Databehandleraftale

Denne databehandleraftale ("Aftalen") er indgået mellem:

Dataansvarlig:
[Håndværker-virksomhedens fulde navn]
CVR-nr.: [udfyldes ved oprettelse af konto]
("Dataansvarlig" eller "Kunden")

og

Databehandler:
Mesterio ApS (under stiftelse)
CVR-nr.: [udfyldes ved stiftelse]
[Registreret adresse - udfyldes ved stiftelse]
("Databehandler" eller "Mesterio")

hver for sig en "Part" og samlet "Parterne".

1.1 Dataansvarlig anvender Mesterios softwareprodukt "AI Mester" ("Tjenesten") til at modtage, analysere og besvare henvendelser fra Dataansvarliges egne kunder, herunder administration af sager, kalenderaftaler og - hvis aktivt tilvalgt - sammenkobling med Dataansvarliges eget regnskabssystem.

1.2 I forbindelse med Tjenesten behandler Databehandler personoplysninger på vegne af Dataansvarlig. Denne Aftale fastlægger Parternes rettigheder og forpligtelser i forbindelse med denne behandling, jf. artikel 28 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (databeskyttelsesforordningen, herefter "GDPR").

1.3 Aftalen udgør et bilag til og er en integreret del af de Vilkår for brug af AI Mester, som Dataansvarlig har accepteret ved oprettelse af en konto. Ved uoverensstemmelse mellem denne Aftale og Vilkårene har denne Aftale forrang for så vidt angår behandling af personoplysninger.

2.1 Begreberne "personoplysninger", "behandling", "dataansvarlig", "databehandler", "registrerede", "brud på persondatasikkerheden" og "tredjeland" har den betydning, der følger af GDPR artikel 4.

2.2 "Underdatabehandler" betyder en anden databehandler, som Databehandler antager til at behandle personoplysninger på vegne af Dataansvarlig som led i leveringen af Tjenesten.

3.1 Aftalen regulerer Databehandlers behandling af personoplysninger på vegne af Dataansvarlig i forbindelse med levering af Tjenesten. Bilag 1 indeholder en nærmere beskrivelse af behandlingens genstand.

3.2 Aftalen træder i kraft samtidig med Dataansvarliges oprettelse af en konto i Tjenesten og er gældende, så længe Databehandler behandler personoplysninger på vegne af Dataansvarlig, herunder mens en konto er på pause (vilkårenes pkt. 12.3) og endnu ikke slettet.

4.1 Formålet med behandlingen er at levere Tjenesten til Dataansvarlig, herunder:

• at modtage og analysere indkommende kundehenvendelser ved hjælp af kunstig intelligens;
• at udarbejde forslag til svar, tilbud, rykkere og andre beskeder, som Dataansvarlig selv godkender, redigerer eller afviser før afsendelse, og at sende de beskeder, Dataansvarlig har godkendt;
• hvis Dataansvarlig slår det til, at lære af Dataansvarliges egne rettelser og beskeder og foreslå en skrivestil til udkastene (pkt. 6.14);
• at sende enkelte faste beskeder uden AI til Dataansvarliges kunder, når en kunde selv har handlet eller Dataansvarlig har skrevet til kunden i kundeportalen (fx kvittering for en fortrydelse, en kopi af kundens ja til at gå i gang og besked om et nyt svar), jf. vilkårenes pkt. 5.2, samt når Dataansvarliges medarbejder ved et besøg sender kunden en aftale om ekstra arbejde eller oplysningen om fortrydelsesret ved en hastende reparation;
• at vedligeholde et sagsoverblik og en kundehistorik for Dataansvarlig, herunder billeder, filer, noter, tilbud, fakturagrundlag og kvalitetssikring, og at give Dataansvarliges kunder adgang til deres egen sag via kundeportal, online booking og fortrydelse;
• at gemme besøgsaftalen med Dataansvarliges kunde, når et betalt besøg bookes: prisen, en kopi af bekræftelsen med oplysningen om fortrydelsesret og tidspunktet for den, og kundens udtrykkelige anmodning om at gå i gang før fortrydelsesfristen (tidspunkt, den præcise tekst og kundens mail, og når anmodningen gives på medarbejderens telefon ved besøget, medarbejderens navn), samt aftaler om ekstra arbejde indgået ved besøget (hvad, pris og kundens anmodning) og kundens fortrydelse af aftalen (navn, mail og tidspunkt), som dokumentation efter forbrugeraftaleloven. Oplysningerne slettes med sagen og fjernes, når kunden anonymiseres;
• at modtage leverandørfakturaer (fx fra en grossist), som sendes til Dataansvarliges indbakke-adresse, og gemme dem med den originale fil, så varerne kan knyttes til Dataansvarliges sager. En elektronisk faktura (OIOUBL) læses uden kunstig intelligens; en PDF-faktura læses med kunstig intelligens (Anthropic, se underdatabehandlerne), der kun udtrækker fakturaens nummer, dato, leverandør, henvisninger, leveringsadresse, varelinjer og beløb. Er dokumentet ikke en faktura eller kreditnota, slettes det. En leverandørfaktura kan indeholde en leveringsadresse hos Dataansvarliges kunde og navnet på den medarbejder, der købte ind; der laves ingen opgørelse over, hvem der har købt hvad. Dataansvarlig kan fra Tjenesten bede en grossist om at sende en kopi af fakturaerne hertil; mailen sendes fra Dataansvarliges egen forbundne mail, når Dataansvarlig trykker Send, eller åbnes i Dataansvarliges eget mailprogram. Fakturaen knyttes automatisk til en sag ud fra sagsnummeret i rekvisitionen eller ved at sammenligne leveringsadressen med sagens eller kundens adresse;
• at understøtte Dataansvarliges administration af egne medarbejdere, herunder registrering af arbejdstid, timer, fravær, kørsel og medkørsel, udlæg med kvittering (pkt. 6.10), kontrol af Skats 60-dages-regel for kørsel hjemmefra (pkt. 6.11), løneksport (at godkende og afsende lønperioder og lave lønfilen, se pkt. 4.6 og 6.4-6.6, samt timesedler og kørselsregnskab som filer) og adgang til Tjenesten, at lade den enkelte medarbejder se sine egne registrerede timer, ture og fravær og under "Min adgang" udvalgte egne oplysninger og en oversigt over, hvem i Dataansvarliges virksomhed der ser hvilke slags oplysninger om vedkommende, at lade ejeren se samme side for en medarbejder uden at kunne rette noget, og at begrænse, hvilke brugere der kan se kollegers fravær, timer, kørsel, adresser, noter ved kompetencer og kontoen på en forbundet kalender (se pkt. 5.1, 6.2 og 6.7);
• at føre en adgangslog over ændringer af medarbejdernes adgang og minde ejeren om at gennemgå, hvem der har adgang til Tjenesten (se pkt. 6.8 og 6.9);
• at give Dataansvarlig værktøjer til selv at besvare en medarbejders anmodning om indsigt eller sletning og til at rydde de private oplysninger om en tidligere medarbejder (se pkt. 6.12);
• at besvare spørgsmål, Dataansvarliges brugere stiller i "Spørg AI Mester", ud fra Dataansvarliges egne data i Tjenesten;
• at understøtte planlægning af aftaler, herunder eventuel synkronisering til Dataansvarliges medarbejderes kalendere og, hvis en bruger beder om det, en engangsimport af de kommende 90 dages aftaler fra brugerens egen arbejdskalender. Til en medarbejders private kalender sendes alene aftalens tidspunkt og en generisk titel, jf. Bilag 3;
• at understøtte - hvis Dataansvarlig aktivt tilvælger det - en sammenkobling mellem Dataansvarliges sager og Dataansvarliges eget regnskabssystem (Billy eller e-conomic).

4.2 Behandlingen sker udelukkende elektronisk og omfatter indsamling, registrering, systematisering, opbevaring, tilpasning, søgning, brug, videregivelse (til underdatabehandlere, jf. pkt. 10, og - alene i form af aftalers tidspunkt - til en kalendertjeneste, som en medarbejder selv har valgt, jf. Bilag 3) og sletning.

4.3 Databehandler behandler ikke personoplysninger til andre formål end levering af Tjenesten, medmindre andet følger af lovgivningen, eller Dataansvarlig har givet forudgående skriftligt samtykke.

4.4 Skriver Dataansvarlig et CVR-nummer på en kunde, slår Databehandler nummeret op i Det Centrale Virksomhedsregister (CVR) via Datafordeleren og henter firmanavn, adresse og virksomhedsform tilbage (offentlige oplysninger). Skriver Dataansvarlig en erhvervskundes eller institutions navn (mindst tre tegn), søger Databehandler i CVR hos Erhvervsstyrelsen og viser forslag (firmanavn, by, virksomhedsform og om firmaet er reklamebeskyttet); et valgt forslag slås op på CVR-nummeret som ovenfor. Kun det skrevne navn eller CVR-nummer sendes med opslaget, og søgningerne gemmes ikke. Forbindelsen til Erhvervsstyrelsen er krypteret (https). Oplysningerne udfylder alene tomme felter (eller erstatter det navn, Dataansvarlig søgte på, når et forslag vælges), overskriver aldrig noget andet, Dataansvarlig selv har skrevet, og kan altid rettes.

4.5 For at vise Dataansvarliges aftaler på et kort og beregne køretid slår Databehandler aftalens adresse op i Danmarks Adresseregister (DAR) via Datafordeleren og får et koordinat tilbage. Kun adressen sendes med opslaget, aldrig navne eller andre oplysninger om den registrerede. Koordinatet gemmes midlertidigt (højst 30 dage) for ikke at slå samme adresse op igen. Vejrudsigten til aftalerne hentes ud fra postnummerets midtpunkt, uden personoplysninger.

