SAAS-AFTALE
Software-as-a-service Abonnementsaftale · Dansk Ret
Aftaledato: 15. marts 2026
Sted: København
LEVERANDØR
CloudFlow ApS
CVR-nr: 36 14 78 92
Larsbjørnstræde 14, 1454 København K
Tegningsberettiget: Daniel Holm, Adm. direktør
E-mail: kontakt@cloudflow.dk
Web: https://cloudflow.dk
KUNDE
Holm Erhverv A/S
CVR-nr: 24 78 56 13
Søndergade 25, 5000 Odense C
Tegningsberettiget: Marianne Christensen, CFO
E-mail: mc@holmerhverv.dk
Denne SaaS-aftale ("Aftalen") indgås den 15. marts 2026 i København mellem ovennævnte parter (samlet "Parterne", hver en "Part") om Leverandørens stillen til rådighed af software-as-a-service ("Tjenesten"), som Kunden får brugsret til via internetadgang.
Aftalen reguleres af Aftaleloven (LBK nr. 193 af 02/03/2016), Ophavsretsloven (LBK nr. 1144 af 23/10/2019), Lov om forretningshemmeligheder (Lov nr. 309 af 25/04/2018) og dansk ret i øvrigt. Aftalen er indgået mellem erhvervsdrivende parter under almindelig aftalefrihed. Tjenesten leveres som software-som-tjeneste — Kunden får ikke ejendomsret til softwaren, men en abonnementsbaseret brugsret som angivet i Aftalen.
Leverandøren stiller følgende SaaS-tjeneste til rådighed for Kunden:
Tjenestens navn: CloudFlow Business — projektstyring og samarbejde
Beskrivelse og funktioner:
CloudFlow er en cloud-baseret tjeneste for projektstyring, opgavehåndtering, dokumenthåndtering og teamsamarbejde. Tjenesten omfatter: projektoversigter med Gantt-diagrammer og Kanban-boards, opgavetildeling og deadlines, dokumentbibliotek med versionskontrol, intern chat og kommentarer, integrationer med Microsoft 365, Google Workspace og e-conomic, mobil app til iOS og Android, samt rapportering og dashboards med AI-baseret forudsigelse af projekttidsplan.
Antal brugere/abonnementer: 50 brugere/licenser, jf. den valgte abonnementsplan.
Tjenesten stilles til rådighed via internet via Leverandørens hostingmiljø. Kunden får adgang via Leverandørens værktøjer, herunder webbrowser, mobile applikationer eller API. Kunden er selv ansvarlig for nødvendigt internet, hardware, browsers og operativsystem til at benytte Tjenesten. Tjenesten er ikke fysisk leveret programmel — Kunden modtager ikke kildekode eller objektkode og kan ikke installere Tjenesten på egen infrastruktur.
Leverandøren tildeler Kunden en ikke-eksklusiv, ikke-overdragelig brugsret til Tjenesten i Aftalens løbetid og inden for det aftalte antal brugere/licenser. Brugsretten omfatter Kundens egen interne anvendelse af Tjenesten i overensstemmelse med Tjenestens normale anvendelse og dokumentation.
Kunden må ikke:
(a) overdrage, udleje, videresælge eller på anden måde stille brugsretten til rådighed for tredjemand uden for Kundens egen organisation;
(b) reverse-engineere, dekompilere eller forsøge at udlede kildekoden til Tjenesten — undtagen i det omfang ufravigelig lov, herunder Ophavsretslovens § 36 stk. 2, tillader dette;
(c) bruge Tjenesten i strid med dokumentation eller på en måde, der sætter dens drift eller andre kunders adgang i fare;
(d) anvende Tjenesten til ulovlige formål, til lagring af ulovligt indhold eller på en måde, der overtræder tredjemands rettigheder.
Leverandøren ejer alle immaterielle rettigheder til Tjenesten, herunder ophavsret, varemærker og forretningshemmeligheder. Kunden får ingen rettigheder ud over den abonnementsbaserede brugsret, der ophører ved Aftalens udløb eller opsigelse.
