Databehandleraftale

Denne databehandleraftale ("Aftalen") er indgået i henhold til artikel 28 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (databeskyttelsesforordningen, "GDPR") mellem:

Den dataansvarlige: den virksomhed, organisation eller person, der bruger TimeTrack til at behandle personoplysninger om andre end sig selv, fx medarbejdere, kunder eller kontaktpersoner ("Kunden").

Databehandleren: Mahope (Mahoje) v/ Mads Holst Jensen, CVR 39413892, Rørmaen 14, 5270 Odense N, Danmark ("TimeTrack" eller "Databehandleren").

Aftalen gælder for alle planer i TimeTrack og er en del af TimeTracks vilkår, når Kunden behandler personoplysninger om andre i TimeTrack. Den gældende version står altid på timetrack.dk/databehandleraftale.

Ikrafttræden: Denne version gælder for nye kunder fra den dag, den er offentliggjort på timetrack.dk/databehandleraftale. For eksisterende kunder gælder den 30 dage efter, at Kunden har fået en mail om den nye version. Indtil da gælder den tidligere version.

Kunder med en organisation i TimeTrack kan desuden acceptere Aftalen elektronisk via en ejer eller administrator under Indstillinger i TimeTrack. Tidspunkt, version, den accepterende brugers identitet og IP-adresse registreres og kan til enhver tid hentes af Kundens administratorer.

1. Baggrund og formål

1.1. Kunden anvender TimeTrack til tidsregistrering, kunde- og projektstyring, opgaver, klippekort, fakturagrundlag, kundeportal, fraværsregistrering, timeseddelgodkendelse og relateret administration.

1.2. Ved leveringen behandler Databehandleren personoplysninger på vegne af Kunden. Aftalen fastlægger parternes rettigheder og forpligtelser i den forbindelse.

1.3. Aftalen har forrang for eventuelle modstridende bestemmelser om behandling af personoplysninger i Kundens abonnementsvilkår.

2. Behandlingens karakter og formål

Databehandleren behandler personoplysninger med det formål at levere, drive, vedligeholde, sikre og supportere TimeTrack til Kunden, herunder:

• registrering og opbevaring af arbejdstid, fravær og timesedler, også i overensstemmelse med lov om arbejdstidsregistrering;
• registrering af Kundens egne kunder, kontaktpersoner, projekter, opgaver, klippekort og fakturagrundlag;
• beregning af normtid, flex, overtid og feriesaldi;
• godkendelsesflow, notifikationer og rapporter til Kunden og Kundens ledere;
• deling af timer og saldi med Kundens egne kunder via kundeportalen, når Kunden slår det til;
• eksport af data til Kundens løn- og økonomisystemer efter Kundens anvisning;
• login, herunder via Kundens Microsoft Entra ID (SSO), og automatisk tilknytning af medarbejdere på Kundens verificerede e-mail-domæner;
• backup, fejlretning, sikkerhedsovervågning og support.

3. Kategorier af registrerede og personoplysninger

3.1. Registrerede: Kundens ansatte, ledere og administratorer, eksterne konsulenter Kunden opretter i systemet, Kundens egne kunder og deres kontaktpersoner, brugere af kundeportalen samt afsendere af e-mails, som Kunden selv videresender eller forbinder til TimeTrack.

3.2. Almindelige personoplysninger: navn, e-mail, telefonnummer, medarbejdernummer, afdeling, leder, ansættelsestype og -periode, ugentlig arbejdstid, arbejdstidsregistreringer (dato, klokkeslæt, varighed, projekt/aktivitet, noter), fraværsregistreringer (type, periode), timeseddelstatus og godkendelseshistorik; for Kundens kunder og kontaktpersoner: navn, e-mail, telefon, adresse, CVR-nummer, noter, timepriser, fakturaer og klippekort; indhold i opgaver og e-mails, som Kunden selv opretter, videresender eller forbinder; IP-adresse og logdata i forbindelse med login og handlinger i systemet.

3.3. Følsomme oplysninger (GDPR art. 9): Fraværstyper som sygdom, barns sygdom og barsel kan afsløre helbredsoplysninger. Databehandleren behandler disse udelukkende som fraværskategori og periode og aldrig diagnoser eller fritekst om helbred, medmindre Kunden selv indtaster sådanne i notefelter. Kunden er ansvarlig for at instruere sine brugere i ikke at notere helbredsoplysninger i fritekst.

