Databehandleraftale

Mellem børnehaven og 4V3D OÜ, for gruppetjenesten i Minute Mission. Version 1.0, 23. september 2026.

Dette er en dansk oversættelse af aftalen. Aftalen er også udgivet på engelsk og estisk, og det er de to tekster, der gælder mellem parterne. Hvis oversættelsen og den engelske tekst siger noget forskelligt, er det den engelske tekst, der afgør sagen.

Sådan indgår du aftalen

To måder med samme virkning.

• Ved betalingen. Sæt flueben i feltet, hvor du accepterer denne aftale, version 1.0. Versionen og datoen registreres på din konto, en kopi af præcis den tekst, du accepterede, sendes til dig på mail, og den bliver liggende på din konto.
• På papir, hvis din institution har brug for en underskrift. Bed os om det på info@4v3d.ee, så sender vi den samme tekst som et dokument med en tabel til dine oplysninger. Underskriv det elektronisk (en kvalificeret signatur efter eIDAS, DocuSign, Adobe Sign eller din egen nationale løsning) og send det tilbage. 4V3D OÜ underskriver den samme fil og sender den retur. Aftalen træder i kraft på tidspunktet for den seneste af de to underskrifter.

Databehandler: 4V3D OÜ, registreringsnummer 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estland. Repræsentant: Oskar Viil, bestyrelsesmedlem. Kontakt: info@4v3d.ee.

1. Hvad aftalen dækker

Børnehaven (dataansvarlig) bruger Minute Mission, en webapplikation, der drives af 4V3D OÜ (databehandler), hvor en pædagog holder en tavle over gruppens missioner og belønninger. For at kunne det behandler 4V3D OÜ de personoplysninger, der er beskrevet i bilag II, på børnehavens vegne og efter børnehavens instruks.

Denne aftale indeholder alt det, som artikel 28, stk. 3, i databeskyttelsesforordningen og i UK GDPR kræver aftalt skriftligt mellem en dataansvarlig og en databehandler. Den gælder, uanset om børnehaven er etableret i EØS eller i Storbritannien.

2. Hvilke regler der gælder for dig

• En børnehave i EØS. Databeskyttelsesforordningen gælder. Afsnit 3 gælder også.
• En børnehave i Storbritannien. UK GDPR og Data Protection Act 2018 gælder. Henvisninger nedenfor til databeskyttelsesforordningen læses som henvisninger til UK GDPR, henvisninger til en tilsynsmyndighed læses som Information Commissioner, og afsnit 3 gælder ikke.
• En børnehave et andet sted. Dine egne databeskyttelsesregler gælder for dig, og disse vilkår binder 4V3D OÜ som aftale. 4V3D OÜ er etableret i Den Europæiske Union og er derfor under alle omstændigheder bundet af databeskyttelsesforordningen for denne behandling. Intet her indskrænker en rettighed, som dine egne regler giver dig.

3. Europa-Kommissionens standardkontraktsbestemmelser

Hvis børnehaven er etableret i EØS, anvender parterne standardkontraktsbestemmelserne mellem dataansvarlige og databehandlere i bilaget til Kommissionens gennemførelsesafgørelse (EU) 2021/915 i deres officielle engelske ordlyd. Bestemmelserne udgør en del af denne aftale, og bilagene nedenfor er deres bilag. Bestemmelse 5 (tiltrædelse) gælder ikke. I bestemmelse 7.7 gælder mulighed 2: generel skriftlig godkendelse af underdatabehandlere med 30 dages varsel ved enhver ændring. Hvis bestemmelserne og denne aftale siger noget forskelligt, går bestemmelserne forud.

4. Hvad hver part forpligter sig til

4V3D OÜ skal:

• Kun behandle personoplysningerne for at levere tjenesten og kun efter børnehavens dokumenterede instruks, også om overførsel til et tredjeland. Denne aftale og børnehavens brug af tjenesten udgør den instruks. Hvis 4V3D OÜ efter EU-retten eller en medlemsstats ret skal behandle oplysningerne på anden måde, siger selskabet det til børnehaven først, medmindre den lovgivning forbyder det.
• Aldrig bruge oplysningerne til egne formål, aldrig sælge dem, aldrig bruge dem til at træne noget som helst og aldrig vise dem til nogen uden for de underdatabehandlere, der er nævnt i bilag IV.
• Sikre, at alle med adgang er underlagt tavshedspligt.
• Opretholde sikkerhedsforanstaltningerne i bilag III og ikke svække dem.
• Kun bruge underdatabehandlerne i bilag IV. 4V3D OÜ kan tilføje eller udskifte en af dem og giver først børnehavens kontaktperson skriftligt varsel 30 dage i forvejen. Børnehaven kan gøre indsigelse inden for de 30 dage; kan indsigelsen ikke løses, kan børnehaven afslutte tjenesten og få den ubrugte del af måneden refunderet.
• Hjælpe børnehaven med at besvare en anmodning fra en forælder eller en medarbejder. Pædagogerne og lederen kan allerede selv se, rette, eksportere og slette disse oplysninger i tjenesten. Hvis en anmodning i stedet når frem til 4V3D OÜ, sendes den videre til børnehavens kontaktperson inden for fem arbejdsdage og besvares ikke direkte.
• Hjælpe børnehaven med dens forpligtelser efter artikel 32 til 36 (sikkerhed, anmeldelse af brud, konsekvensanalyser, forudgående høring) under hensyn til, hvad 4V3D OÜ faktisk ved.
• Underrette børnehavens kontaktperson om et brud på persondatasikkerheden inden for 24 timer efter at være blevet opmærksom på det, med det, der vides på det tidspunkt, og resten efterhånden som det bliver klarlagt.
• Ved tjenestens ophør slette oplysningerne inden for 30 dage eller først levere dem tilbage, hvis børnehaven beder om det. De forsvinder fra de krypterede sikkerhedskopier inden for 90 dage. 4V3D OÜ bekræfter skriftligt, når de er væk.
• Stille de oplysninger til rådighed, der er nødvendige for at vise, at disse forpligtelser er opfyldt, og tillade en revision. I praksis betyder det skriftlige svar og dokumentation efter anmodning. En revision på stedet eller ved tredjepart kan aftales med 30 dages varsel for børnehavens regning, højst en gang om året, medmindre der har været et brud.
• Sige det til børnehaven med det samme, hvis en instruks ser ud til at stride mod databeskyttelsesreglerne.

