STANDARDVILKÅR OG DATABEHANDLERTILLÆG

Mellem parterne:

Penneo A/S
CVR nr. 35633766
Enghavevej 40, 4. sal
DK-1674 København V
(Herefter kaldet “Penneo”)

&

[Kundenavn]
Reg. no.
Adresse
Postnummer og by
Land
(Herefter kaldet “Kunden”).

Penneo og Kunden (hver for sig benævnt en “Part” og samlet som “Parterne”) har indgået disse Standardvilkår (herefter benævnt “Standardvilkår”) og Databehandlertillæg (herefter benævnt “Databehandlertillæg” eller “DPA”).

DEFINITIONER : 

Generelle definitioner

• “Aftalen” henviser til Standardvilkårene, Databehandlertillægget, Ordrebekræftelsen og eventuelle bilag relateret til disse dokumenter.
• “Platform(e)” henviser til den digitale serviceplatform, Penneo Sign og/eller Penneo KYC, leveret af Penneo til Kunden under Aftalen.
• “Ordrebekræftelse” er en integreret del af Aftalen og angiver detaljer om priser, produktegenskaber og yderligere tjenester, aftalt mellem Penneo og Kunden.
• “Forbrug” af hver platform bestemmes af Abonnementspakken og er specificeret i Ordrebekræftelsen og/eller den seneste faktura.

Penneo Sign 

• “Penneo Sign” henviser til Penneos underskriftsplatform, der muliggør oprettelse af sagsmapper og elektronisk underskrift af dokumenter.
• “Underskrift” henviser til en enkelt persons elektroniske underskrift anvendt på ét dokument.

Penneo KYC 

• “Penneo KYC” henviser til Penneos platform, som muliggør sikker indsamling og opbevaring af identifikationsdata og relaterede dokumenter, der støtter Kunden i at udføre kundekendskabsprocedurer og risikovurderinger.
• “Aktive klient(er)” henviser til klientforhold, der har været aktive pi Penneo KYC Platformen på ethvert tidspunkt i Abonnementsperioden.
• “Inaktive klient(er)” henviser til klientforhold, der har været arkiveret i Penneo KYC Platformen i hele Abonnementsperioden. Data, tilhørende de inaktive klient(er), vil ikke længere blive opdateret på Platformen.
• “Klient(er)” i Penneo KYC refererer til forretningsforhold mellem Kunden og dennes klient (enten juridisk eller fysisk person), oprettet i Penneo KYC Platformen. Dette inkluderer både Aktive klient(er) og Inaktive klient(er).

1. OMFANGET AF AFTALEN

1. 1.1. Omfang. Aftalen giver Kunden adgang til Penneos Platform(e) som beskrevet i Ordrebekræftelsen og i henhold til den valgte Abonnementspakke. Formålet med Aftalen er at fastsætte vilkårene for leveringen af Platformen(e) til Kunden.
2. 1.2. Platform(e). Platformen(e) leveres som en Software as a Service (SaaS), som Kunden kan tilgå via internettet. Kunden kan tilgå Platformen(e) ved hjælp af en webapplikation, desktopapplikation, Penneos API eller via partnerintegrationer, afhængigt af abonnementspakken. 
3. 1.3. Kundesupport. Kundesupport er inkluderet i Abonnementspakken og leveres primært på engelsk. Kundesupporten giver Kunden mulighed for at indsende standard supportanmodninger vedrørende brug og funktioner af Platformen(e) gennem et tilgængeligt ticketsystem. Yderligere support skal aftales skriftligt af begge parter og kan medføre ekstra fakturering fra Penneo.
4. 1.4. Afvigelser fra Aftalen. Eventuelle afvigelser eller ændringer af Aftalen skal angives i et bilag, som, når det er underskrevet af begge parter, bliver en integreret del af Aftalen.

