1. Parter, virkeområde og roller
Denne databehandleravtalen («DPA») utgjør en del av tjenestevilkårene mellom Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Danmark, som driver open-banking.io under binavnet OpenBanking IO ApS («Databehandleren», «vi», «oss»), og bedriftskunden som bruker tjenesten («Den behandlingsansvarlige», «du», «dere»).
Avtalen gjelder etter personvernforordningens (GDPR) artikkel 28 når dere kobler til bankkontoer der kontoutskrifter eller transaksjoner inneholder personopplysninger (f.eks. navn på motparter, IBAN-numre, lønnsutbetalinger eller betalingsreferanser). Spørsmål: privacy@open-banking.io.
2. Behandlingens art, formål og varighet
Vi behandler personopplysninger utelukkende for å levere tjenesten open-banking.io: innhenting av konto- og transaksjonsdata via PSD2-API-er under synkroniseringer, kryptering av sensitive bankdata under deres registrerte offentlige nøkkel, lagring av de resulterende postene og strukturelle synkroniseringsmetadata, samt levering av disse tilbake til dere via nettappen og API-et.
Behandlingen pågår så lenge kontoen deres er aktiv, og opphører når dere fjerner en enkelt bankkonto eller sletter brukerkontoen deres.
3. Kategorier av registrerte og personopplysninger
- Registrerte: kontoinnehavere, motparter, kunder, leverandører og ansatte hvis opplysninger fremgår av deres tilkoblede bankkontoer og kontoutskrifter, samt autoriserte brukere på kontoen deres.
- Personopplysninger: kontoidentifikatorer (IBAN, BBAN, kontonumre), navn på kontoinnehavere og motparter, transaksjonsbeløp, beskrivelser og betalingsreferanser (forseglet under deres offentlige nøkkel når den er registrert), sammen med strukturelle metadata som kreves for synkronisering, deduplisering og PSD2-etterlevelse (bankidentifikator, valuta, bokførings-/valutadatoer, krypterte sesjons-/konto-UID-er, PSU IP-adresse og User-Agent ved brukerinitierte synkroniseringer, samt 90-dagers API- og synkroniseringslogger).
Bankinnloggingsdetaljer samles aldri inn, ses eller lagres av oss.
4. Dokumenterte instrukser og klientside-kryptering
Vi behandler kun personopplysninger etter deres dokumenterte instruks — det vil si deres konfigurasjon og bruk av tjenesten og API-et — med mindre annet kreves av EU-/EØS-retten eller dansk rett.
Når dere har registrert en offentlig ECDH P-256-nøkkel, forsegles sensitive bankdata hentet via Enable Banking (navn på kontoinnehavere og motparter, IBAN/BBAN, beløp, betalingsbeskrivelser og rå bank-JSON) under deres offentlige nøkkel (ephemeral ECDH P-256 + HKDF-SHA256 + AES-256-GCM), slik at vi ikke kan dekryptere disse dataene ved lagring med mindre dere selv eksplisitt aktiverer midlertidig support-feilsøking for et avgrenset tidsvindu.
5. Konfidensialitet og sikkerhetstiltak (GDPR art. 32)
Enhver som er autorisert av oss til å ha tilgang til infrastrukturen, er underlagt taushetsplikt.
Vi gjennomfører tekniske og organisatoriske tiltak tilpasset risikoen:
- Ende-til-ende-konvoluttkryptering under nøkler som genereres og oppbevares på deres egne enheter eller systemer
- TLS 1.2/1.3-kryptering for all datatrafikk
- Hosting i ISO/IEC 27001:2022-sertifiserte EU-datasentre med strenge Kubernetes-nettverkspolicyer og tilgang etter minste privilegiums prinsipp
- Europeisk DDoS-beskyttelse, Web Application Firewall (WAF) og hastighetsbegrensning i nettverkskanten
6. Godkjente underdatabehandlere
Dere gir generell skriftlig godkjenning til følgende europeiske underdatabehandlere:
- Enable Banking Oy (Espoo, Finland) — PSD2-kontoinformasjonstjenesteyter (AISP) under tilsyn av det finske finanstilsynet (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Tyskland og Finland) — ISO/IEC 27001:2022-sertifisert datasenterhosting og lagring.
- Bunny.net (BunnyWay d.o.o., Ljubljana, Slovenia) — DDoS-beskyttelse, WAF, DNS og kantnettverk på europeisk infrastruktur.
- Stripe (Stripe Payments Europe, Ltd., Irland) — betalingsformidling og fakturering.
Vi pålegger hver underdatabehandler personvernforpliktelser som ikke er mindre beskyttende enn denne avtalen, og er ansvarlige for deres oppfyllelse. Vi varsler dere på e-post før vi legger til eller bytter en underdatabehandler, slik at dere kan protestere ved å avslutte kontoen før endringen trer i kraft.
7. Datalagring i EU og overføringer til tredjeland
Alle bank- og kontodata lagres og behandles utelukkende innenfor EU og EØS (Tyskland, Finland og europeisk kantinfrastruktur). Vi overfører ikke bankdataene deres utenfor EU/EØS.
8. Bistand, varsling ved sikkerhetsbrudd og revisjon
Ettersom bankdataene deres er direkte tilgjengelige for dere via appen og API-et, kan dere når som helst eksportere eller slette poster selv. Under hensyn til behandlingens art bistår vi dere ved henvendelse til privacy@open-banking.io med forespørsler fra registrerte, sikkerhetsvurderinger og DPIA-henvendelser.
Vi varsler dere uten ugrunnet opphold — og senest innen 48 timer etter at vi ble kjent med forholdet — ved ethvert brudd på personopplysningssikkerheten som berører kontoen deres, med opplysningene som kreves etter GDPR artikkel 33.
Vi gjør tilgjengelig all informasjon som med rimelighet er nødvendig for å påvise etterlevelse av GDPR artikkel 28, og legger til rette for revisjoner eller inspeksjoner etter rimelig skriftlig forhåndsvarsel.
9. Sletting ved opphør og lovvalg
Å koble fra en bankforbindelse tilbakekaller PSD2-sesjonen og stopper nye synkroniseringer, samtidig som den importerte historikken beholdes til dere fjerner kontoen. Når dere fjerner en enkelt bankkonto eller sletter brukerkontoen deres, slettes konto- og transaksjonspostene permanent fra aktive databaser og fases ut av databasesikkerhetskopier innen 30 dager (kun lovpålagte fakturerings- og regnskapsbilag oppbevares etter den danske bokføringsloven samt kortvarige driftslogger som utløper innen 90 dager).
Denne databehandleravtalen er underlagt dansk rett med verneting ved de danske domstolene. Kontakt for alle personvernspørsmål: privacy@open-banking.io.