Version 2 · oktober 2026
Aftalen er indgået mellem kunden ("den dataansvarlige") og MHM Media Productions, CVR 41347147, e-mail info@mhmmedia.dk ("databehandleren"), og gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige i Kørebog. Den opfylder kravene i databeskyttelsesforordningens artikel 28, stk. 3. Ved uoverensstemmelse går denne aftale forud for handelsbetingelserne, når det gælder behandling af personoplysninger.
Databehandleren behandler personoplysninger for at levere Kørebog til den dataansvarlige: registrering af kørsel, beregning af kørselsgodtgørelse, rapporter, overførsel til regnskabsprogram og support. Databehandleren behandler kun oplysningerne efter den dataansvarliges dokumenterede instruks, som består af denne aftale og den dataansvarliges brug af Kørebog. Mener databehandleren, at en instruks er i strid med databeskyttelsesreglerne, giver databehandleren straks besked.
De registrerede er den dataansvarliges medarbejdere og andre brugere, som den dataansvarlige giver adgang. Oplysningerne er navn, e-mail, adresse, biler og registreringsnumre, kørte ture med tidspunkter, ruter og placeringer under kørsel, adresser, formål, kilometer og beløb, samt tekniske oplysninger som log-ind og enhed. Der behandles ikke følsomme oplysninger. CPR-nummer gemmes kun på brugerens egen iPhone og sendes ikke til databehandleren. Behandlingen varer, så længe aftalen gælder, og ophører efter punkt 10.
Databehandleren træffer passende tekniske og organisatoriske foranstaltninger efter artikel 32, herunder: krypteret forbindelse (HTTPS/TLS), kryptering af kundedata på serveren med en nøgle pr. konto, adgangskontrol med personligt login og mulighed for tofaktor, adskillelse af kunders data, natlig krypteret sikkerhedskopi (i EU og på databehandlerens egen server i Danmark), logning og løbende sikkerhedsopdateringer. Placering registreres kun under kørsel og kun, når brugeren har givet tilladelse på sin iPhone.
Kun personer, der har brug for det for at levere og supportere Kørebog, har adgang til oplysningerne, og de har tavshedspligt.
Den dataansvarlige giver generel tilladelse til, at databehandleren bruger underdatabehandlere. Ved aftalens indgåelse bruges:
Databehandleren giver den dataansvarlige besked mindst 30 dage før en ny underdatabehandler tages i brug, så den dataansvarlige kan gøre indsigelse. Underdatabehandlere pålægges de samme databeskyttelsesforpligtelser som i denne aftale, og databehandleren er ansvarlig over for den dataansvarlige for deres behandling.
Oplysningerne opbevares i EU/EØS. Bruges en underdatabehandler med tilknytning til et land uden for EU/EØS (fx Apple), sker overførslen kun på et lovligt grundlag efter kapitel V, fx EU-Kommissionens standardkontraktbestemmelser eller EU-U.S. Data Privacy Framework.
Databehandleren hjælper den dataansvarlige med at besvare anmodninger fra de registrerede (fx indsigt, berigtigelse og sletning – brugerne kan selv eksportere og slette deres data i appen) og med at overholde forpligtelserne om sikkerhed, konsekvensanalyser og forudgående høring. Bistand ud over det sædvanlige kan faktureres efter medgået tid.
Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud, med de oplysninger, der er nødvendige for den dataansvarliges anmeldelse til Datatilsynet og underretning af de registrerede.
Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at vise, at aftalen overholdes, og giver mulighed for revision og inspektion efter rimeligt varsel og for den dataansvarliges regning. Databehandleren fører tilsyn med sine underdatabehandlere, fx ved at gennemgå deres databehandleraftaler og erklæringer.
Når abonnementet ophører, beholder brugerne adgang til deres egne konti i gratis-udgaven. Beder den dataansvarlige om det, sletter databehandleren de oplysninger, der er behandlet for den dataansvarlige, senest 30 dage efter anmodningen, medmindre lovgivning kræver opbevaring. Den dataansvarlige kan forinden få en kopi. Oplysninger i sikkerhedskopier slettes, når kopierne udløber, senest 30 dage efter.
Aftalen træder i kraft, når den dataansvarlige accepterer den ved bestillingen, og gælder, så længe databehandleren behandler oplysninger for den dataansvarlige.