Standardkontraktbestemmelser
Databehandleraftale
Standardkontraktbestemmelser
i henhold til artikel 28, stk. 3, i forordning 2016/679 (databeskyttelsesforordningen) med henblik på databehandlerens behandling af personoplysninger
mellem
XXX CVR
herefter ”den dataansvarlige” og
UMAKERS ApS
Xxxxxxxxx 0
4390 Vipperød
CVR 36890525
herefter ”databehandleren”
der hver især er en ”part” og sammen udgør ”parterne”
HAR AFTALT følgende standardkontraktbestemmelser (Bestemmelserne) med henblik på at overholde databeskyttelsesforordningen og sikre beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder.
1. Indhold
1. Indhold 2
2. Præambel 3
3. Den dataansvarliges rettigheder og forpligtelser 3
4. Databehandleren handler efter instruks 4
5. Fortrolighed 4
6. Behandlingssikkerhed 4
7. Anvendelse af underdatabehandlere 5
8. Overførsel til tredjelande eller internationale organisationer 6
9. Bistand til den dataansvarlige 6
10. Underretning om brud på persondatasikkerheden 7
11. Sletning og returnering af oplysninger 8
12. Revision, herunder inspektion 8
13. Parternes aftale om andre forhold 8
14. Ikrafttræden og ophør 9
15. Kontaktpersoner hos den dataansvarlige og databehandleren 10
Bilag A Oplysninger om behandlingen 11
Bilag B Underdatabehandlere 12
Bilag C Instruks vedrørende behandling af personoplysninger 14
Bilag D Parternes regulering af andre forhold 18
Bilag E Organisatoriske og tekniske sikkerhedsforanstaltninger 19
2. Præambel
1. Disse bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige.
2. Disse bestemmelser er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (databeskyttelsesforordningen).
3. I forbindelse med leveringen af digitale arbejdsopgaver samt hosting behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med disse bestemmelser.
4. Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.
5. Der hører fem bilag til disse bestemmelser, og bilagene udgør en integreret del af bestemmelserne.
6. Bilag A indeholder nærmere oplysninger om behandlingen af personoplysninger, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.
7. Bilag B indeholder den dataansvarliges betingelser for databehandlerens brug af underdatabehandlere og en liste af underdatabehandlere, som den dataansvarlige har godkendt brugen af.
8. Bilag C indeholder den dataansvarliges instruks for så vidt angår databehandlerens behandling af personoplysninger, en beskrivelse af de sikkerhedsforanstaltninger, som databehandleren som minimum skal gennemføre, og hvordan der føres tilsyn med databehandleren og eventuelle underdatabehandlere.
9. Bilag D indeholder bestemmelser vedrørende andre aktiviteter, som ikke er omfattet af bestemmelserne.
10. Bilag E indeholder en fortegnelse over Databehandlerens organisatoriske og tekniske sikkerhedsforanstaltninger.
11. Bestemmelserne med tilhørende bilag skal opbevares skriftligt, herunder elektronisk, af begge parter.
12. Disse Bestemmelser frigør ikke databehandleren fra forpligtelser, som databehandleren er pålagt efter databeskyttelsesforordningen eller enhver anden lovgivning.
13. Denne databehandleraftale er baseret på databehandleraftalen udarbejdet af Datatilsynet, men indeholder dog flere afvigelser fra Datatilsynets skabelon.
3. Den dataansvarliges rettigheder og forpligtelser
1. Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (se forordningens artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes1 nationale ret og disse bestemmelser.
1 Henvisninger til ”medlemsstat” i disse bestemmelser skal forstås som en henvisning til ”EØS medlemsstater”.
2. Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.
3. Den dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som databehandleren instrueres i at foretage.
4. Databehandleren handler efter instruks
1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Denne instruks skal være specificeret i bilag A og C. Efterfølgende instruks kan også gives af den dataansvarlige, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med disse bestemmelser.
2. Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.
5. Fortrolighed
1. Databehandleren sikrer, at kun de personer, der er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den dataansvarlige. Adgangen til oplysningerne skal derfor straks lukkes ned, hvis autorisationen fratages eller udløber.
2. Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang til personoplysningerne for at kunne opfylde databehandlerens forpligtelser overfor den dataansvarlige.
3. Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
4. Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de relevante medarbejdere er underlagt ovennævnte tavshedspligt.
6. Behandlingssikkerhed
1. Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til disse risici.
2. Ovenstående forpligtelse indebærer, at databehandleren skal foretage en risikovurdering, og herefter gennemføre foranstaltninger for at imødegå identificerede risici. Der kan herunder bl.a., alt efter hvad der er relevant, være tale om følgende foranstaltninger:
a. Pseudonymisering og kryptering af personoplysninger
b. Evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
c. Evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og – tjenester
d. En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed
3. Databehandleren skal i forbindelse med ovenstående – i alle tilfælde – som minimum iværksætte det sikkerhedsniveau og de foranstaltninger, som er specificeret nærmere i denne aftales Bilag C.
4. Derudover skal databehandleren bistå den dataansvarlige med vedkommendes overholdelse af den dataansvarliges forpligtelse efter forordningens artikel 32, ved bl.a. at stille den nødvendige information til rådighed for den dataansvarlige vedrørende de tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren allerede har gennemført i henhold til forordningens artikel 32, og al anden information, der er nødvendig for den dataansvarliges overholdelse af sin forpligtelse efter forordningens artikel 32.
Hvis imødegåelse af de identificerede risici – efter den dataansvarliges vurdering – kræver gennemførelse af yderligere foranstaltninger end de foranstaltninger, som databehandleren allerede har gennemført, skal den dataansvarlige angive de yderligere foranstaltninger, der skal gennemføres, i bilag C.
7. Anvendelse af underdatabehandlere
1. Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2, og stk. 4, for at gøre brug af en anden databehandler (en underdatabehandler).
2. Databehandleren må således ikke gøre brug af en underdatabehandler til opfyldelse af disse bestemmelser uden forudgående generel skriftlig godkendelse fra den dataansvarlige.
Databehandleren har den dataansvarliges generelle godkendelse til brug af underdatabehandlere. Databehandleren skal skriftligt underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer inden brugen af de(n) omhandlede underdatabehandler(e). Længere varsel for underretning i forbindelse med specifikke behandlingsaktiviteter kan angives i bilag B. Listen over underdatabehandlere, som den dataansvarlige allerede har godkendt, fremgår af bilag B.
3. Når databehandleren gør brug af en underdatabehandler i forbindelse med udførelse af specifikke behandlingsaktiviteter på vegne af den dataansvarlige, skal databehandleren, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der fremgår af disse Bestemmelser, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen overholder kravene i disse Bestemmelser og databeskyttelsesforordningen.
Databehandleren er derfor ansvarlig for at kræve, at underdatabehandleren som minimum overholder databehandlerens forpligtelser efter disse bestemmelser og databeskyttelsesforordningen.
4. Underdatabehandleraftale(r) og eventuelle senere ændringer hertil sendes – efter den dataansvarliges anmodning herom – i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at tilsvarende databeskyttelsesforpligtelser som følger af disse Bestemmelser er pålagt underdatabehandleren. Bestemmelser om kommercielle vilkår, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.
5. Databehandleren skal i sin aftale med underdatabehandleren indføje den dataansvarlige som begunstiget tredjemand, således at den dataansvarlige i tilfælde af at databehandleren faktisk eller retligt set er ophørt med at eksistere eller i tilfælde af databehandlerens konkurs,
har ret til at opsige underdatabehandleraftalen og instruere underdatabehandleren i at slette eller tilbagelevere personoplysningerne.
6. Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser. Dette påvirker ikke de registreredes rettigheder, der følger af databeskyttelsesforordningen, herunder særligt forordningens artikel 79 og 82, over for den dataansvarlige og databehandleren, herunder underdatabehandleren.
8. Overførsel til tredjelande eller internationale organisationer
1. Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V.
2. Hvis overførsel af personoplysninger til tredjelande eller internationale organisationer, som databehandleren ikke er blevet instrueret i at foretage af den dataansvarlige, kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt, skal databehandleren underrette den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.