Aftalen træder i kraft den 1. april 2026 og løber i en indledende periode på 12 måneder ("Indledende Periode"). Aftalen forlænges automatisk for yderligere 12 måneder ad gangen, medmindre en Part skriftligt opsiger Aftalen senest 90 dage før udløbet af den dåværende periode.
Hver Part kan endvidere hæve Aftalen ved den anden Parts væsentlige misligholdelse, jf. § om ophævelse og misligholdelse.
Ved Aftalens ophør ophører Kundens brugsret straks. Kunden er forpligtet til at ophøre med al brug af Tjenesten og — efter Leverandørens skriftlige anmodning — at slette alle eventuelle kopier af materialer, der er modtaget i forbindelse med Tjenesten.
4.
VEDERLAG OG BETALINGSBETINGELSER
Kunden betaler en brugerafhængig pris på 189 DKK pr. bruger pr. måned ekskl. moms. Antal brugere gøres op den første arbejdsdag i hver måned.
Vederlaget faktureres månedligt forud med betalingsfrist på 14 dage netto fra fakturadato. Alle beløb er ekskl. moms. Moms pålægges efter Momsloven (LBK nr. 209 af 27/02/2024) (25 %).
Leverandøren kan en gang årligt regulere abonnementsprisen i overensstemmelse med stigningen i Danmarks Statistiks nettoprisindeks. Sådan regulering varsles skriftligt mindst 60 dage før ikrafttræden. Andre prisændringer kræver Kundens udtrykkelige samtykke eller giver Kunden ret til at opsige Aftalen ved næste periodeudløb.
Forsinket betaling forrentes med Nationalbankens udlånsrente med tillæg af 8 procentpoint (9,75 % p.a. pr. 1/1 2026) efter Rentelovens (LBK nr. 459 af 13/05/2014) § 5. Leverandøren kan kræve rykkergebyrer på op til 100 DKK pr. rykker (max. 3) jf. Rentelovens § 9b. Vedvarende manglende betaling efter rykker giver Leverandøren ret til midlertidigt at suspendere Kundens adgang til Tjenesten med 7 dages skriftligt varsel.
5.
DRIFT, TILGÆNGELIGHED OG SUPPORT
Leverandøren tilstræber at stille Tjenesten til rådighed med 99.9 % oppetid målt på månedsbasis, ekskl. planlagt vedligehold, der varsles mindst 48 timer i forvejen og som hovedregel udføres uden for normal arbejdstid (mandag-fredag 8.00-17.00 dansk tid).
Tilgængelighed måles som procentdelen af driftsminutter i en kalendermåned divideret med totalantal minutter i samme måned. Følgende tilfælde regnes ikke som nedetid: planlagt vedligehold, force majeure, fejl forsaget af Kunden eller Kundens udstyr, fejl i tredjeparts internettjenester eller hosting-infrastruktur uden for Leverandørens kontrol.
Support: Leverandøren tilbyder support i normal kontortid (mandag-fredag 8.00-16.00 dansk tid) via e-mail eller supportportal. Svartider: kritiske fejl (Tjenesten utilgængelig) inden 4 timer, høje (væsentlig funktion ude af drift) inden næste arbejdsdag, øvrige inden 3 arbejdsdage.
Hvis oppetiden i en måned falder under det aftalte SLA-niveau, har Kunden ret til en forholdsmæssig nedsættelse af det månedlige vederlag (servicekredit) for den pågældende måned. Servicekredit er den eneste sanktion for SLA-brud, medmindre afvigelsen vedvarer i mere end 3 påfølgende måneder, hvilket berettiger Kunden til ophævelse.
6.
KUNDEDATA OG FORTROLIGHED
Alle data, som Kunden uploader, indtaster eller på anden vis behandler i Tjenesten ("Kundedata") forbliver Kundens ejendom. Leverandøren får alene den brugsret til Kundedata, der er nødvendig for at kunne levere Tjenesten — herunder lagring, behandling og visning. Leverandøren må ikke anvende Kundedata til egne formål eller markedsføringsformål uden Kundens udtrykkelige samtykke.
