Databehandleraftale

Senest opdateret: 15. oktober 2026 · Version 2026-10-13

Denne aftale efter databeskyttelsesforordningens (GDPR) artikel 28 er en del af vilkårene for Avoruni. Den indgås, når en virksomhed opretter en konto og accepterer vilkårene.

1. Parter

Dataansvarlig	Den virksomhed, der har oprettet kontoen i Avoruni (“kunden”)
Databehandler	Price Møbelsnedkeri ApS, CVR 34223858, som leverer Avoruni (“Avoruni”). Kontakt: info@avoruni.com

2. Behandlingens formål og omfang

Formål	Levering af Avoruni: timeregistrering, sager, planlægning, godkendelse, eksport, påmindelser og support
Kategorier af registrerede	Kundens ejere, administratorer og medarbejdere samt kundens egne kunder og kontaktpersoner på sager
Typer af oplysninger	Navn, arbejdsmail, telefon, rolle og fag; registrerede timer, pauser og noter; fravær (syg, fri, ferie); sager, kundenavne og adresser; fotos og filer på sager (inkl. samlet eksport som ZIP/PDF-fotorapport); vejledende saldo for ferie, overtid og sygedage; beskeder fra kunden til medarbejderne og læsekvitteringer; login- og ændringslog
Følsomme oplysninger	Avoruni er ikke beregnet til følsomme oplysninger (GDPR art. 9). Fravær registreres kun som “syg”, uden årsag eller diagnose. Kunden må ikke lægge helbredsoplysninger i noter eller filer.
Varighed	Så længe kunden har en konto, og indtil data er slettet efter punkt 9

3. Instruks

Avoruni behandler kun oplysningerne efter kundens dokumenterede instruks. Instruksen er denne aftale, vilkårene og de valg, kunden selv træffer i appen. Avoruni giver straks besked, hvis en instruks efter vores vurdering strider mod databeskyttelsesreglerne.

4. Fortrolighed

Kun personer, der har brug for adgang for at levere, drive eller supportere tjenesten, har adgang til kundens data. De har tavshedspligt. Support-adgang bruges kun, når kunden beder om hjælp, eller når det er nødvendigt for at rette en fejl eller sikre driften.

Support-adgang sker som skrivebeskyttet visning af ejerens visning (“Se som firma”), varer højst 60 minutter og kræver en begrundelse. Start, stop og begrundelse logges i Avorunis administratorlog, som opbevares i 12 måneder. Kunden kan få udleveret loggen for sin virksomhed.

5. Sikkerhed

Al trafik er krypteret (HTTPS/TLS). Data opbevares hos Cloudflare i EU (EU-jurisdiktion).
Login sker med en engangskode til brugerens mail. Hver virksomheds data er adskilt fra andre virksomheders, og adgang styres af roller (ejer, administrator, medarbejder).
Ændringer logges (hvem, hvad og hvornår). Der tages automatisk backup hver nat, og databasen kan gendannes til et tidligere tidspunkt.
Beskeder til holdet slettes automatisk 12 måneder efter afsendelse. Offline-kopi og kø på medarbejderens telefon (browserens IndexedDB) indeholder kun medarbejderens egne data, er højst 14 dage gammel og slettes ved log ud.
Tekniske fejllogs indeholder ikke indholdet af kundens data. Mailadresser maskeres, og logs slettes efter 30 dage.
Vi følger løbende op på fejl og sikkerhedsopdateringer.

6. Underdatabehandlere

Kunden giver generel godkendelse til, at Avoruni bruger følgende underdatabehandlere:

Underdatabehandler	Opgave	Placering og overførsel
Cloudflare, Inc.	Hosting, database, fillager, login og engangskoder	Data opbevares i EU. Eventuel adgang fra USA sker på grundlag af EU-US Data Privacy Framework og EU’s standardkontraktbestemmelser (SCC)
Resend, Inc.	Afsendelse af mails fra Avoruni (velkomst, prøveperiode og påmindelser)	USA, på grundlag af EU’s standardkontraktbestemmelser (SCC). Kun modtagerens mail, navn og mailens indhold
CVR API (cvrapi.dk)	Opslag af firmanavn og adresse ud fra CVR-nummer ved oprettelse	Danmark/EU. Kun det CVR-nummer, der slås op

Avoruni varsler nye eller udskiftede underdatabehandlere mindst 30 dage før på mail til ejeren. Kunden kan gøre indsigelse og i så fald opsige aftalen uden ekstra omkostninger. Avoruni pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale.

7. Bistand til kunden

Avoruni hjælper kunden med at opfylde de registreredes rettigheder (indsigt, berigtigelse, sletning, dataportabilitet). Det meste kan kunden selv gøre i appen: rette og slette brugere, eksportere alle data og slette hele virksomhedens data.
Avoruni bistår med oplysninger til konsekvensanalyser og forhåndshøringer, i det omfang det er relevant for tjenesten.

8. Brud på persondatasikkerheden

Avoruni underretter kunden uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud, der berører kundens data. Underretningen indeholder de oplysninger, kunden har brug for til at anmelde bruddet til Datatilsynet inden for 72 timer.

9. Sletning og tilbagelevering

Ejeren kan til enhver tid eksportere alle virksomhedens data fra appen, også efter prøveperioden eller opsigelse.
Når kontoen er lukket, sletter Avoruni kundens data 12 måneder efter lukningen, medmindre kunden beder om sletning før, eller ejeren selv sletter data i appen. Backup slettes løbende og senest 35 dage efter.
Ved sletning på kundens anmodning slettes virksomhedens data, brugere og fotos/filer. Lige før sletningen tages en sikkerhedskopi af virksomhedens rækker (opbevaret i EU), som slettes automatisk senest 35 dage efter. Sletningen logges uden personoplysninger (kun virksomhedens tekniske id og antal slettede poster).

10. Revision og dokumentation

Avoruni stiller de oplysninger til rådighed, der er nødvendige for at vise, at aftalen overholdes. Kunden kan skriftligt bede om dokumentation én gang om året eller ved konkret mistanke om brud. For Cloudflare og Resend henvises til deres egne revisionserklæringer (fx SOC 2 og ISO 27001).

11. Ansvar og varighed

Ansvarsbegrænsningen i vilkårene gælder også for denne aftale, medmindre andet følger af ufravigelig lovgivning. Aftalen gælder, så længe Avoruni behandler data på kundens vegne. Ved uoverensstemmelse mellem vilkårene og denne aftale går denne aftale forud for så vidt angår persondata.

Vilkår · Databehandleraftale · Privatlivspolitik · info@avoruni.com