3. Uden dokumenteret instruks fra den dataansvarlige kan databehandleren således ikke inden for rammerne af disse Bestemmelser:
a. overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland eller en international organisation
b. overlade behandling af personoplysninger til en underdatabehandler i et tredjeland
c. behandle personoplysningerne i et tredjeland
4. Den dataansvarliges instruks vedrørende overførsel af personoplysninger til et tredjeland, herunder det eventuelle overførselsgrundlag i databeskyttelsesforordningens kapitel V, som overførslen er baseret på, skal angives i bilag C.6.
5. Disse Bestemmelser skal ikke forveksles med standardkontraktsbestemmelser som omhandlet i databeskyttelsesforordningens artikel 46, stk. 2, litra c og d, og disse Bestemmelser kan ikke udgøre et grundlag for overførsel af personoplysninger som omhandlet i databeskyttelsesforordningens kapitel V.
9. Bistand til den dataansvarlige
1. Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel III.
Dette indebærer, at databehandleren så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:
a. oplysningspligten ved indsamling af personoplysninger hos den registrerede
b. oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede
c. indsigtsretten
d. retten til berigtigelse
e. retten til sletning (”retten til at blive glemt”)
f. retten til begrænsning af behandling
g. underretningspligten i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
h. retten til dataportabilitet
i. retten til indsigelse
j. retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering
2. I tillæg til databehandlerens forpligtelse til at bistå den dataansvarlige i henhold til Bestemmelse 6.3., bistår databehandleren endvidere, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, den dataansvarlige med:
a. den dataansvarliges forpligtelse til uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed, Datatilsynet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder
b. den dataansvarliges forpligtelse til uden unødig forsinkelse at underrette den registrerede om brud på persondatasikkerheden, når bruddet sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder
c. den dataansvarliges forpligtelse til forud for behandlingen at foretage en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger (en konsekvensanalyse)
d. den dataansvarliges forpligtelse til at høre den kompetente tilsynsmyndighed, Datatilsynet, inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen.
3. Parterne skal i bilag C angive de fornødne tekniske og organisatoriske foranstaltninger, hvormed databehandleren skal bistå den dataansvarlige samt i hvilket omfang og udstrækning. Det gælder for de forpligtelser, der følger af Bestemmelse 9.1. og 9.2.
10. Underretning om brud på persondatasikkerheden
1. Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden.
2. Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 24 timer efter, at denne er blevet bekendt med bruddet, sådan at den dataansvarlige kan overholde sin forpligtelse til at anmelde bruddet på persondatasikkerheden til den kompetente tilsynsmyndighed, jf. databeskyttelsesforordningens artikel 33.
3. I overensstemmelse med Bestemmelse 9.2.a skal databehandleren bistå den dataansvarlige med at foretage anmeldelse af bruddet til den kompetente tilsynsmyndighed. Det betyder, at databehandleren skal bistå med at tilvejebringe nedenstående information, som ifølge artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse af bruddet til den kompetente tilsynsmyndighed:
a. karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger
b. de sandsynlige konsekvenser af bruddet på persondatasikkerheden
c. de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.
4. Parterne skal i bilag C angive den information, som databehandleren skal tilvejebringe i forbindelse med sin bistand til den dataansvarlige i dennes forpligtelse til at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed.
11. Sletning og returnering af oplysninger
1. Ved ophør af tjenesterne vedrørende behandling af personoplysninger, er databehandleren forpligtet til at slette alle personoplysninger, der er blevet behandlet på vegne af den dataansvarlige og bekræfte over for den dataansvarlig, at oplysningerne er slettet, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.
2. Databehandleren forpligter sig til alene at behandle personoplysningerne til de(t) formål, i den periode og under de betingelser, som disse regler foreskriver.
12. Revision, herunder inspektion
1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og disse Bestemmelser, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.
2. Procedurerne for den dataansvarliges revisioner, herunder inspektioner, med databehandleren og underdatabehandlere er nærmere angivet i Bilag C.7. og C.8.
3. Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter gældende lovgivningen har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter, der optræder på tilsynsmyndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.
