Databehandleraftale

Databehandleraftale

indgået mellem

Sofus - DØGNDATA ApS CVR nr.: 33771797

Xxxxx Xxxxxx Xxx 00X 0000 Xxxxxx

(”Dataansvarlig”)

og

DataGruppen MultiMed A/S CVR-nr. 19 40 37 42

Storhaven 12

7100, Vejle

(”Databehandler”)

(Den Dataansvarlige og Databehandleren er i det følgende hver for sig benævnt “Part” og under et

“Parterne”)

Parterne har indgået følgende databehandleraftale (”Aftale”):

Bilag

Bilag A Oplysninger om databehandlingen

Bilag B Sikkerhedsinstrukser

Indhold

1. Baggrund 3

2. Personoplysninger og databehandling 3

3. Roller og instrukser 4

4. Fortrolighed 4

5. Databehandlerens bistand til den Dataansvarlige 5

6. Sikkerhed mv. 5

7. Sikkerhedsbrud 6

8. Information 8

9. Honorar til Databehandlere 8

10. Erstatningsansvar 9

11. Placering af Personoplysninger 9

12. Påvisning af overholdelse, revisioner mv. 9

13. Ændringer til Aftalen 10

14. Varighed og ophør 10

15. Lovvalg og værneting 11

16. Underskrifter 11

Bilag A - Oplysninger om databehandlingen 12

1. Registrerede 12

2. Formål 12

3. Databehandlingsaktiviteter/databehandlingens karakter 13

4. Modtagere 13

Bilag B - Sikkerhedsinstrukser 14

1. Standarder 14

2. Operationel sikkerhed 14

3. Fysisk sikkerhed 15

4. Backup 15

5. Adgang til Personoplysninger 15

6. Samarbejde med myndigheder 15

7. Databehandlere, der har adgang til den Dataansvarliges IT-systemer

og/eller den Dataansvarlige fysiske bygninger mv. 16

1. Baggrund

Aftalen er indgået i forbindelse med Databehandlerens levering af serviceydelser i forhold til kommunikation og datatransmission til nødvendige tekniske sundhedstjenester via legale transportører og til legale modtagere (herefter omtalt som “Serviceydelser”).

Aftalen regulerer forhold i relation til Serviceydelserne, gældende persondatalovgivning, jurisdiktion mv. mellem Parterne. Aftalen har forrang i tilfælde af uoverensstemmelser mellem Aftalen og alle andre aftaler mellem Parterne, herunder også aftalen om levering af serviceydelse (herefter omtalt som ”Kontrakten”), såfremt den pågældende uoverensstemmelse omhandler et forhold vedrørende behandlingen af personoplysninger. Aftalen dækker alene ydelser, der er omfattet af Kontrakten.

Enhver henvisning til Aftalen er også en henvisning til Aftalens Bilag.

Databehandleren er bekendt med Lov om behandling af personoplysninger af 31. maj 2000 (”Persondataloven”), Europa-Parlamentets og Rådets Forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (“Databeskyttelsesforordningen“), som trådte i kraft den 24. maj 2016 og er gældende fra den 25. maj 2018 samt den supplerende, nationale lovgivning, som træder i kraft samtidig med/gælder sideløbende med Databeskyttelsesforordningen.

Enhver henvisning til persondatalovgivningen mv. er en henvisning til den til enhver tid gældende lovgivning mv.

2. Personoplysninger og databehandling

“Personoplysninger“ omfatter “enhver form for information om en identificeret eller identificerbar fysisk person; ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en online-identifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet“ og/eller som termen er defineret i den for den Dataansvarlige gældende persondatalovgivning.

Aftalen finder anvendelse i forhold til Personoplysningerne, Registrerede, Formål og Behandlingsaktiviteter samt øvrige forhold og forpligtelser, der vedrører behandlingen, og som er defineret og anført i Bilag A.

Bilag A - B indgår i begge Parternes dokumentationsforpligtelser i henhold til persondatalovgivningen og skal altid afspejle de faktiske forhold.