4.6 Tjenesten laver lønfilen til Dataansvarliges lønsystem (fx Danløn) og gemmer den, men sender den ikke selv til lønsystemet. Filen hentes af Dataansvarliges ejer eller af en medarbejder med adgangen "Løn og personale", og Dataansvarlig lægger den selv ind i lønsystemet. At en lønperiode er "sendt", betyder i denne Aftale, at den er godkendt og låst i Tjenesten, og at lønfilen er lavet. Selve filen indeholder Dataansvarliges CVR-nummer og, pr. medarbejder, medarbejdernummeret i lønsystemet, løntype og antal timer eller kilometer eller, for refusion af udlæg (pkt. 6.10), det samlede beløb, men ingen navne og intet CPR-nummer. Det, Tjenesten gemmer sammen med filen, indeholder derimod navne (pkt. 6.4).

5.1 Behandlingen omfatter personoplysninger om følgende kategorier af registrerede:

• Dataansvarliges kunder, som retter henvendelse til Dataansvarlig;
• andre kontaktpersoner, som Dataansvarliges kunder måtte nævne i en henvendelse (fx en ægtefælle, lejer eller nabo);
• Dataansvarliges egne medarbejdere, i det omfang deres kontaktoplysninger, kalenderdata, arbejdstid og timer, fravær, kørsel (herunder hvem der kørte med på en tur), udlæg med kvittering (pkt. 6.10), kompetencer, løndata (fx timepris, løntype, lønform og ugentlig arbejdstid, se pkt. 6.1), afspadsering og lønoplysningerne (pkt. 6.4) registreres i Tjenesten, samt en medarbejders hjemadresse, hvis Dataansvarlig eller medarbejderen selv skriver den ind. Hjemadressen bruges alene til kørselsregnskab og til at beregne køretid og kilometer fra hjemmet. Skriver Dataansvarliges ejer en medarbejders CPR-nummer ind, bruges det alene i kørselsregnskabet, fordi Skat kræver modtagerens CPR-nummer på bilaget for skattefri kørselsgodtgørelse. CPR-nummeret gemmes krypteret og adskilt fra de øvrige oplysninger, vises ikke igen i Tjenesten og sendes aldrig til AI-tjenesterne (underdatabehandlerne). Det står kun i kørselsregnskabet, som ejeren og dem med "Løn og personale" kan hente, og i den fulde udgave af medarbejderens egne data (pkt. 6.12); det er ikke med i lønfilen (pkt. 4.6) eller i "Hent alle data". Trykker en medarbejder selv "Brug min position" ved kørsel, behandles telefonens position kortvarigt for at finde den nærmeste adresse; positionen gemmes ikke, og kun den fundne adresse gemmes på turen. Starter eller slutter en tur hjemme eller et andet sted end hos kunden eller Dataansvarlig, kan den adresse kun ses af Dataansvarliges ejer, af de medarbejdere, som ejeren har givet adgangen "Løn og personale", og af den, der kørte turen; andre brugere ser kun "Hjemme" eller "Andet sted". Adresserne står i kørselsregnskabet. Selve feltet med medarbejderens hjemadresse vises kun for ejeren og medarbejderen selv, men dem med "Løn og personale" ser adressen på ture, der starter eller slutter hjemme, også ture, de selv registrerer eller retter for en kollega. En kopi af adressen på en tur kan stå i ændringsloggen (pkt. 6.4) indtil den automatiske sletning af lønoplysningerne (pkt. 14.3), også hvis turen eller hjemadressen senere rettes eller slettes.

6.1 Behandlingen omfatter almindelige personoplysninger, herunder:

• navn
• telefonnummer
• e-mailadresse
• adresse
• for erhvervskunder og offentlige institutioner: firmanavn, CVR-nummer og EAN-nummer
• indholdet af den enkelte henvendelse (fritekst)
• oplysninger om den bestilte opgave, herunder detaljer kunden selv oplyser (fx husstandens sammensætning, ønsket tidspunkt)
• billeder og filer (fx fotos fra opgaven, PDF-fakturaer og bilag), underskrifter og dokumentation for kvalitetssikring
• økonomiske oplysninger om opgaven, herunder tilbud, fakturagrundlag, betalingsstatus og rykkere
• korrespondance med kunden, herunder mails og beskeder i kundeportalen
• om medarbejdere: kontaktoplysninger, rolle og adgang (herunder om medarbejderen har adgangen "Løn og personale", hvem der senest gav eller fjernede den og hvornår, adgangsloggen, hvornår medarbejderens login sidst blev brugt, og hvornår ejeren senest trykkede "Behold", se pkt. 6.8 og 6.9), arbejdstid og timer (herunder tidspunkter fra stempelur), kørsel (herunder eventuel hjemadresse og hvem der kørte med på en tur), hvem der tilføjede en løntime eller tur, og hvem der senest rettede den og hvornår, fravær (også en del af en dag), kompetencer og løndata (timepris, løntype, lønform, ugentlig arbejdstid, medarbejdernummer i lønsystemet, om medarbejderen er på løn i lønsystemet, hvordan timer over normtiden håndteres og med hvilken løntype, og datoen for aftalen i ansættelsesbeviset for en medarbejder uden daglig registrering) samt afspadsering, herunder en eventuel åbningssaldo (pkt. 14.3)
• om medarbejdere: udlæg med kvittering og godkendelse eller afvisning (pkt. 6.10) og valget for ture efter dag 60 efter Skats 60-dages-regel (pkt. 6.11)
• om medarbejdere, hvis Dataansvarlig har slået "Position ved stempel ind" til: resultatet af tjekket, når medarbejderen stempler ind (på stedet, langt fra opgaven eller uden position og hvorfor), afstanden i meter og en eventuel begrundelse (pkt. 6.13). Selve positionen gemmes ikke
• om medarbejdere: datoen for "Ikke længere ansat", datoen for en anmodning om indsigt og om den er besvaret, og for en tidligere medarbejder, hvis private oplysninger er ryddet, nummeret i "Tidligere medarbejder #N" og en adskilt nøgle med det rigtige navn (pkt. 6.12)
• lønoplysningerne, se pkt. 6.4

6.2 Tjenesten gør det muligt at registrere, at en medarbejder er fraværende på grund af sygdom, hele dage eller en del af en dag, og viser antallet af sygedage pr. medarbejder. En oplysning om, at en medarbejder er syg, uden angivelse af, hvad sygdommen består i, er efter Datatilsynets praksis ikke en helbredsoplysning. En note, der angiver sygdommens art eller gør det muligt at udlede den, er derimod en helbredsoplysning (GDPR artikel 9). Databehandler behandler fraværsoplysningerne alene for at vise fravær, planlægge arbejdet, opgøre timer og løn, herunder afspadsering, og dokumentere ændringer af fravær i en lønperiode, der har været sendt og stadig gemmes (pkt. 6.4). Årsagen til et fravær og antallet af sygedage vises kun for Dataansvarliges ejer, for de medarbejdere, som ejeren har givet adgangen "Løn og personale" (typisk den, der laver løn), og for den, fraværet gælder. Andre brugere ser kun, at en medarbejder er fraværende, uden årsag og kun fra i dag og frem. En fraværsnote vises kun for ejeren og den, fraværet gælder. Andre brugere end ejeren og dem med "Løn og personale" ser heller ikke kollegers samlede timer og kørsel pr. person; timer og ture på en sag kan dog ses af dem, der har adgang til sagen. Tjenesten sender aldrig selv årsagen til et fravær eller en fraværsnote til Anthropic. Stiller en bruger et spørgsmål i "Spørg AI Mester", kan AI'en alene få oplyst, hvor mange dage en medarbejder har haft fravær i den aktuelle måned, uden årsag. Antallet af fraværsdage for andre end den, der spørger, sendes kun, når det er ejeren eller en medarbejder med adgangen "Løn og personale". Dataansvarlig er ansvarlig for at have hjemmel til behandlingen som arbejdsgiver og for ikke at skrive diagnoser eller andre oplysninger om sygdommens art i en fraværsnote eller andre tekstfelter (fx begrundelser og noter i lønnen).

6.3 Databehandler behandler ikke bevidst særlige kategorier af personoplysninger (jf. GDPR artikel 9) eller oplysninger om strafbare forhold. Dataansvarlig er ansvarlig for ikke selv at indtaste sådanne oplysninger i Tjenesten. Databehandler kan ikke på forhånd kontrollere fri tekst, dvs. en kundes henvendelse, en mail til Tjenestens indbakke-adresse eller det, en bruger selv skriver eller dikterer (fx et spørgsmål i "Spørg AI Mester", en dikteret note eller titlen på en kalenderaftale). Sådan tekst kan blive behandlet af Anthropic (Bilag 3) for at løse den konkrete opgave. Databehandler fjerner efter anmodning sådanne oplysninger fra Tjenesten, hvis de undtagelsesvist måtte forekomme.

