Databehandleraftale

Version 1.1 · 29. juli 2026. Aftale om behandling af personoplysninger mellem skolen (dataansvarlig) og Sund Digital ApS (databehandler). Struktureret efter Datatilsynets standardbestemmelser (art. 28, stk. 3).

1. Parterne

2. Instruks

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre behandlingen kræves i henhold til EU-retten eller medlemsstaternes nationale ret. Denne aftale, inklusive bilaget over behandlede oplysninger i pkt. 5, udgør instruksen. Den dataansvarlige kan til enhver tid ændre eller tilbagekalde instruksen; væsentlige ændringer aftales skriftligt. Underretter databehandleren den dataansvarlige, hvis en instruks efter databehandlerens opfattelse strider mod GDPR eller anden databeskyttelsesret.

3. Behandlingens karakter, formål og varighed

Karakter: indsamling, registrering, opbevaring, strukturering, brug, maskeret visning, sletning og hosting.

Formål: at levere trivselstjenesten "fagligtrivsel.nu", hvor elever – anonyme for skole og lærer – træner trivsel, angiver et dagligt humør-tal og deltager i klassens trivselsmålinger, og hvor lærere alene ser maskerede tal på klasseniveau.

Varighed: behandlingen løber, så længe aftalen om brug af tjenesten er i kraft, og ophører ved aftalens ophør, jf. pkt. 11.

4. Kategorier af registrerede og typer af oplysninger

Der behandles ikke særlige kategorier af personoplysninger (GDPR art. 9). Elevernes svar er knyttet til den pseudonyme enhedsnøgle – ikke til navn eller anden identitet – og vises for alle brugere kun maskeret (klassegennemsnit ved mindst tre svar, afrundet til nærmeste 0,5; fordeling ved mindst fem). Maskeringen gør det væsentligt sværere, men ikke matematisk umuligt, at udlede et enkelt svar ved sammenligning af visninger over tid; denne restrisiko er dokumenteret hos databehandleren og udleveres på forlangende.

5. Datafortegnelse (behandlede elevoplysninger)

Følgende oplysninger om elever gemmes i databehandlerens database, alle knyttet til den pseudonyme enhedsnøgle og klassen:

6. Den dataansvarliges forpligtelser og rettigheder

• Den dataansvarlige indestår for at have fornødent retsgrundlag for behandlingen og for, at instruksen er lovlig.
• Den dataansvarlige kan til enhver tid ændre eller tilbagekalde sin instruks, jf. pkt. 2.
• Den dataansvarlige har ret til at føre tilsyn, jf. pkt. 10.

7. Databehandlerens forpligtelser

• Behandler kun oplysninger efter dokumenteret instruks, jf. pkt. 2.
• Sikrer, at personer med adgang til oplysningerne er underlagt fortrolighed eller lovbestemt tavshedspligt.
• Træffer de tekniske og organisatoriske sikkerhedsforanstaltninger, der kræves efter GDPR art. 32 (se pkt. 8).
• Anvender ikke oplysningerne til egne formål og sælger dem aldrig.

8. Sikkerhed (art. 32)

• Pseudonymisering og dataminimering: elever er anonyme for skole og lærer; hos databehandleren behandles alene en pseudonym enhedsnøgle uden direkte identifikatorer.
• Adgangsstyring i databasen med row-level security, så hverken lærere eller andre brugere kan slå den enkelte elevs rå svar op.
• Maskering af alle trivselstal (gennemsnit først ved ≥3 svar, afrundet til nærmeste 0,5; fordeling først ved ≥5 svar; trivselsmålinger vises kun efter afslutning). Maskeringen gør det væsentligt sværere at udlede enkeltsvar; den dokumenterede restrisiko fremgår af pkt. 4.
• Kryptering af al datatrafik (HTTPS/TLS) og kryptering af data i hvile hos underdatabehandleren.
• Misbrugsbeskyttelse med rate-limiting på anonyme endepunkter.
• Fejlovervågning uden personoplysninger (ingen IP eller elevsvar), hvis slået til.
• Adgang til produktionsdata er begrænset til nødvendigt personale.
• Planlagt foranstaltning: ved den kommende overgang til Unilogin indføres rotation og udløb af enhedsnøglen, så den pseudonyme identifikator ikke er langlivet.

9. Bistand til den dataansvarlige

• Databehandleren bistår, under hensyntagen til behandlingens karakter, den dataansvarlige med at besvare anmodninger fra registrerede (art. 12–23). Da elevernes identitet ikke kendes af databehandleren, vil indsigt i en enkelt elevs oplysninger normalt kun være mulig, hvis eleven selv fremviser sin enhedsnøgle.
• Databehandleren bistår den dataansvarlige med at overholde art. 32–36 (sikkerhed, brudanmeldelse, konsekvensanalyse og forudgående høring), herunder med dokumentation til brug for en DPIA.
• Brud på persondatasikkerheden: databehandleren underretter den dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud – og altid så hurtigt, at den dataansvarlige kan overholde sin frist på 72 timer for anmeldelse til Datatilsynet (art. 33) – og bistår med den nødvendige dokumentation.

10. Underdatabehandlere

Den dataansvarlige giver ved denne aftale generel forudgående godkendelse til, at databehandleren anvender nedenstående underdatabehandlere. Databehandleren varsler ændringer (tilføjelse/udskiftning) med mindst 30 dages varsel, så den dataansvarlige kan gøre indsigelse. Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale.

Elevoplysninger (den pseudonyme enhedsnøgle og alle svar) opbevares og behandles udelukkende hos Supabase i EU. De øvrige underdatabehandlere behandler ikke elevdata.

11. Ophør, sletning og tilbagelevering

Ved aftalens ophør sletter eller tilbageleverer databehandleren efter den dataansvarliges valg alle personoplysninger og sletter eksisterende kopier, medmindre EU-ret eller national ret foreskriver opbevaring. Sletning gennemføres senest 90 dage efter ophør og bekræftes skriftligt. En institution eller lærer kan i øvrigt til enhver tid anmode om sletning af sine data ved henvendelse til ir@sunddigital.dk.

12. Tilsyn og revision

Databehandleren stiller efter anmodning alle oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, herunder restrisiko-dokumentationen nævnt i pkt. 4, og giver mulighed for og bidrager til revision, herunder inspektioner, der gennemføres af den dataansvarlige eller en af denne bemyndiget revisor. Parterne aftaler nærmere omfang og hyppighed.

13. Ansvar og ikrafttræden

Parternes ansvar følger GDPR og den mellem parterne indgåede hovedaftale om brug af tjenesten. Denne databehandleraftale træder i kraft ved parternes accept og er gældende, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige.

Spørgsmål eller ønske om en underskrevet aftale? Skriv til ir@sunddigital.dk. Se også vores privatlivspolitik og handelsbetingelser.