Databehandleraftale

Version 1.0 · gældende fra 16. oktober 2026 · efter databeskyttelsesforordningen (GDPR) artikel 28

1. Parter

Dataansvarlig: Den coach, der har oprettet en konto i Styrkr og accepteret denne aftale ("coachen").
Databehandler: NordlundDigital v/ Alexander Nordlund, 8620 Kjellerup, CVR-nr. 46851102 ("NordlundDigital").

Aftalen indgås elektronisk, når coachen accepterer den ved oprettelse eller login. Datoen for accept gemmes.

2. Formål og instruks

NordlundDigital behandler kun personoplysninger for at levere Styrkr til coachen og efter coachens dokumenterede instruks. Instruksen er denne aftale og de valg, coachen og klienterne træffer i appen. NordlundDigital underretter straks coachen, hvis en instruks efter NordlundDigitals vurdering er i strid med databeskyttelsesreglerne.

3. Behandlingens indhold

Art: Opbevaring, visning, ændring og sletning af oplysninger i appen, afsendelse af mails og push-beskeder, sikkerhedskopiering og fejlretning.

Registrerede: Coachens klienter, personer der sender en ansøgning via coachens ansøgningslink, samt coachen selv.

Almindelige oplysninger: Navn, e-mail, telefonnummer, mål, beskeder, filer, træningsprogrammer og -log, kostplaner, supplementsskemaer og svar i check-ins.

Følsomme oplysninger (artikel 9): Helbredsoplysninger i sundhedsloggen (blodprøver, blodtryk, symptomer og hvad klienten tager), samt vægt, kropsbilleder og svar i check-ins, som kan være helbredsoplysninger.

Varighed: Så længe coachen har en konto, og derefter indtil oplysningerne er slettet efter punkt 11.

4. Fortrolighed

Kun personer, der har brug for det til drift og fejlretning, har adgang til oplysningerne, og de har tavshedspligt. NordlundDigital ser ikke i klienternes oplysninger, medmindre det er nødvendigt for at rette en fejl eller coachen beder om det.

5. Sikkerhed (artikel 32)

• Al trafik er krypteret med HTTPS.
• Sundhedsloggen krypteres i databasen med AES-256-GCM.
• Adgangskoder gemmes kun som hash (bcrypt/argon). Login beskyttes mod gætteforsøg.
• Adgangskontrol sikrer, at en klients oplysninger kun kan ses af klienten selv og klientens coach. Klienten bestemmer selv, om coachen må se sundhedsloggen.
• Database og filer ligger uden for den offentlige del af webserveren.
• Formularer er beskyttet mod CSRF, og sider må ikke indekseres af søgemaskiner.
• Webhotellet tager løbende sikkerhedskopier.

6. Underdatabehandlere

Coachen giver generel godkendelse til, at NordlundDigital bruger disse underdatabehandlere:

• Simply.com A/S, Danmark – webhotel, database, sikkerhedskopier og afsendelse af mail. Oplysningerne opbevares i EU.
• Push-tjenester (Google Firebase Cloud Messaging, Apple Push Notification service, Mozilla Push Service, Microsoft Windows Push Notification Services) – kun hvis en bruger selv slår notifikationer til. Tjenesterne modtager en tom besked og en teknisk enhedsadresse. Beskedens tekst hentes direkte fra vores server og passerer ikke push-tjenesten.
• Stripe Payments Europe Ltd., Irland – kun betaling af coachens abonnement. Stripe modtager ingen oplysninger om klienter.

NordlundDigital varsler coachen mindst 30 dage før en ny underdatabehandler tages i brug, så coachen kan gøre indsigelse eller opsige. NordlundDigital pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og hæfter for dem.

7. Overførsel til tredjelande

Oplysningerne opbevares i EU. Push-tjenesterne kan være placeret uden for EU, men modtager ikke beskedernes indhold. Sådanne overførsler sker på grundlag af EU-Kommissionens standardkontraktbestemmelser eller EU-US Data Privacy Framework.

8. Bistand ved de registreredes rettigheder

Coachen kan selv rette og slette klienter og alle deres oplysninger i appen. NordlundDigital hjælper coachen med at besvare anmodninger om indsigt, udlevering, berigtigelse, sletning og dataportabilitet. Henvender en registreret sig direkte til NordlundDigital, sendes henvendelsen videre til coachen.

9. Brud på persondatasikkerheden

NordlundDigital underretter coachen uden unødig forsinkelse og senest 48 timer efter at have fået kendskab til et brud, så coachen kan anmelde det til Datatilsynet inden for 72 timer. Underretningen beskriver bruddet, hvem og hvilke oplysninger der er berørt, de sandsynlige konsekvenser og hvad der er gjort.

10. Anden bistand

NordlundDigital bistår coachen med konsekvensanalyser og forudgående høring af Datatilsynet, i det omfang det er relevant for appen.

11. Sletning og tilbagelevering

Når en klient slettes i appen, slettes oplysningerne straks fra databasen. Når coachens konto lukkes, slettes alle coachens og klienternes oplysninger senest 30 dage efter. Inden da kan coachen bede om at få oplysningerne udleveret. Sikkerhedskopier overskrives løbende og senest efter yderligere 30 dage. Ansøgninger, der ikke er blevet til klienter, slettes automatisk efter 6 måneder.

12. Revision og tilsyn

NordlundDigital stiller de oplysninger til rådighed, der er nødvendige for at vise, at aftalen overholdes, og giver på anmodning én gang om året en skriftlig redegørelse for sikkerheden. Coachen kan foretage tilsyn med rimeligt varsel for egen regning.

13. Ikrafttræden og ophør

Aftalen gælder, så længe NordlundDigital behandler personoplysninger for coachen. Ændringer kræver, at coachen accepterer en ny version.

Kontakt

kontakt@styrkr.dk

Se også: Vilkår · Databehandleraftale · Privatlivspolitik