6.4 Til godkendelse og afsendelse af lønperioder gemmer Tjenesten desuden følgende, i denne Aftale samlet kaldt "lønoplysningerne":

• lønperioderne: datoerne og en historik over, hvornår perioden er sendt, låst op og sendt igen og af hvem, begrundelsen for en oplåsning og antallet af ture, der blev godkendt ved afsendelsen;
• lønfilerne, præcis som de blev lavet (pkt. 4.6), og ved siden af hver fil de linjer, den er lavet ud fra, med medarbejdernes navne, og et øjebliksbillede af aktive medarbejdere og tidligere medarbejdere med registreringer i perioden (navn, lønform, normtid, timer, kilometer, afspadsering, afspadseringssaldo og en status med en kort grund), men ingen timepris eller andre kronebeløb;
• rettelser efter en oplåsning, der lægges i næste lønfil ("forskelslinjer"), og udbetalinger af afspadsering, som kun ejeren kan registrere: medarbejder, medarbejdernummer i lønsystemet, løntype, antal og minutter, en kort note (fx "rettet i uge 39"), hvem der registrerede linjen, og hvornår den kom med i en lønfil;
• kvitteringer for afvigelser (i appen "Tjek dagen", fx en meget lang dag, registreringer, der overlapper, eller timer på en fraværsdag) og for varslet om Skats 60-dages-regel ("Det er i orden", pkt. 6.11): hvem, hvornår og en eventuel note. En kvittering bliver stående, også hvis afvigelsen senere ændrer sig. Den kan kun fjernes af ejeren eller den, der gav den, men alle, der må kvittere, kan erstatte den med en ny kvittering for samme afvigelse; så gemmes kun den nye. En kvittering, der fjernes, slettes;
• hvornår de afregnede dage (pkt. 6.5) er åbnet for rettelser, med hvilken begrundelse, og hvornår de er lukket igen, med hvor mange rettelser, og af hvem;
• ændringsloggen: det oprindelige og det nye, når en løntime, en tur eller et fravær ændres (fx dato, tidspunkt, minutter, kilometer, adresser, herunder en medarbejders hjemadresse, når turen starter eller slutter hjemme, bil, nummerplade, medkørende, sag og note), hvem der ændrede og hvornår, og en eventuel begrundelse.

Der skrives i ændringsloggen, når en anden end medarbejderen selv tilføjer, retter, stopper eller sletter en løntime eller tur, når en løntime flyttes til en anden medarbejder, og når en kollegas glemte tur fjernes. For en tur er "medarbejderen selv" den, der kørte, ikke de medkørende. Har medarbejderen ikke sit eget login, gælder det derfor alle ændringer af medarbejderens løntimer og ture. Ligger dagen i en lønperiode, der har været sendt og stadig gemmes, logges alle rettelser af løntimer og ture (tid, kilometer, adresser, sag, note m.m.), også medarbejderens egne, og på de afregnede dage logges hver rettelse af tid og kørsel, som ejeren foretager, mens dagene er åbne. Gemmer man uden at ændre noget, eller ændres kun kostprisen på en løntime, logges det ikke. Vælger ejeren eller en medarbejder med "Løn og personale", hvordan en tur efter dag 60 sendes (pkt. 6.11), eller fjernes valget, logges det altid. Når ejeren eller en medarbejder med "Løn og personale" godkender en tur eller fjerner godkendelsen, logges det kun på dage i en lønperiode, der har været sendt og stadig gemmes, og på de afregnede dage. Ellers, og når selve afsendelsen godkender turene, gemmes kun på turen, hvem der senest godkendte den og hvornår. Det kan den, der kørte, og de medkørende se på turen. Oprettes eller slettes et godkendt fravær, eller godkendes en anmodning om fravær, i en lønperiode, der har været sendt og stadig gemmes, forsøger Tjenesten at logge fraværets datoer, varighed og årsag (fx sygdom), men ikke fraværsnoten. Andre ændringer af fravær logges ikke, og det gør ændringer af løndata på medarbejderen (fx lønform, eller om medarbejderen er på løn i lønsystemet) heller ikke.

Når Dataansvarlig sletter en sag, eller en kunde anonymiseres, fjernes noten fra løntimerne, turene og udlæggene (pkt. 6.10) på sagen eller kundens sager og kundens adresse fra turene, også fra en tur, der er startet fra en af dem og stadig er i gang. Det samme sker i ændringsloggens kopier, herunder kopier af løntimer og ture, der forinden er slettet eller flyttet til en anden sag. Selve rydningen logges ikke. Timer, kilometer og dato bevares, og en slettet sag står derefter kun som et sagsnummer (pkt. 14.3). Et udlæg på en slettet sag beholder beløb og kvittering, men mister koblingen til sagen. Begrundelser og noter, der i øvrigt er skrevet i lønoplysningerne (fx ved en oplåsning, en rettelse eller en kvittering), ryddes ikke. Dataansvarlig bør derfor ikke skrive kundens navn eller andre unødvendige personoplysninger dér.

Hvem der har gjort noget, gemmes og vises som hovedregel med navnet på den medarbejder, brugerens login er koblet til, ellers med brugerens navn og ellers som "Ejeren" eller "En kollega". Lønoplysningerne vises kun for Dataansvarliges ejer og for de medarbejdere, som ejeren har givet adgangen "Løn og personale", bortset fra det, en medarbejder ser om sine egne registreringer (se nedenfor). Kun ejeren og dem med "Løn og personale" kan godkende og afsende en lønperiode og hente lønfilen. Kun ejeren kan låse en periode op, åbne og lukke de afregnede dage og registrere udbetaling af afspadsering. En medarbejder med "Løn og personale" kan ikke kvittere for afvigelser i sine egne registreringer. Alle kolleger kan se, hvem der har adgangen "Løn og personale" (fx ved fravær og ved kørsel, der venter på godkendelse), så de ved, hvem der kan se årsagen til et fravær. En medarbejder ser, at en periode er sendt eller afregnet, men ikke hvem der sendte den. Godkendte afsendelsen medarbejderens egne ture, også ture, hvor medarbejderen var medkørende, står afsenderens navn dog på turene som den, der godkendte dem. Medarbejderen ser desuden på de løntimer og ture, der står på vedkommende, hvem der har ændret dem, hvornår, hvad der blev ændret, og med hvilken begrundelse. Flytter ejeren en løntime fra én medarbejder til en anden, kan den nye medarbejder også se timens tidligere ændringer, fx noten, som den stod, før timen blev flyttet. En slettet løntime eller tur vises ikke for medarbejderen; mens de afregnede dage er åbne, vises rettelserne på dem, også sletninger, for ejeren og dem med "Løn og personale". Hele ændringsloggen indgår i dataudtrækket (pkt. 12.1), som kun ejeren kan hente. Af ændringsloggen for fravær viser Tjenesten kun, at et fravær er ændret efter afsendelse, og kun for ejeren, dem med "Løn og personale" og den, fraværet gælder. Afspadseringssaldoen, herunder en åbningssaldo (pkt. 14.3), vises kun for ejeren, dem med "Løn og personale" og medarbejderen selv.

Sider med lønoplysningerne, fx en medarbejders egne timer med historik eller, for ejeren og dem med "Løn og personale", hele holdets, kan være gemt på brugerens telefon, så de kan ses uden net. De viser oplysningerne, som de stod, da siden blev gemt, og en gemt side vises ikke, når den er mere end en uge gammel. Siden erstattes, når den åbnes igen med net. De gemte sider slettes, når brugeren logger ud, og når brugeren næste gang åbner appen efter at have mistet adgangen. Lukkes brugerens login, kan en gemt side derfor stadig vises uden net, til den er en uge gammel. Det, der slettes eller ryddes i Tjenesten (pkt. 14.3), kan på samme måde stadig ses i en gemt side, indtil siden erstattes eller slettes, dog højst en uge.

6.5 Når en lønperiode er sendt, kan løntimer og kørsel i perioden ikke tilføjes, rettes eller slettes, heller ikke af ejeren, før ejeren låser perioden op med en begrundelse. Derefter kan de rettes som før, og perioden skal sendes igen. "De afregnede dage" er dagene til og med den dato, der ved første afsendelse blev angivet som afregnet, og dagene til og med den dato, som den automatiske sletning af lønoplysningerne (pkt. 14.3) er nået til. Den første afsendelse kan foretages af ejeren eller af en medarbejder med "Løn og personale", og datoen kan ikke ændres bagefter. De afregnede dage kommer aldrig med i en lønfil og kan kun rettes, hvis ejeren åbner dem for rettelser med en begrundelse. Mens de er åbne, kan kun ejeren tilføje, rette og slette løntimer og ture på dem, og hver rettelse af tid og kørsel logges med det oprindelige og det nye. Dagene er åbne, til ejeren lukker dem igen. En sendt periode åbnes ikke derved; den skal låses op. En tur, der rettes (andet end noten), mister sin godkendelse; ejeren kan godkende den igen, mens de afregnede dage er åbne, men ikke fjerne en godkendelse dér. Noten på en løntime eller tur, sagen på en løntime og, for ejeren, kostprisen på en løntime kan dog også rettes i en sendt periode og på de afregnede dage af den, der i øvrigt må rette registreringen. Fravær låses ikke, bortset fra at afspadsering, der begynder på en dag, som den automatiske sletning er nået til, ikke kan oprettes eller godkendes og, når den er godkendt, ikke kan slettes. Ejeren kan desuden udfylde en manglende kostpris ("Udfyld manglende timeløn") på alle løntimer, der ikke er faktureret; det logges ikke. Fakturerede løntimer og ture kan ikke rettes. Sletter Dataansvarlig en sag, eller anonymiseres en kunde, fjernes noten og kundens adresse dog, også i en sendt periode, på de afregnede dage og på fakturerede løntimer og ture (pkt. 6.4). Oplåsningen og åbningen af de afregnede dage er den måde, Tjenesten gør det muligt at berigtige timer og kørsel, der er indgået i lønnen.

6.6 Tjenesten sender ikke lønoplysningerne, udlæg, billeder af kvitteringer for udlæg eller tællingen efter 60-dages-reglen (pkt. 6.10 og 6.11) til Anthropic, og kvitteringerne læses ikke af AI. Låsen og ændringsloggen skal understøtte Dataansvarliges egne pligter som arbejdsgiver, bl.a. at registreringen af arbejdstiden gemmes i 5 år (arbejdstidsloven), og at en rettelse viser både det oprindelige og ændringen (bogføringsloven § 9, stk. 3). Dataansvarlig er selv ansvarlig for at opfylde disse pligter, herunder for at rette lønnen i lønsystemet, når en rettelse på de afregnede dage har betydning for den.

