Databehandleraftale

1. Parter og baggrund

Aftalen er indgået mellem kunden (dataansvarlig) og OpenSUN Systems ApS, Rømersvej 4, 7430 Ikast, CVR 43782495 (databehandler). Når OpenSEO henter data fra kundens forbundne tjenester, analyserer kundens sites, gemmer resultater og genererer forslag, kan der indgå personoplysninger, som vi behandler på kundens vegne.

Aftalen bygger på Datatilsynets standardkontraktbestemmelser og består af disse vilkår samt bilag A–C nedenfor.

2. Sådan indgås aftalen

Aftalen indgås ved, at kunden accepterer den ved oprettelse af kontoen, og er gældende, så længe kunden har en konto. Kunder, der ønsker en underskrevet eller tilpasset aftale, kan kontakte os, se kontakt (typisk Enterprise). [Til gennemsyn: bekræft indgåelsesmåde og evt. digital signatur.]

3. Bilag A – oplysninger om behandlingen

• Formål: at levere OpenSEO: analyse af kundens sites, visning af søgeords-, trafik- og backlink-data, anbefalinger, udførelse af handlinger, AI-forslag, rapporter, API og MCP.
• Art: indsamling via kundens forbundne tjenester, opbevaring, analyse, visning, eksport og sletning.
• Typer af personoplysninger: brugeroplysninger (navn, arbejdsmail, rolle), logdata (IP, handlinger) samt personoplysninger, der tilfældigt indgår i kundens site- og søgedata (fx søgeord eller sidetekster).
• Kategorier af registrerede: kundens ansatte og brugere, samt besøgende eller personer omtalt på kundens sites.
• Følsomme oplysninger: OpenSEO er ikke beregnet til at behandle følsomme personoplysninger eller oplysninger om straffedomme.
• Varighed: så længe kunden har en konto, jf. punkt 10.

4. Instruks og dataansvarliges forpligtelser

Vi behandler kun personoplysninger efter kundens dokumenterede instruks, som består af denne aftale og kundens brug af Tjenesten, medmindre EU-retten eller national ret kræver andet. Vi underretter kunden, hvis vi mener, en instruks er i strid med databeskyttelsesreglerne. Kunden er ansvarlig for at have et lovligt behandlingsgrundlag og for at informere de registrerede.

5. Fortrolighed

Kun medarbejdere, der har brug for adgang for at levere Tjenesten, har adgang, og de er underlagt tavshedspligt. Superadmin-adgang til en kundes konto (“Log ind som”) sker kun til support og fejlfinding, er tydeligt markeret og logges.

6. Bilag C – sikkerhedsforanstaltninger

• Kryptering af al trafik med TLS og krypteret opbevaring af adgangstokens til forbundne tjenester.
• Adskillelse af kontoes data i databasen med automatiske isolationstests.
• Login med engangskode på mail og valgfri TOTP, rollebaseret adgang og auditlog.
• Spamværn (ALTCHA) og rate limiting på formularer og login.
• Løbende sikkerhedsopdatering af server og afhængigheder samt automatiske tests ved hver ændring.
• Backup og gendannelse. [Til gennemsyn: beskrivelse, når backup er etableret.]

7. Bilag B – underdatabehandlere

Kunden giver generel tilladelse til, at vi bruger følgende underdatabehandlere under en aftale, der stiller samme databeskyttelseskrav som denne:

• Hosting (Laravel Forge på OpenSUN Systems’ egen server i EU): drift af OpenSEO, database og lagring. Forge administrerer serveren og behandler ikke kundernes indhold. [Til gennemsyn: serverudbyder og datacenter.]
• onlinemail.io (opensunsystems.com): afsendelse af systemmails, fx engangskoder til login, invitationer, kvitteringer og notifikationer.
• Google (API’er): når kunden selv forbinder Search Console, Analytics eller PageSpeed, henter OpenSEO data fra kundens egne Google-konti. Google er her kundens egen leverandør. [Til gennemsyn: overførselsgrundlag, hvis data behandles uden for EU/EØS.]
• OnPay A/S og Worldline/Bambora: betaling med kort og MobilePay samt gemt kort til løbende træk. Kortnumre behandles hos OnPay og indløser og opbevares aldrig af OpenSEO.
• Anthropic (Claude API): AI-forslag til meta-tekster, alt-tekster, forklaringer og LinkedIn-opslag. Kun det indhold, der er nødvendigt for den enkelte opgave, sendes. [Til gennemsyn: Anthropics region og overførselsgrundlag.]
• Dinero: bogføring af fakturaer. Kun fakturaoplysninger om betalende kunder deles. [Til gennemsyn: bekræft, at Dinero er i brug.]
• DataForSEO og Magnific (kun hvis funktionen bruges): søgeords- og backlink-data samt billedgenerering til LinkedIn-opslag. Der sendes søgeord, domæner og billedbeskrivelser – ikke personoplysninger. [Til gennemsyn: bekræft, hvilke leverandører der er aktive.]
• GitLab: opbevaring af kildekode og kørsel af tests. Der ligger aldrig kundedata i GitLab.

Vi varsler kunden om påtænkte ændringer med mindst 30 dage, så kunden kan gøre indsigelse. [Til gennemsyn: varsel.]

8. Overførsel til tredjelande

Data behandles på servere i EU. Overførsel til lande uden for EU/EØS sker kun efter kundens instruks eller via de underdatabehandlere, der er nævnt i bilag B, og kun med et gyldigt overførselsgrundlag (art. 44-49). [Til gennemsyn.]

9. Bistand og brud på persondatasikkerheden

Vi bistår kunden med at besvare anmodninger fra de registrerede, med konsekvensanalyser og med samarbejde med tilsynsmyndigheder. Vi underretter kunden uden unødig forsinkelse, og senest inden 48 timer, efter at vi er blevet opmærksomme på et brud på persondatasikkerheden. [Til gennemsyn: frist.]

10. Ophør og sletning

Ved ophør af kontoen eller aftalen sletter eller anonymiserer vi kundens personoplysninger efter en fortrydelsesperiode på 30 dage, medmindre loven kræver opbevaring. Kunden kan inden da eksportere sine data. På anmodning bekræfter vi sletningen. [Til gennemsyn: frist.]

11. Kontrol og dokumentation

Vi stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af aftalen, og giver mulighed for revisioner, herunder inspektioner, som kunden eller en tredjepart på kundens vegne udfører, med rimeligt varsel og for kundens regning.

12. Kontakt og lovvalg

Aftalen er underlagt dansk ret. Spørgsmål kan rettes via kontakt-formularen eller info@openseo.dk. Se også handelsbetingelserne og privatlivspolitikken.