Databehandleraftale

Denne aftale er bilag 1 til vilkårene for Skillflow. Den gælder, når Skillflow ApS behandler personoplysninger for en kunde.

Dataansvarlig: kunden, som står i ordren.
Databehandler: Skillflow ApS, Transformervej 29, 1. sal, 2860 Søborg, CVR 44175762.

Gælder fra: 6. oktober 2026.

Aftalen sikrer, at Skillflow ApS behandler personoplysninger efter databeskyttelsesforordningen (GDPR) artikel 28 og databeskyttelsesloven. Bilag A beskriver behandlingen. Bilag B lister underdatabehandlerne. Bilag C beskriver sikkerheden.

Kunden har ansvaret for, at behandlingen er lovlig, og at der er hjemmel til at lægge oplysningerne i Skillflow. Kunden skal informere sine medarbejdere og andre brugere om behandlingen.

Kunden må ikke lægge følsomme oplysninger efter GDPR artikel 9 eller oplysninger om strafbare forhold i Skillflow, fx i fritekst eller filer.

Skillflow ApS behandler kun oplysningerne efter kundens instruks. Instruksen er denne aftale, vilkårene og de valg, kunden træffer i platformen. Kræver lov, at vi behandler oplysninger på anden måde, giver vi kunden besked først, hvis loven tillader det.

Mener vi, at en instruks er i strid med reglerne, siger vi det straks.

Kun medarbejdere, der har brug for det i deres arbejde, får adgang til oplysningerne. De har tavshedspligt, også efter at de er stoppet.

Skillflow ApS har tekniske og organisatoriske tiltag, der passer til risikoen, jf. GDPR artikel 32. De vigtigste står i bilag C. Vi gennemgår dem løbende og forbedrer dem, når der er behov.

Kunden giver en generel godkendelse til, at vi bruger underdatabehandlere. Dem, vi bruger nu, står i bilag B.

Vil vi tilføje eller skifte en underdatabehandler, giver vi besked mindst 30 dage før. Kunden kan gøre indsigelse. Kan vi ikke finde en løsning, kan kunden opsige aftalen med det samme.

Vi indgår en skriftlig aftale med hver underdatabehandler. Den giver mindst samme beskyttelse som denne aftale. Vi står til ansvar over for kunden for underdatabehandlerne.

Skillflows database, filer og backup ligger i Tyskland. Nogle underdatabehandlere har selskaber i USA. Overførsel dertil sker kun med et gyldigt grundlag efter GDPR kapitel V, fx EU og USA's Data Privacy Framework eller EU's standardkontraktbestemmelser. Grundlaget står i bilag B.

Vi hjælper kunden med at svare, når en person bruger sine rettigheder, fx indsigt, rettelse og sletning. Meget kan kunden selv gøre i platformen. Kommer en anmodning direkte til os, sender vi den videre til kunden.

Vi hjælper også med sikkerhed, brud, konsekvensanalyser og dialog med Datatilsynet, når kunden har brug for det.

Opdager vi et brud på sikkerheden, der berører kundens oplysninger, giver vi kunden besked uden unødig forsinkelse og senest 48 timer efter, at vi har opdaget det. Vi beskriver, hvad der er sket, hvilke oplysninger og personer det berører, og hvad vi gør. Så kan kunden nå at anmelde bruddet til Datatilsynet inden 72 timer.

Når aftalen slutter, kan kunden i 30 dage hente sine data. Derefter sletter vi oplysningerne, med mindre lov kræver, at vi gemmer dem. Kopier i backup slettes, når backuppen udløber.

Under aftalen kan kunden selv slette eller anonymisere brugere i platformen.

Vi giver kunden de oplysninger, der skal til for at vise, at vi overholder aftalen. Kunden kan få lavet en inspektion med 30 dages varsel. Kunden betaler sine egne omkostninger og vores rimelige tidsforbrug, med mindre inspektionen viser, at vi ikke har overholdt aftalen.

Myndigheder med ret til det kan altid få adgang.

Aftalen gælder, så længe vi behandler oplysninger for kunden. Ansvaret i vilkårene gælder også for denne aftale.

Formål: at levere Skillflow, så kunden kan tildele kurser, følge fremdrift, dokumentere gennemførelse og sende besked til brugerne.

Hvem: kundens medarbejdere og andre brugere, som kunden giver adgang, fx konsulenter og partnere.

Hvilke oplysninger:

• Navn, mail, mobilnummer, brugernavn og billede.
• Afdeling, lokation, stilling, jobtitel, nærmeste leder, ansættelsesform, lønform, arbejdstid og planlagt fratrædelse, hvis kunden bruger de felter.
• Id fra Microsoft og status i Microsoft, hvis kunden forbinder Skillflow med Microsoft.
• Tildelte kurser, frister, fremdrift, testsvar, resultater og beviser.
• Login, totrinsbekræftelse, IP adresse, enhed og logs over handlinger.

Varighed: så længe aftalen løber, plus 30 dage.

• Hetzner Online GmbH, Tyskland. Servere, database, filer og backup. Data ligger i datacentre i Tyskland.
• Cloudflare, Inc., USA. Beskyttelse mod angreb, DNS, levering af sider og kontrol mod robotter. Ser IP adresse og trafik. Grundlag: Data Privacy Framework og EU's standardkontraktbestemmelser.
• Intuit Mailchimp (Mailchimp Transactional), USA. Afsendelse af alle mails fra platformen. Ser navn, mail og mailens indhold. Grundlag: Data Privacy Framework og EU's standardkontraktbestemmelser.
• CPsms ApS, Danmark. Afsendelse af sms. Ser mobilnummer og beskedens indhold.
• ElevenLabs, Inc., USA. Laver lyd, der læser kursustekst op. Får kun kursustekst, ikke oplysninger om brugerne. Grundlag: Data Privacy Framework og EU's standardkontraktbestemmelser.

Forbinder kunden Skillflow med Microsoft, henter vi oplysninger fra kundens egen Microsoft konto. Microsoft er her kundens leverandør, ikke vores underdatabehandler.

Bruger kunden en AI assistent med adgang til Skillflow, vælger kunden selv assistenten. Leverandøren af den er kundens leverandør, ikke vores.

• Alle forbindelser er krypteret med TLS.
• Hver kundes data er adskilt fra andre kunders, og adgangen styres af roller.
• Login kan sikres med totrinsbekræftelse, passkeys og login via Microsoft.
• Sessioner kan bindes til enhed og IP adresse, og gentagne forsøg på at bryde ind bliver spærret.
• Trafikken går gennem Cloudflare, der stopper kendte angreb.
• Udvalgte felter er krypteret i databasen.
• Når vores support logger ind som en bruger for at hjælpe, bliver det logget.
• Hetzner tager løbende backup af serverne. Vi tager desuden en kopi af databasen før hver opdatering af platformen.
• Kun få medarbejdere hos Skillflow ApS har adgang til servere og database.
• Vi gennemgår sikkerheden i koden, før nye funktioner frigives.

Spørgsmål om databehandling sendes til hello@skillflow.dk.