Databehandleraftale

i henhold til databeskyttelsesforordningens (GDPR) artikel 28, stk. 3

Denne databehandleraftale gælder for alle virksomheder, der bruger jajob.dk's rekrutteringsværktøjer. Den er en del af vores vilkår for brug og accepteres sammen med dem. Ønsker I en underskrevet version med jeres virksomheds oplysninger, kan I bestille den her — indholdet er det samme.

Den dataansvarlige: den virksomhed, der har en arbejdsgiverkonto på jajob.dk („virksomheden")

Databehandleren: LynBro ApS, CVR-nr. 46321499, Rødovre Parkvej 276, 2610 Rødovre („jajob.dk")

1. Baggrund og formål

1.1. Virksomheden bruger jajob.dk til at slå stillinger op og behandle ansøgninger (pipeline, noter, scorekort, samtaler, beskeder, invitationer og evt. import fra virksomhedens eget rekrutteringssystem, ATS). Når virksomheden bruger disse værktøjer til at vurdere kandidater, er virksomheden dataansvarlig, og jajob.dk behandler oplysningerne på virksomhedens vegne.

1.2. jajob.dk er selvstændigt dataansvarlig for jobsøgernes konti og profiler, for matching og for driften og sikkerheden af platformen, jf. vores privatlivspolitik. Denne aftale omfatter kun den behandling, jajob.dk udfører for virksomheden.

1.3. Virksomheden er ansvarlig for, at dens egen behandling er lovlig, herunder at den har et gyldigt behandlingsgrundlag, oplyser kandidaterne om sin rekruttering, kun bruger oplysningerne til den rekruttering, de er givet til, og at jobopslag, også dem der importeres fra virksomhedens ATS, er lovlige og retvisende.

2. Behandlingen

Formål	Levering af jajob.dk's rekrutteringsværktøjer til virksomheden
Karakter	Opbevaring, visning, søgning, strukturering, overførsel mellem virksomhedens brugere, sikkerhedskopiering, sletning; AI-hjælp (resuméer, matchforklaringer) uden automatiske afgørelser
Kategorier af registrerede	Ansøgere og kandidater, virksomhedens egne brugere (teammedlemmer)
Kategorier af oplysninger	Ansøgning, CV og profiloplysninger, svar på screeningspørgsmål, kontaktoplysninger, som kandidaten har valgt at dele, status, noter, scorekort, samtaletider, beskeder. Følsomme oplysninger (art. 9) og CPR-numre må ikke behandles i tjenesten
Varighed	Så længe virksomheden har en konto, og indtil oplysningerne er slettet efter pkt. 11 og jajob.dk's slettefrister

3. Instruks

3.1. jajob.dk behandler kun oplysningerne efter dokumenteret instruks fra virksomheden. Vilkårene for brug, denne aftale og virksomhedens brug af tjenestens funktioner udgør instruksen. Yderligere instruks gives skriftligt (e-mail er tilstrækkeligt).

3.2. jajob.dk underretter straks virksomheden, hvis en instruks efter vores opfattelse strider mod databeskyttelsesreglerne.

4. Fortrolighed

Kun medarbejdere og leverandører hos jajob.dk, der har behov for det, har adgang til oplysningerne, og de er forpligtet til fortrolighed.

5. Sikkerhed

5.1. jajob.dk træffer passende tekniske og organisatoriske foranstaltninger efter art. 32 (bilag C), herunder krypteret forbindelse (TLS), adgangskoder gemt som hash, rollebaseret adgang i virksomheden (ejer, rekrutterer, læser), revisionslog over handlinger i virksomhedskontoen, adskillelse mellem virksomheder, løbende sikkerhedsopdateringer, overvågning og regelmæssig backup.

5.2. Virksomheden er selv ansvarlig for, hvem den giver adgang til sin konto, og for sine brugeres adgangskoder.

6. Underdatabehandlere

6.1. Virksomheden giver generel forhåndsgodkendelse af de underdatabehandlere, der står i bilag B.

6.2. jajob.dk underretter virksomheden mindst 30 dage før tilføjelse eller udskiftning af en underdatabehandler (e-mail til kontoens ejer og opdatering af denne side). Virksomheden kan inden for fristen gøre saglig indsigelse; kan parterne ikke blive enige, kan virksomheden lukke sin konto med virkning fra ændringen.

6.3. jajob.dk pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale.

7. Overførsel til tredjelande

Overførsel uden for EU/EØS sker kun til de underdatabehandlere, der står i bilag B, og kun med et gyldigt overførselsgrundlag efter GDPR kapitel V (EU-US Data Privacy Framework og/eller Europa-Kommissionens standardkontraktbestemmelser).

