Senest opdateret: 2. juni 2026 Ikrafttrædelsesdato: 2. juni 2026

Denne databehandleraftale ("DPA") udgør en del af aftalen mellem Kunden (den "Dataansvarlige") og Kontekstwork ApS ("Databehandleren" eller "Kontekstwork"), udbyderen af Kontekstboard-tjenesten ("Tjenesten"), om Kundens brug af Tjenesten som beskrevet i Kontekstboards handelsbetingelser på https://kontekstboard.com/terms ("Hovedaftalen").

Kontekstboard er et produkt fra Kontekstwork ApS.

Denne DPA afspejler parternes aftale om behandling af personoplysninger, som Kontekstwork udfører på vegne af Kunden i overensstemmelse med artikel 28 i forordning (EU) 2016/679 ("GDPR").

Denne version erstatter alle tidligere versioner af DPA'en fra ikrafttrædelsesdatoen ovenfor.

Sprog. Denne DPA offentliggøres på engelsk og dansk. Den engelske version er den officielle tekst og har forrang i tilfælde af uoverensstemmelser.

1. Parterne

Databehandler: Kontekstwork ApS, udbyder af Kontekstboard-tjenesten CVR-nr.: 46512669 Adresse: Hørkrogen 6, 5270 Odense N, Danmark Kontakt: [email protected]

Dataansvarlig: Den juridiske enhed, der er angivet som kunde på den Kontekstboard-konto, der har accepteret Hovedaftalen.

Ved at acceptere Hovedaftalen (eller ved fortsat brug af Tjenesten efter offentliggørelsen af denne DPA) anses Kunden for at have indgået denne DPA med Kontekstwork.

2. Definitioner

Begreber med stort begyndelsesbogstav, der ikke er defineret i denne DPA, har den betydning, der er tillagt dem i GDPR. Navnlig:

• "Personoplysninger" betyder enhver oplysning om en identificeret eller identificerbar fysisk person, der behandles af Kontekstwork på vegne af Kunden i forbindelse med Tjenesten.
• "Kundedata" har den betydning, der er angivet i Hovedaftalen (boards, kolonner, opgaver, kommentarer, vedhæftninger, Skills, links og dokumentation uploadet af Kunden og dennes slutbrugere).
• "Den Registrerede", "Behandling", "Dataansvarlig", "Databehandler" og "Brud på Persondatasikkerheden" har den betydning, der følger af GDPR artikel 4.
• "Underdatabehandler" betyder enhver tredjepart, der antages af Kontekstwork til at behandle Personoplysninger på vegne af Kunden.

3. Roller, omfang og afgrænsning

Kunden er dataansvarlig for de Kundedata, der behandles efter denne DPA. Kontekstwork er databehandler for disse Kundedata og behandler kun Personoplysninger efter dokumenteret instruks fra Kunden, som angivet i Hovedaftalen, denne DPA og Bilag I, og i det omfang, det er nødvendigt for at levere Tjenesten.

Afgrænsning, selvstændig dataansvarlig. Kontekstwork er selvstændig dataansvarlig (og ikke databehandler) for: konto-, profil-, fakturerings-, support-, sikkerheds-/audit-, misbrugsforebyggelses-, svindelforebyggelses-, analyse-samtykke- og diagnostikdata, som Kontekstwork genererer eller behandler for at drive, sikre og forbedre Tjenesten, som nærmere beskrevet i Privatlivspolitikken på https://kontekstboard.com/privacy-policy. Denne DPA regulerer ikke den behandling.

Kundens generelle skriftlige instruks fremgår af Bilag I (Beskrivelse af behandlingen). Kunden kan i løbetiden give yderligere rimelige skriftlige instrukser, så længe de er forenelige med Tjenestens funktionalitet. Hvis Kontekstwork vurderer, at en instruks krænker databeskyttelseslovgivningen, vil Kontekstwork uden unødigt ophold informere Kunden.