6.7 Kolleger kan ikke se noten ved en kompetence eller kontoen på en forbundet kalender. Det kan ejeren og medarbejderen selv: under "Min adgang" og, hvis medarbejderen har adgangen "Kunder og økonomi", også under Medarbejdere. Selve kompetencerne (titel og datoer) kan også ses af medarbejdere med "Kunder og økonomi". Den mail, en medarbejder logger ind med (login-mailen), vises som login kun for ejeren og medarbejderen selv. Som udgangspunkt er den dog også medarbejderens mail i Tjenesten: en invitation sendes til medarbejderens mail, medmindre ejeren skriver en anden, og har medarbejderen ingen mail, gemmes login-mailen som medarbejderens mail. Medarbejderens mail kan ses af medarbejdere med "Kunder og økonomi".

Under "Min adgang" kan hver medarbejder med login se udvalgte egne oplysninger (fx telefon, mail, lønform, medarbejdernummer i lønsystemet, hjemadresse, kompetencer med noter og kalenderforbindelse) og en oversigt over, hvem i Dataansvarliges virksomhed der ser hvilke slags oplysninger om vedkommende. Oversigten viser også navnene på de kolleger med login, der har "Løn og personale" eller "Kunder og økonomi". Hjemadressen kan medarbejderen selv rette dér; resten retter ejeren. Ejeren kan se samme side for en medarbejder ("Se det, som medarbejderen ser det"), men kan ikke rette noget dér. Siden er en hjælp og erstatter ikke Dataansvarliges egen pligt til at oplyse medarbejderne om behandlingen.

6.8 Tjenesten fører en adgangslog, så Dataansvarlig kan se, hvem der har ændret medarbejdernes adgang til Tjenesten, og hvornår. Der skrives i loggen, når:

• en medarbejder tilføjes eller slettes;
• en medarbejders adgangstype eller status ændres;
• "Løn og personale" gives eller fjernes;
• et tilvalg for "Egne opgaver" slås til eller fra;
• et login gives, eller en invitation sendes igen (og om den blev sendt på mail eller givet som link);
• en invitation trækkes tilbage eller fjernes, også når en gyldig invitation bortfalder, fordi ejeren kobler et login til medarbejderen;
• et login lukkes eller kobles til eller fra en medarbejder;
• en medarbejder tager imod en invitation og logger ind første gang;
• ejeren trykker "Det passer" eller "Behold" (pkt. 6.9);
• nogen henter en fil med alle oplysninger om en medarbejder ("Hent alt", og hvilken udgave), eller ejeren rydder en tidligere medarbejders private oplysninger (pkt. 6.12).

For hver ændring gemmes tidspunktet, navnet på den, der handlede, i givet fald navnet på den medarbejder eller det login, ændringen gælder, og den gamle og den nye værdi (fx adgangstypen). Login-mailen gemmes ikke i loggen. Navnene gemmes, som de var på tidspunktet, og bliver stående, også når medarbejderen eller login slettes. Ryddes en tidligere medarbejders private oplysninger, ændres medarbejderens navn dog til "Tidligere medarbejder #N" (pkt. 6.12). Trækker Databehandlers support en invitation tilbage, sletter den eller lukker et login, står der "AI Mester-support" som den, der handlede. Loggen viser ændringer af adgang, ikke hvem der har set hvilke oplysninger. Den viser heller ikke, at en invitation udløber, at et navn eller en login-mail ændres, at ejeren åbner "Se det, som medarbejderen ser det", at ejerens egen medarbejder oprettes i opsætningen, eller at kontoen sættes på pause eller spærres. Endelig viser den ikke, at åbne invitationer bortfalder, når Databehandlers support inviterer samme mail til en ny virksomhed. Kun ejeren kan se loggen, hverken medarbejdere med "Løn og personale" eller medarbejderen selv. Dataansvarlig kan ikke selv rette eller slette enkelte linjer; har Dataansvarlig brug for det, fx for at opfylde en medarbejders rettigheder, bistår Databehandler efter pkt. 12.1. Hele loggen indgår i dataudtrækket (pkt. 12.1), og hver linje slettes automatisk 3 år efter ændringen (pkt. 14.3). Loggen sendes ikke til Anthropic.

6.9 Tjenesten gemmer, hvornår hvert login i Dataansvarliges virksomhed sidst blev brugt, undtagen ejerens eget. Tidspunktet opdateres, når brugeren logger ind, og ellers højst én gang i døgnet, når brugeren bruger Tjenesten. Her gemmes kun det seneste tidspunkt. For et login, der fandtes, da funktionen blev indført, regnes tidspunktet fra den dag. Tidspunktet gemmes også for logins, der ikke er koblet til en medarbejder, men bruges kun til at vise ejeren en påmindelse, når en medarbejders login ikke har været brugt i 3 måneder. Påmindelsen nævner, siden hvilken måned login ikke er brugt. Den gælder ikke logins, der ikke er koblet til en medarbejder, eller medarbejdere, der er "Ikke længere ansat". Tidspunktet vises ikke på anden måde, feltet indgår ikke i dataudtrækket, og det slettes, når login lukkes. Ejeren kan kun trykke "Behold", når login ikke har været brugt i 3 måneder, og så kommer påmindelsen tidligst igen 3 måneder senere. Tidspunktet for det seneste "Behold" gemmes på medarbejderen og slettes, når login lukkes, når et andet login kobles til medarbejderen, eller når medarbejderen slettes. Dataansvarlig kan ikke fjerne det på anden måde. I adgangsloggen står, at ejeren beholdt login efter påmindelsen.

Ejeren mindes også om en invitation, der er udløbet uden at blive brugt, og, når mindst én medarbejder har login, én gang om året om at gennemgå, hvem der må hvad. Trykker ejeren "Det passer" i "Hvem må hvad?", gemmes tidspunktet, og påmindelsen kommer tidligst igen et år senere. Påmindelserne vises kun for ejeren og bruges ikke til at vurdere eller rangere medarbejdere.

6.10 Tjenesten gør det muligt at registrere et udlæg (fx parkering, bro, færge eller et mindre indkøb), som en medarbejder har betalt, eller som er betalt med firmaets kort. Et udlæg indeholder art, beløb, dato, en eventuel note, eventuelt sagen eller turen, om beløbet skal refunderes med lønnen, om kunden skal betale ("Kunden betaler"), om der er moms på kvitteringen, og et billede eller en PDF af kvitteringen, som er påkrævet. Desuden gemmes, hvem der registrerede og senest rettede udlægget, og hvem der godkendte eller afviste det, hvornår og med hvilken begrundelse. En medarbejder registrerer kun sine egne udlæg; ejeren og medarbejdere med "Løn og personale" kan også registrere for kolleger. Kvitteringen gemmes som en privat fil hos Vercel (Bilag 3), indgår ikke i sagens filer og vises aldrig for Dataansvarliges kunder.

Udlægget med medarbejderens navn og kvitteringen kan kun ses af medarbejderen selv, af ejeren og af dem med "Løn og personale". Brugere med "Kunder og økonomi" kan dog se godkendte udlæg, som kunden skal betale, som linjer i forslaget til sagens faktura (art, eventuel note, dato og beløb, uden medarbejderens navn), det samlede beløb for sådanne udlæg på sagen, og godkendte udlæg i sagens dækningsbidrag og i Statistik. Kvitteringen ser de ikke. En kvittering, der er vist i appen, kan ligge i browserens midlertidige lager på brugerens enhed i op til 30 dage. Medarbejderen selv og ejeren kan rette eller slette udlægget (sammen med kvitteringen), indtil det er godkendt. Ejeren godkender eller afviser udlæg, og det kan medarbejdere med "Løn og personale" også, dog aldrig deres egne. En godkendelse eller afvisning kan ændres, indtil udlægget er kommet med i en lønfil eller er faktureret. En afvisning kræver en begrundelse, som medarbejderen ser. Godkendelsen og afvisningen står på udlægget, ikke i ændringsloggen (pkt. 6.4). Ejeren og dem med "Løn og personale" kan hente kvitteringerne for en lønperiode samlet i én fil, hvor filnavnene indeholder medarbejderens navn.

Godkendte udlæg, der skal refunderes, kommer med i den næste lønfil som et samlet beløb pr. medarbejder på lønsystemets løntype for refusion af udlæg (i Danløn løntype 40); derefter kan udlægget ikke ændres. Er "Kunden betaler" slået til på et godkendt udlæg på en sag, der faktureres efter forbrug, foreslår Tjenesten en linje på sagens faktura med art, eventuel note, dato og beløb (uden momsen fra kvitteringen, når den kan trækkes fra), men ikke medarbejderens navn eller kvitteringen. Opretter Dataansvarlig fakturaen i sit regnskabssystem (Bilag 3), sendes linjen dertil og kan nå kunden. Dataansvarlig bør derfor ikke skrive unødvendige personoplysninger i noten. Noten fjernes, når sagen slettes, eller kunden anonymiseres (pkt. 6.4). Udlæg slettes automatisk efter pkt. 14.3.