Hvis Databehandleren bliver opmærksom på, at de faktiske oplysninger på et givent tidspunkt efter Aftalens ikrafttræden ikke stemmer overens med oplysningerne angivet i Bilag A f.eks. fordi flere kategorier end de i bilagene angivne er blevet overført til Databehandleren, skal Databehandleren straks fremsende en skriftlig meddelelse herom til

den Dataansvarlige, og Parterne skal derefter opdatere Bilag A. Databehandleren har dog ikke pligt til at gennemgå de oplysninger, som behandles i systemet, med henblik på at sikre, at de faktiske oplysninger stemmer overens med oplysningerne angivet i Bilag A.

3. Roller og instrukser

Databehandleren er databehandler i henhold til gældende lovgivning og behandler Personoplysninger på vegne af den Dataansvarlige, som er dataansvarlig i henhold til gældende lovgivning.

Den Dataansvarlige træffer beslutning om, til hvilke formål og hvordan Databehandleren må behandle Personoplysningerne. Databehandleren må ikke behandle Personoplysningerne til sine egne formål.

Databehandleren må i leveringen af Serviceydelser kun behandle Personoplysninger i henhold til dokumenterede instrukser fra den Dataansvarlige, navnlig fsva. overførsler til tredjelande og en international organisation, medmindre det følger af den EU/EØS- lovgivning eller EU/EØS-medlemsstaternes lovgivning, som Databehandleren er underlagt. I så fald skal Databehandleren underrette den Dataansvarlige i detaljer om sådanne lovkrav, før behandlingen finder sted, medmindre det er forbudt at foretage en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

Databehandleren må kun ændre, slette og bortskaffe Personoplysninger fra alle systemer og registre efter instruks fra den Dataansvarlige. Databehandleren må dog behandle, herunder bl.a. isolere, flytte og slette, Personoplysninger på anden vis, hvis det er nødvendigt for at imødegå, herunder for at begrænse, et brud på persondatasikkerheden, herunder men ikke begrænset til malware, ransomware, virus og lignende. I tilfælde af sletning skal Dataansvarliges samtykke, om muligt, indhentes. Alternativt skal der sikres en kopi af materialet inden sletning.

4. Fortrolighed

De Personoplysninger, som Databehandleren modtager fra den Dataansvarlige, eller som Databehandleren kommer i besiddelse af i forbindelse med leveringen af Serviceydelser, er strengt fortrolige og må ikke kopieres, videregives eller behandles uden den Dataansvarliges udtrykkelige og forudgående tilladelse.

Databehandleren skal sikre, at kun de medarbejdere, for hvem det til enhver tid er nødvendigt at behandle Personoplysninger i forbindelse med udførelsen af deres arbejde, er autoriseret hertil.

Databehandleren skal sikre, at enhver person, der udfører arbejde for Databehandleren, og som får adgang til Personoplysningerne, kun behandler sådanne oplysninger efter instruks fra den Dataansvarlige, medmindre behandlingen er påkrævet i henhold til EU/EØS- lovgivningen eller EU/EØS-medlemsstaternes nationale lovgivning.

Databehandleren skal sikre, at de personer, der er autoriserede til at behandle Personoplysninger, har påtaget sig en kontraktuel fortrolighedsforpligtelse eller er underlagt en lovbestemt tavshedspligt.

Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de relevante medarbejdere er underlagt ovennævnte tavshedspligt.

5. Databehandlerens bistand til den Dataansvarlige

Under hensyn til behandlingens karakter og de oplysninger, der er tilgængelige for Databehandleren, skal Databehandleren bistå den Dataansvarlige med at sikre overholdelse af forpligtelserne i henhold til artikel 32 til 36 i Databeskyttelsesforordningen, dvs. sikkerhedsforanstaltninger, underretning af tilsynsmyndigheder, underretning af individuelle personer, udarbejdelse af konsekvensanalyser vedrørende databeskyttelse og forudgående høring hos tilsynsmyndigheder.

