Databehandleraftale (DPA)

Version 2026-10-21 · gælder fra 15. december 2026 for eksisterende kunder og fra oprettelsen for nye. Tidligere versioner: arkiv.

1. Roller og definitioner

I forhold til persondata om foreningens medlemmer og øvrige registrerede er din forening dataansvarlig og Foreningsstyring fungerer som databehandler på foreningens vegne.

• Dataansvarlig (din forening): Bestemmer formål og midler for behandling af persondata
• Databehandler (Foreningsstyring): Behandler data udelukkende efter foreningens instruktioner

2. Behandlingens genstand og varighed

Platformen er ikke beregnet til følsomme oplysninger (GDPR art. 9) eller CPR-numre. Lagrer din forening alligevel sådanne oplysninger i fritekstfelter eller dokumenter, sker det på foreningens eget ansvar og efter foreningens instruks. Børneattestmodulet behandler kun status, datoer og rolle for indhentede attester (oplysninger om strafbare forhold, GDPR art. 10 og databeskyttelseslovens § 8); foreningen instruerer os i ikke at behandle attestens resultat, og fritekstfelter må ikke indeholde attestens indhold.

3. Databehandlerens forpligtelser

Foreningsstyring forpligter sig til at:

• Kun behandle persondata efter dokumenterede instruktioner fra din forening, herunder overførsel til tredjelande
• Sikre at personer, der er autoriseret til at behandle data, er underlagt fortrolighed
• Træffe alle nødvendige sikkerhedsforanstaltninger jf. GDPR artikel 32
• Overholde betingelserne for brug af underdatabehandlere (se afsnit 5)
• Bistå foreningen med at opfylde sine forpligtelser ved anmodninger fra registrerede
• Bistå foreningen med overholdelse af artikel 32-36 (sikkerhed, brud, konsekvensanalyse, høring)
• Efter foreningens valg slette eller returnere alle data ved ophør af tjenesterne
• Stille alle nødvendige oplysninger til rådighed for at påvise overholdelse og tillade revision
• Straks underrette din forening, hvis en instruks efter vores opfattelse er i strid med GDPR eller anden databeskyttelsesret (GDPR art. 28, stk. 3, sidste led)
• Kun bruge underdatabehandlere, der ved skriftlig aftale er pålagt de samme databeskyttelsesforpligtelser som i denne aftale, og forblive fuldt ansvarlig over for din forening for deres opfyldelse (GDPR art. 28, stk. 4; se afsnit 5)

4. Sikkerhedsforanstaltninger

Foreningsstyring implementerer følgende tekniske og organisatoriske foranstaltninger:

Kryptering:

• Transport: TLS 1.3 for alle forbindelser
• Adgangskoder: bcrypt med cost factor 12
• Betalingsdata: Kortoplysninger og betalingsmidler håndteres udelukkende af MobilePay og Stripe; vi gemmer kun betalingsreferencer, beløb og status
• Backup: Krypteret lagring af alle backup-filer

Adgangskontrol:

• Rollebaseret adgangskontrol (RBAC) med roller: Admin, Bestyrelsesmedlem, Medlem
• Automatisk session timeout efter 30 dages inaktivitet
• Audit log af administrative handlinger

Applikationssikkerhed:

• SQL injection-beskyttelse via Prisma ORM (parametriserede queries)
• XSS-beskyttelse via React's automatiske escaping
• CSRF-beskyttelse via NextAuth tokens
• Rate limiting mod brute force-angreb

Backup og gendannelse:

• Daglig automatisk backup
• Op til 30 dages retention (lokalt 7 dage, offsite op til 30 dage)
• Krypteret lagring i EU (Hetzner, Tyskland og Finland)
• Recovery Time Objective (RTO): 4 timer
• Recovery Point Objective (RPO): 24 timer
• Slettede data kan findes i backup i op til 30 dage efter sletningen (og op til 60 dage efter aftalens ophør) og genindlæses kun ved gendannelse af hele databasen

Fysisk og infrastruktur sikkerhed:

• ISO 27001-certificerede datacentre (Hetzner, Tyskland og Finland)
• DDoS-beskyttelse via Hetzner
• Firewall og netværkssegmentering
• Regelmæssige sikkerhedsopdateringer

5. Underdatabehandlere

Du giver hermed generel godkendelse til brug af underdatabehandlere. Foreningsstyring varsler tilføjelse eller udskiftning af underdatabehandlere pr. e-mail med mindst 30 dage, så din forening kan gøre begrundet indsigelse inden ændringen. Kan vi ikke imødekomme indsigelsen, kan din forening opsige aftalen med virkning fra ændringens ikrafttræden uden yderligere omkostninger. Enhver underdatabehandler er ved skriftlig aftale pålagt de samme databeskyttelsesforpligtelser, som gælder for os efter denne aftale.

Aktuelle underdatabehandlere:

Selvstændigt dataansvarlige, som foreningen selv har aftale med

Vipps MobilePay AS og Stripe Payments Europe Ltd. behandler betalinger som betalingsinstitutter på egne vilkår og er selvstændigt dataansvarlige for betalingsoplysningerne. For kontingent og billetter er de foreningens egen aftalepart — ikke vores underdatabehandler. Vi modtager kun betalingsreferencer, beløb og status.

6. Overførsel til tredjelande

Data opbevares i EU (Tyskland og Finland). Enkelte underdatabehandlere (Cloudflare, Resend, Anthropic og push-tjenesterne) kan behandle data i USA. Overførsel til tredjelande sker kun med passende sikkerhedsforanstaltninger: EU-Kommissionens standardkontraktbestemmelser (SCCs) eller tilstrækkelighedsafgørelser.

Sletning af billetdata

• Billetkøberes kontaktoplysninger (navn, e-mail, telefon) anonymiseres 13 måneder efter arrangementet. Samtidig fjernes køberens e-mail fra de logs, der hører til købet (log over afsendte mails og betalingslogs). Beløb, dato og kvitteringsnummer bevares i 5 år af hensyn til bogføringen.
• Billet-ventelisten slettes 30 dage efter arrangementet, og modtageren fjernes fra loggen over de mails, der er sendt til den.
• Dørlister, der hentes til offline-scanning, indeholder kun det nødvendige og udløber efter 24 timer.

7. Brud på persondatasikkerheden

Ved sikkerhedsbrud underretter Foreningsstyring din forening uden unødig forsinkelse (og senest inden 48 timer) efter at være blevet opmærksom på bruddet. Underretningen indeholder beskrivelse af bruddet, kontaktoplysninger, sandsynlige konsekvenser og foranstaltninger der er truffet.

8. Revision

Din forening har ret til at foretage revision af Foreningsstyring's overholdelse af denne databehandleraftale, enten selv eller via en uafhængig revisor. Revision aftales med mindst 14 dages varsel og udføres på en måde, der minimerer forstyrrelse af driften.

9. Dit ansvar som dataansvarlig

Som dataansvarlig er din forening ansvarlig for:

• At have lovligt grundlag for behandling (samtykke, aftale, legitim interesse mv.)
• At informere foreningens medlemmer om behandlingen (via foreningens egen privatlivspolitik)
• At håndtere anmodninger fra registrerede (indsigt, sletning, berigtigelse mv.)
• At vurdere om der er behov for konsekvensanalyse

10. Kontakt