Databehandleraftale for Kisejo Docs

1. Parter og roller

Vilkårene gælder mellem Kontohaveren og Kisejo ApS, CVR-nr. 46762673, Søgårdsvej 79, 5270 Odense N ("Kisejo"). Kontohaveren er dataansvarlig, og Kisejo er databehandler. Behandler Kontohaveren selv oplysningerne som databehandler for en anden, sikrer Kontohaveren at instruksen til Kisejo svarer til den dataansvarliges. Kisejo er da underdatabehandler.

Vilkårene opfylder kravene i GDPR artikel 28 og gælder sammen med kundeaftalen.

2. Rent personlig eller familiemæssig brug

Bruger en fysisk person Kisejo Docs til rent personlige eller familiemæssige formål, er personens egen behandling ikke omfattet af GDPR og databeskyttelsesloven. Det afhænger af den faktiske brug og ikke af om kontoen er oprettet til privat brug.

I det tilfælde gælder Kontohaverens pligter som dataansvarlig, fx at informere, føre fortegnelse, anmelde brud og gennemføre revision, kun i det omfang de følger af den lovgivning der gælder for Kontohaveren. Kontohaveren skal fortsat bruge tjenesten lovligt, kun behandle nødvendige oplysninger, sende til de rigtige modtagere og overholde punkt 4 om CPR-numre.

Kisejos forpligtelser gælder uændret, herunder instruks (punkt 6), fortrolighed (punkt 7), sikkerhed (punkt 8), underdatabehandlere (punkt 9), brud (punkt 12) og sletning (punkt 13).

3. Genstand, art og formål

Kisejo behandler personoplysninger på Kontohaverens vegne for at levere Kisejo Docs: opbevare skabeloner og dokumenter, sende dokumenter til modtagere og forvaltere, vise dem via personlige links, sende koder på e-mail eller SMS, kræve kode før adgang når Kontohaveren har valgt det, låse felter op med gyldig kode, logge hændelser og slette efter Kontohaverens slettepolitik. Når MitID-funktionerne er tilgængelige, omfatter det også at indhente underskrifter med MitID og at tjekke en modtagers CPR- eller CVR-nummer ved oplåsning med MitID. Behandlingen omfatter også support i Kontohaverens konto, fx med "Vis som" (punkt 7).

Kisejo bruger ikke oplysningerne til egne formål. Til betaling bruger Kisejo kun oplysningerne om forbruget: dokumentets reference, tidspunktet, brugeren, prisen og antallet af modtagere. Mobilnumre og om koden blev sendt på SMS, indgår ikke i betalings- og fakturagrundlaget.

Kisejos egne behandlinger som dataansvarlig er ikke omfattet. Det gælder konto og brugere, betaling, Kisejos egne supportoplysninger, den interne supportlog over "Vis som" og Kisejos sikkerheds- og driftslogs. De står i privatlivspolitikken.

4. Oplysninger og registrerede

Oplysninger:

• det Kontohaveren sætter ind i skabeloner og dokumenter, fx navne, adresser, kontaktoplysninger, køretøjsoplysninger og CPR-numre
• modtageres og forvalteres e-mailadresser og mobilnumre til kode på SMS, også når en forvalter angiver dem
• Kontohaverens lister over seneste kontakter
• dokumentloggen over hvem der har sendt, åbnet, låst op, printet, videresendt og underskrevet et dokument, med IP-adresse og browser.

Ved MitID-funktionerne (når de er tilgængelige): underskrivernes navn, tidspunktet for underskriften, identifikation fra MitID i det omfang udbyderen leverer den, og det underskrevne dokument. Ved MitID-oplåsning: det CPR- eller CVR-nummer afsenderen angiver, og resultatet af tjekket.

CPR-numre er fortrolige oplysninger efter databeskyttelsesloven § 11. Felter af typen CPR er altid låst og krypteret.

Særlige kategorier af personoplysninger efter GDPR artikel 9 og oplysninger om strafbare forhold må ikke behandles i Kisejo Docs uden en særskilt skriftlig aftale med Kisejo.

Registrerede: personer der er nævnt i dokumenterne, modtagere, forvaltere og underskrivere og deres medarbejdere og Kontohaverens brugere i det omfang de står i loggen.

5. Varighed

Vilkårene gælder indtil behandlingen på Kontohaverens vegne er afsluttet, og oplysningerne er slettet efter punkt 13. De ophører ikke med kundeaftalen.