8. Bistand

8.1. jajob.dk bistår virksomheden med at besvare anmodninger fra registrerede (art. 12–22) og med art. 32–36, under hensyn til behandlingens karakter. Mange anmodninger kan virksomheden selv håndtere i tjenesten.

8.2. Modtager jajob.dk en anmodning, der alene vedrører virksomhedens rekruttering, videresendes den til virksomheden uden unødig forsinkelse.

9. Brud på persondatasikkerheden

jajob.dk underretter virksomheden uden unødig forsinkelse og så vidt muligt senest 48 timer efter at være blevet bekendt med et brud, der vedrører virksomhedens oplysninger, med de oplysninger, der kræves efter art. 33, stk. 3. Virksomheden vurderer og foretager anmeldelse til Datatilsynet og underretning af de registrerede for sin egen behandling.

10. Dokumentation og tilsyn

10.1. jajob.dk stiller på anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, fx en beskrivelse af sikkerhedsforanstaltningerne.

10.2. Virksomheden kan højst én gang årligt og med 30 dages skriftligt varsel lade en uafhængig, tavshedspligtig revisor føre tilsyn. Tilsynet må ikke give adgang til andre kunders oplysninger. Virksomheden afholder egne omkostninger og betaler jajob.dk's medgåede tid, medmindre tilsynet afdækker væsentlig misligholdelse.

11. Ophør, sletning og tilbagelevering

Før kontoen lukkes, eller inden for 30 dage efter, kan virksomheden bede om en eksport af sine oplysninger ved at skrive til info@jajob.dk; jajob.dk leverer den inden for 30 dage. Derefter sletter eller anonymiserer jajob.dk oplysningerne, som jajob.dk behandler for virksomheden. Backupkopier slettes i takt med den normale backupcyklus, dog senest 90 dage efter. Oplysninger, som kandidaten selv har på sin jajob.dk-profil, er ikke virksomhedens og slettes ikke ved virksomhedens ophør.

12. Ansvar

12.1. Parternes ansvar følger dansk rets almindelige regler med begrænsningerne i vilkårene for brug, afsnit 10. GDPR art. 82 om ansvar over for de registrerede berøres ikke.

12.2. Virksomheden holder jajob.dk skadesløs for krav fra tredjemand, der skyldes, at virksomheden ikke har overholdt sine forpligtelser som dataansvarlig.

13. Varighed, ændringer og lovvalg

Aftalen gælder, så længe jajob.dk behandler personoplysninger for virksomheden. Ændringer til virksomhedens ulempe varsles mindst 30 dage i forvejen. Ved uoverensstemmelse mellem vilkårene og denne aftale går denne aftale forud for så vidt angår beskyttelse af personoplysninger. Aftalen er underlagt dansk ret; tvister afgøres ved Københavns Byret som første instans.

Bilag A — Behandlingen i overblik

Se pkt. 2. Oplysningerne opbevares i EU (Tyskland). Kandidatens kontaktoplysninger er kun synlige for virksomheden, når kandidaten har søgt hos virksomheden eller har accepteret virksomhedens invitation, eller hvis kandidaten selv har valgt at vise dem.

Bilag B — Underdatabehandlere

Underdatabehandler	Ydelse	Placering
netcup GmbH	Servere og database (hosting)	Tyskland (EU)
Contabo GmbH	Mailserver til servicemails	Tyskland (EU)
Google Ireland Ltd.	Ekstern backup (Google Drive)	EU; koncernselskaber i USA (EU-US Data Privacy Framework)
OpenAI Ireland Ltd.	AI-hjælp (resuméer, matchforklaringer, oversættelse, assistent). Oplysninger bruges ikke til at træne modeller	Irland (EU); behandling i USA (DPF / standardkontraktbestemmelser)
Stripe Payments Europe Ltd.	Betaling af abonnementer (kun virksomhedens faktureringsoplysninger)	Irland (EU); koncernselskaber i USA (DPF)

Bilag C — Tekniske og organisatoriske foranstaltninger

• Kryptering under overførsel (HTTPS/TLS); ekstern backup i Google Drive med adgang begrænset til LynBro.
• Adgangskoder gemmes kun som hash; sessioner kan tilbagekaldes.
• Rollebaseret adgang i virksomhedskontoen; revisionslog over handlinger.
• Adskillelse mellem virksomheder i alle forespørgsler og test af, at én virksomhed ikke kan se en andens data.
• Serveradgang kun med SSH-nøgler; firewall; løbende sikkerhedsopdateringer; begrænsning af antal forespørgsler og beskyttelse mod misbrug.
• Overvågning af fejl og oppetid; logs uden unødige personoplysninger.
• Daglig backup og et ekstra dump før hver databaseændring.
• AI-funktioner træffer aldrig afgørelser om kandidater; et menneske beslutter altid.