Databehandleraftale
Version 0.3 · 8. november 2026
Læs forslaget og de åbne punkter. Prøveperioden er fortsat kun til opdigtede borgeroplysninger.
Det vigtigste først
Dette er Sanars forslag til en databehandleraftale med bilag. Det er ikke en indgået aftale eller en godkendelse til at bruge rigtige borgerdata. Alle bestemmelser nedenfor er foreslåede vilkår for en kommende aftale; de beskriver ikke i sig selv allerede etablerede driftsgarantier.
Den nuværende prøveperiode er kun til opdigtede borgeroplysninger. Konto- og loginoplysninger er stadig personoplysninger. Behandlingen af dem skal beskrives særskilt i en privatlivsinformation; denne aftale erstatter ikke den information.
Udkastet er skrevet til Sanar med udgangspunkt i GDPR artikel 28. Det er ikke en gengivelse af Datatilsynets standardkontraktsbestemmelser og har ikke deres særlige status. Før en endelig aftale skal parter, instruks, leverandørkæde og sikkerhed passe til den faktiske drift.
1. Parter og kontakt
- Dataansvarlig: [kundens juridiske navn, CVR, adresse, kontaktperson og eventuel databeskyttelsesrådgiver]. En afdeling eller den medarbejder, der opretter arbejdsstedet, er ikke nødvendigvis aftaleparten.
- Databehandler og leverandør ved opstart: RoboNord Multiservice ApS, CVR 45556085, Egevej 12, Gærum, 9900 Frederikshavn. Sanar er navnet på løsningen. Kontaktperson for Sanar: Dan Andersen. En særskilt kontaktkanal for sikkerhedshenvendelser skal fastlægges nedenfor.
- Sikkerhedshenvendelser: [overvåget kontaktkanal, telefon, ansvarlig og stedfortræder hos begge parter]. Disse oplysninger skal udfyldes før ikrafttræden.
2. Opgaven og kundens ansvar
Sanar skal på kundens vegne understøtte pædagogiske delmål, observationer, refleksion, evaluering med SMART/PDSA samt rapportering. Det konkrete omfang, de registrerede, datatyper og perioden fastlægges i bilag A. Aftalen omfatter også en gratis pilot, hvis den anvender rigtige personoplysninger.
Kunden fastlægger formål, lovligt behandlingsgrundlag, nødvendighed, oplysningspligt, opbevaring og hvem der må få adgang. Kunden vurderer risiko og behov for konsekvensanalyse. Aftalen giver ikke i sig selv et behandlingsgrundlag for borgeroplysninger.
3. Dokumenteret instruks og fortrolighed
Sanar behandler kun oplysninger efter kundens dokumenterede instruks, herunder om udlevering og overførsel. Instruksen består af denne aftale, udfyldte bilag og efterfølgende dokumenterede ændringer. Sanar orienterer straks kunden, hvis en instruks efter Sanars vurdering strider mod databeskyttelsesreglerne.
Hvis lovgivning kræver anden behandling, orienterer Sanar kunden inden behandlingen, medmindre loven forbyder orienteringen. Adgang gives kun til autoriserede personer, der er underlagt fortrolighed og har et sagligt behov.
Borgeroplysninger må ikke bruges til Sanars egne markedsføringsformål, udviklingstest eller træning af AI-modeller. En ny funktion med ekstern behandling kræver særskilt vurdering og dokumenteret instruks før brug. Forslag til delmål i den nuværende kode dannes lokalt med skabeloner; dette er ikke en aftale om at sende borgerdata til en AI-tjeneste.
4. Sikkerhed og bistand
Sanar skal gennemføre passende tekniske og organisatoriske foranstaltninger ud fra risikoen og vedligeholde dem. Bilag C skal angive den aftalte og dokumenterede sikkerhed, herunder adgangsstyring, logning, kryptering, drift, backup, gendannelse og sletning.
Sanar bistår, under hensyn til behandlingens karakter og tilgængelige oplysninger, kunden med registreredes rettigheder samt kundens forpligtelser vedrørende sikkerhed, brud, konsekvensanalyse og forudgående høring. Modtagne borgerhenvendelser videresendes til kunden og besvares kun efter instruks, medmindre loven kræver andet.
5. Underdatabehandlere og overførsler
Der må kun anvendes underdatabehandlere, der er godkendt efter den endelige aftale. Bilag B skal indeholde præcise juridiske enheder, opgaver, steder for behandling, relevante aftaler og eventuelt overførselsgrundlag. En teknisk produktliste er ikke en godkendt leverandørliste.