2. VARIGHED OG OPSIGELSE

1. 2.1. Abonnementsperiode. Aftalen træder i kraft på datoen for underskrivelsen af Aftalen. Kunden forpligter sig til en abonnementsperiode på tolv (12) måneder (herefter benævnt “Abonnementsperiode”) fra datoen for underskrivelsen af Aftalen eller en anden dato, der er aftalt i Ordrebekræftelsen (herefter benævnt “Startdatoen”).
2. 2.2. Automatisk fornyelse. Medmindre opsagt i overensstemmelse med punkt 2.4., vil Aftalen automatisk blive fornyet for en yderligere tolv (12)-måneders periode, baseret på Kundens Forbrug på tidspunktet for fornyelsen.
3. 2.3. Ny ordrebekræftelse. Underskrivelsen af en ny Ordrebekræftelse eller enhver aftale, der væsentligt ændrer Aftalen, vil resultere i en justering af Startdatoen og Abonnementsperioden tilsvarende, medmindre andet er specificeret i Ordrebekræftelsen.
4. 2.4. Opsigelse. Kunden kan opsige Aftalen ved at give Penneo mindst tre (3) måneders varsel til udgangen af den aktuelle Abonnementsperiode ved at bruge formularen på Penneos hjemmeside, tilgængelig på https://penneo.com/contact/#manage-subscription. Opsigelsen træder i kraft ved udløbet af opsigelsesperioden (herefter benævnt “Udløbet af Aftalen”).
5. 2.5. Udløbet af Aftalen. Kundens ret til at tilgå og bruge Platformen(e) ophører ved Udløbet af Aftalen. Penneo vil slette Kundens konto og data, der er forbundet med denne, halvfems (90) dage fra Udløbet af Aftalen.

3. PRISER, FORBRUG OG BETALINGSVILKÅR

1. 3.1. Priser. Priserne for hver Abonnementsperiode faktureres årligt baseret på Kundens Forbrug, som aftalt i Ordrebekræftelsen eller i overensstemmelse med punkt 3.2. Eventuelle rabatter i Ordrebekræftelsen gælder kun for det første år af Abonnementsperioden, medmindre andet er udtrykkeligt angivet i Ordrebekræftelsen.
2. 3.2. Justering af forbrug i abonnementsperioden. Kunden kan ikke nedgradere Forbruget i en aktiv Abonnementsperiode. Forbrug kan altid øges i løbet af en Abonnementsperiode ved at underrette Penneo, og dette vil blive faktureret for den resterende Abonnementsperiode. Eventuelt Forbrug udover det aftalte Forbrug uden forudgående underretning vil blive faktureret ved udgangen af Abonnementsperioden.
3. 3.3. Justering af forbrug ved fornyelse. Kunden kan anmode om en reduktion af Forbruget for den næste Abonnementsperiode ved at give mindst tre (3) måneders varsel inden fornyelsesdatoen via https://penneo.com/contact/#manage-subscription. Hvis reduktionen er mindre end 10% af det aktuelle Forbrug, kan anmodningen undtagelsesvist indsendes op til en (1) måned før fornyelsesdatoen. Penneo vil underrette Kunden om overforbrug i god tid inden fornyelsen af Abonnementsperioden. Hvis Kunden ikke reagerer inden for en (1) måned efter meddelelsen, vil Forbruget automatisk blive opgraderet til den næste Abonnementsperiode.
4. 3.4. Betalingsbetingelser og fakturering. Alle betalinger forfalder inden for fjorten (14) dage fra fakturadatoen til den bankkonto, der er angivet på fakturaen, og skal modtages uden gebyrer eller omkostninger for Penneo. Alle betalinger foretaget af Kunden i henhold til Aftalen er ikke-refunderbare. Kunden accepterer at modtage fakturaer via e-mail eller gennem elektronisk fakturering ved brug af et EAN-nummer eller tilsvarende nationalt elektronisk faktureringsnummer specificeret af Kunden. Hvis Kunden bruger et kreditkort eller en lignende online betalingsmetode til den første betaling, kan Penneo opkræve betaling via denne metode ved fornyelse af Abonnementsperioden, herunder for ubetalte gebyrer eller overforbrug.
5. 3.5. Skatter og krav. De priser, der er angivet i Ordrebekræftelsen, inkluderer alle gældende skatter, eksklusive moms, som vil blive beregnet og tilføjet på faktureringstidspunktet. Kunden kan ikke foretage modregning i vederlaget for ydelsen hidrørende fra angivne krav fra andre retsforhold. 
6. 3.6. Forsinket betaling. I tilfælde af forsinket betaling forbeholder Penneo sig retten til:
   1. 3.6.1. At pålægge renter på 1,5% pr. måned af det udestående beløb eller det maksimale tilladte i henhold til lovgivningen, alt efter hvad der er lavest, for hver måned, indtil fuld betaling er modtaget af Penneo.
   2. 3.6.2. At deaktivere Kundens adgang til Platformen(e), hvis betalingen forbliver ubetalt i tyve (20) dage efter Penneos meddelelse til Kunden. Kundens adgang til Platformen(e) vil kun blive genoprettet, når Penneo har modtaget den fulde betaling.
7. 3.7. Prisjusteringer.
   1.  3.7.1. Penneo justerer priser baseret på et relevant nationalt prisindeks. Positive indeksjusteringer (over 0%) beregnes som forskellen mellem indekset fra oktober til oktober hvert år og vil automatisk træde i kraft ved fornyelse det følgende år uden yderligere varsel.
   2. 3.7.2. Penneo vil underrette Kunden mindst fire (4) måneder før fornyelsesdatoen om eventuelle andre prisstigninger for den næste Abonnementsperiode.
   3. 3.7.3. I særlige tilfælde, hvor Penneos leverandør(er), der er nødvendige for levering af Platformen(e), hæver priserne, forbeholder Penneo sig retten til at justere prisen tilsvarende og dokumentation. Penneo vil underrette Kunden med tre (3) måneders skriftligt varsel.tice. 

