Databehandleraftale for Os To Professional

Senest opdateret: 29. september 2026.

1. Parter

Dataansvarlig: Den terapeut, klinik eller anden professionel kunde, der bruger Os To Professional til egne klientforløb.

Databehandler: Os To, CVR 32799892, c/o Dennis Fredborg, Spurvelunden 74, 5672 Broby, Danmark.

Denne aftale gælder for den behandling af personoplysninger, som Os To foretager på vegne af den professionelle kunde i Os To Professional.

2. Rollefordeling

Os To er selvstændig dataansvarlig for egne behandlingsformål som kontoadministration, sikkerhed, drift, abonnement, betaling, fakturering, misbrugsforebyggelse og nødvendig servicekommunikation.

Når en terapeut eller klinik bruger Professional til at behandle klientoplysninger til egne behandlings- eller rådgivningsformål, behandler Os To disse oplysninger på den professionelle kundes vegne og efter dennes dokumenterede instruks.

Aftalen ændrer ikke på, at rollefordelingen altid afhænger af den konkrete behandling.

3. Behandlingens genstand og varighed

Behandlingen omfatter levering af Os To Professional, herunder lagring, strukturering, visning, deling, transmission, sikkerhedskopiering og sletning af klientrelaterede oplysninger.

Behandlingen varer, mens den professionelle kundes konto eller relevante klientforløb er aktivt, samt i nødvendige tekniske backup- og afviklingsperioder efter ophør.

4. Behandlingens karakter og formål

Os To må kun behandle klientoplysninger for at:

• levere de funktioner, den professionelle kunde aktivt anvender
• opbevare og vise klientforløb, opgaver, beskeder, check-ins, refleksioner og materiale
• håndhæve adgangskontrol, samtykke og delingsvalg
• levere notifikationer og teknisk servicekommunikation
• foretage sikkerhedsbackup, overvågning og fejlhåndtering
• bistå med eksport, sletning, adgangsanmodninger og sikkerhedshændelser

Os To må ikke bruge klientoplysninger til reklame, profilering til markedsføring eller egne behandlings-/rådgivningsformål.

5. Kategorier af registrerede

Behandlingen kan vedrøre:

• den professionelle kundes klienter
• klienternes partnere
• professionelle brugere og klinikmedarbejdere
• personer, som klienterne eller den professionelle bruger omtaler i fritekst

6. Typer af personoplysninger

Afhængigt af kundens brug kan behandlingen omfatte:

• navn, e-mail og kontaktoplysninger
• parrelation og klientrelation
• opgaver, beskeder og aftaler
• hjulresultater, check-ins og refleksioner
• kommentarer og fritekst
• sessionrelaterede noter og internt materiale
• uploads og PDF-materiale
• samtykke- og delingsvalg
• tekniske metadata og logoplysninger

Oplysningerne kan indeholde særlige kategorier af personoplysninger, herunder oplysninger om helbred, sexliv eller seksuel orientering, hvis den professionelle kunde eller klienten vælger at registrere sådanne oplysninger.

7. Den dataansvarliges instruks

Den professionelle kunde instruerer Os To gennem:

• de funktioner og indstillinger, der anvendes i Professional
• de klientrelationer, som oprettes
• de delings- og samtykkevalg, som produktet understøtter
• supporthenvendelser og dokumenterede skriftlige instrukser

Os To må kun behandle personoplysninger efter dokumenteret instruks, medmindre behandling kræves efter EU-ret eller dansk ret. I så fald informeres den dataansvarlige på forhånd, medmindre lovgivningen forbyder dette.

8. Fortrolighed

Personer med adgang til personoplysninger hos Os To skal være underlagt fortrolighed og må kun få adgang, når det er nødvendigt for deres arbejdsopgave.

