Databehandleraftale

1. Parterne

Denne databehandleraftale ("Aftalen") er indgået mellem:

• Databehandleren: Zarit ApS, CVR 45684342, som leverer CRM-systemet PaintPilot ("Systemet"), herefter "vi" eller "PaintPilot".
• Den dataansvarlige: dig som kunde — det autolakerer- eller skadeværksted, der abonnerer på og anvender Systemet, herefter "dig" eller "Kunden".

Aftalen er en integreret del af abonnementsaftalen mellem dig og Zarit ApS og regulerer vores behandling af personoplysninger på dine vegne, jf. databeskyttelsesforordningens (GDPR) artikel 28. Ved tvivl om fortolkning har denne Aftale forrang for de almindelige handelsbetingelser for så vidt angår behandling af personoplysninger.

2. Baggrund og formål

Du bruger PaintPilot til at drive dit værksted: booking, sagsstyring, fotodokumentation, nummerplade-opslag, kundekartotek, fakturagrundlag, SMS- og e-mail-beskeder m.v. For at levere dette behandler vi personoplysninger, som du og dine medarbejdere lægger ind i Systemet, samt oplysninger om dine kunder (bilejere).

Vi behandler udelukkende disse oplysninger med det formål at stille Systemet til rådighed for dig, drifte det, holde det sikkert og yde support. Vi anvender ikke dine oplysninger til egne formål.

3. Instruks

Vi behandler kun personoplysninger efter din dokumenterede instruks. Din instruks udgøres af denne Aftale, abonnementsaftalen og din faktiske brug af Systemets funktioner.

Mener vi, at en instruks strider mod GDPR eller anden databeskyttelseslovgivning, giver vi dig besked. Vi overfører ikke oplysninger til et tredjeland uden for EU/EØS på grundlag af et krav fra os selv, medmindre lovgivningen kræver det — og i så fald giver vi dig besked, inden behandlingen sker, medmindre det er forbudt ved lov.

4. Varighed

Aftalen gælder, så længe vi behandler personoplysninger på dine vegne — det vil sige, så længe dit abonnement på Systemet løber. Aftalen ophører, når abonnementet ophører, og de oplysninger vi behandler på dine vegne er slettet eller tilbageleveret, jf. punkt 13.

5. Kategorier af personoplysninger og registrerede

Behandlingen omfatter typisk følgende kategorier af registrerede og personoplysninger:

Vi behandler som udgangspunkt ikke følsomme personoplysninger (GDPR art. 9). Læg ikke følsomme oplysninger i fritekstfelter, medmindre det er nødvendigt.

6. Fortrolighed

Vi sikrer, at de personer hos os, der har adgang til personoplysningerne, er underlagt tavshedspligt, og at adgang kun gives i det omfang, det er nødvendigt for at drifte og supportere Systemet.

7. Sikkerhed (GDPR art. 32)

Vi træffer passende tekniske og organisatoriske foranstaltninger, så behandlingen lever op til GDPR art. 32. Konkret:

• Adskillelse pr. kunde: hver kunde har sin egen database — dine data blandes ikke med andre værksteders.
• Kryptering under transport: al trafik til Systemet går over HTTPS/TLS.
• Krypteret backup: daglige backups af både database og filer krypteres (AES-256) og opbevares et andet sted end driftsserveren.
• Adgangsstyring: rollebaseret adgang (administrator/medarbejder/kunde), individuelle logins og valgfri to-faktor-login.
• Beskyttelse mod misbrug: spærring efter gentagne fejl-logins, hærdede serverindstillinger og løbende overvågning.
• Dansk hosting: drift og data ligger på en dedikeret server i et dansk datacenter.

8. Underdatabehandlere

Du giver os en generel tilladelse til at bruge underdatabehandlere til at levere Systemet. Vi sikrer, at hver underdatabehandler er underlagt tilsvarende forpligtelser, som dem i denne Aftale. Vores aktuelle underdatabehandlere (pr. 22. oktober 2026) er:

Hvis du i Systemet selv forbinder dit eget regnskabsprogram (fx dit regnskabssystem) eller andre tjenester, sender Systemet fakturagrundlag m.v. dertil efter din instruks. Dit regnskabsprogram er din egen leverandør og er ikke vores underdatabehandler — forholdet er omfattet af din aftale med dem.

9. Overførsel til tredjelande

Behandlingen sker som udgangspunkt i EU/EØS. Den valgfri "Spørg"-assistent sender spørgsmål til en udbyder i USA (Anthropic). Overførslen sker på et lovligt grundlag (EU-US Data Privacy Framework og/eller EU-Kommissionens standardkontraktbestemmelser). Bruger du ikke assistenten, finder ingen tredjelandsoverførsel sted.

10. Bistand til dig

Vi bistår dig — under hensyntagen til behandlingens karakter og de oplysninger, vi har adgang til — med:

• at besvare anmodninger fra registrerede om deres rettigheder (indsigt, berigtigelse, sletning, dataportabilitet, indsigelse m.v.),
• at overholde dine forpligtelser vedrørende behandlingssikkerhed, anmeldelse af brud og konsekvensanalyser (GDPR art. 32-36).

Systemet giver dig i vidt omfang selv adgang til at trække, rette og slette oplysninger, så du kan håndtere de fleste anmodninger direkte.

11. Brud på persondatasikkerheden

Bliver vi opmærksomme på et brud på persondatasikkerheden, underretter vi dig uden unødig forsinkelse, så du kan opfylde din eventuelle anmeldelsespligt til Datatilsynet inden for 72 timer. Underretningen indeholder de oplysninger, vi har om bruddets karakter, de berørte oplysninger og de tiltag, vi har iværksat.

12. Revision og tilsyn

Vi stiller på din anmodning de oplysninger til rådighed, der er nødvendige for at påvise, at vi overholder GDPR art. 28 og denne Aftale, og giver mulighed for revision/inspektion. Revision kan ske ved, at vi fremlægger dokumentation for vores sikkerhedsforanstaltninger, eller efter nærmere aftale. Rimelige omkostninger ved en revision ud over almindelig dokumentation kan pålægges dig.

13. Sletning og tilbagelevering

Ved Aftalens ophør — eller når du anmoder om det — sletter eller tilbageleverer vi efter dit valg de personoplysninger, vi behandler på dine vegne, og sletter eksisterende kopier, medmindre lovgivning kræver fortsat opbevaring.

Krypterede backups overskrives/udløber efter den fastsatte opbevaringsperiode (aktuelt op til 14 dage), hvorefter oplysningerne også er væk herfra.

14. Ændringer

Vi kan opdatere denne Aftale, fx når lovgivning, underdatabehandlere eller Systemets funktioner ændrer sig. Væsentlige ændringer varsler vi med rimeligt varsel. Den til enhver tid gældende version ligger altid på denne side med en opdateringsdato.

15. Kontakt

Spørgsmål til denne databehandleraftale eller til vores behandling af personoplysninger:

Zarit ApS · CVR 45684342

E-mail: info@paintpilot.dk