6.11 For at hjælpe Dataansvarlig med Skats 60-dages-regel for skattefri kørsel mellem hjemmet og samme arbejdsplads tæller Tjenesten pr. medarbejder og adresse de dage inden for de seneste 12 måneder, hvor adressen var medarbejderens første eller sidste arbejdssted på dagen, ud fra løntimer på sager (med klokkeslæt, når de findes), ture og kalenderens aftaler. Kan rækkefølgen ikke ses, tæller dagen med. Tællingen starter forfra efter 60 arbejdsdage i træk, hvor adressen ikke var dagens første eller sidste arbejdssted. Til et forvarsel bruges desuden kalenderens aftaler på adressen de næste 60 dage. Det sker kun for medarbejdere, der har registreret en tur hjemmefra til eller fra en sag på adressen. Tællingen beregnes, når den vises, og gemmes ikke. Fra dag 50, eller når kalenderen fører medarbejderen over 60 dage, vises et varsel med medarbejderens navn, vejen, antal dage pr. måned og de planlagte dage for ejeren og dem med "Løn og personale", dog aldrig om dem selv. Medarbejderen ser selv dagens nummer i tællingen på sine ture i egen bil hjemmefra fra dag 50, og når turen ligger efter dag 60. Trykkes "Det er i orden" ved varslet, gemmes det som en kvittering (pkt. 6.4).

Ture i egen bil hjemmefra til adressen efter dag 60 får ikke skattefri kørselsgodtgørelse i Tjenesten og skal afgøres, før lønperioden kan sendes: ejeren eller en medarbejder med "Løn og personale" (aldrig for egne ture) vælger at sende kilometerne som skattepligtige på en løntype, som ejeren har valgt, eller ikke at sende dem. Valget gemmes på turen og logges (pkt. 6.4). Tællingen er en hjælp, ikke rådgivning. Den bygger alene på registrerede løntimer, ture hjemmefra, kalenderens aftaler og sagens adresse. Den kan være for lav, fordi der mangler timer, fordi flere adresser på samme arbejdsplads ikke lægges sammen af sig selv, eller fordi tidligere besøg ikke tæller med, når sagen slettes, eller kunden anonymiseres. Den kan være for høj, hvis der er registreret timer på en sag uden at have været på adressen. Dataansvarlig er selv ansvarlig for at kontrollere betingelserne for skattefri kørselsgodtgørelse.

6.12 Tjenesten stiller følgende værktøjer til rådighed, så Dataansvarlig selv kan opfylde sine pligter over for medarbejderne (GDPR artikel 12, 15 og 17). Dataansvarlig afgør selv, om og hvordan en anmodning skal besvares, og svarer selv medarbejderen; Tjenesten sender intet til medarbejderen af sig selv. Under "Min adgang" står, at medarbejderen kan bede ejeren om en kopi af alt, Tjenesten har om vedkommende.

• "Hent alt": ejeren kan hente én fil om en medarbejder med en læsbar oversigt, regneark og data: stamdata, timer, kørsel, medkørsler, udlæg (kvitteringerne kun med filnavn), fravær, lønperioder og lønfilernes linjer, rettelser til næste lønfil, ændringer i ændringsloggen, adgangsloggen, aftaler, KS-skemaer, kompetencer, login og kalenderforbindelse, noter og en beskrivelse af behandlingen. Kunder står som sagsnummer og kolleger som deres rolle, men adresserne på medarbejderens egne ture og målet for medkørsler står i filen. En medarbejder med "Løn og personale" kan hente en løn- og tidsudgave uden timepris og salgspris, noter og begrundelser for rettelser (begrundelsen for et afvist udlæg er med), hjemadressefeltet, CPR-nummeret, login, kontoen på en forbundet kalender og adgangsloggen. Filen laves, når den hentes, og gemmes ikke i Tjenesten. At den er hentet, står i adgangsloggen (pkt. 6.8).
• Anmodning om indsigt: ejeren kan notere, hvornår medarbejderen bad om sine oplysninger. Ejeren mindes derefter om svarfristen (én måned, rykket til næste hverdag), til ejeren markerer, at filen er sendt. Fristen kan i visse tilfælde forlænges med to måneder (GDPR artikel 12, stk. 3); det afgør og meddeler Dataansvarlig selv. Datoen ses kun af ejeren. En mail til Tjenestens indbakke-adresse, der ikke bliver til en sag, men ligner en anmodning om indsigt eller sletning, markeres på listen over mails, der ikke blev til sager, og gemmes 60 dage i stedet for 30 (pkt. 14.3). Markeringen sker ud fra faste ordregler og kan tage fejl.
• "Ryd private oplysninger": kun ejeren, kun for en medarbejder, der er sat til "Ikke længere ansat" (ikke ejerens egen), og først når slutlønnen er sendt, dvs. alle medarbejderens dage og dagen for "Ikke længere ansat" ligger i en sendt lønperiode eller i de afregnede dage, og ingen tur i egen bil, linje til næste lønfil eller udlæg til refusion venter. Har Dataansvarlig aldrig sendt løn fra Tjenesten, eller er medarbejderen markeret som ikke på løn i lønsystemet, tjekkes det ikke, og Dataansvarlig må selv sikre, at slutlønnen er afregnet. Ejeren bekræfter ved at skrive medarbejderens fornavn, og rydningen kan ikke fortrydes. 4 uger efter "Ikke længere ansat" minder Tjenesten ejeren om at rydde, når slutlønnen er sendt; "Ikke endnu" udsætter påmindelsen 3 måneder.

Ved rydningen slettes medarbejderens telefon, mail, rolle, hjemadressen på medarbejderkortet, nummerplade og standardbil, login (som ved "Ikke længere ansat", pkt. 14.3), kalenderforbindelsen, invitationer, fravær, der ikke er godkendt, og noter ved fravær og kompetencer. Tjenesten forsøger at fjerne de aftaler, den har lagt i medarbejderens kalender. Medarbejderen fjernes fra fremtidige aftaler, fra åbne sager og som fast medarbejder på serviceaftaler og opgavetyper. Medarbejderen hedder derefter "Tidligere medarbejder #N" (et løbenummer pr. virksomhed), og navnet ændres, hvor det står som en kopi: på løntimer, ture og udlæg, i ændringsloggen og adgangsloggen, i linjerne og øjebliksbilledet ved siden af lønfilerne (selve lønfilen har ingen navne og ændres ikke) og hvor medarbejderen står som den, der har sendt, godkendt, afvist, rettet eller kvitteret for noget, fx lønperioder, ture, udlæg og beskeder og fakturaer til kunder. I loggen over godkendte AI-udkast fjernes også login-mailen. Står navnet kun som tekst, ændres det, hvor det er medarbejderens fulde navn og ikke hører til et login, der findes i dag. KS-skemaer beholder navnet, fordi de dokumenterer, hvem der udførte og kontrollerede arbejdet. På ture i firmabil erstattes hjemadressen af "Hjemme", også i ændringsloggens kopier; på ture i egen bil, der startede eller sluttede hjemme, bliver adressen stående som bilag for kørselsgodtgørelsen.

Løntimer, ture, medkørsler, udlæg, godkendt fravær, kompetencernes titel og datoer, lønoplysningerne, medarbejdernummer i lønsystemet, løntype, timepris og øvrige løndata bevares under det nye navn. Medarbejderens rigtige navn, medarbejdernummer i lønsystemet og, kun hvis adressen står på ture i egen bil hjemmefra, hjemadressen gemmes adskilt i en nøgle, så løn og timer fortsat kan kobles til personen. Nøglen kan kun ses af ejeren og indgår i dataudtrækket (pkt. 12.1). Derefter kan medarbejderen ikke ændres, slettes, få et login eller ansættes igen som samme medarbejder. Tjenesten viser et udkast til et svar på en sletteanmodning (hvad der er slettet, hvad der gemmes og hvorfor, og hvornår det slettes), som ejeren selv kan kopiere og sende; det er vejledende (vilkårenes pkt. 10.3).

Lønoplysningerne og udlæg slettes automatisk efter pkt. 14.3. En ryddet medarbejder slettes automatisk samme nat som medarbejderens sidste lønoplysninger: når året for medarbejderens seneste dag med data (løntimer, ture, også som medkørende, fravær, udlæg eller datoen for "Ikke længere ansat") er nået af sletningen efter pkt. 14.3, og der ikke længere står løndata tilbage med medarbejderen (lønperioder fra før den dag, lønfiler, lønlinjer, rettelser i ændringsloggen, udlæg eller et kørende stempelur). Har medarbejderen ingen dato, regnes fra dagen for rydningen. Det gælder også, når Dataansvarlig ikke har sendt løn fra Tjenesten. Da slettes medarbejderens løntimer, ture (kollegers medkørsel på dem følger med), ændringsloggen, lønlinjer, kvitteringer og bookingtider med medarbejderen, fravær, kompetencer, kalenderopgaver, nøglen og selve medarbejderen. Medarbejderens navn bliver stående på KS-skemaer, som dokumentation for, hvem der udførte og kontrollerede arbejdet. Adgangsloggen har sin egen frist (3 år, pkt. 6.8) og nævner kun "Tidligere medarbejder #N". Filerne fra "Hent alt", nøglen og datoerne for anmodninger sendes ikke til Anthropic.

6.13 "Position ved stempel ind" er et tilvalg, som Dataansvarlig selv slår til (som standard slået fra), for at tjekke, at timer registreres på den rigtige opgave. Når en medarbejder selv trykker for at stemple sig ind på en opgave, hentes telefonens position én gang og sendes med til Databehandler, som beregner afstanden til opgavens adresse (adressens koordinat slås op efter pkt. 4.5). Positionen gemmes ikke, heller ikke midlertidigt på telefonen, mens den er uden net. Der gemmes kun resultatet (på stedet, langt fra opgaven eller uden position og hvorfor, fx at medarbejderen har sagt nej til at dele positionen), afstanden i meter og en eventuel begrundelse. Der hentes ingen position i baggrunden, og medarbejderens position følges ikke. Tjekket gælder kun den, der stempler sig selv ind; ejeren tjekkes ikke, og heller ikke når ejeren eller en med "Løn og personale" stempler en anden ind. Tjekket advarer eller beder om en begrundelse, men forhindrer aldrig medarbejderen i at stemple ind. Resultatet kan ses af ejeren, af dem med "Løn og personale" og af medarbejderen selv, aldrig af kolleger. Afvigelser (langt fra opgaven eller uden position) er med i "Hent alt" (pkt. 6.12) med afstand og begrundelse. Resultatet slettes, når lønnen for perioden er sendt, og senest 92 dage efter arbejdsdagen (pkt. 14.3).