13. Parternes aftale om andre forhold
1. Parterne kan aftale andre bestemmelser vedrørende tjenesten vedrørende behandling af personoplysninger om f.eks. erstatningsansvar, så længe disse andre bestemmelser ikke direkte eller indirekte strider imod Bestemmelserne eller forringer den registreredes grundlæggende rettigheder og frihedsrettigheder, som følger af databeskyttelsesforordningen.
14. Ikrafttræden og ophør
1. Bestemmelserne træder i kraft på datoen for begge parters underskrift heraf.
2. Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i Bestemmelserne giver anledning hertil.
3. Bestemmelserne er gældende, så længe tjenesten vedrørende behandling af personoplysninger varer. I denne periode kan Bestemmelserne ikke opsiges, medmindre andre bestemmelser, der regulerer levering af tjenesten vedrørende behandling af personoplysninger, aftales mellem parterne.
4. Hvis levering af tjenesterne vedrørende behandling af personoplysninger ophører, og personoplysningerne er slettet eller returneret til den dataansvarlige i overensstemmelse med Bestemmelse 11.1 og Bilag C.4, kan Bestemmelserne opsiges med skriftlig varsel af begge parter.
5. Underskrift
På vegne af den dataansvarlige Navn
Stilling Telefonnummer E-mail Underskrift
På vegne af databehandleren Navn Xxxxxx Xxxxxx
Stilling CEO Telefonnummer x00 0000 0000
Underskrift 25. april 2024
15. Kontaktpersoner hos den dataansvarlige og databehandleren
1. Parterne kan kontakte hinanden via nedenstående kontaktpersoner.
2. Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende kontaktpersoner.
Kontaktperson hos dataansvarlig: Navn
Stilling
Telefonnummer E-mail
Kontaktperson hos databehandler: Navn Xxxxx Xxxxxxx
Stilling Medarbejder Telefonnummer x00 0000 0000
Bilag A Oplysninger om behandlingen
A.1. Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige
Som led i Databehandlerens levering af digitale arbejdsopgaver og/eller hosting services (”Services”), foretager Databehandleren behandling af personoplysninger, som den Dataansvarlige er ansvarlig for.
A.2. Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige drejer sig primært om (karakteren af behandlingen)
Databehandleraftalen dækker alle Services, som den Dataansvarlige har ved Databehandleren ved Databehandleraftalens ikrafttrædelse og fremtidigt erhverver sig hos Databehandleren. Såfremt Databehandlerens leverance ændres, i et sådant omfang, at den Dataansvarliges instruks ændres, vil Parterne skulle indgå en ny databehandleraftale.
Services omfattet af indeværende aftale er følgende:
● Generelle henvendelser via support-system
● Løsning til oprettelse og redigering af hjemmeside inklusive hosting (herunder Hammer)
A.3. Behandlingen omfatter følgende typer af personoplysninger om de registrerede
Databehandleraftalen og tilhørende instruks omfatter alle typer personoplysninger, som overlades af den Dataansvarlige til Databehandleren i henhold til de af Databehandleren leverede services. Der vil som regel være tale om følgende ikke følsomme oplysningstyper: navn, emailadresse(r), adresse, telefonnummer.
A.4. Behandlingen omfatter følgende kategorier af registrerede
Kategorierne af de registrerede personer, som personoplysningerne vedrører, er typisk de(n) dataansvarlige ejer(e) af løsning(er) inkluderet i databehandleraftalen samt brugere af inkluderede løsninger (herunder Hammer).
A.5. Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige kan påbegyndes efter disse Bestemmelsers ikrafttræden. Behandlingen har følgende varighed
Databehandleren er forpligtet af denne Databehandleraftale, så længe den Dataansvarlige har et aktivt produkt eller service ved Databehandleren og Databehandleren behandler personoplysninger på vegne af den Dataansvarlige. Når den Dataansvarlige sletter sine produkter/services eller disse udløber, er Databehandleren berettiget til at slette alle personoplysninger, som er blevet behandlet på vegne af den Dataansvarlige. Databehandleren må dog altid opbevare de behandlede data, såfremt dette følger af EU-retten eller medlemsstaternes nationale ret.