6. Instruks

Kisejo behandler kun oplysningerne efter Kontohaverens dokumenterede instruks. Instruksen er disse vilkår og Kontohaverens valg i Kisejo Docs, fx skabeloner, låste felter, kode til hele dokumentet, kode på e-mail eller SMS, MitID-funktioner, modtagere, forvaltere og slettepolitik. Vælger Kontohaveren SMS eller MitID, er det en instruks om at bruge underdatabehandleren for det i punkt 9. Kisejo behandler kun oplysningerne uden instruks hvis EU-retten eller dansk ret kræver det, og underretter da Kontohaveren medmindre loven forbyder det.

Mener Kisejo at en instruks strider mod databeskyttelsesreglerne, underretter Kisejo straks Kontohaveren.

7. Fortrolighed og supportadgang

Kun de personer hos Kisejo der har brug for det, har adgang til oplysningerne, og de har tavshedspligt.

Kisejos superadministratorer kan i supportøjemed se kontoen som Kontohaveren ser den ("Vis som"). Det er behandling på Kontohaverens vegne. Supportadgangen kan ikke vise eller låse låste felter op. Adgang til nøgler og administrative funktioner har kun autoriserede personer med et arbejdsbetinget behov. I dag har kun Kisejos tekniske ansvarlige teknisk adgang til servere, database og hovednøgle. Hver visning af et låst felt logges, og brugen af "Vis som" logges i Kisejos interne supportlog. Ændringer under "Vis som" står i Kontohaverens log med afsenderen "Kisejo".

Låste felter dekrypteres uden en kode fra en modtager eller bruger kun til en udlevering efter punkt 13. Det gør Kisejos tekniske ansvarlige, og det logges. En låst standardværdi i en skabelon dekrypteres af systemet uden en kode når den vises for Kontohaverens brugere, når feltet ændres, og når skabelonen kopieres eller bruges til et nyt dokument. Hver visning logges, og supportadgangen kan ikke vise den.

Kisejo beder aldrig om dokumenter eller CPR-numre på e-mail. Modtager Kisejo dem alligevel, sletter Kisejo e-mailen straks, også fra papirkurven, og svarer uden at gengive dem. E-mailen kan dog ligge hos Google indtil Google har slettet den (punkt 13).

8. Sikkerhed

Kisejo træffer passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32, blandt andet:

Forbindelse og adskillelse. Al trafik er krypteret med TLS (HTTPS), og browsere skal altid bruge HTTPS (HSTS). Alle opslag er afgrænset til den enkelte Kontohaver.

Låste felter. Låste felter krypteres med AES-256-GCM og en nøgle pr. dokument, og låste standardværdier i skabeloner med en nøgle pr. skabelon. Nøglerne er krypteret med en hovednøgle der ikke ligger i databasen. Låste felter står ikke i mails, SMS'er, logs eller på siden før de låses op, og de vises da i 1 minut. En gemt låst standardværdi hentes først til browseren når brugeren beder om det.

Links og koder. Hver modtager og forvalter får sit eget link med et tilfældigt adgangstoken på 256 bit. Databasen gemmer kun en hashværdi af det. Antallet af åbninger pr. IP-adresse er begrænset. Koden gemmes kun som en hashværdi, gælder i 15 minutter og kan prøves 5 gange. Efter gentagne forkerte forsøg spærres eksemplaret, indtil afsenderen eller en anden bruger med adgang åbner det igen. En godkendelse med kode gælder i 30 minutter i samme browser. En bruger der selv vil se låste felter, bruger samme forløb. Brugerens spærring ophæves efter 24 timer, eller af en administrator før.

SMS. Højst 5 koder pr. time, 10 pr. døgn og 20 i alt pr. mobilnummer på et dokument. SMS'en indeholder kun koden og afsendernavnet, og der sendes kun til +45-numre.

Kode til hele dokumentet. Tjenesten viser intet af indholdet før koden er godkendt, heller ikke gennem andre visninger, print, downloads eller direkte forespørgsler. Mailen med linket indeholder ingen felter fra dokumentet. Krypteringen ændres ikke.

MitID (når funktionerne er tilgængelige). Et CPR-nummer som afsenderen angiver til MitID-oplåsning, behandles som et felt af typen CPR, dvs. låst og krypteret. CPR- og CVR-nummeret fra MitID bruges kun til tjekket.

Login. Brugere logger ind med en personlig adgangskode, som kun gemmes som en hashværdi. Forkerte login-forsøg er begrænset pr. IP-adresse og pr. e-mailadresse. Fra en browser der ikke er bekræftet, kræves en engangskode på e-mail. En bekræftet browser kan huskes i op til 90 dage, og grænsen pr. e-mailadresse gælder da ikke for netop den bruger. Grænsen pr. IP-adresse gælder altid. Adgangen styres med roller.