4. MARKEDSFØRING OG KOMMUNIKATION MELLEM PARTERNE

1. 4.1. Reference. Penneo er berettiget til at bruge Kundens navn, logo og andre identifikationsoplysninger som reference på sin hjemmeside og i markedsføringsmaterialer, medmindre Kunden udtrykkeligt og skriftligt har gjort indsigelse mod dette.
2. 4.2. Servicemeddelelser. Kunden vil modtage meddelelser, der er relevante for brugen af Platformen(e) via e-mail sendt til Kundens brugere med administrative rettigheder eller direkte på Platformen(e). Kunden er ansvarlig for at opretholde en opdateret liste over brugere med administrative rettigheder. En meddelelse anses for modtaget, når den når modtagerens e-mailsystem. Hvis adgangen forhindres på grund af problemer i modtagerens e-mailsystem, påtager modtageren sig de tilknyttede risici.
3. 4.3. Kommunikation. Alle meddelelser, kommunikation og oplysninger relateret til Aftalen skal leveres via e-mail eller andre elektroniske midler.

5. SIKKERHEDSFORANSTALTNINGER OG OPPETID

1. 5.1. Sikkerhedsforanstaltninger. Penneo skal implementere og opretholde passende sikkerhedsforanstaltninger for at sikre sikker og pålidelig levering af de tjenester, der er specificeret i Aftalen. Penneos sikkerhedsforanstaltninger skal indgå som en del af Penneos informationssikkerheds- og privatlivsstyringssystem, som inkluderer formelle politikker, klart definerede roller og ansvar samt tekniske, organisatoriske og fysiske kontroller. Penneo skal engagere en uafhængig revisor til at revidere Penneos informationssikkerheds- og privatlivsstyringssystem. Bilag C i DPA’en indeholder yderligere oplysninger om implementerede sikkerhedsforanstaltninger.
2. 5.2. Oppetidsforpligtelse. Penneo forpligter sig til at opretholde en oppetid på mindst 99,9% på månedlig basis. Penneo opretholder en offentligt tilgængelig hjemmeside, hvor Kunden kan overvåge Penneos oppetid tilgængelig på https://status.penneo.com/.
3. 5.3. Vedligeholdelse. Planlagt vedligeholdelse, der er nødvendig for driftsmæssige formål, skal meddeles til Kunden og er undtaget fra nedetid i overensstemmelse med punkt 5.2. Penneo skal bestræbe sig på at planlægge sådan vedligeholdelse uden for kontortid, som defineres som kl. 17.00 til 06:00 CET/CEST.

6. BEHANDLING AF PERSONOPLYSNINGER

1. 6.1. Databehandlertillæg. Penneo og Kunden har indgået et Databehandlertillæg, som en integreret del af Aftalen, for behandling af personoplysninger.

7. BRUGSRET OG IMMATERIELLE RETTIGHEDER

1. 7.1. Brugsret. Kundens ret til at bruge Platformen(e) er ikke-eksklusiv, ikke-overdragelig og betinget af betaling og overholdelse af Aftalen.
2. 7.2. Begrænsninger. Kunden må ikke deltage i vildledende, uetiske, svigagtige eller ulovlige aktiviteter i forbindelse med Platformen/Platformene eller bruge Platformen/Platformene til at opbevare eller overføre materiale, der indeholder ulovligt eller uetisk indhold.
3. 7.3. Immaterielle rettigheder. Penneo bevarer alle immaterielle rettigheder til Platformen(e). Kunden skal respektere alle immaterielle rettigheder forbundet med Platformen(e) og er ansvarlig for enhver krænkelse af disse rettigheder foretaget af sine medarbejdere eller tredjeparter.
4. 7.4. Produktfeedback. Hvis Kunden giver feedback, forslag eller kommentarer vedrørende Penneos Platform(e) og tjenester, giver Kunden hermed Penneo en evig, uigenkaldelig, overdragelig, royaltyfri, global licens til at udnytte og integrere feedbacken i Platformen(e).o the Platform(s). 