Tjekket starter først 6 uger efter, at Dataansvarlig har slået det til, og Tjenesten viser medarbejderne et varsel i appen og under "Min adgang". Dataansvarlig er selv ansvarlig for, at behandlingen har et lovligt grundlag (fx en legitim interesse efter GDPR artikel 6, stk. 1, litra f), for at informere medarbejderne, herunder efter de regler, der gælder på arbejdspladsen (fx en overenskomst eller aftale om kontrolforanstaltninger), og for at vurdere, om der skal laves en konsekvensanalyse (GDPR artikel 35). Databehandler bistår efter pkt. 12.2.

6.14 "Skrivestil" er et tilvalg, som Dataansvarlig selv slår til (som standard slået fra). Mens den er slået til, gemmer Databehandler, når en besked sendes eller markeres som sendt, AI'ens udkast sammen med den tekst, Dataansvarlig rettede det til, og de beskeder, Dataansvarlig selv skriver til kunden ("Skriv en besked" og kundeportalen). Et udkast, der sendes uden rettelser, gemmes ikke. Teksterne kan indeholde kundens navn og andre oplysninger fra sagen. Der gemmes højst de 30 nyeste pr. virksomhed og højst 12 måneder, de ældste slettes først, og fortrydes en markering som sendt, slettes teksten igen. Teksterne bruges kun til at foreslå Dataansvarlig en skrivestil: korte regler for, hvordan virksomheden skriver, fx at svarene skal være korte. Forslaget laves ved hjælp af kunstig intelligens (Bilag 3). Reglerne må ikke indeholde navne, adresser, beløb eller andre oplysninger om bestemte personer, de vises for Dataansvarlig, før de bruges, og Dataansvarlig kan rette eller slette dem. Indholdet af Dataansvarliges mailkonti læses ikke. Slår Dataansvarlig skrivestilen fra, slettes de gemte tekster med det samme. De slettes også, når den sag eller kunde, de hører til, slettes, og når kunden anonymiseres. Teksterne er med i "Hent alt" (pkt. 6.12).

7.1 Databehandler behandler alene personoplysninger efter dokumenteret instruks fra Dataansvarlig, jf. GDPR artikel 28, stk. 3, litra a. Denne Aftale, sammen med Dataansvarliges løbende brug af Tjenestens funktioner, udgør den dokumenterede instruks.

7.2 Databehandler underretter straks Dataansvarlig, hvis en instruks efter Databehandlers opfattelse er i strid med GDPR eller anden databeskyttelseslovgivning.

7.3 Er Databehandler retligt forpligtet til at behandle personoplysninger på anden vis, underretter Databehandler Dataansvarlig om dette retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

8.1 Databehandler sikrer, at alle medarbejdere og andre personer, der handler under Databehandlers instruktionsbeføjelse, og som har adgang til personoplysninger, er underlagt en passende tavshedspligt, der består også efter ansættelsens/aftalens ophør.

9.1 Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene for registreredes rettigheder, jf. GDPR artikel 32, har Databehandler gennemført følgende tekniske og organisatoriske foranstaltninger:

• Data-isolation mellem kunder: databasen anvender Row Level Security (RLS), som teknisk håndhæver, at én kundes data aldrig kan tilgås i forbindelse med en anden kundes forespørgsler, uafhængigt af fejl i applikationskoden.
• Kryptering: adgangsnøgler og tokens til tredjepartsintegrationer opbevares krypteret (AES-256-GCM) og aldrig i klartekst.
• Adgangskoder opbevares udelukkende som saltede, envejs-hashede værdier (bcrypt), aldrig i klartekst.
• Al kommunikation mellem brugerens browser og Tjenesten sker krypteret (HTTPS/TLS).
• Adgang til Tjenesten kræver login, og data er isoleret pr. virksomhed. Dataansvarliges kunder får alene adgang til deres egen sag (kundeportal, online booking, fortrydelse og ja til opstart) via et personligt link med en nøgle, der ikke kan gættes. Medarbejdere med adgangen "Egne opgaver" ser som udgangspunkt kun kundens oplysninger på deres egne opgaver. Kollegers aftaler ser de kun som "Optaget" med tidspunkt og medarbejder. Har ejeren slået "Se holdets opgaver i dag" til, ser de også kundens navn og adresse på kollegers aftaler i dag. Det håndhæves på serveren.
• Rate-begrænsning på offentligt tilgængelige endpoints for at begrænse misbrug og automatiserede angreb.
• Løbende egenkontrol og opdatering af sikkerhedsforanstaltninger i takt med Tjenestens udvikling.

9.2 Bilag 2 indeholder en nærmere beskrivelse af de tekniske og organisatoriske foranstaltninger.

10.1 Dataansvarlig giver hermed Databehandler en generel godkendelse til at gøre brug af underdatabehandlere til opfyldelse af Aftalen, jf. GDPR artikel 28, stk. 2.

10.2 Databehandler anvender på tidspunktet for denne Aftales indgåelse de underdatabehandlere, der fremgår af Bilag 3.

10.3 Databehandler underretter Dataansvarlig om enhver påtænkt ændring vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel, hvorved Dataansvarlig gives mulighed for at gøre indsigelse. Gør Dataansvarlig indsigelse, og kan Parterne ikke opnå enighed, er Dataansvarlig berettiget til at opsige sin konto i Tjenesten uden yderligere binding.

10.4 Databehandler sikrer, at der indgås en skriftlig aftale med enhver underdatabehandler, som pålægger denne de samme databeskyttelsesforpligtelser som dem, Databehandler er underlagt efter denne Aftale.

10.5 Databehandler er fuldt ansvarlig over for Dataansvarlig for underdatabehandleres opfyldelse af deres forpligtelser.

11.1 Dataansvarliges data opbevares som udgangspunkt hos en underdatabehandler med serverplacering i EU/EØS (jf. Bilag 3).

11.2 I det omfang en underdatabehandler er etableret uden for EU/EØS, eller overfører oplysninger dertil, sker dette alene på grundlag af et gyldigt overførselsgrundlag efter GDPR kapitel V, herunder EU-Kommissionens standardkontraktbestemmelser (SCC) og/eller den pågældende leverandørs certificering under EU-U.S. Data Privacy Framework, hvor relevant - jf. Bilag 3 for det konkrete grundlag pr. underdatabehandler.

12.1 Under hensyntagen til behandlingens karakter bistår Databehandler, så vidt muligt, Dataansvarlig ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af Dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af registreredes rettigheder efter GDPR kapitel III (indsigt, berigtigelse, sletning, begrænsning og dataportabilitet). Tjenesten stiller selv funktioner til rådighed for Dataansvarlig til direkte at slette eller anonymisere en kundes data og til at hente alle data som én fil ("Hent alle data"). For medarbejdere kan Dataansvarlig selv hente alle oplysninger om én medarbejder, få en påmindelse om svarfristen for en anmodning og rydde de private oplysninger om en tidligere medarbejder (pkt. 6.12). En anmodning, der ved en fejl sendes til Databehandler, videresendes uden unødig forsinkelse til Dataansvarlig, når det kan afgøres, hvilken kunde den vedrører.

12.2 Databehandler bistår endvidere Dataansvarlig med at sikre overholdelse af forpligtelserne i GDPR artikel 32-36 (sikkerhed, brud på persondatasikkerheden, konsekvensanalyser og forudgående høring), under hensyntagen til behandlingens art og de oplysninger, der er tilgængelige for Databehandler.

12.3 Tillader Dataansvarlig, at medarbejdere forbinder en privat kalender, er Dataansvarlig selv ansvarlig for i sin egen oplysning til sine kunder at nævne kalendertjenester valgt af medarbejdere som en kategori af modtagere, i det omfang det kræves efter GDPR artikel 13 og 14.

13.1 Databehandler underretter uden unødig forsinkelse, og under alle omstændigheder senest 48 timer efter at være blevet opmærksom herpå, Dataansvarlig om ethvert brud på persondatasikkerheden vedrørende personoplysninger, som Databehandler behandler på vegne af Dataansvarlig.

13.2 Underretningen skal, i det omfang det er muligt, indeholde de oplysninger, der er nødvendige for, at Dataansvarlig kan opfylde sin egen underretningspligt efter GDPR artikel 33-34, herunder karakteren af bruddet, de sandsynlige konsekvenser og de foranstaltninger, Databehandler har truffet eller foreslår truffet for at afhjælpe bruddet.

14.1 Ved ophør af Dataansvarliges brug af Tjenesten, uanset årsag, sletter Databehandler efter Dataansvarliges valg alle personoplysninger eller tilbageleverer dem til Dataansvarlig i et almindeligt anvendt, læsbart format, og sletter derefter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.