Sikkerhedskopier. Databasen kopieres dagligt, krypteres og opbevares adgangsbeskyttet i Danmark og Tyskland i op til 30 dage. Låste felter og dokumentnøgler indgår ikke. Hetzner tager desuden dagligt et billede af hele serveren, som gemmes i 7 dage og indeholder låste felter, dokumentnøgler og hovednøgle. Ved genetablering gennemfører Kisejo de sletninger og tilbagetrækninger igen som er sket efter kopiens tidspunkt før tjenesten åbner igen. Går både database og serverbilleder tabt, kan låste felter ikke låses op, og Kontohaveren må sende dokumentet igen. Kisejo afprøver genetablering før lancering og derefter mindst én gang om året.

Begrænsninger Kontohaveren skal kende:

• Koden på e-mail sendes til samme indbakke som linket. Den der har adgang til indbakken, kan låse op.
• Koden på SMS bekræfter adgang til mobilnummeret, men er ikke sikker dokumentation for identitet. Et forkert nummer, et nummer der er overgået til en anden, eller en andens adgang til telefonen kan give en anden adgang.
• Kryptering og dekryptering sker på Kisejos servere, og Kisejo kan teknisk dekryptere felterne.
• Felter der ikke er låst, gemmes ukrypteret og er beskyttet af adgangskontrollen, også når adgang til dokumentet kræver kode.

9. Underdatabehandlere

Kontohaveren giver Kisejo generel tilladelse til at bruge underdatabehandlere. Kisejo bruger:

Hetzner Online GmbH, Tyskland: servere, database, filer og serverbilleder. Alle oplysninger. Behandlingen sker i EU.

Plus Five Five, Inc. (Resend), USA: afsendelse af e-mails. Omfatter navne og e-mailadresser på modtagere og brugere, Kontohaverens navn, dokumentets navn og reference, links med adgangstokens, koder og leveringslogs. Låste felter sendes aldrig på e-mail. Resend gemmer oplysningerne i USA. Overførselsgrundlag: EU-U.S. Data Privacy Framework så længe certificeringen er aktiv, og EU-Kommissionens standardkontraktbestemmelser, modul 3, med en vurdering af overførslen. Resend er selvstændig dataansvarlig for sine egne konto- og brugsdata.

ONLINECITY.IO ApS, CVR-nr. 27364276, Buchwaldsgade 50, 5000 Odense C (GatewayAPI, EU-opsætningen på gatewayapi.eu), Danmark: koder på SMS. Omfatter mobilnumre, SMS'ernes indhold (koden og afsendernavnet), leveringsstatus og trafiklogs. Behandlingen sker i EU: SMS-databasen hostes hos Hetzner Online GmbH i Tyskland og Finland. GatewayAPI's databehandleraftale (gældende fra 5. august 2026) nævner ingen behandling, fjernadgang eller support uden for EU/EØS. Teleoperatører kan være selvstændigt ansvarlige for net- og trafikdata. GatewayAPI's egne underdatabehandlere står i bilag B til deres databehandleraftale: Hetzner Online GmbH (hosting, Tyskland og Finland) og HeySender ApS (e-mail, Danmark).

Google Cloud EMEA Limited, Irland (Google Workspace): e-mail til og fra docs@kisejo.dk, fx supporthenvendelser. Omfatter det der står i en e-mail. Google kan behandle oplysningerne uden for EU/EØS, herunder hos Google LLC i USA. Overførselsgrundlag: standardkontraktbestemmelserne i Googles databehandlervilkår og for Google LLC desuden EU-U.S. Data Privacy Framework så længe certificeringen er aktiv.

En certificeret MitID-udbyder: MitID-underskrift og MitID-oplåsning når funktionerne er tilgængelige. Omfatter de oplysninger der er nødvendige for underskriften eller tjekket, fx dokumentet der underskrives, CPR- eller CVR-nummer og identifikationen fra MitID. Selve MitID drives af Digitaliseringsstyrelsen, som er dataansvarlig for MitID-login. Udbyderen navngives og varsles efter proceduren nedenfor før funktionerne tages i brug. Udbyderens rolle, behandlingssteder, overførselsgrundlag og slettefrister afklares før aktivering, og et eventuelt selvstændigt dataansvar hos udbyderen beskrives særskilt.

