Databehandleraftale, når en konsulent får adgang til jeres BC

Når en konsulent logger ind i jeres Business Central, kan vedkommende se kunde-, leverandør- og medarbejderdata. Så er partneren normalt databehandler, og I er dataansvarlig. Det kræver en skriftlig aftale. Artiklen beskriver, hvad sådan en aftale normalt dækker, og hvad I bør spørge om. Den er ikke juridisk rådgivning. Lad jeres egen rådgiver eller databeskyttelsesansvarlige bekræfte, hvad der gælder hos jer.

Hvorfor aftalen findes

GDPR stiller krav om, at en virksomhed, der lader en anden behandle personoplysninger på sine vegne, har en aftale med den. Det gælder også, hvis en konsulent kun kan se data under fejlfinding. Aftalen beskriver, hvad databehandleren må, og hvad den skal sørge for.

Spørg, om partneren har en standardaftale, og om I selv har en skabelon. Mange virksomheder har en egen.

Det er også en god idé at afklare, hvem hos partneren der kan få adgang, og hvor mange. Jo færre personer, jo lettere er det at kontrollere. Spørg, om partneren kun giver adgang til dem, der har brug for det.

Hvad en aftale normalt indeholder

En databehandleraftale beskriver typisk følgende. Tjek, at hvert punkt er tydeligt, og at det passer til den adgang, konsulenten faktisk får.

Formål og varighed af behandlingen
Hvilke typer personoplysninger og hvilke grupper af personer det gælder
At databehandleren kun handler efter jeres instruks
Tavshedspligt for de medarbejdere, der får adgang
Sikkerhedsforanstaltninger, både tekniske og organisatoriske
Hjælp til at besvare indsigtsanmodninger og håndtere brud
Hvordan og hvornår data slettes eller returneres ved ophør
Jeres ret til at kontrollere, fx gennem revision eller dokumentation

Underdatabehandlere

Hvis partneren bruger andre leverandører, der også får adgang til data, kaldes de underdatabehandlere. Det kan være et supportsystem, en it-driftsleverandør eller et AI-værktøj. Aftalen bør indeholde en liste over dem og en måde, I får besked på, hvis listen ændres.

Spørg, om I kan gøre indsigelse mod en ny underdatabehandler, og hvad der sker, hvis I gør. Se også artiklen om AI-værktøjer i support.

Bed om en navngiven liste og om, hvilke oplysninger hver af dem får adgang til. Tjek, at partneren har indgået aftaler med dem, som stiller samme krav, som I stiller til partneren.

Overførsel uden for EU

Hvis data bliver behandlet af en part uden for EU og EØS, stiller reglerne særlige krav til grundlaget for overførslen. Spørg, om nogen af partnerens medarbejdere eller underleverandører sidder uden for EU, og om de kan se jeres data. Bed om, at det står i aftalen, hvilket overførselsgrundlag der bruges. Få jeres rådgiver til at vurdere det.

Spørg også, hvor jeres data fysisk ligger, når en konsulent arbejder med dem. Microsoft angiver, hvilken region et miljø ligger i, og det kan I se i administrationscenteret. Men en konsulents egen computer, et supportsystem eller et AI-værktøj kan ligge et andet sted. Det er det, aftalen skal beskrive.

Husk også adgangsforholdene i Business Central

Microsoft Learn skriver, at en delegeret administrator vises i jeres miljø som en bruger med et pseudonym og virksomhedens navn, og at handlinger kan følges i ændringsloggen. Det gør det lettere at dokumentere, hvem der har haft adgang. Spørg partneren, hvem der er bag hvert pseudonym.

Begræns adgangen til det nødvendige. Microsoft beskriver, at I pr. miljø kan slå partneradgang til og fra og begrænse den til bestemte partnere. Se artiklen om fjernsupport og adgang.

Næste skridt

Bed om partnerens aftale, læs den med jeres tjekliste, og lad jeres egen rådgiver bekræfte den. Hos Addverk finder I information om support på siden om ydelser og priser.