1. Parter, indgåelse og rang
FlowNordics ApS, CVR 46087747, Kastrupvej 115, st. 2, 2300 København S, Danmark, leverer RegnskabsMCP. Kontakt: support@regnskabsmcp.dk. Du kan også skrive til lars@flownordics.com. Kunden er den juridiske virksomhed, der indgår hovedaftalen og accepterer denne aftale. Kunden er dataansvarlig, eller databehandler med mandat fra sin dataansvarlige; FlowNordics er henholdsvis databehandler eller underdatabehandler. Kunden og versionen identificeres i den elektroniske eller skriftlige accept. Denne aftale har forrang ved konflikt om databeskyttelse. Publicering alene er ikke kundens accept. Den kan indgås ved dokumenteret skriftlig accept til kontaktvejen; portalen registrerer ikke automatisk accept af denne nye version.
2. Formål, karakter og varighed
Behandlingen sker for at udføre kundens brugerbestilte, autoriserede e-conomic-operationer, levere svar til kundens valgte MCP-klient og administrere kundens organisation, forbindelser, adgang og nødvendige audit. Behandlingen omfatter opslag, transmission, strukturering, midlertidig håndtering og nødvendige metadata. Den varer under hovedaftalen og indtil aftalt tilbagelevering eller sletning, med de særskilt beskrevne nødvendige opbevaringsforpligtelser. Regnskabspayloads gemmes ikke som et parallelt register.
3. Registrerede og datakategorier
Registrerede kan være kundens medarbejdere, brugere, kunder, leverandører og øvrige personer, der indgår i de e-conomic-oplysninger, kunden vælger at behandle. Oplysninger kan omfatte navn, e-mail, adresse, kontaktoplysninger, kunde-/leverandørreferencer, faktura-, betalings- og transaktionsoplysninger samt bruger-, adgangs- og auditmetadata. Kunden bestemmer indholdet gennem sine konkrete instrukser. Tjenesten er ikke indrettet til behandling af særlige kategorier efter artikel 9, oplysninger om strafbare forhold eller CPR-numre. Kunden må ikke sende sådanne oplysninger uden en særskilt aftale og vurdering.
4. Dokumenteret instruks
Hovedaftalen, denne aftale, kundens valg af organisation, forbindelse og klient samt de autoriserede brugerbestilte operationer udgør den dokumenterede instruks. Der udføres ikke autonome regnskabsskrivninger. FlowNordics behandler kun oplysninger efter instruks, også ved overførsler, medmindre EU-ret eller dansk ret kræver andet; kunden orienteres da inden behandlingen, medmindre loven forbyder det. FlowNordics orienterer straks kunden, hvis en instruks efter vores vurdering er ulovlig, og kan sætte den på pause.
5. Fortrolighed og sikkerhedsforanstaltninger
Kun personer med nødvendigt arbejdsbetinget behov og fortrolighedsforpligtelse får adgang. Foranstaltningerne omfatter HTTPS, serverkontrol af identitet/organisation/forbindelse/rettighed, tilbagekaldelse af adgang, private database- og cachetjenester, krypterede providercredentials, dataminimerede fejl og audit, afgrænset input og værktøjskatalog samt lokale kvalitets- og negative sikkerhedstests. Teknisk support får ikke almindelig adgang til credentials eller komplette regnskabspayloads. Eventuel kundespecifik supportadgang kræver den aktiverede, tidsbegrænsede og auditerede samtykkefunktion. Foranstaltninger revurderes risikobaseret og må ikke forringes væsentligt.
6. Infrastruktur, backup og kontrol
Portal og platform samt deres private PostgreSQL/Valkey drives gennem Sliplane i EU/EØS. Databasebackup og WAL-arkiv bruger EU-object-storage. Backups og restoreprocedurer er en del af sikkerhedsarbejdet; denne aftale er ikke et løfte om en målt RPO, RTO eller SLA, som ikke er særskilt aftalt. Kunden kan få dokumentation for regioner, adgangsforanstaltninger, backupkonfiguration og gennemførte kontroller gennem kontaktvejen.
