Databehandleraftale
Dette er den gældende databehandleraftale mellem erhvervskunden som dataansvarlig og ZimSystem ApS som databehandler efter GDPR artikel 28. Kunden accepterer udtrykkeligt aftalen under onboarding, inden ZimSystem behandler personoplysninger på kundens vegne. Den accepterede version, kundens dokumenterede instrukser og eventuelle aftalte behandlingsbilag indgår i kundeaftalen og regulerer denne behandling.
Opdateret · 20. september 2026
1. Parter og prioritet
Den dataansvarlige er den virksomhed, der er identificeret i kundeaftalen og onboardingoplysningerne. Databehandleren er ZimSystem ApS, CVR 41432462, Skejbytoften 33, 8200 Aarhus N, Danmark. Hver part skal holde sine relevante kontaktoplysninger opdaterede. Databeskyttelsesforpligtelser har forrang for modstridende kommercielle vilkår. ZimSystems behandling til egne formål som dataansvarlig er særskilt reguleret af privatlivspolitikken.
2. Genstand, formål og varighed
Behandlingen understøtter kundens aftalte brug af kasse, webshop, telefonbestillinger, kundehåndtering, levering, kommunikation, regnskabsintegration og administration. Den omfatter indsamling, registrering, organisering, opbevaring, opslag, videregivelse efter instruks og sletning, hvor det er nødvendigt til disse formål. Når kunden aktiverer integrationen med e-conomic, overføres de oplysninger, der er nødvendige for de aftalte funktioner til bogføring og afstemning. Behandlingen varer i kundeaftalens løbetid og derefter kun i det omfang, det er nødvendigt for at udlevere eller slette data efter kundens instruks eller opfylde en retlig opbevaringspligt. Opsigelse af abonnementet udløser ikke i sig selv automatisk sletning; den manuelle ophørsprocedure nedenfor gælder.
3. Registrerede og datatyper
De registrerede er kundens købere, erhvervskontakter, medarbejdere og autoriserede brugere, i det omfang deres oplysninger indgår i tjenesten. Oplysningerne omfatter identitets- og kontaktoplysninger, adresser, kontooplysninger, ordrer, leveringsoplysninger, betalingsreferencer, kommunikationshistorik og tekniske logs. De valgte funktioner og kundens dokumenterede instrukser fastlægger den konkrete behandling inden for dette omfang. Følsomme oplysninger eller oplysninger om strafbare forhold må ikke indtastes uden en særskilt skriftlig aftale og vurdering af de nødvendige beskyttelsesforanstaltninger.
4. Dokumenterede instrukser
ZimSystem må kun behandle oplysninger efter kundens dokumenterede instruks, herunder ved overførsler til tredjelande, medmindre EU-ret eller national ret kræver andet. I så fald informeres kunden før behandlingen, medmindre loven forbyder det. Instrukser og godkendte funktioner skal dokumenteres. ZimSystem skal straks underrette kunden, hvis en instruks efter ZimSystems opfattelse strider mod databeskyttelsesreglerne.
5. Fortrolighed og sikkerhed
ZimSystem skal sikre, at autoriserede personer er underlagt fortrolighed, og at adgang begrænses til det, deres opgaver kræver. ZimSystem skal gennemføre og vedligeholde tekniske og organisatoriske foranstaltninger, der passer til risiciene efter GDPR artikel 32, herunder adgangsstyring, hændelseshåndtering og vurdering af foranstaltningernes virkning, og stille relevant dokumentation til rådighed for kunden. Platformdata hostes aktuelt på ZimSystems egne servere i Danmark og replikeres til en fysisk separat server. Replikering kan også kopiere fejl og sletninger og er ikke en særskilt historisk backup. Der loves ikke en bestemt certificering, krypteringsstandard, gendannelsestid eller historisk backuptjeneste, medmindre dette er særskilt dokumenteret og aftalt.
