Databehandleraftale
Om behandling af persondata i forbindelse med elektronisk administration af arrangementer (tilmeldinger, billetsalg og resultatvisning) og medlemskaber (i det følgende betegnet som ”personoplysninger”).
Der er indgået følgende aftale mellem
Snegla Xxxxxxxxxxx 0
7500 Holstebro Danmark
VAT no. 33544065
(i det følgende ”dataansvarlige”) og
SPORTI I/S, Xxxxxxxxxx 000, 0000 Xxxxxxx X, XXX-xx. 0000 0000
Kontakt: Xxxxxx Xxxx, xxxxxx@xxxxxx.xx, x00 0000 0000 (i det følgende ”databehandleren”)
om administration af arrangementer og medlemskaber (i det følgende ”hovedydelsen”).
Den dataansvarlige og databehandleren (i det følgende hver for sig benævnt "part" og under et "parterne") har indgået følgende aftale om behandling af personoplysninger ("aftalen").
1. Hovedydelsen
Databehandleren indsamler, behandler, styrer og opbevarer personoplysninger for den dataansvarlige i forbindelse med følgende hovedydelser:
● Xxxxxxxxxxxx til arrangementer
● Administration af medlemskaber
● Billetsalg
● Resultatvisning
● GPS tracking til motionsløb
2. Aftalens baggrund
Denne aftale fastsætter de rettigheder og forpligtelser, som finder anvendelse, når databehandleren foretager behandling af personoplysninger på vegne af den dataansvarlige.
Aftalen er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i
Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (Databeskyttelsesforordningen), som stiller specifikke krav til indholdet af en databehandleraftale.
Databehandlerens behandling af personoplysninger sker med henblik på opfyldelse af parternes hovedaftale, hvor der kan indgå de punkter som er nævnt under 1. Hovedydelsen.
3. Den dataansvarliges forpligtelser og rettigheder
Den dataansvarlige har over for omverdenen (herunder den registrerede) som udgangspunkt ansvaret for, at behandlingen af personoplysninger sker indenfor rammerne af databeskyttelsesforordningen og databeskyttelsesloven.
Den dataansvarlige har derfor både rettighederne og forpligtelserne til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må foretages behandling.
Den dataansvarlige er blandt andet ansvarlig for, at der foreligger hjemmel til den behandling, som databehandleren instrueres i at foretage.
4. Instruks vedrørende behandling af personoplysninger
Databehandleren handler alene efter instruks fra den dataansvarlige. Den dataansvarlige afgør til hvilke formål og hvordan, der må foretages behandling af personoplysninger i databehandlerens systemer.
Hermed accepterer databehandleren i enhver henseende at behandle personoplysninger i overensstemmelse med persondataforordningen og kun med de formål og på en sådan måde, som fremgår af denne databehandleraftale.
Databehandlerens behandling af personoplysninger på vegne af den dataansvarlig sker ved, at databehandleren udfører følgende:
● Registrering af personoplysninger i forbindelse med tilmeldinger til arrangementer (stævner, kurser, foredrag, motionsløb m.v.)
● Registrering af personoplysninger i forbindelse med billetsalg
● Registrering af personoplysninger i forbindelse med registrering af medlemmer
● Registrering af personoplysninger på ledere og trænere
5. Oplysninger om behandlingen
Generelt kan den dataansvarlige anvende SPORTI’s tilmeldings- og medlemssystem, som ejes og administreres af databehandleren, til at indsamle og behandle oplysninger om den dataansvarliges deltagere og/eller medlemmer. Se også 1. Hovedydelsen.
4.1 Formålet med behandlingen
Databehandlerens behandling af personoplysninger for den dataansvarlige sker med følgende specifikke formål (dataansvarlige benytter ikke nødvendigvis databehandler til alle formål):
1) Behandling af personoplysninger ved tilmeldinger
● Registrering af de tilmeldte
● Modtagelse af betaling for tilmeldingen
● Udsendelse af kvittering for betaling og bekræftelse på tilmelding
● Udsendelse af information til de tilmeldte
2) Behandling af personoplysninger i forbindelse med tidtagning og resultatservice
3) Behandling af personoplysninger ved billetsalg
● Registrering af antal solgte billetter
● Modtagelse af betaling for billetsalget
● Udsendelse af kvittering for betaling og bekræftelse på tilmelding
4) Behandling af personoplysninger ved medlemskab:
● Den dataansvarliges medlemshåndtering, herunder kontingentopkrævning
● Som led i den dataansvarliges idrætsaktiviteter og andre aktiviteter, herunder planlægning, gennemførelse og opfølgning
● Opfyldelse af lovkrav, herunder folkeoplysningsloven
● Levering af varer og ydelser medlemmet har bestilt
● Administration af medlemmets relation til den dataansvarlige
5) Formål med behandling af oplysninger på ledere og trænere:
● Håndtering af trænernes og ledernes hverv og pligter hos den dataansvarlige
● Overblik over og forbedring af erfaringer og kompetencer, herunder kurser
● Opfyldelse af lovkrav
● Administration af xxxxxxxx og trænernes relation til den dataansvarlige
4.2 Karakter af behandlingen
Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige drejer sig primært om at databehandleren stiller SPORTI systemet til rådighed for den dataansvarlige og via dette system opbevarer personoplysninger om den dataansvarliges medlemmer og øvrige kunder på virksomhedens servere.