Datalokation: Kundedata opbevares i EU/EØS.
Personoplysninger og GDPR: I det omfang Tjenesten omfatter behandling af personoplysninger på Kundens vegne, optræder Leverandøren som databehandler efter Databeskyttelsesforordningen (EU) 2016/679 (GDPR) art. 28 og Databeskyttelsesloven (Lov nr. 502 af 23/05/2018). En særskilt databehandleraftale (DPA) er obligatorisk og indgås som bilag til Aftalen, hvor begge Parter skal underskrive. DPA'en specificerer: formål, kategorier af personoplysninger, sikkerhedsforanstaltninger (art. 32), brudnotifikation (art. 33 — 24/72-timers frist), underdatabehandlere (art. 28(2)) og overførsler til tredjelande (SCC/BCR).
Fortrolighed: Parterne forpligter sig til at hemmeligholde fortrolige oplysninger, der modtages fra den anden Part, herunder forretningshemmeligheder efter § 2 i Lov om forretningshemmeligheder (Lov nr. 309 af 25/04/2018). Forpligtelsen gælder under Aftalens løbetid og i fem (5) år efter ophør, dog uden tidsbegrænsning for forretningshemmeligheder. Brud kan medføre foreløbige forbud efter Retsplejelovens (LBK nr. 1298 af 07/11/2025) §§ 411-428 og erstatning efter § 15 i Lov om forretningshemmeligheder.
Kunden er på ethvert tidspunkt under Aftalen berettiget til at eksportere sine Kundedata via Tjenestens almindelige funktioner. Ved Aftalens ophør er Leverandøren forpligtet til at:
(a) opretholde Kundens adgang til at eksportere data i 60 dage efter ophørsdatoen;
(b) levere Kundedata i et alment anvendt og maskinlæsbart format (JSON, CSV, XLSX eller tilsvarende);
(c) yde rimelig assistance ved Kundens migration til en anden tjeneste — almindelig eksport er gratis, mens omfattende konsulent- eller migreringsbistand kan afregnes særskilt mod forudgående skriftlig aftale.
Når dataeksportperioden er udløbet, sletter Leverandøren Kundedata fra sine produktionssystemer inden 30 dage og fra alle backups inden 90 dage, medmindre andet er påkrævet ved lov (f.eks. opbevaringspligt efter Bogføringsloven (Lov nr. 700 af 24/05/2022) § 12 for fakturarelaterede data).
Leverandøren skal på skriftlig anmodning fra Kunden bekræfte, at sletning er sket. Leverandøren må ikke tilbageholde Kundedata som sikkerhed for udestående krav — udestående krav forfølges via almindelige inddrivelsesmidler.
8.
GARANTIER OG ANSVARSBEGRÆNSNING
Leverandøren garanterer, at Tjenesten ved Aftalens indgåelse og under hele Aftalens løbetid:
(a) leveres af Leverandøren med almindelig faglig kompetence og i overensstemmelse med god IT-skik;
(b) ikke krænker tredjemands ophavsret eller andre immaterielle rettigheder;
(c) er beskyttet med rimelige og branchestandard tekniske og organisatoriske sikkerhedsforanstaltninger;
(d) er fri for skadelig kode (virus, trojanere, spyware) ved levering af opdateringer.
Bortset fra de udtrykkelige garantier leveres Tjenesten "som den er" (as-is) uden andre udtrykkelige eller stiltiende garantier. Leverandøren garanterer ikke, at Tjenesten er fri for fejl, eller at den opfylder Kundens særlige formål, medmindre dette er udtrykkeligt aftalt.
Ansvarsbegrænsning: Leverandørens samlede erstatningsansvar over for Kunden under eller i anledning af Aftalen er begrænset til 500.000 DKK.
Indirekte tab — herunder driftstab, mistet fortjeneste, tab af data ud over hvad der kan tilbageleveres ved eksit, tab af goodwill og afledte tab — kan ikke kræves erstattet. Erstatningsansvar i øvrigt forudsætter Kundens skriftlige reklamation senest 30 dage efter, Kunden blev eller burde være blevet bekendt med kravet.
