligere sletteinstrukser genanvendes, før gendannede oplysninger tages i almindelig brug. Databehandlerens skriftlige bekræftelse af sletning efter punkt 10 angiver den dato, hvor kundens data senest er udløbet af backup.

Eventuel lovpligtig opbevaring håndteres efter punkt 10.

Bilag B : Underdatabehandlere

Supabase Inc.

Adresse: c/o Incorporating Services, Ltd., 3500 S. DuPont Highway, Dover, Kent County, Delaware 19901, USA (koncernforbundet selskab Supabase Pte. Ltd., Singapore, kan indgå i behandlingen).
Kontakt: privacy@supabase.io.
Opgave: Database, filopbevaring, brugerlogin og baggrundsjob. Behandler kundedata, filer og brugerkonti.

Databaseplacering: Irland, eu-west-1. USA er aftalepartens hjemland og indgår ved relevant support og drift.

Supabase behandler oplysninger i henhold til Supabases Data Processing Addendum, som er en del af Supabases Terms of Service, jf. supabase.com/legal/dpa, inkl. EU-standardkontraktbestemmelser (Kommissionens afgørelse (EU) 2021/914). Databehandleren sikrer, at vilkårene til enhver tid giver mindst samme beskyttelse som denne aftale.

OpenAI Ireland Ltd. (OpenAI)

Adresse: 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland.
Kontakt: privacy@openai.com.

Opgave: AI-assisteret klassificering, feltudtræk og forslag via Chat Completions API, herunder dokumentaflæsning som del af kerneydelsen samt valgfrie AI-forslag. Behandler nødvendigt importeret linje- og dokumentindhold.

Placering: Behandling sker i USA. Aftalepart: OpenAI Ireland Ltd.

OpenAI behandler oplysninger i henhold til OpenAI’s databehandleraftale, som er en del af OpenAI’s serviceaftale, inkl. EU-standardkontraktbestemmelser (Kommissionens afgørelse (EU) 2021/914) for overførsler til USA. Oplysningerne bruges ikke til træning af OpenAI’s modeller. Databehandleren sikrer, at vilkårene til enhver tid giver mindst samme beskyttelse som denne aftale.

Vercel Inc.

Adresse: 440 N Barranca Ave #4133, Covina, CA 91723, USA.
Kontakt: privacy@vercel.com.

Opgave: Hosting og serverfunktioner. Behandler webforespørgsler, relevante kundedata og driftslogs.

USA er aftalepartens hjemland. Serverfunktioner kører i Dublin (dub1). CDN, logs og Web Analytics (cookieløs) kan behandles globalt.

Vercel behandler oplysninger i henhold til Vercels databehandleraftale, inkl. EU-standardkontraktbestemmelser (Kommissionens afgørelse (EU) 2021/914) og EU-US Data Privacy Framework. Databehandleren sikrer, at vilkårene til enhver tid giver mindst samme beskyttelse som denne aftale.

Fly.io, Inc.

Adresse: 2045 W Grand Ave Ste B, Chicago, Illinois 60612, USA.
Opgave: Drift af databehandlerens OCR-service (dokumentbehandling). Uploadede filer behandles i hukommelsen og gemmes ikke.

Placering: Stockholm, Sverige (arn). USA er aftalepartens hjemland.

Fly.io behandler oplysninger i henhold til Fly.io’s databehandleraftale, indgået 16. oktober 2026, inkl. EU-standardkontraktbestemmelser (Kommissionens afgørelse (EU) 2021/914). Databehandleren sikrer, at vilkårene til enhver tid giver mindst samme beskyttelse som denne aftale.

Functional Software, Inc. (Sentry)

Adresse: 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA.
Opgave: Fejlovervågning. Persondata sendes ikke som standard; URL’er og tokens fjernes.

Placering: EU (Tyskland). USA er aftalepartens hjemland.

Sentry behandler oplysninger i henhold til Sentrys databehandleraftale, indgået 17. oktober 2026, inkl. EU-standardkontraktbestemmelser (Kommissionens afgørelse (EU) 2021/914) og EU-US Data Privacy Framework. Databehandleren sikrer, at vilkårene til enhver tid giver mindst samme beskyttelse som denne aftale.

Plus Five Five, Inc. (Resend)

Adresse: 2261 Market Street #5039, San Francisco, CA 94114, USA.
Opgave: Afsendelse af e-mails (invitationer, login- og adgangskodemails, notifikationer, leverandørforespørgsler). Datatyper: navn, e-mail, beskedtekst.

Placering: USA, uanset afsendelsesregion. USA er aftalepartens hjemland.

Resend behandler oplysninger i henhold til Resends databehandleraftale, som er indgået ved oprettelse af kontoen, inkl. EU-standardkontraktbestemmelser (Kommissionens afgørelse (EU) 2021/914) og EU-US Data Privacy Framework. Databehandleren sikrer, at vilkårene til enhver tid giver mindst samme beskyttelse som denne aftale.

Leverandørernes egen underdatabehandlerkæde dokumenteres i en liste dateret 15. oktober 2026. Bilaget holdes ajour efter punkt 5.

Andre tjenester (ikke underdatabehandlere)

Google Cloud EMEA Limited (Google Maps Platform), 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Adresseopslag og afstandsberegning ud fra indtastede adresser og stednavne. Google behandler oplysningerne som selvstændig dataansvarlig efter Googles egne vilkår og er ikke underdatabehandler for databehandleren. Databehandleren sender ikke personoplysninger om brugere til Google Maps Platform.

Kundens egne systemer (ikke underdatabehandlere)

Microsoft Business Central, Dinero/Visma, e-conomic, Odoo og kundens AI-assistent via MCP aktiveres af kunden selv.

Adgang og adskillelse

Supabase Auth, serverbaseret adgangskontrol og Row Level Security afgrænser kundernes data.

Owner-rollen håndterer teamadministration og sletning. Member-rollen håndterer daglige data. Sessions- og rollekontrol sker pr. forespørgsel.

Brugere kan aktivere multifaktorgodkendelse (MFA). Databehandlerens administrative konti hos underdatabehandlere er beskyttet med MFA. Adgangsrettigheder gennemgås halvårligt.

Leverandørlinks

Indberetning er afgrænset til den konkrete leverandør og kunde. Links udløber og kan tilbagekaldes. De giver ikke adgang til kundens øvrige data. Adgangstokens fjernes fra fejl- og analyselogs.

Kryptering

Alle data, herunder personoplysninger og loginoplysninger, krypteres med AES-256 ved lagring og med TLS under transport.

Al trafik til OCR-service og øvrige leverandører sker via TLS. Loginoplysninger til kundens ERP-systemer opbevares krypteret i Supabase Vault og slettes automatisk, når forbindelsen eller kunden slettes.

Logs og AI

Aktivitetslog og versionshistorik dokumenterer ændringer. AI-forbrugsmetadata slettes efter 90 dage.

AI-forslag kan slås fra pr. virksomhed; dokumentaflæsning er en del af kerneydelsen. Al OpenAI-trafik går gennem ét OpenAI-projekt, hvor modeltræning er fravælgt.

Backup og beredskab

Backupfrekvens og -periode: dagligt, opbevares i 8 dage. Filer i Storage er ikke omfattet af databasebackup. Ved sikkerhedsbrud følges databehandlerens brudprocedure, jf. punkt 8.

Løbende kontrol

Databehandleren følger op på sårbarheder og vurderer sikkerhedsforanstaltningernes effektivitet.

Daniel Malmros
dpa@impakta.io

Tilbage til Vilkår og Privatliv

Til toppen