7. Godkendte underdatabehandlere
Kunden giver generel skriftlig godkendelse til Sliplane GmbH for EU/EØS-hosting, drift og backup og Plus Five Five, Inc. (Resend) for transaktionelle mails og, når modtagelsen er aktiveret, supportmail. Resends valgte afsendelsesregion er eu-west-1 (Irland), men Resend er en amerikansk leverandør med underleverandører og mulige behandlinger uden for EU/EØS. Den opdaterede oversigt og leverandørernes offentlige lister findes på siden Underdatabehandlere. Providercredentials og regnskabsdokumenter må ikke sendes som supportmail. Kundens valgte e-conomic- og AI-leverandører er kundens egne modtagere/aftaleparter og godkendes ikke som FlowNordics-underdatabehandlere alene ved denne aftale.
8. Nye underdatabehandlere og overførsler
FlowNordics binder underdatabehandlere til databeskyttelsesforpligtelser, der svarer til denne aftale, og er ansvarlig for deres behandling på vores vegne. Kunden underrettes skriftligt mindst 30 dage før en planlagt tilføjelse eller udskiftning og kan gøre begrundet indsigelse. Ved uenighed forsøger parterne en løsning; behandling via den omstridte nye leverandør starter ikke, før der er et lovligt grundlag og kunden har haft mulighed for at ophøre med den berørte del. Overførsel uden for EU/EØS kræver dokumenteret instruks og et gyldigt grundlag efter kapitel V, eksempelvis relevant tilstrækkelighedsafgørelse eller EU-standardkontraktbestemmelser med nødvendig vurdering og supplerende foranstaltninger. EU-region alene erstatter ikke denne vurdering. Kunden kan få oplysninger om konkrete modtagere, lande og grundlag.
9. Registreredes rettigheder
FlowNordics bistår kunden med indsigt, rettelse, sletning, begrænsning, dataportabilitet og indsigelser under hensyn til behandlingens karakter. Henvendelser om kundens regnskabsoplysninger videresendes til kunden uden unødig forsinkelse og besvares ikke selvstændigt uden instruks. Kunden er ansvarlig for anmodninger i sit e-conomic-system og sin valgte klient; FlowNordics bistår med de data, vi faktisk behandler.
10. Brud og bistand
FlowNordics underretter kunden uden unødig forsinkelse, når vi bliver bekendt med et brud på persondatasikkerheden vedrørende kundens oplysninger. Oplysninger gives løbende om hændelse, berørte data/personer, sandsynlige følger, afhjælpning og kontakt. Underretningen afventer ikke, at hele undersøgelsen er afsluttet. FlowNordics bistår med kundens forpligtelser efter artikel 32–36, herunder anmeldelse, underretning, konsekvensanalyse og forudgående høring. Åbningstiden begrænser ikke de lovpligtige pligter ved brud.
11. Oplysninger, tilsyn og audit
FlowNordics stiller nødvendige oplysninger til rådighed for at dokumentere overholdelse og muliggør audit og inspektion udført af kunden eller en bemyndiget auditor. Omfang og tidspunkt aftales praktisk med hensyn til sikkerhed og andre kunders fortrolighed; aftalen må ikke udhule kundens lovpligtige kontrolret. Ved konkrete brud eller myndighedskrav kan kontrol ikke begrænses til et årligt standardinterval. Myndigheders kontrolrettigheder berøres ikke.
12. Tilbagelevering, sletning og afslutning
Ved ophør vælger kunden tilbagelevering eller sletning af oplysninger behandlet på kundens vegne. Regnskabsdata findes fortsat i e-conomic; FlowNordics har ikke et fuldt regnskabsregister at tilbagelevere. Platformens relevante metadata og redigerede aktivitet kan eksporteres efter aftale eller gennem aktiverede portalflows. Credentials og operationel adgang fjernes efter det dokumenterede ophørsflow. Resterende kopier, herunder backupkopier, slettes gennem den dokumenterede retention og må ikke genanvendes til nye formål. Hvis lovgivning kræver fortsat opbevaring, meddeles kunden formål og frist, og adgang begrænses. Fem års sikkerheds-/writeaudit og tolv måneders almindelig læse-/sessionsaudit er platformens oplyste frister; de er ikke et generelt femårigt lagringskrav for alle kundedata. Parterne vurderer konkret, hvilke spor der behandles på kundens instruks, og hvilke FlowNordics lovligt bevarer som selvstændig dataansvarlig.