Bilag B Underdatabehandlere
B.1. Godkendte underdatabehandlere
Ved Bestemmelsernes ikrafttræden har den Dataansvarlige godkendt brugen af følgende underdatabehandlere og systemer, herunder to tredjepartsleverandører med placering uden for EU:
Systemer, som potentielt behandler personhenførbare data:
NAVN | ADRESSE | BESKRIVELSE AF BEHANDLING |
Hetzner Online GmbH | Industreistr. 25 D-91710 Gunzenhausen | Serverhosting (placeret i EU) |
XXXX.xx ApS | Xxxxxxxxxxx 000X 0000 Xxxxxxxxx K CVR: 29849439 | SMTP-service Såfremt Hammer-løsningen bruges til udsendelse af nyhedsbreve |
Systemer, som ikke bruges til håndtering af personhenførebare data:
NAVN | ADRESSE | BESKRIVELSE AF BEHANDLING |
Freescout | Supportværktøj Egen hosting hos Hetzner (server i EU) | |
Ninox Software GmbH | Xxxxxxxxxxxxx 0 X-00000 Xxxxxx | Intern projekthåndtering Egen hosting hos Hetzner (server i EU) |
Mountain View Californien, USA | Mail, Xxxxxxxx, intern/fælles filhåndtering Ingen registrering og/eller opbevaring af personhenførbare data | |
Github | 00 Xxxxx X Xxxxx Xx Xx Xxx Xxxxxxxxx XX 00000, XXX | Internethosting til softwareudvikling og versionskontrol |
Plausible | Analyseværktøj uden brug af cookies, derfor ingen registrering og/eller opbevaring af personhenførbare data Egen hosting hos Hetzner (server i EU) Kun aktuelt, hvis analyse tilvælges. |
Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af ovennævnte underdatabehandlere for den beskrevne behandlingsaktivitet. Databehandleren må ikke – uden den dataansvarliges skriftlige godkendelse – gøre brug af en underdatabehandler til en anden behandlingsaktivitet end den beskrevne og aftalte eller gøre brug af en anden underdatabehandler til denne behandlingsaktivitet.
B.2. Varsel for godkendelse af underdatabehandlere
Varsel for godkendelse af nye underdatabehandlere og/eller eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere er hævet til 30 dage, jvf. afsnit 7 pkt. 2.
Bilag C Instruks vedrørende behandling af personoplysninger
C.1. Behandlingens genstand/instruks
Den primære databehandling, som Databehandleren udfører, er kortvarig behandling og opbevaring af de data, som den Dataansvarlige overlader til Databehandleren. Såfremt den Dataansvarlige ønsker andre former for databehandling, som ikke er relateret til de Services Databehandleren leverer, skal den Dataansvarlige give Databehandleren tydelig dokumenteret instruks herom.
Databehandleren handler alene efter dokumenteret instruks fra den Dataansvarlige. Databehandleren skal sikre, at de overladte personoplysninger ikke benyttes til andre formål eller behandles på anden måde, end hvad der fremgår af den Dataansvarliges instruks.
Såfremt en instruktion efter Databehandlerens opfattelse er i strid med lovgivningen, skal Databehandleren orientere den Dataansvarlige herom.
Såfremt behandlingen af personoplysninger hos Databehandleren sker helt eller delvist ved anvendelse af fjernopkobling, herunder hjemmearbejdspladser, skal Databehandleren fastsætte retningslinjer for medarbejdernes behandling af personoplysninger ved anvendelse af fjernopkobling, som i øvrigt skal opfylde de i Databehandleraftalen stillede krav.
Databehandleren skal så vidt muligt bistå den Dataansvarlige med opfyldelse af den Dataansvarliges forpligtelser til at besvare anmodninger om udøvelse af de registreredes rettigheder, herunder om indsigt, berigtigelse, begrænsning eller sletning, hvis de relevante personoplysninger behandles af Databehandleren. Modtager Databehandleren sådan henvendelse fra den registrerede, orienterer Databehandleren den Dataansvarlige herom.
Herefter pålægger det den Dataansvarlige at instruere Databehandleren om opfølgende behandling, og i dette tilfælde hæfter den Dataansvarlige for Databehandlerens omkostninger ved sådan bistand, herunder til underdatabehandlere. Databehandlerens bistand afregnes til Databehandlerens til enhver tid gældende timetakst for sådant arbejde.