4. Kontekstworks forpligtelser

Kontekstwork skal:

(a) kun behandle Personoplysninger efter dokumenteret instruks fra Kunden, herunder vedrørende overførsler til tredjelande, medmindre EU-retten eller medlemsstatsretten, som Kontekstwork er underlagt, kræver det; i så fald skal Kontekstwork underrette Kunden om dette retlige krav inden behandlingen, medmindre den pågældende ret af hensyn til vigtige samfundsmæssige interesser forbyder en sådan underretning;

(b) sikre, at personer, der er bemyndiget til at behandle Personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt fortrolighedsforpligtelse;

(c) gennemføre alle foranstaltninger, der kræves i henhold til GDPR artikel 32 (behandlingssikkerhed), som nærmere beskrevet i Bilag II;

(d) overholde betingelserne for antagelse af Underdatabehandlere i afsnit 6 nedenfor;

(e) under hensyntagen til behandlingens karakter, så vidt muligt bistå Kunden med passende tekniske og organisatoriske foranstaltninger med opfyldelsen af Kundens forpligtelse til at besvare anmodninger om udøvelse af de Registreredes rettigheder efter GDPR Kapitel III;

(f) bistå Kunden med at sikre overholdelse af GDPR artikel 32 til 36 (sikkerhed, anmeldelse af brud, konsekvensanalyse, forudgående høring) under hensyntagen til behandlingens karakter og de oplysninger, Kontekstwork har til rådighed;

(g) efter Kundens valg slette eller tilbagelevere alle Personoplysninger til Kunden ved ophør af leveringen af tjenester vedrørende behandlingen og slette eksisterende kopier, medmindre EU-retten eller medlemsstatsretten kræver opbevaring; og

(h) stille alle oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelse af forpligtelserne i GDPR artikel 28, og muliggøre og bidrage til revisioner, herunder inspektioner, gennemført af Kunden eller en anden revisor, som Kunden bemyndiger, i overensstemmelse med afsnit 11 nedenfor.

5. Kundens forpligtelser

Kunden skal:

(a) sikre, at Kunden har det nødvendige retsgrundlag (herunder den Registreredes samtykke, hvor det kræves) for at behandle og instruere Kontekstwork i at behandle Personoplysningerne; (b) levere korrekte Personoplysninger og holde dem opdaterede via Tjenesten; (c) være eneansvarlig for sikkerheden af Personoplysninger, efter at de har forladt Tjenesten (fx når Kunden autoriserer et eksternt AI-værktøj til at tilgå Kundedata via MCP-serveren, API'et eller CLI'en); (d) sikre, at slutbrugere anvender Tjenesten i overensstemmelse med Hovedaftalens bestemmelser om acceptabel anvendelse; og (e) uden unødigt ophold informere Kontekstwork, hvis Kunden bliver bekendt med, at Personoplysninger, der behandles efter denne DPA, er urigtige eller er blevet behandlet på en måde, der ikke er i overensstemmelse med Hovedaftalen.

6. Underdatabehandlere

Kunden giver hermed generel skriftlig forhåndsgodkendelse til, at Kontekstwork kan antage Underdatabehandlere. Den aktuelle liste over Underdatabehandlere fremgår af Bilag III.

Kontekstwork skal:

(a) pålægge hver Underdatabehandler databeskyttelsesvilkår, der ikke er mindre beskyttende end vilkårene i denne DPA, herunder navnlig forpligtelserne i GDPR artikel 28, stk. 3; (b) forblive fuldt ansvarlig over for Kunden for opfyldelsen af hver Underdatabehandlers forpligtelser; og (c) underrette Kunden om enhver påtænkt ændring vedrørende tilføjelse eller udskiftning af Underdatabehandlere mindst 30 dage før ændringens ikrafttræden (ved opdatering af listen på https://kontekstboard.com/sub-processors og ved e-mailbesked til registrerede Kundeadministratorer), så Kunden får mulighed for at gøre indsigelse på rimelige databeskyttelsesmæssige grunde.

Hvis Kunden gør indsigelse mod en ny Underdatabehandler, arbejder parterne i god tro for at finde en løsning. Kan parterne ikke løse indsigelsen inden for 30 dage fra dens fremsættelse, kan Kunden opsige den berørte del af Tjenesten med virkning fra den dato, Underdatabehandleren antages, og Kontekstwork refunderer eventuelle forudbetalte gebyrer for den uudnyttede del.