8. FORTROLIGHED

1. 8.1. Definition. Fortrolige oplysninger betyder enhver oplysning, der videregives af en part (“Oplysningsgiveren”) til den anden part (“Modtageren”) under eller i forbindelse med Aftalen og leveringen af Platformen(e), som med rimelighed bør betragtes som fortrolige på grund af deres natur og omstændighederne ved videregivelsen (herefter benævnt “Fortrolige Oplysninger”).
2. 8.2. Fortrolighedspligt. Modtageren må kun bruge Fortrolige Oplysninger i overensstemmelse med Aftalen og må ikke videregive sådanne oplysninger til tredjeparter, både under og efter Aftalens løbetid, medmindre det er skriftligt godkendt af Oplysningsgiveren.
3. 8.3. Undtagelser. Fortrolighedspligten gælder ikke for oplysninger, der (a) allerede var kendt af Modtageren før Aftalen, (b) bliver offentligt tilgængelige uden Modtagerens skyld, (c) modtages fra en tredjepart uden brud på fortrolighedsforpligtelser, eller (d) kræves offentliggjort ved lov, retskendelse eller ordre fra en offentlig myndighed.

9. VÆSENTLIG MISLIGHOLDELSE AF AFTALEN

1. 9.1. Meddelelse om misligholdelse. Hvis en af parterne væsentligt overtræder vilkårene i Aftalen, skal den ikke-overtrædende part uden unødig forsinkelse give den overtrædende part besked via e-mail. Hvis den overtrædende part ikke har udbedret den væsentlige misligholdelse inden ti (10) arbejdsdage fra meddelelsen, kan den ikke-overtrædende part straks opsige Aftalen.
2. 9.2. Konsekvenser. I tilfælde af Kundens væsentlige misligholdelse er Penneo berettiget til at beholde den fulde betaling for Abonnementsperioden, hvor misligholdelsen skete, uanset hvornår Aftalen opsiges. I tilfælde af Penneos væsentlige misligholdelse kan Kunden anmode om refusion for betalinger foretaget fra datoen for meddelelsen til Penneo, i overensstemmelse med punkt 9.1.

10. ANSVAR

1. 10.1. Ansvar. Hver part er ansvarlig for skader forårsaget mod den anden part, medmindre begrænset nedenfor. Disse begrænsninger gælder ikke i tilfælde af grov uagtsomhed eller forsætlig misligholdelse af den skadevoldende  part.
2. 10.2. Indirekte og afledte tab. Penneo fraskriver sig ansvar for indirekte eller afledte tab, herunder, men ikke begrænset til, driftsmæssige tab, tabt fortjeneste og Kundens goodwill.
3. 10.3. Ensidige ændringer. Penneo fraskriver sig ansvar for skader, der skyldes ensidige ændringer foretaget af Kunden eller tredjeparter til Platformen(e), såsom tilføjelser, integrationer eller fjernelse af indstillinger, uden forudgående godkendelse fra Penneo.
4. 10.4. Ansvarsbegrænsning. Bortset fra produktansvar dækket af punkt 10.5, vil Penneos ansvar som følge af Aftalen være begrænset til det laveste af følgende beløb:
   • EUR 3.500 (eller tilsvarende beløb beregnet i henhold til valutakursen på tidspunktet for skaden) pr. totalt tab pr. abonnementsperiode.
   • Det beløb, som Kunden har betalt til Penneo for den Abonnementsperiode, hvor skaden opstod. 

5. 10.5. Produktansvar. Penneo opretholder en sædvanlig og tilstrækkelig produktansvarsforsikring på mindst 15.000.000 DKK. Eventuelle krav om produktansvar i henhold til Aftalen er begrænset til forsikringsdækningens beløb.
6. 10.6. Erstatning for immaterielle rettigheder. Parterne er enige om at opfylde deres forpligtelser i henhold til Aftalen uden at krænke tredjeparts immaterielle rettigheder. Hvis en part undlader dette, skal den: (a) forsvare den anden part mod tredjepartskrav om krænkelse af immaterielle rettigheder som følge af brugen af Platformen(e) eller ydelser i henhold til Aftalen; og (b) skadesløsholde og erstatte den anden part for eventuelle resulterende skader, bøder eller omkostninger, forudsat at kravet skyldes dens handlinger, undladelser eller ansvar.s. 

