Databehandleraftale
Version 2.0, november 2019
Mellem
Brunatas/Minols kunde
(”den Dataansvarlige”)
og
Brunata A/S Binavn Minol A/S CVR-nr. 22166514
Xxxxxxxxxxxxx 00
2730 Herlev Danmark
("Brunata" eller ”Databehandleren”)
(hver for sig kaldet en "Part" og samlet "Parterne")
er indgået nærværende databehandleraftale (”Aftalen”) om Databehandlerens behandling af Personop- lysninger på vegne af den Dataansvarlige. Dette dokuments bilag 1-3 skal betragtes som en intregreret del af Aftalen. I tilfælde af uoverensstemmelse mellem dette dokument og bilagene, vil bilagene have forrang.
Databehandleraftalen gælder for aftale indgået mellem Parterne vedrørende levering af målere, for-
brugsregnskaber og/eller målerdata (”Hovedaftalen”) på baggrund af tilbud/ordrebekræftelse(r).
1. Aftalens omfang
1.1 Denne Aftale er indgået med henblik på opfyldelse af Parternes Hovedaftale, herunder i forbindelse med Databehandlerens indsamling af målerdata med henblik på at kunne ud- arbejde forbrugsregnskaber for den Dataansvarlige.
1.2 Denne Aftale har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem Parterne.
1.3 Ved "Personoplysning" forstås enhver form for information om en identificeret eller identi- ficerbar, fysisk person, jf. artikel 4(1) i Forordning (EU) 2016/679 af 27. april 2016 ("Person- dataforordningen"). Hvis der som led i opfyldelsen af Aftalen behandles andre fortrolige oplysninger end Personoplysninger, f.eks. oplysninger som i medfør af lov om finansiel virk- somhed anses for fortrolige, så omfatter enhver henvisning til "Personoplysninger" også de øvrige fortrolige oplysninger.
1.4 Aftalen er udformet med henblik på overholdelse af artikel 28 i Persondataforordningen.
2. Formål og instruks
2.1 Databehandleren er databehandler i Persondataforordningens forstand, idet Databehand- leren varetager de i Bilag 1 beskrevne databehandlingsopgaver for den Dataansvarlige. Da- tabehandleren er instrueret i alene at behandle Personoplysninger med det formål at vare- tage de i Bilag 1 fastsatte behandlingsopgaver. Databehandleren må ikke behandle eller an- vende Personoplysninger til andre formål.
2.2 Databehandleren har i forbindelse med indgåelsen af ordren modtaget instruks fra Dataan- svarlig ift., hvilke hjælpemidler (dataopsamlingsudstyr og aflæsningsform) som Databe- handler skal benytte til indsamlingen og behandlingen af data. Derudover er Databehandler i medfør af denne aftale bemyndiget af Dataansvarlig til at træffe beslutning om yderligere nødvendige tekniske og organisatoriske hjælpemidler, herunder valg af databehandlings- programmer til at udføre databehandlingen på Dataansvarliges vegne.
2.3 Den Dataansvarlige er berettiget til at slette og/eller tilføje yderligere typer af Personoplys- ninger og/eller registrerede personer ved fremsendelse af en ny oversigt over Personoplys- ninger og/eller registrerede personer til Databehandleren.
2.4 Databehandleren må herudover benytte anonymiserede Personoplysninger og behandle sådanne anonymiserede data til statistiske formål og produktudvikling (dvs. at identificer- bare data er slettet).
2.5 Databehandleren skal straks underrette den Dataansvarlige, hvis Databehandleren finder, at en given instruks er eller senere måtte blive i strid med persondatalovgivningen.
2.6 Databehandleren skal under hensyntagen til behandlingens karakter snarest muligt assi- stere den Dataansvarlige med håndtering af enhver anmodning fra en registeret i henhold til kapitel III i Persondataforordningen, herunder anmodning om indsigt, berigtigelse, blo- kering eller sletning. Under hensyntagen til behandlingens karakter kan Databehandleren vælge at behandle henvendelser direkte fra den registrede om berigtigelse af oplysninger, jf. art. 28, stk. 3, litra e.