14.2 Sletning sker senest 90 dage efter kontoens ophør, medmindre Dataansvarlig forinden har anmodet om eksport af data. En konto på pause (vilkårenes pkt. 12.3) er ikke ophørt. Personoplysningerne opbevares i pausen, dog højst 6 måneder, hvorefter kontoen ophører og oplysningerne slettes. Dataansvarlig får varsel mindst 30 dage før sletningen og en kvittering bagefter, og kan hente alle data indtil da. Sletningen omfatter også registreringen af medarbejdernes arbejdstid, lønoplysningerne (pkt. 6.4) og udlæg med kvitteringer (pkt. 6.10). Dataansvarlig skal selv gemme registreringen af medarbejdernes arbejdstid (arbejdstidsloven) og sit regnskab og sine bilag (bogføringsloven) i 5 år. Ligger oplysningerne kun i Tjenesten, skal Dataansvarlig derfor selv hente en kopi med "Hent alle data" (pkt. 12.1), før kontoen slettes; udtrækket indeholder også lønoplysningerne og udlæggene med kvitteringer.

14.3 Mens kontoen er aktiv, gælder desuden:

• Resultatet af tjekket ved stempel ind (pkt. 6.13) slettes automatisk, når lønnen for perioden er sendt, og senest 92 dage efter arbejdsdagen.
• En medarbejders CPR-nummer (pkt. 5) slettes, når ejeren sletter det, når medarbejderens private oplysninger ryddes, og når medarbejderen eller kontoen slettes.
• Tekster gemt til skrivestilen (pkt. 6.14): højst de 30 nyeste pr. virksomhed og højst 12 måneder; alle slettes med det samme, når skrivestilen slås fra, og en sags eller kundes tekster, når sagen eller kunden slettes eller kunden anonymiseres.
• Sletter Dataansvarlig en sag eller en kundes sager, slettes sagens oplysninger, billeder og filer. Løntimer, kørsel og udlæg bevares som løn- og skattedokumentation, men uden kundens navn, adresse og noter. Anonymiserer Dataansvarlig en kunde, fjernes kundens adresse og noterne på samme måde fra løntimer og kørsel på kundens sager. I begge tilfælde gælder det også ændringsloggens kopier (pkt. 6.4), herunder kopier af løntimer og ture, der forinden er slettet eller flyttet til en anden sag. En anonymisering fjerner bl.a. kundens navn, kontaktoplysninger og adresse og beskederne til og fra kunden fra sagerne, men sagernes titel, opgavelog, mangelliste, billeder og filer ryddes ikke; dem må Dataansvarlig selv gennemgå.
• Dokumentation for kvalitetssikring bevares, når en sag slettes, fordi en autoriseret virksomhed skal kunne fremvise den i 5 år (bekendtgørelse nr. 725 af 12. juni 2024, § 3, stk. 3). Den slettes, når Dataansvarlig selv sletter den, eller sammen med kontoen.
• Mails, der vurderes ikke at være en kundehenvendelse, slettes automatisk efter 30 dage. Ligner en sådan mail en anmodning om indsigt i eller sletning af personoplysninger, slettes den dog først efter 60 dage (pkt. 6.12).
• Leverandørfakturaer fra indbakken (pkt. 4.1) gemmes med den originale fil, så længe Dataansvarlig har en konto, og slettes sammen med kontoen. De er med, når Dataansvarlig henter alle sine data. Sletter eller anonymiserer Dataansvarlig en kunde eller en sag, fjernes leveringsadressen, henvisningerne, mailens emne og den originale fil fra de leverandørfakturaer, der hører til sagen eller er leveret til kundens adresse; varer, beløb og leverandør bliver.
• Udlæg (pkt. 6.10) slettes automatisk med kvitteringen efter samme frist som lønoplysningerne (se nedenfor), regnet fra udlæggets dato. Et udlæg, der er kommet med i en lønfil, slettes dog først, når den lønfil er slettet. Udlæg slettes også, når Dataansvarlig sletter et udlæg, der ikke er godkendt, og sammen med kontoen.
• Loggen over de mails og push-beskeder, Tjenesten sender, slettes efter 12 måneder.
• Loggen over godkendte AI-udkast (hvem der godkendte hvad og hvornår; login-mailen gemmes også, men kommer kun med i dataudtrækket) slettes efter 3 år.
• Adgangsloggen (pkt. 6.8) slettes automatisk linje for linje 3 år efter hver ændring, også hvis medarbejderen eller login er slettet forinden. Tidspunktet for, hvornår et login sidst blev brugt (pkt. 6.9), slettes, når login lukkes. Tidspunktet for ejerens seneste "Behold" slettes, når login lukkes, når et andet login kobles til medarbejderen, eller når medarbejderen slettes.
• Lønoplysningerne (pkt. 6.4) slettes automatisk tidligst 5 år efter udgangen af året efter det år, lønperioden vedrører. Lønoplysninger fra 2026 slettes altså tidligst 1. januar 2033. Det ekstra år gør, at fristen som udgangspunkt også dækker et regnskabsår, der ikke følger kalenderåret, og en referenceperiode for arbejdstiden på op til 12 måneder. Den automatiske sletning sker aldrig tidligere. Lønoplysningerne slettes dog også, når kontoen slettes (pkt. 14.2), og en kvittering kan fjernes eller erstattes (pkt. 6.4). Hvilket år en lønperiode vedrører, afgøres af det seneste af periodens sidste dag, lønudbetalingsdagen og den seneste afsendelse. For en ændring i ændringsloggen afgøres det af det seneste af de datoer, ændringen gælder, og den dag, den blev foretaget. Noget gemmes længere: en lønperiode, der er låst op og ikke sendt igen, slettes først, når den er sendt igen, og så længe en lønperiode gemmes, gemmes de senere perioder og ændringsloggen for deres dage også. Forskelslinjer og udbetalinger af afspadsering, der aldrig er kommet med i en lønfil, slettes efter samme frist, regnet fra det år, de blev registreret, men aldrig, så længe den lønperiode, de stammer fra, stadig gemmes. Tjenesten varsler ikke før den automatiske sletning. Har Dataansvarlig en regnskabsperiode på mere end 12 måneder (fx den første), kan det være nødvendigt selv at gemme en kopi (pkt. 12.1) længere. De afregnede dage forbliver låste, efter at lønoplysningerne er slettet (pkt. 6.5). Afspadsering fra de slettede lønperioder og fra slettede udbetalinger af afspadsering samles i en åbningssaldo pr. medarbejder, så medarbejderens afspadseringssaldo ikke ændrer sig. Åbningssaldoen bliver stående.
• Løntimer, kørsel (herunder godkendelsen på en tur) og fravær er ikke en del af lønoplysningerne og har i dag ingen automatisk sletningsfrist (om en tidligere medarbejder, hvis private oplysninger er ryddet, og Databehandlers sletning på anmodning, se pkt. 6.12). De slettes, når Dataansvarlig sletter dem (løntimer og kørsel i en sendt periode eller på de afregnede dage dog kun efter oplåsning eller åbning, pkt. 6.5), fravær også sammen med medarbejderen, og alle sammen med kontoen. Løntimer og kørsel bevares, når en sag eller en medarbejder slettes. Kører et stempelur på en sag, når sagen slettes, slettes uret dog uden at blive til en løntime, og det logges ikke; tiden skal da registreres igen. En medarbejders login kan ikke lukkes, og medarbejderen kan ikke slettes, mens medarbejderen har et stempelur eller en tur i gang. Er en sletning eller rettelse logget (pkt. 6.4), står det oprindelige, fx en note, en adresse eller årsagen til et fravær, fortsat i ændringsloggen indtil den automatiske sletning af lønoplysningerne, også hvis medarbejderen er slettet. Noten og kundens adresse fjernes dog, hvis Dataansvarlig sletter sagen, eller kunden anonymiseres (første punkt).
• En medarbejder, der har løntimer, kørsel, medkørsel eller fravær på en dag, som ligger i en lønperiode, der har været sendt og stadig gemmes, eller er en af de afregnede dage, kan først slettes, når den automatiske sletning af lønoplysningerne er nået forbi den dag. Har medarbejderen et udlæg, der er kommet med i en lønfil, kan medarbejderen først slettes, når udlægget er slettet (se ovenfor). Medarbejderen kan heller ikke slettes, mens et udlæg til refusion venter på at blive godkendt, afvist eller sendt med lønnen. Indtil da kan medarbejderen sættes til "Ikke længere ansat", dog ikke mens medarbejderen har et stempelur eller en tur i gang (se ovenfor). Så lukkes medarbejderens login, adgangen "Løn og personale" fjernes, og åbne invitationer trækkes tilbage. Det skrives i adgangsloggen (pkt. 6.8), og tidspunkterne for, hvornår login sidst blev brugt, og for et "Behold" slettes. Datoen for "Ikke længere ansat" gemmes og fjernes igen, hvis medarbejderen sættes tilbage til ansat. De øvrige oplysninger om medarbejderen (fx kontaktoplysninger, hjemadresse og kompetencer) gemmes fortsat. Dataansvarlig kan selv fjerne dem, der ikke længere er brug for, eller rydde dem samlet (pkt. 6.12), og Tjenesten minder ejeren om det 4 uger efter "Ikke længere ansat", når slutlønnen er sendt. Om at slette medarbejderen, når det bliver muligt, giver Tjenesten ikke besked. En ryddet medarbejder kan ikke slettes (pkt. 6.12). Slettes en medarbejder, bevares medarbejderens løntimer, ture og udlæg med medarbejderens navn, uden tidsbegrænsning, til Dataansvarlig sletter dem, eller kontoen slettes. Navnet står også fortsat i de lønoplysninger, der endnu ikke er slettet, mens fravær, medkørsler, kompetencer og tidspunktet for et "Behold" slettes med medarbejderen. I adgangsloggen bliver navnet stående, til linjen slettes efter 3 år (pkt. 6.8). Har medarbejderen sendt en lønperiode, godkendt en tur, kvitteret for en afvigelse eller rettet en registrering, bliver navnet også stående dér.

