Databehandleraftalen følger med.

1. Parterne og baggrund

Denne databehandleraftale ("aftalen") indgås mellem foreningen som dataansvarlig og Waitlist.dk som databehandler. Aftalen supplerer parternes aftale om brug af platformen waitlist.dk ("hovedaftalen" — foreningens abonnement) og opfylder kravet i databeskyttelsesforordningens (GDPR) artikel 28, stk. 3.

Foreningen er dataansvarlig for personoplysningerne på sine ventelister og i sit panel. Waitlist.dk behandler alene oplysningerne på foreningens vegne og efter denne aftale.

2. Instruks og formål

Waitlist.dk behandler personoplysningerne udelukkende for at levere platformens funktioner til foreningen — og aldrig til egne formål:

• føring af ventelister med placering, anciennitet og status
• udsendelse af mails på foreningens vegne (kvitteringer, tilbud, påmindelser, opkrævninger og foreningens egne beskeder)
• administration af boligtilbud, fremvisninger og svar
• registrering og opkrævning af foreningens ventelistegebyrer
• bestyrelsens interne rum, møder, opgaver og dokumentarkiv
• hændelseslog, årsrapport og eksport — foreningens egen dokumentation

3. Kategorier af registrerede og oplysninger

Behandlingen omfatter: personer opskrevet på foreningens ventelister, boligsøgende med brugerkonto, foreningens bestyrelsesmedlemmer og administratorer samt modtagere af foreningens beskeder.

Der behandles almindelige personoplysninger: navn, e-mailadresse, eventuelt telefonnummer, opskrivningsdato/anciennitet, placering, status, betalingsstatus for ventelistegebyr samt foreningens egne noter.

Platformen er ikke beregnet til følsomme oplysninger (GDPR art. 9) eller CPR-numre — foreningen instrueres i ikke at skrive den slags i fritekstfelter og noter.

4. Varighed

Aftalen gælder, så længe foreningen har en konto på platformen. Ved ophør sletter Waitlist.dk foreningens personoplysninger senest 90 dage efter, at foreningen har slettet sin konto — foreningen kan forinden selv tage en fuld kopi med CSV-eksporten. Hændelseslog og fakturaer kan opbevares længere, hvor lovgivning (f.eks. bogføringsloven) kræver det.

5. Databehandlerens forpligtelser

Waitlist.dk forpligter sig til at:

• behandle oplysningerne alene efter dokumenteret instruks fra foreningen (denne aftale og foreningens handlinger i panelet) — og underrette foreningen, hvis en instruks efter vores vurdering strider mod GDPR
• sikre, at personer med adgang til oplysningerne er pålagt fortrolighed
• gennemføre passende tekniske og organisatoriske sikkerhedsforanstaltninger (GDPR art. 32): kryptering af al trafik (TLS), adgangsstyring med roller og mulighed for tofaktor-login, adgangskoder gemt med moderne hash-algoritmer, uforanderlig hændelseslog, løbende sikkerhedsopdateringer og backup i EU
• bistå foreningen med at besvare henvendelser fra registrerede (indsigt, berigtigelse, sletning, dataportabilitet) — de fleste kan de registrerede selv klare via Min konto
• underrette foreningen uden unødig forsinkelse — og senest 48 timer — efter at være blevet bekendt med et brud på persondatasikkerheden, med de oplysninger foreningen skal bruge til sin eventuelle anmeldelse til Datatilsynet
• stille de oplysninger til rådighed, der er nødvendige for at påvise, at artikel 28 overholdes, og medvirke til revisioner, som foreningen med rimeligt varsel anmoder om

6. Underdatabehandlere

Foreningen giver en generel godkendelse til, at Waitlist.dk anvender underdatabehandlere. Den aktuelle liste står herunder; ved planlagte ændringer varsles foreningen pr. e-mail senest 30 dage før, så foreningen kan gøre indsigelse.

Aktuelle underdatabehandlere:

• Serverdrift og database: Hetzner Online GmbH, Tyskland — applikation, database og uploadede filer opbevares på servere i EU
• E-mailudsendelse: Resend — mails afsendes fra datacenter i Irland (EU) og omfatter modtagernavn, e-mailadresse og mailindhold
• Betalinger (kun når foreningen har slået online betaling til): Stripe Payments Europe, Ltd., Irland — behandler betalingsoplysninger som selvstændig aktør under egne GDPR-forpligtelser; kortdata rører aldrig Waitlist.dk

7. Overførsel til tredjelande

Oplysningerne opbevares og behandles i EU: serverdrift og database hos Hetzner i Tyskland, e-mailudsendelse fra Resends datacenter i Irland. Skulle en underdatabehandlers koncernforbundne selskaber (f.eks. Resends eller Stripes amerikanske moderselskab) i begrænset omfang få adgang til oplysninger uden for EU/EØS, sker det på grundlag af EU-Kommissionens standardkontraktbestemmelser og/eller EU-U.S. Data Privacy Framework.

8. De registreredes rettigheder

Platformen er bygget, så rettighederne kan opfyldes som selvbetjening: registrerede kan se deres egne oplysninger, placering og status på Min konto, hente en kopi (dataportabilitet) og slette deres konto. Foreningen kan eksportere, rette og slette opskrivninger direkte i panelet. Henvender en registreret sig direkte til Waitlist.dk, videresendes henvendelsen til foreningen uden unødig forsinkelse.

9. Ophør og misligholdelse

Ved aftalens ophør leverer Waitlist.dk foreningens oplysninger tilbage (CSV-eksporten er altid tilgængelig) og sletter dem herefter, jf. pkt. 4. Væsentlig misligholdelse af denne aftale giver foreningen ret til at opsige hovedaftalen uden varsel. Aftalen er underlagt dansk ret.