3.4. CPR-numre behandles ikke i TimeTrack. Kunden må ikke indtaste CPR-numre i systemet.

4. Databehandlerens forpligtelser

4.1. Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra Kunden. Denne Aftale, Kundens konfiguration af TimeTrack og Kundens brug af systemets funktioner udgør instruksen. Databehandleren underretter straks Kunden, hvis en instruks efter Databehandlerens opfattelse strider mod GDPR eller anden databeskyttelseslovgivning.

4.2. Databehandleren sikrer, at personer med adgang til personoplysningerne er underlagt fortrolighedspligt.

4.3. Databehandleren gennemfører de tekniske og organisatoriske sikkerhedsforanstaltninger, der er beskrevet i bilag B, og som svarer til risikoen ved behandlingen (GDPR art. 32).

4.4. Databehandleren bistår, under hensyn til behandlingens karakter, Kunden med at opfylde Kundens forpligtelser over for de registrerede (GDPR art. 12-23), herunder indsigt, berigtigelse, sletning og dataportabilitet. TimeTrack stiller selvbetjeningsfunktioner til rådighed for eksport og sletning. Hver bruger, uanset rolle, kan selv hente sine egne data som én fil under Indstillinger > Import & eksport (indsigt og dataportabilitet, art. 15 og 20). Filen indeholder kun brugerens egne rækker og opgaver tildelt brugeren i den aktive organisation, ikke kollegers eller Kundens øvrige data; hvad den omfatter, står på timetrack.dk/tillid. Øvrige anmodninger håndteres via support inden for 10 arbejdsdage.

4.5. Databehandleren bistår Kunden med at overholde GDPR art. 32-36 (sikkerhed, brud, konsekvensanalyse og forudgående høring) i det omfang oplysningerne er tilgængelige for Databehandleren.

4.6. Databehandleren stiller på anmodning alle oplysninger, der er nødvendige for at påvise overholdelse af Aftalen, til rådighed for Kunden og muliggør og bidrager til revisioner, jf. punkt 9.

5. Brud på persondatasikkerheden

5.1. Databehandleren underretter Kunden uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden, der vedrører Kundens personoplysninger.

5.2. Underretningen sendes til den eller de administratorer, Kunden har registreret i TimeTrack, og indeholder så vidt muligt oplysningerne i GDPR art. 33, stk. 3. Oplysninger, der ikke kan gives samlet, gives løbende.

5.3. Databehandleren bistår Kunden med at anmelde bruddet til Datatilsynet og, hvor relevant, underrette de registrerede.

6. Underdatabehandlere

6.1. Kunden giver hermed generel godkendelse til, at Databehandleren anvender underdatabehandlere. De underdatabehandlere, der anvendes, fremgår af bilag C.

6.2. Databehandleren underretter Kunden mindst 30 dage før tilføjelse eller udskiftning af en underdatabehandler via e-mail til Kundens administratorer og i systemets nyhedsfeed. Kunden kan inden fristens udløb gøre begrundet indsigelse. Kan parterne ikke finde en løsning, kan Kunden opsige abonnementet til udgangen af underretningsperioden uden yderligere omkostninger.

6.3. Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne Aftale gennem skriftlig aftale og forbliver fuldt ansvarlig over for Kunden for underdatabehandlernes opfyldelse.

6.4. Tjenester, som Kunden selv vælger at forbinde til TimeTrack (markeret "kun efter Kundens valg" i bilag C), behandler data efter Kundens egen aftale med den pågældende udbyder. Databehandleren sender kun data dertil, når Kunden eller Kundens brugere har slået forbindelsen til.

7. Overførsel til tredjelande

7.1. Kundens database, filer og backup opbevares inden for EU (Tyskland og Finland, se bilag B). Enkelte underdatabehandlere i bilag C er amerikanske virksomheder og kan behandle personoplysninger uden for EU/EØS.

7.2. Hvor en underdatabehandler behandler personoplysninger uden for EU/EØS, sikrer Databehandleren et gyldigt overførselsgrundlag (GDPR kap. V), fx EU-U.S. Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser, og oplyser om grundlaget i bilag C.

8. Kundens forpligtelser

8.1. Kunden er dataansvarlig og indestår for, at behandlingen har et lovligt grundlag, at de registrerede er informeret, og at Kundens instrukser er lovlige.

8.2. Kunden er ansvarlig for administration af sine brugeres adgange og roller i TimeTrack, herunder rettidig deaktivering af fratrådte medarbejdere, for hvilke integrationer Kunden og Kundens brugere forbinder, og for konfigurationen af Kundens Microsoft Entra ID-integration (tenant-ID, verificerede domæner, SSO-krav).

