GDPR-overholdelse

Tidoro er databehandler for dine forretningsdata (kundeoplysninger, fakturaer, økonomiske data) og dataansvarlig for data om brugerkonti (loginoplysninger, profiloplysninger). Fordelingen er beskrevet i vores databehandleraftale (DPA), som fastlægger behandlingens omfang, formål og varighed.

Vi behandler kun personoplysninger, når vi har et gyldigt retsgrundlag efter GDPR artikel 6:

• Opfyldelse af en kontrakt (art. 6, stk. 1, litra b) Behandling, der er nødvendig for at levere de tjenester, du abonnerer på, herunder hosting af hjemmesiden, drift af forretningsværktøjerne og administration af kontoen.
• Samtykke (art. 6, stk. 1, litra a) Til valgfrie funktioner som markedsføringsmails, statistik og AI-baserede forslag. Du kan til enhver tid trække dit samtykke tilbage.
• Legitim interesse (art. 6, stk. 1, litra f) Til platformens sikkerhed, forebyggelse af svindel og forbedring af vores tjenester. Vi foretager en interesseafvejning for at sikre, at vores interesser ikke går forud for dine rettigheder.
• Retlig forpligtelse (art. 6, stk. 1, litra c) Til skatteindberetning, opbevaringskrav efter bogføringsloven og overholdelse af dansk lovgivning og EU-regler.

Efter GDPR artikel 15-22 har du følgende rettigheder, som vi fuldt ud understøtter:

• Ret til indsigt (art. 15) Bed om en kopi af alle de personoplysninger, vi har om dig.
• Ret til berigtigelse (art. 16) Få rettet forkerte personoplysninger eller fuldstændiggjort mangelfulde oplysninger.
• Ret til sletning (art. 17) Bed om at få dine personoplysninger slettet, med forbehold for lovpligtig opbevaring.
• Ret til dataportabilitet (art. 20) Få dine data udleveret i et struktureret, almindeligt anvendt og maskinlæsbart format.
• Ret til begrænsning (art. 18) Begræns behandlingen af dine data i bestemte situationer.
• Ret til indsigelse (art. 21) Gør indsigelse mod behandling, der bygger på en legitim interesse, eller som sker med henblik på direkte markedsføring.

Vi implementerer omfattende sikkerhedsforanstaltninger jf. GDPR artikel 32. Det omfatter TLS-kryptering (1.2/1.3) af al ekstern trafik, AES-256-kryptering i hvile af filer og medier samt af særligt følsomme databasefelter, rollebaseret adgangskontrol, multi-tenant dataisolering samt automatiseret ugentlig afhængighedsscanning med en CVE-gate for høj alvorlighed i CI.

Ved brud på persondatasikkerheden følger vi reglerne om anmeldelse og underretning i GDPR artikel 33 og 34. Vi anmelder bruddet til den kompetente tilsynsmyndighed (i Danmark Datatilsynet) senest 72 timer efter, at vi er blevet opmærksomme på det, og underretter de berørte registrerede uden unødig forsinkelse, hvis bruddet sandsynligvis indebærer en høj risiko for deres rettigheder og frihedsrettigheder.

Vi tilbyder en fuldstændig databehandleraftale (DPA) i overensstemmelse med GDPR artikel 28. Aftalen dækker behandlingens genstand og varighed, behandlingens karakter og formål, typerne af personoplysninger, kategorierne af registrerede og dine rettigheder som dataansvarlig. Skriv til [email protected] for at få vores databehandleraftale.