Forslag: generel skriftlig godkendelse af den udfyldte liste med mindst 30 dages forudgående varsel om tilføjelse eller udskiftning. Kunden skal have mulighed for at gøre indsigelse inden ændringen. En uafklaret indsigelse håndteres før den berørte behandling flyttes; parterne aftaler alternativ eller ophør af den berørte ydelse.
Sanar skal pålægge underdatabehandlere tilsvarende databeskyttelsesforpligtelser og forbliver ansvarlig over for kunden for deres opfyldelse. Behandling eller adgang fra tredjelande kræver dokumenteret instruks og gyldigt grundlag efter GDPR kapitel V. Denne artikel 28-aftale er ikke i sig selv et overførselsgrundlag.
6. Brud på persondatasikkerheden
Sanar underretter kunden uden unødig forsinkelse efter at være blevet opmærksom på et brud. Sanar oplyser hændelsesforløb, berørte data og personer, sandsynlige følger, afhjælpning og kontaktpunkt, i det omfang oplysningerne er tilgængelige. Manglende detaljer må ikke forsinke første underretning; oplysninger suppleres løbende.
Sanar dokumenterer hændelsen og bistår kunden. Kunden træffer beslutning om anmeldelse til Datatilsynet og underretning af berørte personer. Kundens eventuelle 72-timersfrist er ikke en frist, Sanar kan vente med at underrette kunden til.
7. Dokumentation og tilsyn
Sanar stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af aftalen og artikel 28, og muliggør og bidrager til revision og inspektion udført af kunden eller en bemyndiget revisor. Praktisk varsling, sikker adgang og omfang aftales uden at udhule kundens kontrolmulighed. Akutte hændelser kan kræve hurtig kontrol.
En registreret status i ejerpanelet eller et bestået kodetestforløb erstatter ikke dokumentation af leverandører, faktisk drift og kundens tilsyn.
8. Ophør, tilbagelevering og sletning
Ved behandlingens ophør vælger kunden tilbagelevering eller sletning af personoplysninger. Efter tilbagelevering slettes resterende kopier, medmindre lovgivning kræver opbevaring. Omfang, eksportformat, konkrete frister og eventuel lovpligtig restopbevaring fastlægges i bilag C inden start.
Sletning skal omfatte arbejdsrumsdata, billeder, gendannelseskopier, relevante logs og data hos underdatabehandlere efter den aftalte plan. Oplysninger i backup, som ikke straks kan slettes enkeltvis, isoleres fra almindelig brug, udløber efter en fastlagt maksimal frist og må ikke genindføres uden at sletteinstruksen genanvendes.
Sanar dokumenterer afslutningen. Den nuværende testperiode sletter ikke automatisk data ved udløb, og der er endnu ingen dokumenteret fuld sletteprocedure eller maksimal backupfrist. Der må derfor ikke loves automatisk sletning eller en færdig ophørsordning.
Bilag A · Den konkrete behandling
| Emne | Udkast til afgrænsning |
|---|---|
| Formål og karakter | Registrering, opbevaring, ajourføring, analyse, visning og eksport af pædagogiske forløb. Sletning efter aftalt instruks. Ingen medicinregistrering i Sanar. |
| Registrerede | Borgere tilknyttet kundens tilbud, relevante pårørende/værger/kontaktpersoner og medarbejdere. Afgræns afdeling, aldersgruppe og antal før start. |
| Almindelige oplysninger | Navn, kontakt- og stamoplysninger, relationer, billeder, medarbejderidentitet og tidspunkter. Vælg kun nødvendige felter. |
| Fortrolige og følsomme oplysninger | Diagnoser og deres kilde kan registreres som valgfri pædagogisk baggrund. Observationer og delmål kan også indeholde helbredsoplysninger og oplysninger om sociale forhold. CPR er et muligt felt og kræver særskilt nødvendigheds- og regelafklaring; det må ikke være et standardkrav i piloten. |
| Varighed og opbevaring | [start, slut, aktive og afsluttede forløb, logfrister og ophørsfrister]. En 30 dages prøveperiode er ikke automatisk en slettefrist. |
| Instruktionsberettigede | [kundens bemyndigede personer og godkendelseskanal]. En teknisk administratorrolle dokumenterer ikke i sig selv ret til at binde kunden. |
Bilag B · Teknisk kortlægning af leverandører
Følgende er identificerede produkter og tjenester i den nuværende testopsætning. Alle juridiske aftaleparter, roller, underleverandører, lokationer, supportadgange og overførsler er endnu ikke færdigkortlagt. Tabellen er ikke en godkendelse.