Under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for Databehandleren, skal Databehandleren gennemføre passende tekniske og organisatoriske foranstaltninger for at bistå den Dataansvarlige med overholdelsen af den Dataansvarliges lovmæssige forpligtelser under Kapitel III i Databeskyttelsesforordningen, dvs. besvare anmodninger fra Registrerede, der udøver deres lovmæssige rettigheder, herunder, men ikke begrænset til, adgang til, berigtigelse eller sletning af Personoplysninger, begrænsning af behandlingen af Personoplysninger, dataportabilitet og retten til at gøre indsigelse imod automatiske individuelle afgørelser, herunder profilering.

6. Sikkerhed mv.

Databehandleren skal bistå den Dataansvarlige med at sikre, at den Dataansvarliges lovbestemte forpligtelser overholdes med hensyn til sikkerhed som anført i Aftalen og gældende lovgivning.

Databehandleren skal implementere passende tekniske og organisatoriske foranstaltninger for at beskytte Personoplysningerne. Sådanne foranstaltninger fastsættes under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder og skal passe til disse risici, som behandlingen udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til Personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet. Dette kan inkludere, men er ikke begrænset til

a) pseudonymisering og kryptering af Personoplysninger,

b) evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og –tjenester,

c) evne til rettidigt at genoprette tilgængeligheden af og adgangen til Personoplysninger i tilfælde af en fysisk eller teknisk hændelse, eller

d) en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.

Databehandleren skal som minimum nærmere gennemføre de sikkerhedsforanstaltninger, der er anført i Bilag B.

Parterne er enige om, at Serviceydelserne ikke skal ændres for at overholde de, i persondatalovgivningen indeholdte, krav til databeskyttelse gennem design og databeskyttelse gennem standardindstillinger, med mindre, der foretages sådanne grundlæggende og gennemgribende ændringer i Serviceydelserne, at kravet i Databeskyttelsesforordningens artikel 25 udløses. Den Dataansvarlige har i så fald krav på at der foretages ændringer for at overholde disse krav. Den Dataansvarlige har ansvaret for at indrette de processer, der udføres i systemet der leveres som Serviceydelser således, at de overholder persondatalovgivningens krav til databeskyttelse gennem design og databeskyttelse gennem standardindstillinger.

7. Sikkerhedsbrud

Definition

7.1.1 Ved et “Sikkerhedsbrud“ forstås et brud på sikkerheden, som fører til en hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.

Log over sikkerhedsbrud

7.2.1 Databehandleren skal til enhver tid føre et register over Databehandleres sikkerhedsbrud med detaljer om bruddene i forbindelse med Databehandlerens databehandling af Personoplysningerne. Databehandleren skal efter anmodning give den Dataansvarlige en kopi deraf.

Underretning af den Dataansvarlige

7.3.1 Databehandleren skal uden unødig forsinkelse underrette den Dataansvarlige ved mistanke om eller konstatering af et sikkerhedsbrud med betydning for Personoplysningerne. Underretningen skal om muligt skel senest 48 timer efter at denne er blevet bekendt med bruddet, sådan at den dataansvarlige har mulighed for at efterleve sin eventuelle forpligtelse til at anmelde bruddet til tilsynsmyndigheden.

7.3.2 Under hensyn til karakteren af behandlingen samt oplysningerne, der er tilgængelige for Databehandleren, skal Databehandleren efter et sikkerhedsbrud straks bistå den Dataansvarlige med at sikre overholdelse af den Dataansvarliges lovmæssige forpligtelser i forbindelse med underretning om sikkerhedsbrud til tilsynsmyndigheder og de Registrerede.

