Bilag 4 - Databehandleraftale

Bilag 4 - Databehandleraftale

Til Distributionsaftalen indgået mellem parterne.

Om behandling af personhenførbare oplysninger foretaget for kunden, herefter benævnt ”Dataansvarlig”

af

A/S Bladkompagniet Islevdalvej 205

2610 Rødovre Danmark

CVR nr.: 54 06 95 10

herefter benævnt ”Databehandler”.

Nærværende bilag 4 - databehandleraftale, indgået mellem ovenstående parter om behandling af personhenførbare

oplysninger, benævnes herefter ”Aftalen”.

1. Hensigt og formål med aftalen.

Parterne har indgået aftale om Databehandlerens vask og validering af den Dataansvarliges leveringsdata i form af navn og adresse på de personer der skal modtage den Dataansvarliges forsendelse. Til dette formål fremsender kunden:

• Modtagers fulde navn og adresse (evt. c/o adresse)

Databehandleren accepterer at modtage øvrige data som er nødvendige i relation til den Dataansvarliges proces ift. trykkeri eller printshop.

Parterne har ligeledes indgået aftale om Databehandlerens fremsendelse af de vaskede/validerede data til en af den Dataansvarlige udpeget virksomhed, typisk et trykkeri eller en printshop.

Dermed foretages der databehandling på den Dataansvarliges vegne, hvorfor Parterne har indgået Aftalen.

Aftalen har til formål at sikre, at Databehandleren overholder den til enhver tid gældende persondataretlige lovgivning, herunder navnlig:

• persondataloven (lov 2000-05-31 nr. 429 med senere xxxxxxxxx)

• sikkerhedsbekendtgørelsen (bekendtgørelse 2000-06-15 nr. 528 med senere ændringer)

• persondataforordningen (Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016), når denne får virkning.

De modtagne data gemmes i 3 måneder efter endt omdeling, hvorefter de slettes efter aftale med den Dataansvarlige. Såfremt den Dataansvarlige specifikt anmoder herom, er Databehandleren forpligtet til straks at foretage sletning af data.

Processen for udveksling og behandling af personoplysningerne er beskrevet i Aftalens bilag C – Datasikkerhed.

2. Den Dataansvarliges forpligtelser

Den Dataansvarlige afgør til hvilke formål og hvordan, der må foretages behandling af personoplysninger og bevarer alle rettigheder til og ejerskab af personoplysningerne.

Den Dataansvarlige har over for omverden som udgangspunkt ansvaret for at sikre, at behandlingen af data sker i overensstemmelse med persondataforordningen. Det er således den Dataansvarliges ansvar at sikre, at et tilstrækkeligt juridisk grundlag er til stede, for at Databehandleren kan foretage den behandling som Databehandleren instrueres i.

3. Databehandlerens forpligtelser

Databehandler handler alene efter dokumenteret instruks fra den dataansvarlige.

Databehandleren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger, som kræves i henhold til persondataforordningen. Dette indebærer blandt andet foranstaltninger mod at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lov om behandling af personoplysninger.

Databehandleren skal på den dataansvarliges anmodning give den Dataansvarlige tilstrækkelige oplysninger og adgang til, at denne kan påse, at de nævnte tekniske og organisatoriske sikkerhedsforanstaltninger er truffet og at alle krav i Databehandleraftalen er overholdt. Databehandleren skal tilstræbe at informationer og adgang gives inden for 3 uger efter henvendelse fra den dataansvarlige og/eller dennes repræsentant.

Databehandleren skal i fornødent og rimeligt omfang bistå ved den Dataansvarliges opfyldelse af dennes forpligtelser ved behandling af personoplysningerne, der er omfattet af Aftalen, herunder ved besvarelser til registrerede ved udøvelse af disses rettigheder.

Databehandleren sikrer, at kun de personer, der er bemyndiget dertil, får adgang til personoplysninger omfattet af denne databehandleraftale.

Parterne samt disses medarbejdere er underlagt tavshedspligt og fortrolighed om såvel denne aftale som de oplysninger medarbejderne måtte få kendskab til under aftalen.

