1. Parter, anvendelsesområde og roller
Denne databehandleraftale ("DPA") udgør en del af servicevilkårene mellem Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Danmark, under binavnet OpenBanking IO ApS ("Databehandleren", "vi", "os"), og den erhvervskunde, der anvender tjenesten ("Den dataansvarlige", "du", "jer").
Aftalen gælder efter databeskyttelsesforordningens (GDPR) artikel 28, når I tilslutter bankkonti, hvis kontoudtog eller transaktioner indeholder personoplysninger (f.eks. navne på modparter, IBAN-numre, lønudbetalinger eller betalingsreferencer). Spørgsmål: privacy@open-banking.io.
2. Behandlingens karakter, formål og varighed
Vi behandler udelukkende personoplysninger for at levere tjenesten open-banking.io: indhentning af konto- og transaktionsdata via PSD2-API'er under synkroniseringer, kryptering af følsomme bankdata under jeres registrerede offentlige nøgle, opbevaring af de resulterende poster og strukturelle synkroniseringsmetadata samt levering heraf tilbage til jer via webapplikationen og API'et.
Behandlingen løber så længe jeres konto er aktiv, og ophører når I fjerner en enkelt bankkonto eller sletter jeres brugerkonto.
3. Kategorier af registrerede og personoplysninger
- Registrerede: kontohavere, modparter, kunder, leverandører og medarbejdere, hvis oplysninger fremgår af jeres tilsluttede bankkonti og kontoudtog, samt autoriserede brugere på jeres konto.
- Personoplysninger: kontoidentifikatorer (IBAN, BBAN, kontonumre), navne på kontohavere og modparter, beløb, posteringstekster og betalingsreferencer (forseglet under jeres offentlige nøgle, når den er registreret), sammen med strukturelle metadata nødvendige for synkronisering, dedublikering og PSD2-overholdelse (bankidentifikator, valuta, bogførings-/valørdatoer, krypterede sessions-/konto-UID'er, PSU IP-adresse og User-Agent ved brugerinitierede synkroniseringer samt 90-dages drifts- og API-logfiler).
Bankadgangsoplysninger indsamles, ses eller opbevares aldrig af os.
4. Dokumenterede instrukser og klient-side-kryptering
Vi behandler kun personoplysninger efter jeres dokumenterede instruks — dvs. jeres konfiguration og brug af tjenesten og API'et — medmindre andet kræves efter EU-retten eller dansk ret.
Når I har registreret en offentlig ECDH P-256-nøgle, forsegles følsomme bankdata indhentet via Enable Banking (navne på kontohavere og modparter, IBAN/BBAN, transaktionsbeløb, posteringstekster og rå bank-JSON) under jeres offentlige nøgle (ephemeral ECDH P-256 + HKDF-SHA256 + AES-256-GCM), så vi ikke kan dekryptere disse data ved opbevaring, medmindre I selv eksplicit aktiverer midlertidig support-fejlfinding i et afgrænset tidsrum.
5. Fortrolighed og sikkerhedsforanstaltninger (GDPR art. 32)
Personer, der er autoriseret af os til at tilgå infrastrukturen, er underlagt tavshedspligt.
Vi gennemfører tekniske og organisatoriske foranstaltninger, der passer til risikoen:
- End-to-end envelope-kryptering under nøgler, der genereres og opbevares på jeres egne enheder eller systemer
- TLS 1.2/1.3-kryptering af al datatrafik
- Hosting i ISO/IEC 27001:2022-certificerede EU-datacentre med stramme Kubernetes-netværkspolitikker og mindste-privilegie-adgang
- Europæisk DDoS-beskyttelse, Web Application Firewall (WAF) og rate-limiting ved netværkskanten
6. Godkendte underdatabehandlere
I giver generel skriftlig godkendelse til følgende europæiske underdatabehandlere:
- Enable Banking Oy (Espoo, Finland) — PSD2-kontoinformationstjenesteudbyder (AISP) under tilsyn af det finske finanstilsyn (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Tyskland og Finland) — ISO/IEC 27001:2022-certificeret datacenterhosting og lagring.
- Bunny.net (BunnyWay d.o.o., Ljubljana, Slovenien) — DDoS-beskyttelse, WAF, DNS og edge-netværk på europæisk infrastruktur.
- Stripe (Stripe Payments Europe, Ltd., Irland) — betalingsafvikling og fakturering.
Vi pålægger enhver underdatabehandler databeskyttelsesforpligtelser, der ikke er mindre beskyttende end denne aftale, og hæfter for deres opfyldelse. Vi varsler jer pr. e-mail før tilføjelse eller udskiftning af en underdatabehandler, så I kan gøre indsigelse ved at lukke jeres konto inden ændringen træder i kraft.
7. Dataplacering i EU og tredjelandsoverførsler
Alle bank- og kontodata opbevares og behandles udelukkende inden for EU og EØS (Tyskland, Finland og europæisk edge-infrastruktur). Vi overfører ikke jeres bankdata uden for EU/EØS.
8. Bistand, underretning om brud og revision
Da jeres bankdata er direkte tilgængelige for jer via appen og API'et, kan I til enhver tid selv eksportere eller slette data. Under hensyntagen til behandlingens karakter bistår vi jer efter henvendelse til privacy@open-banking.io med registreredes rettigheder, sikkerhedsvurderinger og DPIA-forespørgsler.
Vi underretter jer uden unødig forsinkelse — og senest 48 timer efter at vi er blevet bekendt med det — ved ethvert brud på persondatasikkerheden, der berører jeres konto, med de oplysninger der kræves efter GDPR artikel 33.
Vi stiller alle oplysninger til rådighed, som med rimelighed er nødvendige for at påvise overholdelse af GDPR artikel 28, og giver mulighed for revision efter rimeligt forudgående skriftligt varsel.
9. Sletning ved ophør og lovvalg
Afbrydelse af en bankforbindelse tilbagekalder PSD2-sessionen og stopper nye synkroniseringer, mens jeres importerede historik bevares, indtil I fjerner kontoen. Når I fjerner en enkelt bankkonto eller sletter jeres brugerkonto, slettes konto- og transaktionsdata permanent fra de aktive databaser og udfases automatisk fra databasesikkerhedskopier inden for 30 dage (alene lovpligtige fakturerings- og bogføringsbilag opbevares efter bogføringsloven samt kortvarige driftslogfiler, der udløber inden for 90 dage).
Denne databehandleraftale er underlagt dansk ret med værneting ved de danske domstole. Kontakt vedrørende databeskyttelse: privacy@open-banking.io.