11. FORCE MAJEURE

1. 11.1. Force majeure. Hvis Penneo ikke er i stand til at opfylde sine forpligtelser i henhold til Aftalen på grund af force majeure, vil Penneo straks underrette Kunden. Force majeure refererer til omstændigheder uden for Penneos kontrol, som ikke kan afhjælpes gennem rimelige økonomiske eller praktiske foranstaltninger, herunder, men ikke begrænset til, krig, mobilisering, terrorangreb, svigt eller nedbrud i offentlige elforsyninger, strejker, pandemier, brande eller oversvømmelser.
2. 11.2. Konsekvenser af force majeure. Ingen af parterne er ansvarlige for skader som følge af force majeure. Hvis Platformen(e) forbliver utilgængelige på grund af force majeure i mere end tredive (30) på hinanden følgende dage, kan begge parter opsige Aftalen skriftligt uden krav mod den anden part.

12. TVISTER

1. 12.1. Gældende lov. Aftalen, og enhver tvist der opstår som følge af Aftalen, skal være underlagt dansk ret.
2. 12.2. Værneting. I tilfælde af en tvist, der opstår som følge af Aftalen, skal parterne først forsøge at løse sagen mindeligt. Hvis en mindelig løsning ikke kan opnås, kan tvisten indbringes for Københavns Byret, som første instans.

13. ØVRIGE BESTEMMELSER

11. 13.1. Opdateringer. Kunden vil blive underrettet via e-mail om ændringer til Standardvilkår og Databehandlertillæg mindst tre (3) måneder før ændringerne træder i kraft.
12. 13.2. Gyldighed. Hvis nogen bestemmelse i Aftalen findes ulovlig, ugyldig eller uden retskraft, skal den håndhæves i det omfang, loven tillader det, for at afspejle parternes oprindelige hensigt. Ugyldigheden af en bestemmelse påvirker ikke gyldigheden eller håndhævelsen af de øvrige bestemmelser.
13. 13.3. Bestemmelsers overlevelse. Enhver bestemmelse i Aftalen, der er beregnet til at overleve efter Aftalens ophør, helt eller delvist, skal forblive gyldig, bindende og håndhæves over for parterne efter Aftalens ophør.

DATABEHANDLERTILLÆG (DPA)

MELLEM

Penneo A/S (Databehandler)

OG

Kunden (Dataansvarlig)

Kunden og Penneo har indgået en aftale om Penneos standardvilkår for levering af digitale Platform(e). Dette Databehandlertillæg (herefter benævnt “Databehandlertillæg” eller “DPA”) er en integreret del af Aftalen og fastlægger vilkårene for behandling af personoplysninger og indeholder følgende bilag:

• Bilag A indeholder detaljer om behandlingen af personoplysninger, herunder formålet og karakteren af behandlingen, typen af personoplysninger og kategorierne af registrerede. 
• Bilag B indeholder Kundens betingelser for Penneos brug af Underdatabehandlere samt en liste over Underdatabehandlere, der er godkendt af Kunden.
• Bilag C indeholder Kundens instrukser vedrørende behandlingen af personoplysninger, de minimumssikkerhedsforanstaltninger, der skal implementeres af Penneo, samt hvordan revisioner af Penneo og eventuelle Underdatabehandlere skal udføres.