Databehandleren skal uden ugrundet ophold efter et datalæk er identificeret underrette den dataansvarlige, sådan at den Dataansvarlige har mulighed for at rapportere bruddet til tilsynsmyndighederne indenfor 72 timer. Til dette benyttes skabelonen i bilag A.

4. Underdatabehandlere

Den Dataansvarlige accepterer, at Databehandleren videregiver personoplysninger til sine underleverandører som er nævnt i bilag B, i det omfang dette er nødvendigt for at opfylde aftalen. Den Dataansvarlige har ret til at få forelagt underdatabehandleraftalerne.

Databehandler og underdatabehandleren skal indgå en skriftlig underdatabehandleraftale, som pålægger underdatabehandleren de samme forpligtelser som databehandler. Den dataansvarlige kan til enhver tid anmode Databehandleren om en kopi af gældende underdatabehandleraftaler. Underdatabehandler handler kun på instruks fra den Dataansvarlige. Kommunikation med underdatabehandler varetages af Databehandler. Databehandleren er ansvarlig for underdatabehandlerens behandling af personoplysninger på samme vis, som hvis behandlingen var foretaget af Databehandleren selv. Lever en underdatabehandler ikke op til instruksen, kan den Dataansvarlige forbyde anvendelsen af den pågældende underdatabehandler. Listen over godkendte underdatabehandlere fremgår af bilag B. Den Dataansvarlige giver ved sin underskrift på denne databehandleraftale samtykke til, at de i bilag B nævnte virksomheder kan benyttes som underdatabehandlere.

5. Opmærksomheden skal særligt henledes på:

Parterne kan ikke gøres ansvarlige for forhold der almindeligvis må betegnes som force majeure.

Databehandleren placerer data i 2 datacentre på adresserne: Miracle A/S, Borupvang 2C, 2750 Ballerup og Telia, Hørskætten 3, 2630 Taastrup.

Databehandleren bærer selv alle omkostninger til efterlevelse af lovgivningen og implementering af passende sikkerhedsniveau. Databehandleren har dog ret til at kræve sædvanlig timebetaling for ydelser leveret efter henvendelse fra den dataansvarlige.

6. Ændringer

Denne databehandleraftale kan til enhver tid ændres uden varsel, hvis ændringen er nødvendig for at overholde de til enhver tid gældende regler og forskrifter for behandling af personoplysninger.

7. Aftalens ikrafttræden og ophør

Databehandleraftalen betragtes som accessorisk til Distributionsaftalen, og den kan således kun opsiges eller ophæves sammen med Distributionsaftalen i henhold til Distributionsaftalens bestemmelser herom. Databehandleraftalen er tilsvarende underlagt Distributionsaftalens lovvalg og værneting.

Denne Aftale har forrang i forhold til tilsvarende bestemmelser i distributionsaftalen eller andre aftaler mellem parterne.

Databehandleren skal tilbagelevere alle personoplysninger, som Databehandleren har behandlet under Aftalen, til den Dataansvarlige ved Aftalens ophør, i det omfang den Dataansvarlige ikke allerede er i besiddelse af personoplysningerne. Databehandleren er herefter forpligtet til at slette alle personoplysninger fra den Dataansvarlige. Den Dataansvarlige kan anmode om fornøden dokumentation for, at dette er sket. Forpligtelsen gælder også for Databehandlerens underdatabehandlere.

BILAG A – Hændelsesrapport (til databehandleraftalen)

Udfyldes i tilfælde af datalæk

FORHOLD	BEMÆRKNINGER
Databrud • Tid (hvornår fandt det sted) • Dato (hvilken dag fandt det sted) • Lokation og IT system (hvor fandt det sted)
Opdagelse af databrud • Tid • Dato • Person • Hvordan
Kontaktperson • Kontaktoplysninger hos databehandler
Datalækket omfatter • Fysiske breve med modtagerdata • Elektroniske modtagerdata • Hvem er i så fald afsender af produkt(erne) med lækket data? • Medarbejderdata
Kategorier af personoplysninger • følsomme personoplysninger • ikke-følsomme personoplysninger • Fortrolige personoplysninger (kreditkortoplysninger, password m.fl.) • anonyme data
Antal berørte personer af datalækket
Årsag til databruddet • Ondsindet angreb – udefra eller indefra • Uheld (systemfejl) • Uagtsomhed (menneskelig fejl) • Andet?