7. Internationale overførsler

Al hosting af Personoplysninger sker udelukkende i EU (Hetzner-datacentre i Tyskland eller Finland).

Hvor brugen af visse Underdatabehandlere indebærer overførsel af Personoplysninger til et land uden for EU/EØS, sker en sådan overførsel kun, hvis én af følgende garantier finder anvendelse, som nærmere specificeret per Underdatabehandler i Bilag III:

(a) Europa-Kommissionen har truffet en tilstrækkelighedsafgørelse for modtagerlandet (fx EU-US Data Privacy Framework), og Underdatabehandleren er aktuelt certificeret under denne ramme; eller

(b) parterne eller Underdatabehandleren har indgået Europa-Kommissionens Standard Contractual Clauses (Afgørelse 2021/914), Modul 2 (dataansvarlig-til-databehandler) eller Modul 3 (databehandler-til-databehandler), suppleret hvor nødvendigt af yderligere tekniske, kontraktlige og organisatoriske foranstaltninger på grundlag af en transfer impact assessment.

Kunden bemyndiger hermed Kontekstwork til at indgå de relevante Standard Contractual Clauses på Kundens vegne med sådanne Underdatabehandlere.

En liste over de gældende garantier for hver Underdatabehandler kan rekvireres på [email protected].

8. Sikkerhed

Kontekstwork skal gennemføre og opretholde passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål. De aktuelle foranstaltninger fremgår af Bilag II og kan opdateres fra tid til anden, forudsat at beskyttelsesniveauet ikke væsentligt reduceres.

9. Anmodninger fra registrerede

Hvis Kontekstwork modtager en anmodning fra en Registreret vedrørende Personoplysninger, der behandles på vegne af Kunden, vil Kontekstwork, medmindre det er retligt forbudt, videresende anmodningen til Kunden uden unødigt ophold og vil ikke selv besvare anmodningen, undtagen efter dokumenteret instruks fra Kunden.

Kontekstwork vil bistå Kunden med besvarelse af anmodninger fra Registrerede ved at stille standardværktøjer til rådighed i Tjenesten (eksport i det format, der er beskrevet i Hovedaftalen, redigering og sletning), og hvor yderligere bistand med rimelighed er påkrævet, mod betaling efter medgået tid til Kontekstworks til enhver tid gældende takster.

10. Brud på persondatasikkerheden

Kontekstwork underretter Kunden uden unødigt ophold og senest inden for 72 timer efter at være blevet bekendt med et Brud på Persondatasikkerheden, der vedrører Personoplysninger behandlet efter denne DPA. Kontekstwork tilstræber at underrette inden for 48 timer efter bekræftelse, hvor det med rimelighed er muligt. Underretningen vil, i det omfang det er kendt, beskrive:

• bruddets karakter, herunder kategorier og omtrentligt antal berørte Registrerede og dataposter;
• de sandsynlige konsekvenser;
• de foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet og afbøde dets mulige skadelige virkninger.

Kontekstwork vil levere opdateringer, efterhånden som yderligere oplysninger bliver tilgængelige, og rimeligt bistå Kunden med opfyldelsen af Kundens forpligtelser efter GDPR artikel 33 og 34.

11. Revision

Kontekstwork stiller efter rimelig anmodning de oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelse af denne DPA, herunder aktuel sikkerhedsdokumentation (fx Kontekstworks sikkerhedsoversigt, seneste opsummering af penetrationstest, hvis tilgængelig, og liste over Underdatabehandlere).

Hvis Kontekstwork er certificeret efter eller revideret under SOC 2, ISO 27001 eller en tilsvarende standard, accepterer Kunden, at den tilsvarende rapport eller certifikat sammen med ovenstående dokumentation accepteres i stedet for en on-site revision, medmindre en kompetent tilsynsmyndighed kræver andet.

