Databehandleraftale

Version 1.0 · 15. juli 2026. Aftale om behandling af personoplysninger mellem skolen (dataansvarlig) og Mentalt Stærk ApS (databehandler).

1. Parterne

2. Baggrund og formål

Databehandleren leverer trivselstjenesten "Mentalt Stærk", hvor elever anonymt træner trivsel og angiver et dagligt humør-tal, og hvor lærere ser maskerede tal på klasseniveau. Databehandleren må kun behandle personoplysninger efter den dataansvarliges dokumenterede instruks, herunder denne aftale, medmindre behandlingen kræves efter EU-ret eller national ret.

3. Behandlingens karakter og varighed

Behandlingen omfatter opbevaring, strukturering, tilpasning, brug, sletning og hosting af oplysningerne med det formål at levere tjenesten. Behandlingen løber, så længe aftalen om brug af tjenesten er i kraft, og ophører ved aftalens ophør, jf. pkt. 10.

4. Typer af personoplysninger og kategorier af registrerede

Der behandles ikke særlige kategorier af personoplysninger (GDPR art. 9). Humør-tal er ikke knyttet til en identificerbar elev og vises kun maskeret (klassegennemsnit ved mindst tre svar; fordeling ved mindst fem).

5. Den dataansvarliges forpligtelser og rettigheder

• Den dataansvarlige indestår for at have fornødent retsgrundlag for behandlingen og for, at instruksen er lovlig.
• Den dataansvarlige kan til enhver tid ændre eller tilbagekalde sin instruks; væsentlige ændringer aftales skriftligt.
• Den dataansvarlige har ret til at føre tilsyn, jf. pkt. 9.

6. Databehandlerens forpligtelser

• Behandler kun oplysninger efter dokumenteret instruks.
• Sikrer, at personer med adgang til oplysningerne er underlagt tavshedspligt.
• Træffer de tekniske og organisatoriske sikkerhedsforanstaltninger, der kræves efter GDPR art. 32 (se pkt. 7).
• Bistår så vidt muligt den dataansvarlige med at besvare anmodninger fra registrerede og med at overholde art. 32–36 (sikkerhed, brudanmeldelse, konsekvensanalyse).
• Underretter uden unødig forsinkelse den dataansvarlige ved brud på persondatasikkerheden og bistår med den dokumentation, den dataansvarlige skal bruge for en eventuel anmeldelse til Datatilsynet inden for 72 timer.
• Anvender ikke oplysningerne til egne formål og sælger dem aldrig.

7. Sikkerhed (art. 32)

• Adgangsstyring i databasen med row-level security, så en lærer aldrig kan tilgå en enkelt elevs rådata.
• Maskering af trivselstal (gennemsnit først ved ≥3 svar, fordeling først ved ≥5 svar).
• Kryptering af al datatrafik (HTTPS/TLS) og kryptering af data hos underdatabehandleren.
• Dataminimering: elever er anonyme; der indsamles ingen direkte personhenførbare elevoplysninger.
• Fejlovervågning uden personoplysninger (ingen IP eller elevsvar), hvis slået til.
• Adgang til produktionsdata er begrænset til nødvendigt personale.

8. Underdatabehandlere

Den dataansvarlige giver ved denne aftale generel forudgående godkendelse til, at databehandleren anvender nedenstående underdatabehandlere. Databehandleren varsler ændringer (tilføjelse/udskiftning) med rimeligt varsel, så den dataansvarlige kan gøre indsigelse.

* Hvor en underdatabehandler behandler oplysninger uden for EU/EØS, sker overførsel på et gyldigt overførselsgrundlag (fx EU-Kommissionens standardkontraktbestemmelser). Elevoplysninger behandles anonymt og opbevares i EU.

9. Tilsyn og revision

Databehandleren stiller efter anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, og giver mulighed for og bidrager til revision, herunder inspektioner, der gennemføres af den dataansvarlige eller en af denne bemyndiget revisor. Parterne aftaler nærmere omfang og hyppighed.

10. Ophør, sletning og tilbagelevering

Ved aftalens ophør sletter eller tilbageleverer databehandleren efter den dataansvarliges valg alle personoplysninger og sletter eksisterende kopier, medmindre EU-ret eller national ret foreskriver opbevaring. En institution eller lærer kan i øvrigt til enhver tid anmode om sletning af sine data ved henvendelse til info@mentaltstaerk.dk.

11. Ansvar og ikrafttræden

Parternes ansvar følger GDPR og den mellem parterne indgåede hovedaftale om brug af tjenesten. Denne databehandleraftale træder i kraft ved parternes accept og er gældende, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige.

Spørgsmål eller ønske om en underskrevet aftale? Skriv til info@mentaltstaerk.dk. Se også vores privatlivspolitik og handelsbetingelser.