C.2. Behandlingssikkerhed
Databehandleren skal træffe passende tekniske og organisatoriske sikkerhedsforanstaltninger mod, at personoplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lovgivningen.
Databehandleren skal implementere og opretholde de i bilag E beskrevne sikkerhedsforanstaltninger.
Databehandleren er altid berettiget til at implementere alternative sikkerhedsforanstaltninger under forudsætning af, at sådanne sikkerhedsforanstaltninger som minimum opfylder eller giver større sikkerhed end de i bilag E beskrevne sikkerhedsforanstaltninger. Databehandleren kan ikke uden den Dataansvarliges skriftlige forudgående godkendelse foretage forringelse af sikkerhedsforholdene.
Hvis Databehandleren er etableret i en anden EU-medlemsstat, skal de bestemmelser om sikkerhedsforanstaltninger, som er fastsat i lovgivningen i den EU-medlemsstat, hvor Databehandleren er etableret, derudover gælde for Databehandleren. Hvis Databehandleren er etableret i en anden EU-medlemsstat, skal Databehandleren således overholde såvel sikkerhedskrav omfattet af gældende lovgivning i Danmark som sikkerhedskrav i Databehandlerens hjemland. Det samme gælder for underdatabehandlere.
Databehandleren skal efter nærmere aftale med den Dataansvarlige, så vidt muligt, bistå den Dataansvarlige med at sikre overholdelse af forpligtelserne i forordningens artikel 32 (gennemførelse af passende tekniske og organisatoriske foranstaltninger), 35 (foretagelse af konsekvensanalyse vedrørende databeskyttelse) og 36 (forudgående høring). Såfremt den Dataansvarlige kræver yderligere biståelse, end Databehandlerens standard procedurer for overholdelse af ovenstående
artikler, er Databehandleren berettiget til at fakturere den Dataansvarlige med sin sædvanlige timetakst for al Databehandlerens arbejdstid, som en sådan aftale måtte medføre for Databehandleren, ligesom den Dataansvarlige hæfter for eventuel betaling til underdatabehandleren.
C.3 Bistand til den dataansvarlige
Databehandleren skal så vidt muligt – inden for det nedenstående omfang og udstrækning – bistå den Dataansvarlige i overensstemmelse med Bestemmelse 9.1 og 9.2 ved at gennemføre følgende tekniske og organisatoriske foranstaltninger:
Databehandleren yder altid rådgivning og bistand til den Dataansvarlige - evt. efter aftalt analyse - om optimale og nødvendige tekniske og organisatoriske foranstaltninger, som bør træffes og gennemføres. Denne bistand og rådgivning vil blive initieret af Databehandler og på den baggrund blive en del af aftalegrundlaget.
I tilfælde af brud på persondatasikkerheden, bistår Databehandleren med oplysninger til indberetning af bruddet til den kompetente tilsynsmyndighed, herunder:
● Tidsrammer for indberetning: Angivelse af tidsfrister for, hvornår brud på persondatasikkerheden skal indberettes til tilsynsmyndigheden efter opdagelse.
● Omfang af information: Beskrivelse af hvilke oplysninger der skal medtages i anmeldelsen af brud på persondatasikkerheden, herunder detaljer om det pågældende brud og de berørte personers data.
● Ansvar: Tydeliggørelse af det juridiske og operationelle ansvar mellem den dataansvarlige og databehandleren i forbindelse med indberetning af brud på persondatasikkerheden.
C.4 Opbevaringsperiode/sletterutine
Personoplysninger opbevares inden for den tidsramme, som danner grundlag for den indgåede projekt/aftale, hvorefter de slettes hos databehandleren.
Ved ophør af tjenesten vedrørende behandling af personoplysninger, skal Databehandleren slette personoplysningerne i overensstemmelse med bestemmelse 11.1, medmindre den Dataansvarlige – efter underskriften af disse bestemmelser – har ændret den Dataansvarlige oprindelige valg. Sådanne ændringer skal dokumenteres og opbevares skriftligt, herunder elektronisk, i tilknytning til bestemmelserne.