Kisejo pålægger underdatabehandlerne de samme forpligtelser og er ansvarlig for dem over for Kontohaveren. Kontohaveren kan på anmodning få oplysninger om hele kæden. Resends underdatabehandlere står på resend.com/legal/subprocessors, og GatewayAPI's i bilag B til GatewayAPI's databehandleraftale (onlinecity.io/legal-documents/gatewayapi/dpa-eu).

Nye eller udskiftede underdatabehandlere varsles på e-mail til administratorerne 30 dage før de tages i brug. Ændringer længere nede i kæden sender Kisejo videre straks efter at Kisejo har fået varslet. Kontohaveren kan gøre indsigelse inden 7 dage efter varslet og altid før ændringen gælder. Kisejo søger da en løsning med Kontohaveren. Findes der ingen, standser Kisejo den berørte behandling for Kontohaveren, eller Kontohaveren kan opsige uden omkostninger før ændringen gælder.

10. Overførsel uden for EU/EØS

Kisejo overfører kun oplysninger uden for EU/EØS til underdatabehandlerne i punkt 9 og deres godkendte underdatabehandlere, og kun med gyldigt overførselsgrundlag for hvert led. Sker der fjernadgang eller support hos GatewayAPI uden for EU/EØS, oplyses landet og grundlaget i punkt 9. GatewayAPI's databehandleraftale nævner ingen sådan overførsel. Andre overførsler kræver Kontohaverens instruks. Kontohaveren kan få en kopi af overførselsgrundlaget.

11. Bistand

Kisejo bistår under hensyn til behandlingens karakter så vidt muligt Kontohaveren med at besvare anmodninger om de registreredes rettigheder efter GDPR kapitel III ved passende tekniske og organisatoriske foranstaltninger. Kisejo sender anmodninger fra de registrerede videre til Kontohaveren uden unødig forsinkelse og besvarer dem ikke selv. Kontohaveren kan selv se dokumenter og log og trække dokumenter tilbage. Kisejo hjælper også med GDPR artikel 32-36 ud fra de oplysninger Kisejo har.

12. Brud på persondatasikkerheden

Kisejo underretter Kontohaveren uden unødig forsinkelse efter at være blevet opmærksom på et brud. Kisejo tilstræber en første underretning inden 24 timer og supplerer efterhånden. Underretningen indeholder det Kontohaveren har brug for til at anmelde bruddet og underrette de registrerede. Det gælder også når Kontohaveren efter punkt 2 ikke selv har anmeldelsespligt.

13. Sletning og tilbagelevering

Oplysningerne slettes efter disse frister:

• Låste felter: efter Kontohaverens slettepolitik 7, 30 eller 90 dage efter afsendelsen. Indtil Kontohaveren vælger, gælder 30 dage. En ændret politik gælder dokumenter der sendes herefter. Trækkes et dokument tilbage, slettes de låste felter straks. Sletningen er kryptografisk: dokumentets nøgle slettes sammen med felterne.
• Låste standardværdier i skabeloner: indtil Kontohaveren fjerner værdien og udgiver skabelonen, eller sletter skabelonen. Et dokument oprettet fra skabelonen har sin egen krypterede kopi som følger fristerne for låste felter.
• Dokumentet, felter der ikke er låst, og dokumentloggen: 3 år efter afsendelsen. Det gælder også et underskrevet dokument og oplysningerne om underskriverne. Kontohaveren kan vælge en kortere frist eller få bestemte dokumenter slettet før ved at skrive til docs@kisejo.dk.
• IP-adresse og browser i loggen: 90 dage.
• Kladder: 3 måneder efter de sidst er gemt.
• Mobilnumre: så længe de er nødvendige for de valgte kodefunktioner. Bruges SMS kun til låste felter, slettes nummeret med dem. Kræver adgang til dokumentet kode på SMS, gemmes nummeret så længe linket giver adgang. Trækkes dokumentet tilbage, slettes nummeret straks. Antallet af sendte koder gemmes uden nummeret.
• Seneste kontakter: 12 måneder efter sidste brug, eller før af en administrator.
• Resend: e-mails og leveringslogs 30 dage efter afsendelsen og ude af Resends sikkerhedskopier 7 dage senere. Resends spærreliste over adresser der har afvist e-mails eller klaget over spam, har ingen fast frist og er fælles for Kisejos afsendelser. Ved ophør fjerner Kisejo de adresser der kun vedrører Kontohaveren. Resends egne konto- og brugsdata følger Resends privatlivspolitik.
• GatewayAPI: SMS'ens indhold og det fulde mobilnummer fjernes efter GatewayAPI's oplysninger fra den aktive database senest 30 dage efter afsendelsen. De sidste fire cifre i mobilnummeret og metadata, herunder leveringsstatus og afsendelsestidspunkt, opbevares længere. GatewayAPI oplyser at disse oplysninger da er anonymiserede, og har ikke oplyst en slettefrist. Sikkerhedskopier opbevares i op til 3 måneder efter GatewayAPI's vilkår (punkt 13.1). GatewayAPI oplyser at SMS'ens indhold og det fulde mobilnummer i den daglige drift er væk fra sikkerhedskopierne senest 60 dage efter afsendelsen. GatewayAPI's længere frist for overtakserede SMS'er er ikke relevant fordi Kisejo Docs kun sender til almindelige danske mobilnumre. Teleoperatørernes trafikdata følger deres egne regler.
• Google: e-mails med oplysninger om Kontohaverens dokumenter slettes permanent 12 måneder efter at sagen er afsluttet, og ved ophør efter afsnittet nedenfor hvis det er før. En administrator i Google Workspace kan derefter gendanne en e-mail i højst 55 dage. Kisejo bruger ikke Google Vault eller opbevaringsregler. Derefter er sletningen en instruks til Google, som sletter e-mailen fra sine systemer, også sikkerhedskopier, senest 180 dage efter.