7.3.3 Derudover skal Databehandleren efter et sikkerhedsbrud under hensyn til karakteren af behandlingen, og i det omfang oplysningerne er tilgængelige for Databehandleren, uden unødig forsinkelse give den Dataansvarlige passende og tilstrækkelige oplysninger til, at den

Dataansvarlige kan overholde lovbestemte forpligtelser. Databehandleren skal til dette formål levere følgende oplysninger på den Dataansvarliges anmodning:

(a) En beskrivelse af karakteren af sikkerhedsbruddet, herunder, hvis muligt, kategorierne og det omtrentlige antal af berørte Registrerede samt kategorierne og det omtrentlige antal af berørte registreringer med Personoplysninger

(b) Navn og kontaktoplysninger på databeskyttelsesrådgiveren eller anden kontaktperson, hvorfra yderligere oplysninger kan indhentes

(c) En beskrivelse af de sandsynlige samt de faktiske konsekvenser af sikkerhedsbruddet

(d) En beskrivelse af de foranstaltninger, som Databehandleren har truffet eller foreslår truffet for at håndtere Sikkerhedsbruddet, herunder, hvis det er relevant, foranstaltninger, der er foretaget for at begrænse dets mulige skadevirkninger.

Databehandleren skal desuden efter den Dataansvarliges anmodning uden unødig forsinkelse levere følgende oplysninger:

(e) En begrundet vurdering af, om Sikkerhedsbruddet sandsynligvis eller sandsynligvis ikke vil medføre en risiko for fysiske personers rettigheder og frihedsrettigheder

(f) En beskrivelse af de berørte systemer og processer

(g) En beskrivelse af årsagen til Sikkerhedsbruddet

(h) Tidspunktet for indtrædelsen af Sikkerhedsbruddet

(i) Varighed af sikkerhedsbruddet

(j) Information om, hvorvidt sikkerhedsbruddet fortsat består, eller om det er bragt til ende, og, i så fald, hvordan, og hvis ikke, hvornår det forventes at blive bragt til ende

(k) En oversigt over de tiltag, som Databehandleren planlægger at iværksætte for at følge op på Sikkerhedsbruddet, den forventede tidsramme, og i hvor høj grad tiltagene vurderes at begrænse og/eller afhjælpe Sikkerhedsbruddet

(l) En oversigt over de tiltag, som Databehandleren allerede har iværksat, og i hvor høj grad tiltagene har begrænset eller afhjulpet Sikkerhedsbruddet

(m) En beskrivelse af hvilke foranstaltninger der kunne have forhindret Sikkerhedsbruddet.

7.3.4 Hvis og i det omfang det ikke er muligt at levere oplysningerne anført i pkt. 7.3.1 - 7.3.3 samlet, kan oplysningerne leveres gradvist. Den gradvise levering skal foregå uden unødige forsinkelser.

7.3.5 I det omfang en eller flere af de oplysninger, der er nævnt under pkt. 7.3.1 - 7.3.3, ændres efter, at den Dataansvarlige har modtaget oplysningerne, skal Databehandleren straks give den Dataansvarlige de opdaterede oplysninger med markering af, hvor de afviger fra de tidligere fremsendte oplysninger.

7.3.6 Hvis Sikkerhedsbruddet sker hos en underdatabehandler skal Databehandleren forestå kontakten til underdatabehandleren, medmindre andet aftales mellem Parterne.

Underretning af tredjemand

7.4.1 Hvis den Dataansvarlige efter persondatalovgivningen er forpligtet til at underrette enten myndighederne eller Registrerede om et sikkerhedsbrud, skal den Dataansvarlige afholde udgifter til at udarbejde og distribuere redegørelser eller offentlige udtalelser, der angiver både Databehandlerens og den Dataansvarliges ansvar i forbindelse med det formodede eller indtrufne sikkerhedsbrud, såfremt sikkerhedsbruddet alene skyldes den Dataansvarliges forhold.

7.4.2 Hvis Den Dataansvarlige efter persondatalovgivningen er forpligtet til at underrette enten myndighederne eller Registrerede om et sikkerhedsbrud, skal Databehandleren afholde udgifter til at udarbejde og distribuere redegørelser eller offentlige udtalelser, der angiver både Databehandlerens og den Dataansvarliges ansvar i forbindelse med det formodede eller indtrufne sikkerhedsbrud, såfremt sikkerhedsbruddet alene skyldes Databehandlerens forhold.