1. OMFANG, VARIGHED OG PARTER
   1. Behandlingsinstrukser. Penneo vil behandle Kundens data, herunder personoplysninger, som Databehandler på vegne af Kunden med det formål at levere Platformen(e). Data vil kun blive behandlet i overensstemmelse med Kundens instrukser som Dataansvarlig.
   2. Sletning. Penneo vil behandle Kundens data, herunder personoplysninger, i varigheden af Aftalen mellem Penneo og Kunden. Penneo vil slette alle Kundens data, herunder personoplysninger, halvfems (90) dage efter ophørsdatoen. Ingen behandling eller konvertering af data foretages af Penneo efter ophør.
   3. Kontakt. Kunden kan rette spørgsmål vedrørende dette DPA til Penneos DPO på compliance@penneo.com. 
2. FORTROLIGHED
   1. Fortrolighed. Penneo skal behandle Kundens data, der behandles i henhold til Aftalen mellem Kunden og Penneo, som fortrolige oplysninger. Penneo skal sikre, at alle medarbejdere er bundet af en fortrolighedsaftale, der er gældende ud over ansættelsens ophør.
3. GRUNDLAG FOR BEHANDLING
   1. Grundlag for behandling. Hver part skal sikre, at behandlingen af data, som de handler som Dataansvarlig for, har et lovligt grundlag og er i overensstemmelse med Databeskyttelsesforordningen (herefter benævnt “GDPR”) samt den relevante nationale databeskyttelseslovgivning.
4. SIKKER BEHANDLING
   1. Sikkerhedsforanstaltninger. Penneo har implementeret sikkerhedsforanstaltninger, der tilstrækkeligt beskytter integriteten og fortroligheden af Kundens data. Penneo skal også sikre tilgængeligheden af data i Platformen(e).
   2. Sikkerhedshændelse. Penneo skal uden unødig forsinkelse og, hvor det er muligt, senest seksogtredive (36) timer efter at være blevet opmærksom på en sikkerhedshændelse, underrette Kunden. En sikkerhedshændelse er ethvert brud på sikkerheden, der fører til utilsigtet eller ulovlig ødelæggelse, tab, ændring, uautoriseret offentliggørelse af eller adgang til Kundens data, der behandles af Penneo og/eller dets Underdatabehandlere.
   3. Rapportering. Penneo skal bistå Kunden med at opfylde Kundens rapporteringsforpligtelse til den relevante databeskyttelsesmyndighed inden for tooghalvfjerds (72) timer.
5. UNDERDATABEHANDLING
   1. Generel godkendelse. Penneo har Kundens udtrykkelige og generelle godkendelse til at engagere Underdatabehandlere. Penneo skal have en skriftlig aftale med hver Underdatabehandler, der sikrer, at Underdatabehandleren er i overensstemmelse med bestemmelserne i EU-lovgivningen og de bestemmelser, der er beskrevet i dette DPA. Penneo forbliver ansvarlig over for Kunden, hvis en Underdatabehandler ikke opfylder sine databeskyttelsesforpligtelser for behandlingsaktiviteterne under Aftalen.
   2. Liste over underdatabehandlere. Penneo vedligeholder en opdateret liste over sine Underdatabehandlere, som er offentligt tilgængelig på https://penneo.com/subprocessors/.
   3. Varsel om nye underdatabehandlere. Penneo vil skriftligt informere Kunden om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af Underdatabehandlere mindst tredive (30) dage i forvejen.
   4. Indsigelse mod nye underdatabehandlere. I løbet af tredive (30) dages varslingsperiode kan Kunden skriftligt gøre indsigelse mod introduktionen af en ny Underdatabehandler, hvilket fører til opsigelse af Aftalen i overensstemmelse med punkt 2.4 i Standardvilkårene.
   5. Tredjelande. Enhver overførsel af personoplysninger til tredjelande må kun foretages af Penneo på baggrund af dokumenterede instrukser fra Kunden og skal altid ske i overensstemmelse med kapitel V i GDPR.
6. BISTANDS- OG SAMARBEJDSFORPLIGTELSER
   1. Rettigheder for registrerede. Penneo vil bistå Kunden, så vidt muligt, med at opfylde sine forpligtelser til at imødekomme anmodninger fra registrerede om deres rettigheder.
   2. Samarbejdsforpligtelser. Efter Kundens rimelige anmodning vil Penneo yde rimelig bistand til Kunden i forbindelse med opfyldelsen af Kundens forpligtelser i henhold til GDPR, forudsat at Kunden ikke med rimelighed kan opfylde sådanne forpligtelser uafhængigt med hjælp fra den dokumentation, der allerede er stillet til rådighed af Penneo.
7. SLETNING OG RETURNERING AF DATA
   1. I abonnementsperioden. Kunden kan tilgå, rette, hente og slette data via de tilgængelige funktioner i Platformen(e) i Abonnementsperioden.
   2. Ved ophør af Aftalen. Penneo vil slette alle Kundens data, som Penneo opbevarer i rollen som Databehandler, herunder personoplysninger, halvfems (90) dage efter Aftalens ophør. 
8. REVISION
   1. Revisionsrapporter. Penneo gennemgår regelmæssigt revisioner udført af uafhængige tredjepartsrevisorer. Efter anmodning vil Penneo stille relevant dokumentation til rådighed for Kunden for at verificere Penneos overholdelse af bedste praksis inden for informationssikkerhed og privatlivsforanstaltninger. Penneo vil give yderligere oplysninger på rimelige anmodninger, enten skriftligt eller mundtligt.
   2. Revision på stedet. Hvis revisionsrapporterne ikke med rimelighed opfylder Kundens krav til overholdelse, kan Kunden anmode om, at en uafhængig tredjepart udfører en revision. Den yderligere revision vil blive udført for Kundens regning, og revisoren skal godkendes af både Kunden og Penneo. Revisionen skal finde sted inden for normale arbejdstider og må ikke forstyrre Penneos daglige drift. Kunden skal give Penneo skriftligt varsel mindst halvfems (90) dage før revisionen.