Ansvarsbegrænsningen omfatter ikke skader forvoldt ved forsæt eller grov uagtsomhed, brud på fortrolighedspligten, GDPR-bøder pålagt den ansvarlige Part eller krænkelse af tredjemands immaterielle rettigheder. Ufravigelige regler i Erstatningsansvarsloven (LBK nr. 1070 af 24/08/2018) går forud for ansvarsbegrænsningen.
Ingen Part er ansvarlig for forsinkelse eller manglende opfyldelse af Aftalens forpligtelser, der skyldes force majeure — det vil sige forhold uden for Partens rimelige kontrol, der ikke kunne forudses eller undgås, herunder:
(a) krig, terrorhandling, oprør, opstandelse, embargo;
(b) naturkatastrofer, brand, oversvømmelser, jordskælv;
(c) generel arbejdskonflikt, generel strejke (ikke virksomhedsinterne konflikter);
(d) myndighedspålæg, ny lovgivning, eksportforbud;
(e) generelle strømafbrydelser, kritiske bortfald af telekommunikation eller cybersikkerheds-hændelser med oprindelse uden for Leverandørens kontrol;
(f) pandemier og epidemier af et omfang, der medfører myndighedspålæg.
Den ramte Part skal uden ugrundet ophold skriftligt orientere den anden Part om force majeure-forholdet, dets omfang og forventede varighed. Force majeure suspenderer Aftalens forpligtelser i den periode, force majeure-forholdet består. Hvis force majeure varer mere end 60 påfølgende dage, har hver Part ret til at hæve Aftalen med 30 dages skriftligt varsel uden erstatningsansvar.
Force majeure fritager ikke for betaling af forfaldne beløb for ydelser, der er leveret før force majeure-tilfældet.
10.
CYBERSIKKERHED OG NIS2-COMPLIANCE
Leverandøren overholder branchestandard cybersikkerhedsforanstaltninger og — hvor Kunden er omfattet af NIS2-direktivet (EU 2022/2555) som væsentlig eller vigtig virksomhed — bistår Kunden med:
(a) opfyldelse af Kundens compliance-forpligtelser efter NIS2 art. 21 (cybersikkerhedsrisikostyring) og art. 23 (hændelsesrapportering);
(b) udlevering af relevante sikkerhedsrapporter, penetrationstests og auditdokumentation efter rimelig anmodning;
(c) incident notification: skriftlig meddelelse til Kunden inden 24 timer ved konstateret eller mistænkt cybersikkerhedshændelse (inkl. databrud, ransomware, uautoriseret adgang);
(d) vulnerability disclosure: offentliggørelse af kritiske sårbarheder og patches inden rimelig tid, dog senest 30 dage efter kendskab.
Leverandøren overholder branchestandarder for tekniske foranstaltninger: TLS 1.3+ for transmission, kryptering af data-at-rest, multi-factor authentication for administrative adgang, regelmæssig backup og disaster recovery, segregation af kundedata, indsamling af audit logs.
For finansielle Kunder omfattet af DORA (EU 2022/2554, gælder fra 17/1 2025) bistår Leverandøren med ICT third-party risk management efter art. 28-30 og kan på Kundens anmodning indgå særskilt DORA-tilpasset bilag.
11.
AI-FUNKTIONER OG AI ACT-COMPLIANCE
I det omfang Tjenesten indeholder eller anvender kunstig intelligens (AI-modeller, machine learning, generative AI), forpligter Leverandøren sig til:
(a) klassifikation af AI-funktioner efter AI Act (EU 2024/1689) risikokategorier (uacceptabel risiko, høj risiko, begrænset risiko, minimal risiko);
(b) opfyldelse af gennemsigtigheds- og dokumentationskrav i AI Act art. 13 og 50 — herunder oplysning til Kunden om, hvilke AI-funktioner Tjenesten anvender;
(c) etablering af Risk Management System for høj-risiko AI-systemer efter AI Act art. 9;
(d) human oversight-mekanismer for høj-risiko AI-systemer efter art. 14;
(e) løbende monitorering og vedligeholdelse af AI-modeller for at sikre nøjagtighed, robusthed og cybersikkerhed (art. 15);
(f) afgivelse af conformity assessment-dokumentation efter art. 43 på Kundens anmodning, hvor Tjenesten omfatter høj-risiko AI.