Børnehaven skal:

• Sikre, at den har et lovligt grundlag for behandlingen, og at forældrene er blevet informeret. 4V3D OÜ møder ikke forældrene og kan ikke gøre det for dig.
• Holde oplysningerne i tjenesten inden for det, bilag II beskriver. Skriv især aldrig et barns efternavn, helbredsoplysninger, en vurdering af et barn eller noget om en families forhold i et fritekstfelt.
• Holde sine egne kontooplysninger korrekte og sige til 4V3D OÜ, når kontaktpersonen skifter.
• Styre sine egne medarbejderkonti: fjern en pædagogs login, når den pædagog stopper.

5. To ting, der ikke er behandling på dine vegne

Sagt lige ud her, så ingen behøver at gætte senere.

• Medarbejderkonti. En pædagogs eller leders navn, mailadresse og adgangskode er nødvendige for, at tjenesten overhovedet kan køre, og det er 4V3D OÜ, der bestemmer, hvordan den køres. Til det snævre formål er 4V3D OÜ dataansvarlig og ikke databehandler, og selskabets egen privatlivspolitik gælder. Alt om børnene er behandling på børnehavens vegne og er dækket af denne aftale.
• Betalingen. Hvis børnehaven betaler med kort, håndteres betalingen af Stripe Payments Europe Ltd. Stripe modtager børnehavens faktureringsnavn, adresse, momsnummer, mailadresse og kortoplysninger og ingen oplysninger om noget barn. 4V3D OÜ er dataansvarlig for de faktureringsoplysninger. Stripe er derfor ikke en underdatabehandler efter denne aftale og står ikke i bilag IV.

6. Varighed, lovvalg og ansvar

Denne aftale løber, så længe 4V3D OÜ behandler børnehavens oplysninger, og gælder videre efter tjenestens ophør, indtil oplysningerne er slettet.

Estisk ret gælder, og domstolene i Harju amt har kompetencen, medmindre børnehaven er en offentlig myndighed, hvis egne regler kræver dens nationale ret og domstole, og parterne i så fald aftaler det i stedet inden underskrift.

Ansvaret følger af brugervilkårene for Minute Mission, som denne aftale supplerer og ikke erstatter.

Bilag I. Parterne

Dataansvarlig: børnehaven, identificeret ved de oplysninger, den giver ved betalingen eller udfylder i det underskrevne eksemplar. Rolle: dataansvarlig for børnenes oplysninger på gruppetavlen.

Databehandler: 4V3D OÜ, registreringsnummer 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estland. Kontakt: Oskar Viil, bestyrelsesmedlem, info@4v3d.ee. Der er ikke udpeget en databeskyttelsesrådgiver, fordi databeskyttelsesforordningen ikke kræver det her.

Hver part kan skifte sin kontaktperson ved skriftlig besked til den anden.

Bilag II. Beskrivelse af behandlingen

Bilag III. Sikkerhedsforanstaltninger

• Oplysningerne ligger i Den Europæiske Union. Applikationen og dens sikkerhedskopier kører i Hetzner Online GmbH's datacenter i Helsinki i Finland (certificeret efter ISO/IEC 27001). Mails fra tjenesten sendes fra Scaleway SAS i Frankrig. Der sker ingen overførsel til et tredjeland.
• Alt, der sendes, er krypteret (HTTPS, med en Content Security Policy slået til). Adgangskoder gemmes aldrig, kun en hash af dem, og sessionstokens gemmes også som hash, så en kopi af databasen ikke er et sæt brugbare nøgler.
• Hver gruppe er en selvstændig konto. En pædagog ser kun børnene i sin egen gruppe. Lederen har ét login på tværs af sine egne grupper og ingen adgang til andres.
• Fotografier kan ikke uploades til en gruppekonto, push-beskeder er slået fra, og børnenes billeder er låst til et sæt tegninger.
• Daglige krypterede sikkerhedskopier, der gemmes 14 dage på serveren og 90 dage uden for den. De er krypteret med en offentlig nøgle, som serveren selv ikke har, så serveren kan ikke læse sine egne sikkerhedskopier. Gendannelse fra en sikkerhedskopi er afprøvet.
• Adgangen til serveren er begrænset til bestyrelsesmedlemmet i 4V3D OÜ. Der er ingen ansat, konsulent eller supportmedarbejder med adgang.
• Ingen analyse, ingen annonceværktøjer og ingen form for sporing. Den eneste faste rapportering er en daglig optælling af tilmeldinger, aktive konti og fejl, og den indeholder ingen navne.
• Begrænsning af antallet af forsøg ved login og tilmelding, og en grænse på 30 dage for, hvor langt tilbage en mission kan sættes flueben ved, så en fejl eller et misbrug ikke kan skrive måneders historik om.
• En skriftlig sikkerhedsgennemgang af hele kildekoden er kørt to gange af en udefrakommende model, senest den 20. september 2026, og dens fund er lukket.

Bilag IV. Underdatabehandlere

Begge ligger i Den Europæiske Union. Der er ingen underdatabehandler uden for EU, og ingen international overførsel at vurdere.