2.7 Databehandleren skal ligeledes implementere passende tekniske og organisatoriske foran- staltninger til at bistå den Dataansvarlige med opfyldelse af dennes forpligtigelse til at be- svare sådanne anmodninger.
3. Den Dataansvarliges forpligtelser
3.1 Den Dataansvarlige indestår for, at formålet med behandlingen af Personoplysningerne er lovligt og sagligt, og at der ikke overlades flere Personoplysninger til Databehandleren end nødvendigt til opnåelse af formålet.
3.2 Den Dataansvarlige er ansvarlig for, at der på tidspunktet for Personoplysningernes overle- vering til Databehandleren eksisterer et gyldigt behandlingsgrundlag, herunder samtykke, lovgrundlag eller kontraktgrundlag. Den Dataansvarlige er forpligtet til på Databehandle- rens anmodning skriftligt at redegøre for og/eller dokumentere behandlingsgrundlaget i til- fælde af, at Databehandler har en mistanke om, at Dataansvarlig ikke har et gyldigt behand- lingsgrundlag.
3.3 Den Dataansvarlige indestår endvidere for, at de registrerede personer, som Personoplys- ningerne vedrører, har fået tilstrækkelig information vedrørende behandlingen af Person- oplysningerne.
4. Databehandlerens forpligtelser
4.1 Databehandleren må alene behandle de Personoplysninger, der er overført og indsamlet i overensstemmelse med den Dataansvarliges instrukser og er i øvrigt forpligtet til at over- holde den til enhver tid gældende persondatalovgivning.
4.2 Databehandleren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstalt- ninger, som krævet i henhold til Persondataforordningens art. 32, herunder sådanne foran- staltninger, som måtte være nødvendige for at undgå, at de behandlede Personoplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes og for at undgår, at de kommer
til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med persondatalov- givningen. De iværksatte tekniske og organisatoriske sikkerhedsforanstaltninger fremgår af bilag 2 til denne aftale.
4.3 Databehandleren bistår den dataansvarlige med at sikre overholdelse af den dataansvarli- ges forpligtelser i medfør af Persondataforordningens art. 32-36 under hensynstagen til be- handlingens karakter og de oplysninger, der er tilgængelige for databehandleren, jf. Person- dataforordningens art. 28, stk. 3, litra f.
4.4 Databehandleren skal sikre, at de medarbejdere, der er involveret i at behandle Personop- lysningerne, har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt.
4.5 Databehandleren skal på den Dataansvarliges anmodning redegøre for og/eller dokumen- tere, at Databehandleren opfylder kravene i persondatalovgivningen og forpligtelserne i medfør af denne Aftale, herunder at de nødvendige tekniske og organisatoriske sikkerheds- foranstaltninger er truffet.
4.6 Hvis Databehandleren måtte blive bekendt med et persondatasikkerhedsbrud, hvorved for- stås et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitterede, op- bevarede eller på anden måde behandlede, er Databehandleren forpligtet til uden unødig forsinkelse at give den Dataansvarlige meddelelse herom, samt søge at lokalisere sådant brud og søge at begrænse opstået skade i videst muligt omfang, samt, i det omfang det er muligt, at reetablere eventuelt mistede data.
4.7 Databehandleren skal på den Dataansvarliges anmodning give den Dataansvarlige tilstræk- kelige oplysninger til, at denne kan påse, at Databehandleren har truffet de fornødne tek- niske og organisatoriske sikkerhedsforanstaltninger.
4.8 Såfremt den Dataansvarlige ønsker at foretage tilsyn, skal den Dataansvarlige give Databe- handleren et varsel på mindst 30 dage.
4.9 Databehandler skal på Dataansvarliges anmodning og bekostning gennemgå revision vedr. behandling af Personoplysninger af en uafhængig tredjepart. I tilfælde af at Dataansvarlig kan sandsynliggøre at der foreligger væsentlig brud på Persondataforordningens bestem- melser, afholdes omkostningerne til revisionen af Databehandleren.