8. Information

Databehandleren skal straks informere den Dataansvarlige, hvis Databehandleren mener, at en instruks overtræder Databeskyttelsesforordningen, anden EU-ret eller medlemsstaternes nationale ret.

Databehandleren anvender ikke underdatabehandlere.

9. Honorar til Databehandlere

Databehandleren har krav på betaling efter medgået tid samt Databehandlerens øvrige omkostninger herved, for de ydelser der udføres efter Databehandleraftalen på den Dataansvarliges anmodning. Ydelserne kan omfatte, men er ikke begrænset til, assistance til den Dataansvarliges forpligtelser efter artikel 32 – 36, ændringer i Aftalen eller instruks, udlevering af oplysninger, bistand ved audit, bistand til Databeskyttelsesforordningens kapitel 3, bistand til ændringer der følger af nye risikovurderinger og konsekvensanalyser, så længe dette ikke beror på manglende levering af aftalte funktioner i de tekniske løsninger, der skal leveres af databehandleren.

For ydelser der ikke er omfattet af punkt 9.1 er Databehandleren dog ikke berettiget til vederlag i det omfang Databehandleren jf. lovgivningen er den direkte forpligtede part. Dette gælder kun for ydelser der ydes i relation til services og ydelser omfattet af Kontrakten jf. definitionen i punkt 1.2.

Vederlaget opgøres efter de aftalte timesatser i aftale(r)n(e) om levering af Serviceydelserne, og hvor der ikke er aftalt timesatser heri, da efter Leverandørens gældende timesatser, der dog ikke må overskride branchekutyme.

Databehandleren har uanset ovenstående ikke krav på betaling for assistance eller implementering af ændringer i det omfang, sådan assistance eller ændring er en direkte følge af Databehandlerens egen misligholdelse af denne Aftale.

10. Erstatningsansvar

Parternes ansvar under databehandleraftalen følger Kontraktens regulering. I forhold til ansvar over for tredjemand finder Databeskyttelsesforordningens art. 82 anvendelse.

11. Placering af Personoplysninger

Databehandleren må kun overføre personoplysninger til et land uden for EU/EØS eller internationale organisationer i det omfang den Dataansvarlige godkender dette eller hvis det kræves i henhold til EU-retten eller national ret, som Databehandleren er underlagt. I så fald underretter Databehandleren den Dataansvarlige om dette retlige krav, medmindre den pågældende ret også forbyder en sådan underretning.

Overførsel af personoplysninger uden for EU/EØS må i alle tilfælde kun ske, hvis Databehandleren har sikret et fornødent overførelsesgrundlag, f.eks. EU Kommissionens Standardkontraktsbestemmelser med de hertil nødvendige tillæg for overholdelse af Databeskyttelsesforordningen.

Hvis det i henhold til det anvendte overførselsgrundlag kræves, at den Dataansvarlige er direkte part heri, er Databehandleren bemyndiget til at gennemføre dette på den Dataansvarliges vegne, f.eks. ved at indgå aftale ved brug af EU Kommissionens Standardkontraktsbestemmelser, med de hertil nødvendige tillæg for overholdelse af Databeskyttelsesforordningen, på vegne af den Dataansvarlige. Databehandleren skal snarest muligt orientere den Dataansvarlig, hvis denne bemyndigelse udnyttes.

Regulering gældende i medfør af det anvendte overførelsesgrundlag har forrang frem for reguleringen i denne Aftale, dog alene i relation til den behandling, som nødvendiggør overførelsesgrundlaget; øvrig behandling er alene reguleret af denne Aftale.

Databehandleren underretter den Dataansvarlige om eventuelle yderligere forpligtelser, som den Dataansvarlige kan blive underlagt som følge af lovgivningen i et land udenfor EU/EØS, som Databehandleren overfører personoplysninger til.