Hvis de stillede oplysninger ikke er tilstrækkelige til at påvise overholdelse, kan Kunden (eller en uafhængig tredjepartsrevisor bemyndiget af Kunden og rimeligt acceptabel for Kontekstwork, forudsat at revisoren ikke er en direkte konkurrent til Kontekstwork i levering af en substituerende kanban-for-AI-tjeneste) gennemføre en revision efter rimeligt skriftligt forudvarsel (mindst 30 dage), højst én gang pr. 12-månedersperiode (medmindre det kræves af en kompetent tilsynsmyndighed eller efter et bekræftet Brud på Persondatasikkerheden), inden for normal arbejdstid og uden unødvendigt at forstyrre Kontekstworks drift.

Kunden bærer egne og eventuel tredjepartsrevisors omkostninger. Kontekstworks rimelige bistandstid faktureres efter Kontekstworks til enhver tid gældende takster, undtagen hvor revisionen afslører væsentlig manglende overholdelse, i hvilket tilfælde Kontekstwork bærer egne omkostninger.

12. Tilbagelevering og sletning af personoplysninger

Ved ophør af Hovedaftalen, eller ved tidligere rimelig anmodning fra Kunden, vil Kontekstwork:

(a) gøre Personoplysninger tilgængelige for eksport via Tjenesten i en periode på 30 dage, hvorefter Kontekstwork sletter Personoplysningerne fra produktionssystemerne; og

(b) overskrive Personoplysninger i backups inden for den rutinemæssige backup-cyklus, som ikke overstiger 35 dage,

medmindre EU-retten eller medlemsstatsretten kræver, at Kontekstwork opbevarer specifikke Personoplysninger, i hvilket tilfælde Kontekstwork vil isolere og beskytte disse Personoplysninger og kun behandle dem som krævet af denne lovgivning.

Øjeblikkelig sletning. Hvis Kunden anmoder om sletning uden den 30-dages eksportperiode, gennemfører Kontekstwork sletningen inden for 7 dage efter anmodningen, med forbehold for den samme backup-overskrivningscyklus i (b).

På anmodning fremsender Kontekstwork skriftlig bekræftelse på sletning.

13. Ansvar

Hver parts ansvar efter denne DPA er underlagt ansvarsbegrænsningerne og -fraskrivelserne i Hovedaftalen.

14. Konflikt og rangorden

I tilfælde af konflikt har denne DPA forrang for Hovedaftalen for så vidt angår behandlingen af Personoplysninger. Standard Contractual Clauses (hvor de finder anvendelse) har forrang for denne DPA for så vidt angår internationale overførsler.

15. Løbetid

Denne DPA træder i kraft ved accept af Hovedaftalen og er i kraft, så længe Kontekstwork behandler Personoplysninger på vegne af Kunden, og derefter i det omfang det er nødvendigt for tilbagelevering eller sletning af Personoplysninger efter afsnit 12.

16. Lovvalg og værneting

Denne DPA er underlagt dansk ret. Enhver tvist, der opstår i forbindelse med denne DPA, skal indbringes for Københavns Byret.

---

Bilag I — Beskrivelse af behandlingen

A. Genstand og varighed

Levering af Tjenesten (Kontekstboard-kanban-platformen for softwareteams med tilknyttede Skills, eksponeret til AI-kodningsværktøjer via en MCP-server, API og CLI) i Hovedaftalens løbetid og enhver påkrævet tilbageleverings-/sletteperiode.

B. Behandlingens karakter og formål

Hosting, opbevaring, transmission, visning, organisering, fremfinding, ændring og sletning af Personoplysninger, som er nødvendigt for at levere Tjenesten til Kunden og dennes slutbrugere samt for at drive, sikre, supportere og forbedre Tjenesten.

C. Kategorier af registrerede

• Kundens slutbrugere (medarbejdere, konsulenter, samarbejdspartnere) med en Kontekstboard-konto tilknyttet Kunden.
• Andre personer, der identificeres i indhold uploadet af Kundens slutbrugere (fx navne i opgavebeskrivelser, kommentarer eller vedhæftninger).
• Hvor relevant, personer angivet i Kundens fakturerings- eller SSO-konfiguration.