4.10 Databehandleren skal, efter den dataansvarliges valg slette eller tilbagelevere alle person- oplysninger til den dataansvarlige efter at tjenesterne vedrørende behandling er ophørt, og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret fo- reskriver opbevaring af personoplysningerne.
5. Overførsel af oplysninger til andre databehandlere eller tredjeparter
5.1 Den Dataansvarlige godkender generelt, at Databehandleren kan gøre brug af underleve- randører ("Underdatabehandlere") i forbindelse med Databehandlerens opfyldelse af sine forpligtelser efter denne Aftale. Ved Aftalens indgåelse anvender Databehandleren de i Bi- lag 3 oplistede Underdatabehandlere.
5.2 Databehandleren skal underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af underdatabehandlere og give den Dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer. Underretning vil x.xx. ske ved ori- entering via Brunatas hjemmeside, hvor en en opdateret udgave af Aftalens bilag 3 altid vil være tilgængelig.
5.3 Udover det i pkt. 5.1 anførte, er Databehandleren ikke berettiget til at videregive person- oplysninger til tredjeparter eller databehandlere uden den Dataansvarliges forudgående skriftlige instruks eller samtykke, medmindre sådan videregivelse følger af lovgivningen.
5.4 Underdatabehandlere er under Databehandlerens instruks. Databehandleren har indgået databehandleraftale med Underdatabehandlere, hvori det er sikret, at Underdatabehand- lere opfylder krav tilsvarende dem, som stilles til Databehandleren af den Dataansvarlige i medfør af Aftalen.
5.5 Den behandling af Personoplysninger, som Databehandleren foretager efter aftale med den Dataansvarlige, må alene foretages af Databehandleren eller Underdatabehandlere inden for det Europæiske Økonomiske Samarbejde (EØS). Databehandleren er ikke berettiget til at lade databehandling foregå uden for EØS uden den Dataansvarliges skriftlige samtykke.
5.6 Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser forbliver data- behandleren fuldt ansvarlig over for den datansvarlige for opfyldelsen af underdatabehand- lerens forpligtelser.
6. Ikrafttrædelse og ophør
6.1 Nærværende Aftale og Hovedaftalen indgået mellem Parterne er indbyrdes afhængige og henholdsvis træder i kraft og ophører derfor samtidigt. Nærværende Aftale kan alene opsi- ges eller ophæves i overensstemmelse med bestemmelserne om opsigelse og ophævelse i Hovedaftalen.
7. Lovvalg og værneting
7.1 Denne Aftale reguleres af dansk ret.
7.2 Ethvert krav og enhver tvist, der udspringer af eller på anden måde er forbundet med denne Aftale, skal afgøres ved Retten i København.
8. Databeskyttelsesrådgiver (DPO)
8.1 Brunata har udpeget en Databeskyttelsesrådgiver jf. Persondataforordningens Afdeling 4. Databeskyttelsesrådgiveren kan kontaktes i forbindelse med spørgsmål til Brunatas hånd- tering af persondata og har følgende kontaktoplysninger:
Xxxx Xxxxxx
Nærværende Aftale er bindende for Databehandler med hensyn til den Dataansvarlige.
Bilag 1
Instruks vedr. behandlingsopgaver
Dette bilag udgør den Dataansvarliges instruks til Brunata i forbindelse med Brunatas databehandling på vegne af den Dataansvarlige og udgør en integreret del af Aftalen.
Behandlingen af personoplysninger
a) Formål og beskrivelse af databehandlingen:
Brunata indsamler målerdata med henblik på at kunne udarbejde forbrugsregnskaber eller på anden vis stille målerdata til rådighed for Dataansvarlig og den registrerede, eksempelvis ved oversigter eller visualiseringer. Brunata indsamler samtidig billeder af x.xx. målere med henblik på at sikre til- strækkelig dokumentation af udført arbejde overfor Dataansvarlige.