15.1 Databehandler stiller efter anmodning alle oplysninger til rådighed for Dataansvarlig, der er nødvendige for at påvise overholdelsen af de forpligtelser, der er fastsat i GDPR artikel 28 og i denne Aftale, og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af Dataansvarlig eller en revisor bemyndiget af Dataansvarlig, med rimeligt varsel og under hensyntagen til driftsmæssige hensyn.

16.1 Hver Part er ansvarlig for egne overtrædelser af GDPR og denne Aftale i overensstemmelse med gældende ret.

16.2 Databehandlers ansvar over for Dataansvarlig i medfør af denne Aftale er underlagt de ansvarsbegrænsninger, der i øvrigt måtte følge af Vilkårene for brug af Tjenesten, i det omfang sådanne begrænsninger er gyldige efter gældende ret.

17.1 Aftalen træder i kraft på det tidspunkt, der er angivet i punkt 3.2.

17.2 Databehandler kan ændre denne Aftale for at afspejle ændringer i Tjenesten, underdatabehandlere eller gældende lovgivning. Væsentlige ændringer varsles med mindst 30 dages forudgående varsel.

17.3 Denne Aftale er underlagt dansk ret. Enhver tvist, der udspringer af eller relaterer sig til denne Aftale, skal afgøres ved [Databehandlers hjemting - udfyldes ved stiftelse], jf. retsplejelovens almindelige regler herom.

18.1 Denne Aftale indgås elektronisk og kræver ikke fysisk underskrift. Dataansvarlig accepterer Aftalen ved aktivt at afkrydse en bekræftelse herom i forbindelse med oprettelse af en konto i Tjenesten, jf. punkt 1.3 og 3.2. Et sådant elektronisk samtykke har samme retsvirkning som en fysisk underskrift mellem erhvervsdrivende parter.

18.2 Dataansvarlig kan til enhver tid anmode om en kopi af den til enhver tid gældende Aftale, herunder oplysning om tidspunktet for accept, ved henvendelse til Databehandler.

Uddybning af punkt 9. Foranstaltningerne udvikles løbende i takt med Tjenesten; denne beskrivelse afspejler status pr. sidste opdatering af denne side.

• Row Level Security (RLS) på databaseniveau - tenant-isolation håndhæves af databasen selv, ikke kun af applikationslogik.
• Kryptering af følsomme tokens/nøgler i hvile (AES-256-GCM med unik initialiseringsvektor pr. kryptering).
• Adgangskode-hashing med bcrypt (saltet, envejs).
• TLS-kryptering af al trafik mellem klient og server.
• Det, en bruger laver uden net (fx en note, et billede eller en ny sag skrevet som kladde), gemmes på brugerens telefon, indtil der er net, og sendes eller gemmes derefter i Tjenesten. Det slettes fra telefonen, når brugeren logger ud, og når en anden bruger logger ind på samme telefon.
• Session-baseret autentificering af brugere, med valgfri totrinsbekræftelse. Uden for login gives adgang alene til Dataansvarliges kunders egen sag via et personligt link med en nøgle, der ikke kan gættes (se pkt. 9.1).
• En konto på pause kan læses, men kun ændres i få tilfælde: login og kontoindstillinger (fx adgangskode, totrinsbekræftelse, tema og kalenderforbindelse), betaling, afmelding af nyheder, fjernelse af adgangen "Løn og personale", lukning af et login (for en medarbejder fjerner det også "Løn og personale" og trækker åbne invitationer tilbage), tilbagetrækning af en invitation og ejerens tryk på "Det passer" i "Hvem må hvad?" eller "Behold" ved et login, der ikke er brugt i 3 måneder (pkt. 6.9). Undtaget er også, at ejeren noterer en medarbejders anmodning om indsigt, rydder en tidligere medarbejders private oplysninger og udsætter påmindelsen om det (pkt. 6.12). En invitation kan ikke bruges til et nyt login under pausen. Lønnen kan også laves: man kan godkende og afsende lønperioder, hvor intet skal rettes først, og lave lønfilen; afsendelsen godkender også de ture, der vises. Man kan desuden registrere udbetaling af afspadsering, kvittere for afvigelser eller fjerne en kvittering, låse en lønperiode op, lukke de afregnede dage, hvis de er åbne for rettelser, stoppe en kollegas stempelur (uret bliver til en løntime), fjerne en kollegas glemte tur, godkende eller afvise udlæg og vælge, hvordan ture efter dag 60 sendes, og løntypen til dem (pkt. 6.10 og 6.11). Alt andet vedrørende firmaets data er låst, også at registrere eller rette et udlæg. Det gælder også at rette løntimer, ture og fravær, at ændre en medarbejders adgangstype eller status og at slå et tilvalg for "Egne opgaver" til eller fra, også når det giver mindre adgang (et login kan dog lukkes og "Løn og personale" fjernes, se ovenfor). De afregnede dage kan ikke åbnes. Det håndhæves som udgangspunkt på serveren.
• Rate-begrænsning på autentificerings- og webhook-endepunkter.
• Adskillelse af driftsmiljøer (udvikling/produktion) med separate adgangsnøgler og databaser.
• Løbende gennemgang af adgangsrettigheder og tredjepartsintegrationer.

Se afsnit 10-11 ovenfor for de generelle vilkår, der gælder for brug af underdatabehandlere.

Bemærkning om Billy og e-conomic: Vælger Dataansvarlig aktivt at forbinde sin egen konto hos Billy (leveret af Billys Billing ApS) eller e-conomic (leveret af Visma e-conomic A/S) til Tjenesten, sker dette ved at Dataansvarlig selv stiller adgangsoplysninger til rådighed. Hverken Billy eller e-conomic er i den forbindelse en underdatabehandler antaget af Mesterio, men et selvstændigt databehandlerforhold, som Dataansvarlig allerede har eller selv indgår direkte med den pågældende leverandør. Mesterio anbefaler, at Dataansvarlig sikrer sig en egen databehandleraftale med Billy og/eller e-conomic for dette forhold.

Bemærkning om udgående e-mail fra en privat mailkonto eller egen mailserver: Tjenesten kan sende de beskeder, Dataansvarlig selv har godkendt, fra Dataansvarliges egen postkasse. Forbinder Dataansvarlig en privat mailkonto (fx en privat Google-konto (Gmail) eller en privat Microsoft-konto (Outlook.com/Hotmail)), er udbyderen ikke en underdatabehandler antaget af Mesterio og er ikke omfattet af Googles eller Microsofts databehandlertillæg i tabellen ovenfor, som alene dækker arbejdskonti. Udbyderen behandler da beskederne som selvstændig dataansvarlig efter sine egne vilkår over for kontohaveren, på samme måde som når Dataansvarlig selv sender en mail fra kontoen. Forbinder Dataansvarlig sin egen mailserver (SMTP), er mailudbyderen heller ikke en underdatabehandler antaget af Mesterio, men et forhold, som Dataansvarlig selv har med sin udbyder. Dataansvarlig vælger selv, hvilken postkasse beskederne sendes fra, og er ansvarlig for, at det er foreneligt med Dataansvarliges egne forpligtelser. Mesterio anbefaler en arbejdskonto eller en udbyder, Dataansvarlig har en databehandleraftale med.

Bemærkning om generisk CalDAV-kalenderforbindelse: Vælger Dataansvarlig at lade en medarbejder forbinde sin kalender via generisk CalDAV (fx til Nextcloud, Fastmail, iCloud eller mailbox.org) i stedet for Google eller Microsoft, sker dette ved at medarbejderen selv stiller adgangsoplysninger til rådighed for den valgte tjeneste. Den pågældende CalDAV-udbyder er i denne forbindelse ikke en underdatabehandler antaget af Mesterio. I modsætning til Google/Microsoft, hvor Tjenesten teknisk afgør, om kontoen er en arbejdskonto eller en privat konto, har CalDAV-protokollen ingen tilsvarende oplysning. Medarbejderen vælger derfor selv ved forbindelsen, om kalenderen er (a) firmaets kalenderkonto, som får hele aftalen, eller (b) en privat kalender, som alene får tidspunkt og en generisk titel efter reglerne i bemærkningen om private kalendere nedenfor. Privat kalender er standardvalget. Vælges (a), er forholdet et selvstændigt databehandlerforhold, som Dataansvarlig selv indgår direkte med udbyderen, og Dataansvarlig er selv ansvarlig for at sikre, at kontoen er omfattet af en gyldig databehandleraftale, før forbindelsen aktiveres. Mesterio kan hverken bekræfte eller garantere medarbejderens valg.

Bemærkning om private kalendere: Dataansvarlig kan lade en medarbejder forbinde sin egen private kalender (fx en privat Google-konto (Gmail), en privat Microsoft-konto (Outlook.com/Hotmail) eller iCloud) til Tjenesten. Til en privat kalender sender Tjenesten udelukkende aftalens start- og sluttidspunkt og en fast, generisk titel ("AI Mester: aftale"). Kundens navn, adresse, kontaktoplysninger, noter og øvrige sagsoplysninger sendes aldrig til en privat kalender og kan alene ses i Tjenesten, der kræver login. Tjenesten læser ikke indholdet af en privat kalender. Kalenderen vælges og forbindes af medarbejderen selv, og udbyderen behandler oplysningerne som selvstændig dataansvarlig efter sine egne vilkår over for medarbejderen. Udbyderen er derfor ikke en underdatabehandler antaget af Mesterio og fremgår ikke af tabellen ovenfor. Forbindelsen kan til enhver tid afbrydes, hvorefter Tjenesten ikke sender flere aftaler til kalenderen og efter valg sletter de aftaler, Tjenesten selv har oprettet der. Medarbejderen bør ikke selv tilføje kundeoplysninger til aftalerne i den private kalender. Se også pkt. 12.3.