9. Revision og tilsyn

9.1. Kunden kan én gang årligt, med mindst 30 dages skriftligt varsel, gennemføre eller lade en uafhængig tredjepart gennemføre en revision af Databehandlerens overholdelse af Aftalen. Revision sker i almindelig arbejdstid, uden unødig forstyrrelse af driften og under fortrolighed.

9.2. Databehandleren kan som alternativ fremlægge egen sikkerhedsdokumentation (bilag B og timetrack.dk/tillid), revisionserklæringer fra underdatabehandlere (fx ISO 27001, SOC 2) og svar på Kundens skriftlige spørgeskema.

9.3. Kunden afholder egne omkostninger til revision. Databehandlerens medvirken ud over 8 timer årligt faktureres efter gældende timesats.

10. Varighed, ophør og sletning

10.1. Aftalen gælder, så længe Databehandleren behandler personoplysninger på Kundens vegne.

10.2. Kundens ejere og administratorer kan til enhver tid selv hente alle Kundens data som én fil under Indstillinger > Import & eksport: tidsregistreringer for alle brugere, kunder, projekter, opgaver, klippekort og forbrug, fakturaer og fakturagrundlag, fravær, timesedler med godkendelseshistorik, hændelseslog, indstillinger og vedhæftede filer. Det kræver ikke et betalt abonnement. Ved abonnementets ophør kan Kunden fortsat hente sine data i 30 dage (se timetrack.dk/tillid). Herefter sletter Databehandleren alle Kundens personoplysninger, medmindre lovgivning kræver fortsat opbevaring. Data i backup slettes automatisk, når backuppen udløber, senest 30 dage efter sletningen (se bilag B).

10.3. Kunden kan når som helst bede om, at organisationen og alle tilknyttede data slettes tidligere.

10.4. Bemærk: Organisationens hændelseslog (audit-log) over tidsregistreringer og rettelser er designet til at dokumentere overholdelse af lov om arbejdstidsregistrering (5 års opbevaring). Denne opbevaringspligt påhviler Kunden. Kunden kan selv hente loggen som en del af eksporten i punkt 10.2 og bør gøre det før ophør. Databehandleren opbevarer loggen sammen med Kundens øvrige data og sletter den ved ophør efter punkt 10.2, medmindre Kunden aftaler andet.

10.5. Lukker TimeTrack som tjeneste, gælder TimeTracks vilkår punkt 9.3 om varsel, eksport og refusion. Kundens personoplysninger slettes derefter efter punkt 10.2.

11. Ansvar

Parternes ansvar følger GDPR art. 82 og de ansvarsbegrænsninger, der i øvrigt gælder mellem parterne i henhold til abonnementsvilkårene. Ansvarsbegrænsninger gælder ikke for tab som følge af forsæt eller grov uagtsomhed.

12. Lovvalg og værneting

Aftalen er underlagt dansk ret. Tvister afgøres ved Databehandlerens hjemting, medmindre andet følger af ufravigelig lovgivning.

13. Ændringer af Aftalen

Ændringer i teksten giver en ny version med ny dato. Den gældende version står på timetrack.dk/databehandleraftale. En ny version gælder for nye kunder fra offentliggørelsen og for eksisterende kunder 30 dage efter, at de har fået en mail om den. Kunder, der har accepteret Aftalen elektronisk, bliver bedt om at acceptere den nye version under Indstillinger i TimeTrack. Tilføjelse eller udskiftning af underdatabehandlere følger punkt 6.2.