D. Kategorier af personoplysninger

• Identifikations- og kontaktdata (navn, vist navn, e-mail, hashet adgangskode, profilbillede, foretrukket AI-værktøj, UI-præferencer).
• Konto- og adgangsdata (kontotype, registreringsdato, sidste login, refresh tokens, hashede CLI-tokens, SSO-konfiguration inkl. krypterede OIDC/SAML-legitimationsoplysninger, allowlister for e-maildomæner).
• Faktureringsdata (faktureringsnavn, e-mail, virksomhedsnavn, adresse, land, CVR/momsnummer; kortdata håndteres af Polar.sh og indsamles ikke af Kontekstwork).
• Arbejdsindhold (boards, kolonner, opgaver, kommentarer, vedhæftninger, Skill-tildelinger, item-links, board-dokumentation).
• Aktivitets- og auditdata (board- og opgaveaktivitet, loginhændelser inkl. IP-adresse, administrative handlinger med aktør og tidsstempel).
• Netværks- og sikkerhedsdata (IP-adresser og request-metadata til rate-limiting, svindelforebyggelse og sikkerhedslogging).
• Diagnostikdata (feedback-indsendelser; applikationslogs, metrics og fejl-traces behandlet af vores selvhostede observability-stak på Hetzner).

E. Særlige kategorier af personoplysninger

Forventes ikke. Kunden forpligter sig til ikke at uploade særlige kategorier af Personoplysninger (GDPR artikel 9) til Tjenesten, medmindre det udtrykkeligt aftales skriftligt med Kontekstwork.

F. Behandlingens hyppighed

Løbende i Hovedaftalens løbetid.

G. Opbevaring

I Hovedaftalens løbetid, derefter som angivet i afsnit 12 (Tilbagelevering og sletning). Se Privatlivspolitikkens opbevaringstabel for kategoriopdelte perioder.

---

Bilag II — Tekniske og organisatoriske sikkerhedsforanstaltninger (GDPR artikel 32)

Kontekstwork opretholder følgende foranstaltninger, der gennemgås mindst årligt. Specifikt værktøjsvalg er vejledende og kan udskiftes med tilsvarende branchestandard-alternativer, forudsat at beskyttelsesniveauet ikke væsentligt reduceres.

Pseudonymisering og kryptering (art. 32, stk. 1, litra a)

• Kryptering under transport ved hjælp af TLS 1.2 eller højere for al Tjenestetrafik, med svage cipher suites deaktiveret. TLS 1.3 foretrækkes og anvendes, hvor klienten understøtter det.
• Kryptering i hvile af databaselagring med AES-256.
• Adgangskoder lagret med adaptiv adgangskodehashing (aktuelt bcrypt med cost-faktor 12).
• CLI-tokens lagret i hashet form; refresh tokens lagret i httpOnly, Secure browser-cookies.
• SSO-legitimationsoplysninger (OIDC/SAML) lagret krypteret.

Fortrolighed, integritet, tilgængelighed og robusthed (art. 32, stk. 1, litra b)

• Rollebaseret adgangskontrol (RBAC) i Tjenesten.
• Adgang efter mindste privilegium for Kontekstworks medarbejdere; adgang til produktionssystemer er begrænset til et lille antal autoriserede medarbejdere, logges og gennemgås.
• Multifaktorautentifikation kræves for administrativ adgang til Kontekstboards produktionssystemer (herunder vores selvhostede observability-værktøj); vi kræver derudover MFA på hver ekstern admin-konsol, hvor den underliggende leverandør understøtter det.
• Netværkssegmentering, firewalls og managed cloud-infrastruktur i EU (Hetzner DE/FI).
• Audit-logging af administrative og sikkerhedsrelevante hændelser.
• Automatiseret scanning af afhængigheder og kode for sårbarheder med branchestandard-værktøjer.
• Dokumenteret sikker softwareudviklingscyklus inkl. code review og test før idriftsættelse.
• Observability. Applikationslogs, metrics og fejl-traces opsamles af en selvhostet observability-stak på den samme EU-infrastruktur (Hetzner) og er kun tilgængelig for Kontekstwork-medarbejdere. Vi anvender ikke nogen tredjeparts-fejlovervågningstjeneste.