BILAG A – OPLYSNINGER OM BEHANDLING

A.1. Penneo Sign 

1. Formål og karakter af behandlingen: At levere Penneo Sign Platformen til Kunden i overensstemmelse med Aftalen.  Penneo hverken sælger, handler eller udnytter på den vis Kundens data til økonomisk gevinst.
2. Kategorier af registrerede:
   1. Kundens brugere af Platformen.
   2. Modtagere af forsendelser.
3. Kategorier af behandlede data:
   1. Kræver behandling af personoplysninger som defineret i artikel 4(1) i GDPR.
   2. Kræver ikke behandling af personoplysninger som defineret i artikel 9(1) og 10 i GDPR. Kunden kan bruge Penneo Sign til at behandle sådanne data.
4. Typer af behandlede data:
   1. Obligatoriske data: Fulde navn, e-mailadresse, IP-adresse.
   2. Valgfri data (som defineret af Kundens bruger): Jobtitel, telefonnummer, elektroniske ID-oplysninger, nationalt identifikationsnummer.

A.2. Penneo KYC

1. Formål og karakter af behandlingen: At levere Penneo KYC Platformen til Kunden i overensstemmelse med Aftalen. Penneo hverken sælger, handler eller udnytter på den vis Kundens data til økonomisk gevinst.
2. Kategorier af registrerede:
   1. Kundens brugere af Platformen.
   2. Kundens klienters (både aktive og inaktive) kontaktpersoner, repræsentanter, reelle ejere eller andre fysiske personer, der handler på vegne af klienten.
3. Kategorier af behandlede data:
   1. Kundens brugere af Platformen.
   2. Kræver ikke behandling af personoplysninger som defineret i artikel 9(1) og 10 i GDPR. Kunden kan bruge Penneo KYC til at behandle sådanne data.
4. Typer af behandlede data:
   1. Kundens brugere: Fulde navn, jobtitel, e-mailadresse, telefonnummer, brugerprofilbillede.
   2. Kundens klienters deltagere (afhængigt af Kundens præferencer i Platformen): Kontaktinformation (f.eks. e-mailadresse og telefonnummer), Jobtitel, Identifikationsdata (f.eks. fulde navn, fødselsdato og -sted, nationalitet, bopælsadresse), Identifikationsdokumenter (f.eks. kopier af nationalt ID, pas, kørekort og lignende), Elektroniske ID-oplysninger. PEP-status og familiemæssige relationer.

BILAG B – UNDERDATABEHANDLERE

1. B.1. Ved indgåelse af Aftalen med Penneo godkender Kunden brugen af de Underdatabehandlere, der er anført på: https://penneo.com/subprocessors/.
2. B.2. Nye Underdatabehandlere kan kun tilføjes i overensstemmelse med punkt E i Databehandlertillægget.

BILAG C – SIKKERHED VED BEHANDLING

Penneo driver et privatlivs- og informationssikkerhedssystem for at sikre fortrolighed og integritet af de behandlede data samt sikre tilgængeligheden og robustheden af Platformen(e). Penneo fastlægger de tekniske og organisatoriske sikkerhedsforanstaltninger, der kræves for at etablere det nødvendige niveau af informationssikkerhed. Under alle omstændigheder og som minimum sikrer Penneo, at følgende sikkerhedsforanstaltninger er implementeret:

C.1. Styring og risikostyring

Penneos informationssikkerheds- og privatlivspolitik er godkendt af ledelsen og revideres mindst én gang om året. Penneo har desuden etableret en risikostyringsprocedure til at identificere, vurdere og håndtere relevante risici. Både interne og eksterne trusler og sårbarheder vurderes i forhold til de data, der behandles og opbevares i Penneos Platform(e) på vegne af kunder. Penneo har interne kommunikations- og rapporteringskanaler for at sikre, at topledelsen og bestyrelsen kan træffe informerede beslutninger.