Kundens AI-data: Kundedata, der bruges som input til Tjenestens AI-funktioner, må ikke anvendes til træning af Leverandørens AI-modeller uden Kundens udtrykkelige samtykke. Leverandøren garanterer, at AI-output respekterer Kundens immaterielle rettigheder og ikke krænker tredjemands ophavsret.
AI Act træder gradvist i kraft 2025-2027: forbud mod uacceptabel risiko fra 2/2 2025, generelle AI-bestemmelser fra 2/8 2025, høj-risiko AI fra 2/8 2027.
12.
UNDERDATABEHANDLERE OG UNDERLEVERANDØRER
Leverandøren anvender underdatabehandlere ("Subprocessors") til levering af Tjenesten, herunder typisk hosting (AWS, Azure, GCP, dansk hosting-udbyder), e-mailtjenester, monitoring og support-værktøjer. En aktuel liste over godkendte Subprocessors stilles til rådighed for Kunden og opdateres ved ændringer.
Leverandøren forpligter sig til:
(a) skriftlig databehandleraftale med hver Subprocessor efter GDPR art. 28(4), der pålægger Subprocessor samme forpligtelser som Leverandøren;
(b) forudgående notifikation til Kunden mindst 30 dage før tilføjelse eller udskiftning af Subprocessors (jf. GDPR art. 28(2));
(c) indsigelsesret for Kunden — Kunden kan inden 14 dage gøre indsigelse mod en ny Subprocessor af saglige grunde (sikkerhedsbekymringer, datalokation uden for EU/EØS, leverandørrisiko). Ved fortsat uenighed kan Kunden opsige Aftalen ved næste periodeudløb uden godtgørelse;
(d) fuldt ansvar for Subprocessors handlinger og forsømmelser som for egne, herunder GDPR-overtrædelser og sikkerhedsbrud;
(e) auditrettigheder mod Subprocessors — Leverandøren skal udlevere SOC 2, ISO 27001 eller tilsvarende attesteringer fra Subprocessors på Kundens anmodning.
Overførsler til Subprocessors uden for EU/EØS sker kun på gyldigt overførselsgrundlag (Standard Contractual Clauses, Binding Corporate Rules eller AdæquansBeslutning), jf. GDPR kap. V.
13.
AUDIT- OG INSPEKTIONSRETTIGHEDER
Kunden har — mod skriftligt varsel på mindst 30 dage og højst én gang pr. 12 måneder — ret til at gennemføre en audit af Leverandørens overholdelse af Aftalen, herunder sikkerhedsforanstaltninger, GDPR-compliance, SLA-rapportering og fakturagrundlag. Auditen kan udføres af Kunden selv, en uafhængig tredjepartsrevisor (typisk certificeret SOC 2 / ISAE 3402-revisor) eller en kompetent tilsynsmyndighed (Datatilsynet, Finanstilsynet).
Leverandøren accepterer i stedet for individuelle audits at fremlægge:
(a) SOC 2 Type II-rapport eller ISAE 3402-erklæring årligt, hvis sådan er udarbejdet;
(b) ISO 27001-certifikat og scope-statement, hvis Leverandøren er certificeret;
(c) penetrationstestrapporter i redigeret form, der dokumenterer test og udbedring;
(d) compliance-erklæring for GDPR, NIS2 (hvis relevant) og brancherelevante standarder.
Audit må ikke unødigt forstyrre Leverandørens drift og foregår normalt remote eller efter aftale på Leverandørens kontorer. Auditomkostninger bæres af Kunden, medmindre auditen afdækker væsentlige afvigelser (definerede SLA-brud > 5 %, GDPR-overtrædelser eller manglende sikkerhedsforanstaltninger), i hvilket tilfælde Leverandøren bærer omkostningerne.
14.