6. Underdatabehandlere
ZimSystem må kun anvende godkendte leverandører til dokumenterede tjenesteformål og med den rolle og de garantier, der gælder for leverandøren. Aktuelle tjenestekategorier kan omfatte hosting og emaillevering, e-conomic til aktiverede regnskabsfunktioner, S5, MobilePay eller Frisbii til valgte betalingsfunktioner, InMobile til SMS og OpenAI til den valgfrie AI-assistent i Admin. AI-assistenten er teknisk begrænset til en kodeejet, tenantafgrænset og skrivebeskyttet tilladelsesliste, der udelukker kunde- og brugeridentitetsdata, og lagring af modeloutput er deaktiveret i integrationen. Personoplysninger må ikke indtastes i AI-chatten. Brug af underdatabehandlere kræver kundens specifikke eller generelle skriftlige godkendelse efter GDPR artikel 28; ved generel godkendelse skal kunden informeres om planlagte tilføjelser eller udskiftninger og kan gøre indsigelse før ændringen. Relevante databeskyttelsespligter skal pålægges hver underdatabehandler. Leverandørens identitet, rolle, behandlingssted, overførselsgrundlag og gældende varslingsprocedure skal vedligeholdes i de relevante leverandøroplysninger og aftaler; en leverandør, der er selvstændigt dataansvarlig, er ikke automatisk underdatabehandler.
7. Behandlingssteder og overførsler
Den aktuelle platformhosting er i Danmark. Planlagt fremtidig Azure-hosting med MySQL er ikke en allerede gennemført ændring eller en generel tilladelse til behandling i alle lande. Nye behandlingssteder, fjernadgang og eventuelle overførsler uden for EØS skal vurderes og dokumenteres før ændringen, med kundens relevante instrukser, lovligt overførselsgrundlag og nødvendige supplerende foranstaltninger.
8. Bistand og sikkerhedsbrud
Under hensyn til behandlingens karakter og de tilgængelige oplysninger skal ZimSystem bistå kunden med registreredes rettigheder og forpligtelser efter artikel 32–36, herunder konsekvensanalyser og eventuel forudgående høring. ZimSystem skal underrette kunden uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden og løbende give tilgængelige oplysninger om hændelse, berørte data, sandsynlige følger og foranstaltninger. Kunden træffer beslutning om anmeldelser og information til registrerede efter gældende regler. Kontakt- og eskalationsveje skal konkretiseres i aftalen.
9. Dokumentation og kontrol
ZimSystem skal stille de oplysninger til rådighed, som er nødvendige for at påvise overholdelse af artikel 28, og muliggøre og bidrage til revisioner og inspektioner udført af kunden eller en bemyndiget revisor. Praktiske forhold aftales under hensyn til sikkerhed, fortrolighed og andre kunders data uden at udhule kundens lovbestemte kontrolrettigheder.
10. Ophør, tilbagelevering og sletning
Ved ophør vælger kunden tilbagelevering eller sletning af personoplysningerne og sender sine instrukser til info@zimsystem.dk. ZimSystem skal gennemføre instrukserne uden unødig forsinkelse og slette resterende kopier, medmindre lovgivning kræver fortsat opbevaring. Parterne skal dokumentere de praktiske trin for eksport eller sletning og en eventuel nødvendig afslutningsperiode. I denne periode begrænses behandlingen til tilbagelevering, sletning og gældende retlige opbevaringspligter. Der er aktuelt ingen automatisk sletterutine; anmodninger og ophørsinstrukser håndteres manuelt, også for kopier på replikerede servere. Lovpligtig opbevaring skal afgrænses til relevante oplysninger og formål. Bogføringspligter begrunder ikke tidsubegrænset opbevaring af alle kundedata.
11. Accept, instrukser og forrang
Kunden accepterer udtrykkeligt denne aftale under onboarding. Kundeoplysningerne, den aftalte ydelse og de dokumenterede behandlingsinstrukser identificerer parterne og den behandling, aftalen omfatter. ZimSystem skal give de oplysninger, der er nødvendige for godkendelse af underdatabehandlere, og stille relevant sikkerhedsdokumentation til rådighed; yderligere eller ændret behandling skal følge dokumenterede instrukser og gældende ret. Den accepterede aftale gælder, indtil den gyldigt ændres, eller behandlingsforpligtelserne ophører. Dansk ret gælder, den danske tekst har forrang ved sproglige forskelle, og aftalen har forrang for modstridende kommercielle vilkår om behandling på kundens vegne. Kontakt info@zimsystem.dk om instrukser, dokumentation eller ændringer.