| Tjeneste | Opgave og data | Udestående dokumentation |
|---|---|---|
| Sites / OpenAI og Cloudflare Workers, D1, R2 | Appdrift, arbejdsrumsdata, billeder, gendannelseskopier, medlemskaber og logs. | Kontraktkæde og juridiske enheder; konkrete dataplaceringer, backup, adgang fra support, sletning og eventuelle tredjelandsoverførsler. |
| Supabase Auth | E-mail-login, identitet og sessionskontrol. Projektet er valgt i eu-west-1; det dokumenterer ikke al behandling og supportadgang. | Juridisk enhed, databehandleraftale, underleverandører, logs, opbevaring og overførselsforhold. |
| Resend | Udsendelse af engangskoder via SMTP-integrationen. E-mail, kode, mailindhold og leveringsmetadata; ingen tilsigtet borgertekst. | Juridisk enhed, rolle og kontraktkæde via loginintegrationen; lokationer, underleverandører og slettefrister. |
| one.com | Domæne og DNS for sanar.dk. Ikke valgt som lager for borgerjournaler. | Afgræns rolle og eventuelle metadata; behandles kun som underdatabehandler i det omfang den konkrete ydelse udføres på kundens vegne. |
Bilag C · Sikkerhed og instruks før driftsstart
| Område | Nuværende testopsætning | Skal færdiggøres |
|---|---|---|
| Adgang | Personligt e-mail-login og serverkontrollerede medlemskaber/roller. Administrator kan overdrage rollen. Ejer har særskilt nødprocedure. | Afprøv to brugere og adgangsophør, fastlæg krav til login/MFA, supportadgang, fortrolighed og periodisk kontrol. |
| Logning | Serverlog over ændringer og udlevering; ikke alle visninger af allerede hentede oplysninger. | Fastlæg formål, indhold, opbevaringsfrist, adgang og tilsyn. |
| Backup | Manuelle gendannelseskopier i samme lagertjeneste som billeder; integritetskontrol findes. | Uafhængig automatisk backup, overvågning, opbevaring, maksimalt datatab og genetableringstid samt fuld gendannelsesprøve. |
| Kryptering og placering | Hjemmesiden anvender HTTPS. Samlet dokumentation for lagring, nøgler, leverandøradgang og geografi mangler. | Dokumentér foranstaltninger og lokationer for app, data, filer, logs, kopier og support. |
| Eksport og klientenheder | Eksport og billeddownload findes. Downloadede filer og eventuelle lokale kopier skal håndteres af kunden. | Afprøv eksport og afklar kundens enheder, låsning, lokale data og sikker videregivelse. |
| Sletning og ophør | Ingen automatisk sletning ved prøveudløb. | Aftal konkrete frister, udførbar sletning i hele kæden og dokumentation, herunder backup, logs og efterladte filer. |
| Hændelser og drift | Ingen færdig aftalt beredskabsordning eller servicegaranti. | Kontaktkanaler, ansvar, overvågning, patching, hændelsesøvelse og realistiske svartider. |
Bilag D · Endelig aftale og accept
Et eventuelt senere skifte fra RoboNord Multiservice ApS til en ny juridisk virksomhed håndteres som en særskilt aftaleændring med kunden. Ny aftalepart, CVR, ikrafttrædelsesdato, databehandleraftale og håndtering af data skal afklares og dokumenteres før skiftet, inklusive den nødvendige kundetiltrædelse. Udkastet giver ingen forhåndstilladelse til automatisk overdragelse eller flytning af kundedata.
Før ikrafttræden udfyldes alle felter og bilag, leverandørforhold og sikkerhedsforanstaltninger dokumenteres, og aftalen gennemgås juridisk i forhold til den konkrete kunde og drift. Der kan i stedet anvendes Datatilsynets uændrede standardkontraktsbestemmelser med passende udfyldte bilag. Dette udkast må ikke benævnes som tilsynets standardaftale.
En kommende digital accept skal vise den endelige version og bilag, identificere aftaleparterne og den bemyndigede repræsentant samt gemme version, dokumentets kontrolsum, accepttidspunkt og acceptens ordlyd. Kunden skal kunne hente den accepterede udgave. En medarbejders oprettelse eller flueben om testdata er ikke en accept af denne aftale.
Denne version har ingen acceptknap, indgår ingen aftale og ændrer ikke adgang til rigtige borgerdata. Nye aftalevilkår må ikke automatisk erstatte en allerede accepteret version.
Kilder og videre arbejde
Kilder gennemset 8. november 2026. Den konkrete kortlægning bygger også på Sanars nuværende kode og opsætning; leverandøraftaler er ikke verificeret ved at læse koden.