Bilag A: Behandlingsoversigt

Bilag B: Tekniske og organisatoriske sikkerhedsforanstaltninger

• Hosting: Dedikeret cloud-server hos Hetzner Online GmbH i datacentret i Nürnberg, Tyskland. Databasen (PostgreSQL) og cachen (Valkey) kører på samme server og kan ikke nås direkte fra internettet. Uploadede filer ligger i Hetzner Object Storage i Helsinki, Finland.
• Kryptering i transit: TLS 1.2 eller nyere på alle forbindelser til TimeTrack (HTTPS med automatisk certifikatfornyelse) og HSTS.
• Kryptering at rest: Adgangstokens, API-nøgler og adgangskoder til integrationer krypteres i databasen med AES-256-GCM; nøglen ligger ikke i databasen. Adgangskoder gemmes kun som envejs-hash. Serverens disk er ikke krypteret for sig; beskyttelsen ligger i, at databasen ikke kan nås udefra, og at adgangen til serveren er begrænset (se nedenfor).
• Adgangskontrol i TimeTrack: Rollebaseret adgang (ejer/administrator/HR/leder/medarbejder) med afdelings- og lederscoping. Understøttelse af Microsoft Entra ID-login med tenant-binding, DNS-verificerede domæner, mulighed for at kræve SSO og totrinsbekræftelse for ledere og administratorer. Passkeys og TOTP-2FA for alle brugere.
• Logning: Uforanderlig hændelseslog pr. organisation (hvem/hvad/hvornår) for tidsregistreringer, fravær, timesedler, profiler, roller og indstillinger, synlig for Kundens administratorer. Support-login som bruger (impersonation) logges og vises for Kunden.
• Backup, daglig dump: Den daglige databasedump krypteres på serveren med age, før den uploades til Hetzner Object Storage i Helsinki (et andet datacenter end serveren). Serveren har kun den offentlige nøgle; den private nøgle opbevares separat. Opbevaring 30 dage. Dumps fra før 11. oktober 2026 er ikke krypteret på klientsiden. Der laves ikke flere af dem, men de ligger stadig i objektlageret, indtil de er slettet.
• Backup, tidspunktsgendannelse (PITR): Ugentlig basisbackup plus løbende transaktionslog med WAL-G, krypteret med libsodium før upload til samme objektlager (libsodium-krypteret løbende backup). Opbevares i 14 dage.
• Backup, server: Hetzners daglige backup af hele serveren; Hetzner gemmer de seneste 7.
• Backup og sletning: Slettede data forsvinder fra den krypterede dump og PITR senest efter 30 dage. De ældre, ukrypterede dumps fra før 11. oktober 2026 er undtaget, indtil de er slettet.
• Uploadede filer og eksporter: Uploadede filer (fx vedhæftninger og logoer) er ikke krypteret på klientsiden. En fuld eksport (punkt 10.2) gemmes ukrypteret som privat fil i objektlageret og slettes, når linket udløber efter 7 dage.
• Gendannelsestest: PITR gendannes automatisk hver måned på en isoleret kopi, hvor tabeller og rækkeantal sammenlignes med produktionen. For den krypterede daglige dump tjekkes hver måned automatisk, at den findes, er ny og er krypteret; en fuld gendannelse af den sker manuelt, fordi den private nøgle ikke ligger på serveren. Seneste automatiske test: 3. oktober 2026.
• Sårbarhedshåndtering: Automatisk afhængighedsscanning (Dependabot/Trivy), løbende sikkerhedsopdateringer, kodegennemgang før produktion.
• Adskillelse: Al data er isoleret pr. organisation (multi-tenant med organisations-id på rækkerne og server-side kontrol i hver forespørgsel).
• Adgang hos Databehandleren: Adgang til produktionsdata er begrænset til 1 person (Mads Holst Jensen), som er under fortrolighedspligt. Login på serveren kræver SSH-nøgle; login med adgangskode er slået fra. Derudover har én driftsnøgle fra Databehandlerens egen driftsserver adgang til automatiseret drift.

Bilag C: Underdatabehandlere

Altid i brug

Kun efter Kundens valg (se punkt 6.4)

Til Databehandlerens egne formål (ikke underdatabehandlere): Alunta (abonnementsbetaling), Stripe (køb af desktop-livstidslicens), Google Ads (annoncemåling med samtykke), Plausible (cookieløs statistik, selvhostet hos Hetzner) og Cloudflare (DNS for timetrack.dk; selve TimeTrack går ikke gennem Cloudflare). Her er TimeTrack selv dataansvarlig, og behandlingen er beskrevet i privatlivspolitikken.

Listen vedligeholdes af Databehandleren. Ændringer meddeles efter punkt 6.2.

Ændringshistorik

• 1.1 (11. oktober 2026): Parter udfyldt. Aftalen gælder for alle planer. Registrerede og oplysninger omfatter Kundens egne kunder og kontaktpersoner. Bilag B rettet efter den faktiske drift (kryptering, backup, gendannelsestest, adgang). Bilag C gjort komplet: Sentry ligger i USA, Discord tilføjet, tjenester efter Kundens valg listet. Punkt 6.4, 10.5 og 13 tilføjet. Selvbetjent eksport af alle Kundens data (punkt 10.2 og 10.4) og af den enkelte brugers egne data (punkt 4.4). Den daglige dump krypteres med age. Ikrafttræden for nye og eksisterende kunder. Elektronisk accept for alle planer.
• 1.0 (31. august 2026): Første version.