Kisejo Docs advarer ved afsendelsen hvis et felt der ikke er låst, ligner et CPR-nummer.

Sikkerhedskopier og serverbilleder: fristerne ovenfor gælder i drift. Sikkerhedskopierne udløber efter højst 30 dage og indeholder ikke låste felter eller låste standardværdier. Serverbillederne udløber efter 7 dage så et slettet låst felt eller en slettet låst standardværdi kan ligge der i op til 7 dage.

Ved ophør vælger Kontohaveren om oplysningerne skal tilbageleveres eller slettes, eller sletning af nogle og tilbagelevering af resten. Vælger Kontohaveren ikke tilbagelevering, slettes de. Tilbageleveringen omfatter alt Kisejo stadig behandler på Kontohaverens vegne, herunder dokumenter, låste felter der ikke er slettet, låste standardværdier, mobilnumre, logs og kontaktlister, men kun de oplysninger der stadig findes når anmodningen behandles. Den sker manuelt i et format der bevarer sammenhængen, fx CSV-filer i en krypteret ZIP-fil, og på ønske som PDF. Kisejo gennemfører tilbagelevering eller sletning senest 30 dage efter ophøret og varsler den endelige sletning på e-mail 7 dage før. Varslet ændrer ikke slettedatoen, og har Kontohaveren bedt om en tidligere sletning, sker den uden varsel. Kortere frister ovenfor gælder fortsat efter ophøret, så fx låste felter kan være slettet før tilbageleveringen. Slettede oplysninger genskabes ikke. Efter tilbagelevering slettes kopierne, medmindre EU-retten eller dansk ret kræver opbevaring. Kisejo dokumenterer sletningen på anmodning.

Dokumenter og øvrige oplysninger slettes efter de aftalte frister og Kontohaverens instruks, også mens fortrydelsesretten består. Kisejo bevarer alene de nødvendige aftale-, betalings- og identifikationsoplysninger samt en begrænset adgang til fortrydelsesfunktionen så retten fortsat kan udøves uden genåbning.

Genåbning: genåbner Kontohaveren kontoen inden sletningen (kundeaftalen punkt 18), fortsætter behandlingen af de oplysninger der stadig findes, efter disse vilkår. En genåbning starter ikke eksisterende dokumenters og låste felters slettefrister forfra: fristerne ovenfor regnes fortsat fra afsendelsen.

Sikkerhedskopier efter ophør: de oplysninger Kisejo har behandlet på Kontohaverens vegne, er helt væk fra Kisejos servere og sikkerhedskopier senest 60 dage efter ophøret. Kisejos egen aftale- og betalingsdokumentation følger privatlivspolitikken. Hos underdatabehandlerne gælder fristerne ovenfor.

14. Dokumentation og revision

Kisejo stiller de oplysninger til rådighed der er nødvendige for at vise at vilkårene overholdes, og giver adgang til revision og inspektion ved Kontohaveren eller en revisor Kontohaveren udpeger. Revision varsles rimeligt, og Kontohaveren betaler sine egne omkostninger. Ved akutte forhold kan varslet fraviges.

15. Ansvar, ændringer og lovvalg

Ansvar, ændringer, lovvalg og værneting følger kundeaftalen, herunder forbrugerafsnittet. Er der modstrid om behandlingen af personoplysninger, går disse vilkår forud.