Genoprettelse af tilgængelighed (art. 32, stk. 1, litra c)

• Krypterede backups af produktionsdatabasen, opbevaret højst 35 dage. Hvor backups replikeres på tværs af flere Hetzner-tilgængelighedszoner eller datacentre, fremgår dette af vores sikkerhedsoversigt.
• Dokumenterede gendannelsesprocedurer, testet mindst årligt.
• Overvågning og alarmering på Tjenestens tilgængelighed og integritet.

Regelmæssig afprøvning (art. 32, stk. 1, litra d)

• Vi bestiller en uafhængig tredjeparts-penetrationstest mindst hver 24. måned. Den seneste rapport stilles på anmodning til rådighed for Kunden under NDA, når en sådan er gennemført.
• Årlig gennemgang af sikkerhedspolitikker og dette Bilag II.

Personalets fortrolighed

• Alt personale med adgang til Personoplysninger er bundet af skriftlige fortrolighedsforpligtelser.
• Baggrundskontrol af personale med adgang til produktionssystemer, hvor loven tillader det.

Hændelseshåndtering

• Dokumenteret procedure for håndtering af Brud på Persondatasikkerheden.
• Underretning af Kunden uden unødigt ophold og senest inden for 72 timer efter konstatering af et bekræftet Brud på Persondatasikkerheden, der berører Kundens Personoplysninger, med målsætning om 48 timer hvor det med rimelighed er muligt (se afsnit 10).

Underdatabehandler-styring

• Forhåndsvurdering af hver Underdatabehandler op mod dette Bilag II.
• Skriftlige databehandlervilkår med hver Underdatabehandler som krævet i GDPR artikel 28.

---

Bilag III — Underdatabehandlere

Den aktuelle liste over Underdatabehandlere, som Kontekstwork anvender til at levere Tjenesten.

Underdatabehandler	Rolle / tjeneste	Behandlede personoplysninger	Behandlingslokation	Overførselsgrundlag (uden for EØS)
Hetzner Online GmbH	Cloud hosting (compute, database, fillagring) for Tjenesten	Alle Personoplysninger behandlet af Kontekstwork	Tyskland / Finland (EU)	Ikke relevant — inden for EØS
Resend, Inc.	Levering af transaktions- og notifikationsmails	Modtagernavn, e-mail, beskedindhold (fx nulstil adgangskode, sikkerhedsadvarsler, fakturaer)	USA	EU Standard Contractual Clauses (Afgørelse 2021/914), Modul 2, suppleret af tekniske og organisatoriske foranstaltninger
Google Ireland Ltd. (og Google LLC) — Google Analytics 4	Webanalyse alene på marketingsitet (indlæses uden for den indloggede app) og kun hvor besøgende har samtykket	Pseudonyme brugsdata, forkortet IP-adresse, enheds-/browser-metadata	EU-servere; Google LLC (USA) involveret som joint controller / efterfølgende modtager	Google LLC er certificeret under EU-US Data Privacy Framework
Polar.sh, Inc.	Merchant of Record — abonnementsfakturering, fakturaer, betalingsbehandling, skat	Faktureringsnavn og -adresse, e-mail, virksomhedsnavn, CVR, transaktionsdata; kortdata (indsamles og behandles af Polar, ikke af Kontekstwork)	USA	EU Standard Contractual Clauses (Afgørelse 2021/914), Modul 2, suppleret af tekniske og organisatoriske foranstaltninger

Applikationslogs, metrics og fejl-traces behandles af selvhostet observability-værktøj på den Hetzner-infrastruktur, der allerede er anført i dette Bilag, og når ikke en tredjepart. Der anvendes ingen tredjeparts-fejlovervågningsdatabehandler.

Den aktuelle liste offentliggøres også på https://kontekstboard.com/sub-processors. Opdateringer foretages i overensstemmelse med afsnit 6.