C.5 Lokalitet for behandling
Den behandling af personhenførebare data, som Databehandleren foretager efter aftale med den Dataansvarlige, må alene foretages af Databehandleren eller underdatabehandlere, jf. pkt. 5, inden for det Europæiske Økonomiske Samarbejde (EØS).
Listen over underdatabehandlere (inklusive adresser) omfatter tre virksomheder med placering i USA. Deres systemer benyttes til at servicere dialogen mellem aftalens parter inklusive den Dataansvarliges medlemmer (både medlemsforeninger og politikere). Her indgår der ikke håndtering af personhenførbare data. Såfremt der konstateres et brud på persondatasikkerheden, uanset om det forårsages af den Dataansvarlige eller Databehandleren, skal indeværende aftales pkt. 10 følges.
C.6 Instruks vedrørende overførsel af personoplysninger til tredjelande
Databehandleren er ingenlunde berettiget til at lade databehandling foregå uden for EØS uden den Dataansvarliges skriftlige samtykke, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter Databehandleren den Dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.
Hvis den dataansvarlige ikke i disse Bestemmelser eller efterfølgende giver en dokumenteret instruks vedrørende overførsel af personoplysninger til et tredjeland, er databehandleren ikke berettiget til inden for rammerne af disse Bestemmelser at foretage sådanne overførsler.
Listen over underdatabehandlere (inklusive adresser) omfatter tre virksomheder med placering i USA. Deres systemer benyttes til at servicere dialogen mellem aftalens parter inklusive den Dataansvarliges medlemmer (både medlemsforeninger og politikere). Her indgår der ikke håndtering af personhenførbare data. Såfremt der konstateres et brud på persondatasikkerheden, uanset om det forårsages af den Dataansvarlige eller Databehandleren, skal indeværende aftales pkt. 10 følges.
C.7 Procedurer for den dataansvarliges revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til databehandleren
Som udgangspunkt fører både den Dataansvarlige og Databehandleren selv tilsyn, herunder af underdatabehandlere, på baggrund af egen selvstændig risikovurdering. Tilsynsfrekvensen vurderes til at være lav på baggrund af det langvarige samarbejdsforhold mellem Bestemmelsernes parter, som hver især har ansvaret for at holde sin egen risikovurdering ajour og udbede sig et tilsyn såfremt behovet opstår. Begge parter skal være særligt opmærksomme på, hvorvidt de respektive services i Bestemmelserne udføres stabilt og uden eller få ikke-alvorlige sikkerhedsbrud.
Databehandleren skal på den Dataansvarliges anmodning give den Dataansvarlige tilstrækkelige informationer til, at denne kan påse, at Databehandleren overholder persondataforordningens artikel 28 og Databehandleraftalen.
I det omfang den Dataansvarlige tillige ønsker, at dette skal omfatte den behandling, som sker hos underdatabehandlere, oplyses Databehandleren om dette. Databehandleren indhenter herefter tilstrækkelige oplysninger fra underdatabehandleren.
Såfremt den Dataansvarlige ønsker at foretage tilsyn, som anført i dette pkt. 8, skal den Dataansvarlige altid give Databehandleren et varsel på mindst 30 dage i sådan forbindelse.
Den Dataansvarlige afholder alle omkostninger i forbindelse med tilsyn af sikkerhedsforhold hos Databehandleren samt i forhold til underdatabehandlere, såfremt den Dataansvarlige ikke finder Databehandlerens eget tilsyn tilstrækkeligt og udbeder sig et opfølgende tilsyn. Databehandleren er berettiget til at fakturere den Dataansvarlige med sin sædvanlige timetakst for al Databehandlerens arbejdstid, som sådant tilsyn måtte medføre for Databehandleren, herunder eventuel betaling til underdatabehandlere for opfølgende tilsyn på vegne af den Dataansvarlige.
C.8 Procedurer for revisioner, herunder inspektioner, med behandling af personoplysninger, som er overladt til underdatabehandlere
Databehandleren i disse bestemmelser fører selv tilsyn med sine databehandlere (og dermed Bestemmelsernes underdatabehandlere) efter samme retningslinjer, som er beskrevet i bilag C pkt. 7.