C.2. Ekstern revision

Penneo engagerer en ekstern revisor til regelmæssigt at udføre revisioner af Penneos informationssikkerheds- og privatlivsstyringssystem i overensstemmelse med bedste praksis og standarderne ISO 27001 og ISO 27701.

C.3. Adgangsrettigheder og fortrolighed

Penneo har implementeret en formel politik for adgangsstyring, der sikrer, at adgangsrettigheder til Platformen(e) såvel som interne systemer følger principperne om “least privilege” og “need-to-know”. Penneo har integreret adgangsstyring i organisationens ansættelses-, stillingsændrings- og fratrædelsesprocesser og anvender to-faktor-godkendelse samt single sign-on for yderligere at beskytte adgangen til organisationens systemer.

Adgang til Penneos produktionsmiljøer i Platformen(e) er yderligere begrænset gennem tekniske foranstaltninger som to-faktor-godkendelse, VPN, rollebaseret adgang og unikke brugerprofiler. Adgangsrettigheder revideres mindst én gang om året. Penneos bærbare computere er beskyttet med adgangskoder, skærmlås-politik og aktiveret harddiskkryptering.

C.4. Awareness og træning

Alle nye medarbejdere hos Penneo skal gennemføre træning i compliance, der omfatter informationssikkerhed og privatlivspraksis og -principper. Derudover skal alle medarbejdere gennemføre en årlig awarenesstræning. Penneo tilbyder også rolle-specifik træning til medarbejdere med fokus på områder som bedste praksis inden for ingeniørarbejde, informationssikkerhed og privatliv.

C.5. Sikker udvikling og drift

Penneo har implementeret en formel politik for Software Development Life Cycle for at sikre sikker udvikling. Dette inkluderer definerede foranstaltninger såsom tvungen peer-review af kodeændringer i produktionen. Logisk adskilte miljøer og mikrosegmentering sikrer, at udvikling og test udføres i ikke-produktionsmiljøer. Dette sikrer også, at komponenter og data behandlet i produktionen er beskyttet. Kundens data, der behandles i Platformen(e), opbevares i datacentre i EU.

C.6. Forretningskontinuitet og katastrofegendannelse

Penneo tager daglige sikkerhedskopier af lagring og databaser som en del af forretningskontinuitetsplanlægningen. Penneo har en katastrofegendannelsesplan, der testes mindst én gang om året for at sikre, at Penneo er klar til at gendanne Platformen(e) og Kundens data i tilfælde af en katastrofesituation. Efter-test analyser udføres for at sikre løbende forbedring af forretningskontinuitets- og katastrofegendannelsesplanen.

C.7. Kryptografi

Kundens data, der behandles i Platformen(e), krypteres under transmission ved hjælp af TLS 1.2 eller højere og under opbevaring. Penneo sikrer, at medarbejdernes bærbare computere har aktiveret harddiskkryptering.

C.8. Leverandørstyring

Penneo har en leverandørstyringspolitik for at sikre, at der kun anvendes pålidelige og troværdige leverandører til at støtte Penneos organisation og Platform(e). Penneo gennemfører en informationssikkerheds- og privatlivsgennemgang af alle leverandører. Penneo overvåger også overholdelsen af Underdatabehandlere, der er autoriseret til at behandle Kundens data i Platformen(e). Mindst én gang om året vil Penneo anmode om og gennemgå relevant compliance-dokumentation fra Underdatabehandlerne.

C.9. Sårbarhedshåndtering

Penneo overvåger sårbarheder på teknisk, juridisk og compliance-niveau. Penneos juridiske og compliance-team vurderer løbende privatlivs- og informationssikkerhedslandskabet for at sikre løbende organisatorisk compliance, herunder overholdelse af regler som GDPR. Penneos produkt- og ingeniørteam overvåger landskabet for tekniske sårbarheder for at sikre, at relevante sårbarheder håndteres rettidigt og på passende måde. Penneo engagerer også eksterne penetrationstestere mindst én gang om året for at teste sårbarheder i Platformen(e).

Standardvilkår og databehandlertillæg, Vers. 6.0.1. – Opdateret: 6. januar 2025