12. Tilsyn og revision

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise databehandlerens overholdelse af databeskyttelsesforordningens artikel 28 og denne aftale, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den datasansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

Databehandleren er ISO 27001 certificeret og har årligt audit. Denne audit gælder som nødvendig dokumentation for at påvise overholdelse af databeskyttelsesforpligtelserne

under Aftalen og gældende persondatalovgivning samt gældende lovgivning om informationssikkerhed.

Databehandleren skal efter ønske fra den Dataansvarlige fremsende dokumentation for udført og bestået audit, samt øvrige relevante oplysninger af betydning for vurderingen af overholdelse af databeskyttelsesforordning og databeskyttelsesloven.

13. Ændringer til Aftalen

Enhver ændring af Aftalen, herunder instruksen skal ske efter ændringsproceduren i Kontrakten, idet den Dataansvarlige dog altid ensidigt kan give instruks om, at Databehandleren skal standse videre behandling af de overladte personoplysninger.

Databehandleren har krav på betaling af omkostninger forbundet med ændringer i overensstemmelse med pkt. 9.

Ændringerne anses først for gældende, fra ændringerne er implementeret.

Databehandleren kan afslå en ændring. Databehandleren skal herefter ophøre med videre behandling af den Dataansvarliges personoplysninger og enten slette eller tilbagelevere oplysningerne efter den Dataansvarliges valg og i overensstemmelse med punkt 15 nedenfor.

Den Dataansvarlige kan med et rimeligt varsel til Databehandleren ændre bestemmelserne i Aftalen, hvis sådan ændring er nødvendig for at overholde gældende lovgivning.

I så fald skal Databehandleren sørge for at indarbejde tilsvarende ændringer i bestemmelserne i eventuelle aftaler med underdatabehandlere.

14. Varighed og ophør

Ved ophør af tjenesterne vedrørende behandling forpligtes databehandleren til, efter den dataansvarliges valg, at slette eller tilbagelevere alle personoplysninger til den dataansvarlige, samt at slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring af oplysningerne.

Aftalen træder i kraft ved begge parters underskrift heraf.

Aftalen kan af begge parter kræves genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i aftalen giver anledning hertil.

Parternes eventuelle regulering/aftale om vederlæggelse, betingelser eller lignende i

forbindelse med ændringer af denne aftale vil fremgå af parternes ”hovedaftale”.

Opsigelse af databehandleraftalen kan ske i henhold til de opsigelsesvilkår, inkl.

Opsigelsesvarsel, som fremgår af ”hovedaftalen”.

Aftalen er gældende, så længe behandlingen består.

Aftalen træder i kraft ved indgåelsen og løber så længe det er relevant for Databehandlerens udførelse af aftalte opgaver og forpligtelser over for den Dataansvarlige under Kontrakten.

Ved opsigelse af aftalen og leveringen af Serviceydelserne, må Databehandleren kun opbevare en kopi af Personoplysningerne, hvis det i henhold til EU-lovgivning eller EØS- medlemsstaternes nationale lovgivning er påkrævet, at Databehandleren opbevarer Personoplysningerne. I så fald skal Databehandleren underrette den Dataansvarlige derom, herunder med en henvisning til det juridiske grundlag for fortsat opbevaring. Den Dataansvarlige kan gøre indsigelse mod den fortsatte opbevaring af Personoplysningerne.

15. Lovvalg og værneting

Aftalen er underlagt dansk lovgivning.

Enhver tvist, som måtte opstå i forbindelse med Aftalen, herunder tvister vedrørende aftalens eksistens eller gyldighed, skal afgøres af domstolene.

16. Underskrifter

Aftalen underskrives i to enslydende eksemplarer, hvoraf hver part modtager et eksemplar. Databehandleren oplyser, at underskrifterne er juridisk bindende for Databehandleren.