Hvis et resultat af et ondsindet angreb

• Trojanske heste

• Malware

• DDOS

• Andet?

Sikkerhedsforanstaltninger på angrebstidspunktet

• Tekniske (firewall, logning m.fl.)

• Organisatoriske (brugerkontrol m.fl.)

• IT politikker og procedurer

Sandsynlig konsekvens af databruddet

• Offentliggørelse

• Tab af fortrolighed

• Datatyveri

• Økonomisk tab

• Identitetstyveri

• Tab af data

• Erstatningsansvar

• Skade på omdømme

Er de lækkede data

• Fuldt krypteret

• Delvist krypteret

• Ikke-krypteret

IT support

• Intern

• Ekstern

Foranstaltninger truffet for at afhjælpe negative virkninger af datalækket

• Genskabelse af data

• Fjernelse af malware/virus software

• Ekstern testning (dvs. etiske hackere, pen test osv.)

• Forbedring af datasikkerhed

• Andet

BILAG B – Godkendte underdatabehandlere

Ambition A/S, Lygten 39, 2400 KBH NV, Danmark – CVR 34 22 22 82

Athena IT Group A/S, Xxxxxxxxxxx 0, 0000 Xxxxxx M, Danmark – CVR 19 56 02 01

Miracle A/S, Borupvang 2C, 2750 Ballerup, Danmark – CVR 25 67 89 90

BILAG C – Datasikkerhed

Sikkerhedsniveauet skal afspejle at der er tale om behandling af en større mængde personoplysninger indeholdende navn og adresse, hvorfor Databehandleren efterlever følgende:

Databehandleren udveksler data, med såvel kunder som leverandører, igennem sikrede kanaler så som sFTP, krypteret MQ og Https.

Databehandleren opbevarer data i sine systemer i op til 3 måneder efter leveringsdato. Data til brug for BI er anonymiserede mht. navn og leveret produkt til slutmodtager.

Databehandlerens data opbevares på servere placeret i Danmark Databehandleren arbejder generelt med IT-sikkerhed jf. ISO 27002

Databehandlerens medarbejdere er alle bekendt med persondataforordningen og underskriver en særlig erklæring om overholdelse af denne i forbindelse med deres ansættelse samt om fortrolighed.

Databehandleren foretager datavask/validering for den Dataansvarlige, hvilket betyder at de data Databehandleren modtager fra den Dataansvarlige matches op mod navne og adresser i en modtagerdatabase, der omfatter alle navne og adresser i Danmark. Vasken kan eksempelvis inkludere følgende:

- Adressevask: ADRESSEVASK er et datavask modul som vasker og geokoder adressedata mod OIS- og CPR- vejdata. Resultatet er en atomiseret adresse (opdelt i vej, husnummer, bogstav osv.) påført korrekt stavet vejnavn, kommunekode, vejkode, KVH/KVHX-geonøgle samt en adressevask statuskode

- Personvask: PERSONVASK er et datavask modul som foretager match af persondata mod Databehandlers Modtagerdatabase (MDB), som opdateres på daglig basis. Resultatet af et positivt match mod MDB er korrekte og validerede persondata, herunder navn, adresse og status (fx aktiv, død, flyttet osv.). Data fra CPR- registret benyttes til dette.

- Robinsonvask: ROBINSONMARKERING er et datavask modul som foretager match af persondata mod seneste Robinsonliste fra CPR-registret

- Firmavask: FIRMAVASK er et datavask modul som alene foretager match mod CVR-data med henblik på at berige firmadata med CVR-nr., P-nr. og udvalgte CVR-stamdata

- Dubletvask: DUBLETMARKERING er et datavask modul som foretager en intern vask og match med henblik på at identificere records som er indbyrdes potentielle dubletter

Desuden undersøges om Databehandler har distribution på den ønskede leveringsadresse. Resultatet returneres til den Dataansvarlige, i form af Returfil, Postfil, Fejlfil og Pakkefil. Såfremt det er aftalt kan Databehandler videresende resultatet af vask/validering direkte til fx en printshop.