9. Sikkerhedsforanstaltninger

Os To anvender passende tekniske og organisatoriske foranstaltninger, herunder efter behov:

• HTTPS under transport
• password hashing
• sessionsbaseret adgangskontrol
• rolle- og ejerbaseret adgangskontrol
• eksplicit samtykke og delingskontrol mellem klient og terapeut
• automatisk nulstilling af relevant samtykke ved terapeutskift
• automatiske sikkerheds- og integrationstests
• database- og uploadbackup med restore-verifikation
• driftsovervågning og health checks
• logning af relevante professionelle dataadgange
• begrænsning af loginforsøg og invitationsmisbrug
• adskillelse af kode, konfiguration og webroot
• kontosletning og dataeksport

Sikkerhedsforanstaltningerne vurderes løbende i forhold til behandlingens risiko.

10. Underdatabehandlere

Os To må anvende underdatabehandlere, når det er nødvendigt for tjenesten.

Den aktuelle liste vedligeholdes i dokumentet Underdatabehandlere og driftsleverandører.

Den professionelle kunde giver generel skriftlig godkendelse til de underdatabehandlere, der fremgår af listen. Ved væsentlige nye underdatabehandlere skal den professionelle kunde informeres, så kunden får mulighed for at gøre indsigelse før ændringen, hvor dette er praktisk og juridisk påkrævet.

Os To skal sikre, at en underdatabehandler pålægges databeskyttelsesforpligtelser, der i det væsentlige svarer til denne aftale.

11. Overførsler til tredjelande

Os To må kun foretage overførsler uden for EU/EØS, når der findes et gyldigt overførselsgrundlag og de nødvendige supplerende foranstaltninger.

Den aktuelle leverandør- og overførselsmodel fremgår af underdatabehandlerlisten.

12. Bistand til registreredes rettigheder

Os To bistår, i det omfang det er relevant og muligt, den professionelle kunde med at håndtere anmodninger om:

• indsigt
• rettelse
• sletning
• begrænsning
• dataportabilitet
• indsigelse

Os To må ikke selv besvare en klient på den professionelle kundes vegne, medmindre dette følger af en særskilt rolle som selvstændig dataansvarlig eller er aftalt med kunden.

13. Bistand ved sikkerhed og konsekvensanalyser

Os To bistår med oplysninger, der er rimeligt nødvendige for:

• vurdering af behandlingssikkerhed
• håndtering af persondatasikkerhedsbrud
• konsekvensanalyser efter GDPR artikel 35
• dialog med Datatilsynet

14. Persondatasikkerhedsbrud

Hvis Os To konstaterer et persondatasikkerhedsbrud, der berører oplysninger behandlet på vegne af den professionelle kunde, underrettes kunden uden unødig forsinkelse.

Underretningen skal, når oplysningerne er tilgængelige, beskrive:

• bruddets karakter
• berørte kategorier af registrerede og data
• sandsynlige konsekvenser
• gennemførte eller planlagte afhjælpende foranstaltninger
• kontaktpunkt for opfølgning

15. Dokumentation og kontrol

Os To stiller rimelige oplysninger til rådighed, så den professionelle kunde kan dokumentere overholdelse af artikel 28.

Kontrol bør som udgangspunkt ske gennem dokumentation, sikkerhedsbeskrivelser, testresultater og relevante rapporter. Fysisk eller teknisk audit kan aftales, hvis dokumentationen ikke er tilstrækkelig, og skal planlægges, så andre kunders sikkerhed og fortrolighed ikke kompromitteres.

16. Sletning og tilbagelevering ved ophør

Ved ophør af et klientforløb eller Professional-aftalen skal oplysninger, der behandles på kundens vegne, slettes eller tilbageleveres efter kundens valg, medmindre lovgivningen kræver fortsat opbevaring.

Backupkopier kan eksistere i en begrænset rotationsperiode og skal herefter udgå efter den normale backupcyklus.

17. Ansvar og rangorden

Denne databehandleraftale supplerer Os To's øvrige aftalevilkår. Ved konflikt om behandling på vegne af den professionelle kunde har denne databehandleraftale forrang for den pågældende databehandling.

18. Kontakt

Databeskyttelse: privacy@os-to.nu
Support: support@os-to.nu

Denne aftale er udformet med henblik på kravene i GDPR artikel 28. Den bør gennemgås juridisk inden bred kommerciel Professional-lancering, særligt rollefordelingen, underdatabehandlere og eventuelle tredjelandsoverførsler.