Sted:	Vejle	Sted: Åbyhøj
Dato:	05-02-2024	Dato: 05-02-2024
For:	DataGruppen MultiMed A/S	Sofus - DØGNDATA ApS

Underskrift Navn: Xxxxx Xxxx

Underskrift

Navn: Xxxxxx Xxxxxx Xxxxxx

Bilag A - Oplysninger om databehandlingen Version 1: 26-04-2018

1. Registrerede

1.1 Databehandleren behandler personoplysninger om følgende kategorier af registrerede (“Registrerede”) på vegne af den Dataansvarlige og følgende type af personoplysninger (herefter benævnt ” Personoplysninger”) om de Registrerede på vegne af den Dataansvarlige:

	Patientdata
Særlige kategorier af personoplysninger	Helbredsoplysninger, race eller etnisk oprindelse seksuelle forhold eller seksuel orientering politisk-, religiøs-, filosofisk overbevisning fagforeningsmæssigt tilhørsforhold oplysninger om straf eller lovovertrædelser samt genetiske eller biometriske oplysninger
Generelle kategorier af personoplysninger	Navn, telefonnummer, postadresse, fødselsdato, mailadresse, xxx.xx, familieforhold, sociale problemer, bolig, stilling, køn

	Medarbejdere
Generelle kategorier af personoplysninger	Navn, mailadresse, stilling

2. Formål

2.1 Databehandlerens behandling af Personoplysninger for den Dataansvarlige sker til følgende formål:

2.2 Levering af de aftalte it-ydelser, herunder kommunikation og datatransmission til nødvendige tekniske sundhedstjenester via legale transportører og til legale modtagere.

3. Databehandlingsaktiviteter/databehandlingens karakter

3.1 Databehandlerens behandling af Personoplysninger for den Dataansvarlige sker i overensstemmelse med Kontrakten som omfatter bl.a., herunder men ikke begrænset til. følgende aktiviteter:

▪ Ved at formidle forsendelser med Personoplysninger til tredjeparter efter den Dataansvarliges instruks.

▪ Ved at opbevare Personoplysninger i forbindelse med backup af kommunikerede data.

▪ Ved at sikre systemers tilgængelighed, integritet og fortrolighed.

▪ Ved at yde service i forbindelse med eventuel fejlsøgning mm.

4. Modtagere

4.1 Databehandleren må ud over eventuelle underdatabehandlere videregive Personoplysninger til modtagere, som den Dataansvarlige er forpligtet til at videregive personoplysninger til. Den Dataansvarlige er ansvarlig for, at overholde den til enhver tid gældende persondatalovgivning i forhold til de personoplysninger, som overlades til Databehandlerens behandling med henblik på videregivelse.

Bilag B – Instruks vedrørende behandling af personoplysninger

B.1. Behandlingens genstand/instruks

Databehandlerens behandling af personoplysninger på vegne af den Dataansvarlige sker ved at databehandleren udfører følgende:

Databehandleren instrueres i at modtage og videresende elektroniske filer via det etablerede kommunikationsnetværk. Databehandleren vil gemme filer i det omfang det er nødvendigt for den fremtidige dokumentation af forsendelsen.

B.2. Behandlingssikkerhed

Sikkerhedsniveauet skal afspejle at der er tale om behandling af en stor mængde

personoplysninger omfattet af databeskyttelsesforordningens artikel 9 om ”særlige kategorier af personoplysninger”, hvorfor der skal etableres et højt sikkerhedsniveau.

Databehandleren er herefter berettiget og forpligtet til at træffe beslutninger om, hvilke tekniske og organisatoriske sikkerhedsforanstaltninger, der skal anvendes for at skabe det nødvendige sikkerhedsniveau omkring oplysningerne.

Standarder

1.1 Databehandleren skal efterleve principperne i ISO 27001 på relevante områder eller en i øvrigt anerkendt standard indenfor IT-drift, i det omfang andet ikke fremgår af nærværende databehandleraftale.

