Databehandleraftale.

1. Parter og baggrund

I er dataansvarlige for de oplysninger, I lægger ind om jeres klienter og sager. Levano ApS (CVR-nr. 46395751, Lille Torv 2A, 3. tv., 8000 Aarhus C) er databehandler og behandler oplysningerne på jeres vegne.

Aftalen implementerer kravene i GDPR artikel 28 og gælder, så længe vi behandler personoplysninger for jer.

2. Behandlingens formål og omfang

Formålet er at levere Levano: sagsstyring, dokumenter, klientkommunikation, tidsregistrering, fakturering og AI-assisterede arbejdsgange.

Kategorier af registrerede: jeres klienter, modparter og deres kontaktpersoner. Kategorier af oplysninger: navne og kontaktoplysninger, sags- og klientdata, dokumenter, noter og korrespondance, som I selv lægger ind.

Varighed: behandlingen løber i abonnementets løbetid plus den tid, der er nødvendig for tilbagelevering og sletning.

3. Levanos forpligtelser

• Vi behandler kun data efter jeres dokumenterede instruks og til det aftalte formål.
• Vi sikrer, at alle med adgang er underlagt fortrolighed.
• Vi træffer passende sikkerhedsforanstaltninger efter GDPR artikel 32.
• Vi træner ikke kunstig intelligens på jeres data.
• Vi bistår jer med at opfylde de registreredes rettigheder og jeres egne forpligtelser efter artikel 32 til 36.
• Vi stiller den dokumentation til rådighed, der skal til for at påvise overholdelse af artikel 28.

4. Sikkerhedsforanstaltninger

• Kryptering i hvile (AES-256) og under transport (TLS 1.2+).
• Rollestyret adgang efter mindste-privilegium og to-faktor autentificering.
• Logning og overvågning af systemhændelser og adgang.
• EU-hosting med daglige, krypterede backups inden for EU.
• Fortrolighedsaftaler og løbende sikkerhedsuddannelse for alle medarbejdere med adgang.
• Sårbarhedsscanning og dokumenteret procedure for hændelseshåndtering.

Vores kontroller monitoreres kontinuerligt af Vanta, og vi er under certificering efter ISO 27001 og ISO 42001.

5. Kundens instruktioner

Jeres instruks er dokumenteret gennem denne aftale og jeres opsætning af platformen. Mener vi, at en instruks strider mod GDPR eller anden databeskyttelseslovgivning, underretter vi jer straks.

6. Underdatabehandlere

I giver generel forhåndsgodkendelse til, at vi anvender underdatabehandlere. De aktuelle er:

• EU-hosting: drift og lagring på servere i Danmark med backup i Vesteuropa.
• Anthropic (Claude): motoren bag kollegaen, på Enterprise-vilkår med Zero Data Retention.
• Microsoft 365: Word- og Outlook-add-ins samt single sign-on, når I aktiverer det.
• e-Boks: sikker digital post. Penneo: digital signering.
• CVR, Retsinformation og EUR-Lex: opslag på virksomheds-, lov- og EU-data.

Alle underdatabehandlere er bundet af skriftlige aftaler med beskyttelse svarende til denne. Den fulde, opdaterede liste ligger på levano.dk/sikkerhed/databehandlere. Vi varsler jer mindst 30 dage før tilføjelse eller udskiftning, så I kan gøre indsigelse. Fastholdes en uløst indsigelse, kan I opsige aftalen.

7. Overførsel til tredjelande

Data behandles som udgangspunkt inden for EU/EØS. Hvor en underdatabehandler undtagelsesvist behandler data uden for EU, sker det under EU-Kommissionens standardkontraktbestemmelser (SCC) med supplerende foranstaltninger som kryptering og adgangsbegrænsning. Dokumentation kan rekvireres.

8. Revision og audit

I kan, eller en uafhængig revisor på jeres vegne, føre tilsyn med vores behandling efter mindst 30 dages skriftligt varsel, inden for normal arbejdstid og under fortrolighed. I bærer omkostningen ved en audit, med mindre den afdækker væsentlige brud på aftalen. Vi kan også dokumentere overholdelse via status på vores certificeringer og evidens fra vores Vanta-monitorering.

9. Sletning og tilbagelevering

Ved ophør har I 30 dage til at eksportere jeres data i et struktureret, maskinlæsbart format. Herefter sletter vi alle personoplysninger inden 90 dage, med mindre lovgivning kræver opbevaring (fx bogføringsloven). Backups slettes efter normal rotation, senest 30 dage. Dokumentation for sletning kan rekvireres.

10. Brud på persondatasikkerheden

Bliver vi opmærksomme på et brud, underretter vi jer uden unødig forsinkelse og inden 24 timer. Underretningen beskriver bruddets karakter, berørte kategorier og omtrentligt antal registrerede, sandsynlige konsekvenser og de tiltag, vi har truffet. Vi bistår jer med at opfylde jeres forpligtelser efter GDPR artikel 33 og 34.

11. Registreredes rettigheder

Vi bistår jer med at opfylde de registreredes rettigheder efter GDPR kapitel III: indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse. Henvender en registreret sig direkte til os, videresender vi henvendelsen til jer uden unødig forsinkelse.

12. Lovvalg og tvister

Aftalen er underlagt dansk ret. Tvister afgøres ved Retten i Aarhus som første instans.

13. Kontakt

• Levano ApS, CVR-nr. 46395751
• Lille Torv 2A, 3. tv., 8000 Aarhus C
• E-mail: contact@levano.io