OPHÆVELSE OG MISLIGHOLDELSE
Hver Part kan hæve Aftalen med øjeblikkelig virkning ved den anden Parts væsentlige misligholdelse, der ikke afhjælpes inden for 30 dage efter skriftligt påkrav med specifikation af misligholdelsen. Som væsentlig misligholdelse anses bl.a.:
(a) manglende rettidig betaling efter rykker og inkassopåkrav;
(b) gentagne eller varige SLA-brud, der gør Tjenesten uegnet til formålet;
(c) brud på fortrolighedspligten eller datasikkerhedsforpligtelsen;
(d) krænkelse af de immaterielle rettigheder eller misbrug af Tjenesten;
(e) konkurs, betalingsstandsning eller insolvensbehandling af en Part.
Hvis Kunden anvender Tjenesten i strid med Aftalen — herunder overstiger antallet af licenserede brugere, foretager reverse-engineering, eller sætter andre kunders adgang i fare — kan Leverandøren med 7 dages skriftligt varsel suspendere Kundens adgang til Tjenesten, indtil forholdet er afhjulpet.
Ved Aftalens ophør, uanset årsag, ophører Kundens brugsret straks, dog med en eksitperiode for dataeksport, jf. § om eksit. Den ophævende Part har derudover ret til erstatning for dokumenterede tab efter dansk rets almindelige regler.
15.
LOVVALG OG TVISTLØSNING
Aftalen er underlagt dansk ret med undtagelse af lovvalgsregler, der ville føre til anvendelse af et andet lands ret, og med undtagelse af Den Internationale Købelov (CISG), der ikke finder anvendelse.
Tvister, der måtte opstå i anledning af Aftalen, og som ikke kan løses ved direkte forhandling i god tro inden for tredive (30) dage, afgøres ved de almindelige domstole med Københavns Byret som første instans, jf. Retsplejelovens (LBK nr. 1298 af 07/11/2025) § 235. Sager med en sagsværdi på højest 50.000 DKK behandles efter småsagsprocessen i Retsplejelovens kap. 39.
Uanset ovenstående har hver Part til enhver tid ret til at anmode om foreløbige forbud, fogedforbud eller andre sikringsforanstaltninger ved en hvilken som helst kompetent domstol til beskyttelse af sine rettigheder, jf. Retsplejelovens §§ 411-428 og § 12 i Lov om forretningshemmeligheder.
16.
AFSLUTTENDE BESTEMMELSER
Aftalen og dens bilag — herunder evt. databehandleraftale (DPA), SLA-bilag og produktbeskrivelser — udgør den fuldstændige regulering af Parternes samarbejde og erstatter alle tidligere mundtlige eller skriftlige aftaler herom. Ændringer og tillæg kræver skriftlig form og begge Parters underskrift for at være gyldige. Leverandøren er dog berettiget til ensidigt at opdatere produktdokumentation, brugervejledninger og funktionalitet i Tjenesten, så længe dette ikke væsentligt forringer Tjenestens kerneanvendelse.
Ugyldighed af en enkelt bestemmelse medfører ikke, at Aftalen i øvrigt er ugyldig — Parterne skal i så fald erstatte den ugyldige bestemmelse med en gyldig bestemmelse, der så vidt muligt opfylder det oprindelige formål. Ingen Part må overdrage Aftalen eller rettigheder og forpligtelser efter Aftalen uden den anden Parts skriftlige samtykke. Leverandøren kan dog uden særligt samtykke overdrage Aftalen i forbindelse med fusion, spaltning eller anden virksomhedsoverdragelse, jf. Selskabsloven (LBK nr. 331 af 20/03/2025) § 5, nr. 7. Meddelelser efter Aftalen skal sendes skriftligt — pr. e-mail eller anbefalet brev — til de adresser, der er angivet ovenfor, eller til en anden adresse, som er meddelt skriftligt.
TIL BEKRÆFTELSE HERAF har Parterne underskrevet denne Aftale på den angivne dato.
CloudFlow ApS
Daniel Holm, Adm. direktør
Dato: ____________________
Holm Erhverv A/S
Marianne Christensen, CFO
Dato: ____________________