2. Operationel sikkerhed

2.1 Databehandleren skal sikre;

(A) at det nødvendige og tilstrækkelige sikkerhedsniveau vedligeholdes og opretholdes, samt at eventuelle ændringer i Databehandlerens sikkerhedsforanstaltninger relevante for Personoplysningerne logges og dokumenteres,

(B) at ændringer og vedligeholdelse af Databehandlerens sikkerhedsforanstaltninger så vidt muligt ikke påvirker den Dataansvarliges forretning, herunder men ikke begrænset til it-systemer, netværk, forbindelser og svartider,

(C) at Databehandlerens eventuelle testmiljøer er tilstrækkelig afgrænset og i øvrigt sikret mod uautoriseret adgang,

(D) at Databehandlerens it-systemer og netværk er tilstrækkeligt sikret mod hacking og anden uautoriseret adgang,

(E) at Databehandleren gennemfører kontroller for at opdage og forhindre svindel, malware mv., og

(F) at dennes interne operationelle sikkerhedsprocedurer og -manualer følges.

3. Fysisk sikkerhed

3.1 Databehandleren skal sikre sine fysiske lokaliteter, servere mv. mod uautoriseret adgang.

3.2 Databehandleren skal have interne sikkerhedsprocedurer der ved fjernelse, afhændelse eller genbrug af hardware sikrer, at den Dataansvarliges Personoplysninger ikke kompromitteres.

4. Backup

4.1 Databehandleren skal foretage backup af de kommunikerede Personoplysningerne jf. kontrakten og gældende regler for kommunikation af sundhedsfaglige data.

5. Adgang til Personoplysninger

5.1 Databehandleren skal sikre, at kun relevante medarbejdere har adgang til de behandlede Personoplysninger.

5.2 Databehandleren skal efter den Dataansvarliges anmodning på ethvert tidspunkt kunne afgive en erklæring om hvilke personer, som har haft adgang til Personoplysningerne på vegne af Databehandleren.

5.3 Databehandleren skal sikre, at enhver person, der udfører arbejde for Databehandleren og får adgang til Personoplysningerne, kun behandler sådanne oplysninger efter den Dataansvarliges instruks, medmindre behandlingen er påkrævet i henhold til EU- lovgivningen eller EØS-medlemsstaternes nationale lovgivning.

5.4 Databehandleren skal sikre, at enhver person, der udfører arbejde for Databehandleren og får adgang til Personoplysningerne har oparbejdet tilstrækkeligt kendskab til korrekt håndtering af personoplysninger, og at de pågældende medarbejdere er bekendt med de for Aftalen gældende sikkerhedskrav.

6. Samarbejde med myndigheder

6.1 Databehandleren samarbejder efter anmodning med Datatilsynet og eventuelle øvrige tilsynsmyndigheder i forbindelse med udførelsen af sådanne tilsynsmyndigheders opgaver. Databehandleren er herunder berettiget til at give Datatilsynet adgang til alle personoplysniger og oplysninger, der er nødvendige for at varetage Datatilsynets opgaver.

Efter Databehandlerens valg træffer enten den Dataansvarlige eller Databehandleren de nødvendige foranstaltninger til at sikre overholdelse af en afgørelse fra Datatilsynet.

Eventuelle ændringer i forhold til sikkerhedsniveau gennemføres som en ændring i henhold til denne Xxxxxx. Den Dataansvarlige underretter Datatilsynet om de foranstaltninger, der er truffet for at overholde afgørelsen.

Meddeler Datatilsynet Databehandleren påbud, skal Databehandleren efterkomme sådant påbud i overensstemmelse med den nærmere angivne måde og inden for den angivne frist.

7. Databehandlere, der har adgang til den Dataansvarliges IT-systemer og/eller den Dataansvarlige fysiske bygninger mv.

7.1 Databehandlere, der har adgang til den Dataansvarliges IT-systemer og/eller fysiske bygninger, skal ud over sikkerhedskravene i dette underbilag B, endvidere overholde de af dette punkt 5 omfattede sikkerhedskrav.

7.2 Databehandleren har tilladelse til at tilgå den Dataansvarliges netværk og IT-systemer i det omfang det er nødvendigt i henhold til Kontrakten. Dette sker via legale og sikkerhedsgodkendte værktøjer og kanaler, jf bilag B.