b) Kategorier af registrerede personer:
I. Kunder (Administratorer, varmemestre, etc.)
II. Beboere
c) Kategorier af personoplysninger
Re b) I: Navn, emailadresse, adresse, telefonnummer, målerdata, billeder Re b) II: Navn, emailadresse, adresse, telefonnummer, målerdata, billeder
e) Lokation(er), inklusive angivelse af land for behandlingen Se venligst Aftalens bilag 3.
f) Særlige krav til sikkerhedsforanstaltninger fastsat af kunden: Ingen
Bilag 2
Organisatoriske og tekniske sikkerhedsforanstaltninger
Tekniske og organisatoriske sikkerhedsforanstaltninger
Brunata har fastlagt nedennævnte sikkerhedsniveau og gennemfører de ligeledes nedennævnte tekniske og organisatoriske sikkerhedsforanstaltninger med henblik på at sikre overholdelse af persondataforenin- gen (art. 32) ift. de aftalte behandlinger af persondata.
A. Sikkerhedsniveau
Sikkerhedsniveauet skal afspejle, at:
Der behandles relativt få almindelige personoplysninger om kunder og beboere i et middel omfang iht. aftale indgået med kunden.
På baggrund af dette og en risikovurdering udføres den aftalte databehandling i et ”middel” sikkerheds- niveau. Der udføres en fornyet risikovurdering årligt, eller når der sker ændringer, der potentielt kunne få indflydelse på risikovurderingen.
B. Tekniske og organisatoriske sikkerhedsforanstaltninger
Følgende tekniske og organisatoriske sikkerhedsforanstaltninger anvendes for at skabe det nødvendige sikkerhedsniveau omkring oplysningerne:
Pseudonymisering, kryptering og sletning af personoplysninger:
Krypterede forbindelser (SSL certifikater)
Pseudonymisering af persondata iht. til de gældende nationale lovgivninger (for Danmark er hovedsage- ligt bogføringsloven retningsgivende for regnskabsdata med 5 år)
Sletning af regnskaber (Webarkiv) med frister iht. de gældende nationale lovgivninger (for Danmark er hovedsageligt bogføringsloven retningsgivende for regnskabsdata med 5 år)
Evnen til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssyste- mer og – tjenester:
Firewall og zoneopdelt infrastruktur (DMZ etc.) Virtualisering
Overvågning af kritiske systemer Service-baseret arkitektur
Email scanning (spamfilter etc.)
Kontinuert vedligeholdelse og opdatering af hardware og software
Evnen til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse:
UPS sikring af væsentlig IT-infrastruktur Intern og ekstern backup
Segmentering af fysisk database
Adgang til data via internettet:
To-faktor autentificering på adgang til systemer udefra (specialister eller andre med specifikke arbejdsre- laterede behov)
Rolle-baseret adgang for medarbejdere til interne systemer (via Active Directory) Autentificeret ekstern adgang til Brunata Online (kunder og beboere)
Fysisk sikring af lokaliteter, hvor der behandles personoplysninger:
Adgangskontrol til faciliteter (personlige adgangskort)
Adgangskontrol til datacenter faciliteter (adgangskort; kun autentificerede IT-personale)
Bilag 3 Underdatabehandlere
Navne på eksisterende Underdatabehandlere:
NAVN | ADRESSE | LAND |
ATEA A/X | Xxxxxxxxxxx 0, XX-0000 Xxxxxxxx | Danmark |
Oracle Danmark ApS | Metalbuen 66, DK-2750 Ballerup | Danmark |
Microsoft Danmark XxX | Xxxxxxxx 0, XX-0000 Xxxxxxx Xxxxxx | Xxxxxxx |
Minol Messtechnik X. Xxxxxxx GmbH & Co. KG | Xxxxxxxx-Xxxx-Xxxxxx 00 X - 00000 Xxxxxxxxxx-Echterdin- gen | Tyskland |
Xxxxx Xxxxxx Connect GmbH | Xxxxxxxx-Xxxx-Xxxxxx 00 00000 Xxxxxxxxxx-Xxxxxxxxxxxx | Xxxxxxxx |
Minol ZENNER sp. z o.o. | ul. Xxxxxxxxxxxxx 179 PL – 91-340 Lodz | Polen |