Databehandleren udfører løbende risikovurderinger af underdatabehandleres aktiviteter og systemer for at identificere potentielle trusler og sårbarheder og træffe passende foranstaltninger til risikominimering.
Databehandleren eller en repræsentant for databehandleren forbeholder sig retten til at foretage en fysisk inspektion af lokaliteterne, hvorfra underdatabehandleren foretager behandling af personoplysninger, herunder fysiske lokaliteter og systemer, der benyttes til eller i forbindelse med behandlingen, med henblik på at fastslå underdatabehandlerens overholdelse af databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.
Herudover forbeholder Databehandleren sig ret til at gennemføre en inspektion med underdatabehandleren, når databehandleren (eller den dataansvarlige) finder det nødvendigt.
Dokumentation for sådanne inspektioner fremsendes uden unødig forsinkelse til den dataansvarlige til orientering. Den dataansvarlige kan anfægte rammerne for og/eller metoden af inspektionen og kan i sådanne tilfælde anmode om gennemførelsen af en ny inspektion under andre rammer og/eller under anvendelse af anden metode.
Baseret på resultaterne af tilsynet, er den dataansvarlige berettiget til at anmode om gennemførelse af yderligere foranstaltninger med henblik på at sikre overholdelse af databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.
Den Dataansvarlige afholder alle omkostninger i forbindelse med anmodet tilsyn af sikkerhedsforhold hos underdatabehandlere. Databehandleren er berettiget til at fakturere den Dataansvarlige med sin sædvanlige timetakst for al Databehandlerens arbejdstid, som sådant tilsyn måtte medføre for Databehandleren, herunder eventuel betaling til underdatabehandlere for opfølgende tilsyn på vegne af den Dataansvarlige.
Øvrige omkostninger i forbindelse med Databehandlerens egne tilsyn af underdatabehandlere dækkes af Databehandleren selv.
Bilag D Parternes regulering af andre forhold
Det har ikke været aktuelt at tilføje reguleringer af forhold i disse Bestemmelser.
Bilag E Organisatoriske og tekniske sikkerhedsforanstaltninger
E.1 Fortegnelse over praksis og systemer til opretholdelse af sikkerhedsforanstaltninger
Som databehandler har det for os (UMAKERS ApS) allerhøjeste prioritet at holde fokus på og sørge for optimal IT-sikkerhed i det daglige arbejde. Som udgangspunkt følger vi altid god praksis.
Her er de vigtigste retningslinjer for opretholdelse af nødvendige sikkerhedsforanstaltninger:
● at alle medarbejderes forbindelser er sikret med VPN-tunnel
● vi anvender krypterede kanaler, når der forbindes til egne og eksterne servere
● kodeord til samtlige løsninger opbevares i eget hostet værktøj med personligt master-kodeord for at skaffe sig adgang
● daglig backup-procedure
● avanceret log-procedure, som gemmes lokalt på de respektive systemer
● alle medarbejdere har en klar instruks om ikke at overføre personhenførbare data via “åbne” kanaler såsom mail og dialog-værktøjer
● behandling af personoplysninger sker i overensstemmelse med interne retningslinjer, som bl.a. fastsætter rammerne for autorisation- og adgangsstyring og logning
● personoplysninger opbevares i krypteret form og transmitteres udelukkende krypteret
● opbevaring af personoplysninger sker på servere, som står i aflåste faciliteter hos tredjepartsleverandør med placering i EU
Vi benytter os af følgende systemer/værktøjer:
NAVN | XXXX | BESKRIVELSE AF BEHANDLING |
Tailscale | xxxxx://xxxxxxxxx.xxx/ | VPN |
Bitwarden | xxxxx://xxxxxxxxx.xxx/ | Værktøj til håndtering af kodeord Egen hosting hos Hetzner (server i EU) |
Borg Backup | Backup Egen hosting hos Hetzner (server i EU) | |
FlowCrypt | xxxxx://xxxxxxxxx.xxx/ | Email kryptering |
Hetzner Online GmbH | Industreistr. 25 D-91710 Gunzenhausen | Serverhosting (placeret i EU) |