4.3 Typer af personoplysninger
Behandlingen af data omfatter følgende typer af almindelige personoplysninger om de registrerede:
1) Oplysninger om tilmeldte til en aktivitet:
a. Registrerings- og kontaktoplysninger som navn, køn, adresse, indmeldelsesdato, telefonnummer, fødselsdato, e-mailadresse, registrering af betalingen
2) Oplysning om resultater
a. Navn, køn, aldersklasse, land, hold/klub, tilmeldte distance, de registrerede tider
3) Oplysninger om købere af billetter
a. Registrerings- og kontaktoplysninger på køberen som navn, e-mailadresse og telefonnummer
4) Medlemsoplysninger:
a. Registrerings- og kontaktoplysninger som navn, køn, adresse, indmeldelsesdato, telefonnummer, fødselsdato, e-mailadresse, tilknytning til andre familiemedlemmer, medlemsnummer, registrerede betalinger af kontingent
5) Oplysninger om ledere og trænere:
a. Almindelige personoplysninger:
i. Kontaktoplysninger som adresse, telefonnummer og e-mailadresse
ii. Andre oplysninger om hverv i foreningen (træner, bestyrelse)
4.4 Kategorier af registrerede
Der behandles oplysninger om følgende kategorier af registrerede personer:
a) Deltagere til kommende og tidligere arrangementer
b) Resultater for deltagere til gennemførte motionsarrangementer
c) Købere af billetter til kommende og tidligere events
d) Medlemmer som har eller har haft et medlemskab
e) Nuværende og tidligere ledere og trænere
5. Fortrolighed
Databehandleren er underlagt fortrolighed, og databehandleren må ikke uberettiget kopiere, videregive eller udnytte personoplysningerne.
Databehandleren sikrer, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den dataansvarlige. Adgangen til oplysningerne skal derfor straks lukkes ned, hvis autorisationen fratages eller udløber.
Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang til personoplysningerne for at kunne opfylde databehandlerens forpligtelser over for den dataansvarlige.
Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de relevante medarbejdere er underlagt ovennævnte tavshedspligt.
Databehandleren skal informere og uddanne sine medarbejdere i fortrolighed for behandling af personoplysninger og skal sikre, at behandling sker i henhold til aftalens formål og den dataansvarliges instrukser.
6. Behandlingssikkerhed
Databehandleren iværksætter alle foranstaltninger, som kræves i henhold til databeskyttelsesforordningens artikel 32, hvoraf det bl.a. fremgår, at der under hensyntagen til det aktuelle niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføres passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.
Databehandleren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med persondataforordningen og lovgivningen i øvrigt.
Databehandleren må til varetagelse af sine opgaver i henhold til denne aftale alene benytte personer, der er underlagt en fortrolighedsforpligtelse.
6.1 Opbevaringsperiode og slette-rutiner (sletning af personoplysninger)
Databehandleren skal sørge for, at personoplysningerne slettes fra samtlige IT-systemer, arkiver m.v., når den dataansvarlige giver instruks herom. Det er den dataansvarlige der beslutter hvornår der ikke længere er et sagligt formål med opbevaring af personoplysningerne.
6.2 Sikkerhedskopier
Databehandler tager backup af alle data 6 gange dagligt. Der tages desuden en backup hver dag, hver uge og hver måned. Backupkopier opbevares i 12 måneder hvorefter de slettes. Ved ønske om sletning af personoplysninger sørger databehandler for sletning i forbindelse med en eventuel indlæsning af backuppen.
6.3 Adgangskontrol
Alle data i databehandlerens system er tilgængelige via internettet. Adgangen til personoplysninger er tildelt administratorer der kan logge ind via deres mail og en selvvalgt adgangskode. Databehandler tildeler og lukker adgange til systemet efter forespørgsel fra den dataansvarlige. Den dataansvarlige skal sikre at adgangen ikke misbruges.
Der anvendes kryptering af adgangskoder i databehandlerens system, så ingen kan se de faktiske adgangskoder.
6.4 Logning
Databehandler fører en log over alle behandlinger af personoplysninger så det er muligt at se, hvilke personer som har haft adgang og den behandling som den enkelte har foretaget.
Den dataansvarlige skal sikre at alle adgange til systemet sker via personlige profiler, så profiler ikke deles mellem flere personer.
6.5 Hardware
Når udstyr eller mobile enheder, som indeholder personoplysninger, ikke længere anvendes til behandling af personoplysninger, skal personoplysningerne permanent slettes på udstyret, så oplysninger ikke kan genskabes.
7. Brug af underdatabehandlere
Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler (underdatabehandler).
Den dataansvarlige har ved databehandleraftalens ikrafttræden godkendt anvendelsen af følgende underdatabehandlere selv om nogle af disse er placeret i tredjeland uden for EU:
Navn CVR-nr. Adresse Beskrivelse af behandling
Visma e-conomic a/s DK29403473 Xxxxxxxxxxxx 0,
1411 København K, Danmark
Opbevaring af personoplysninger på kontaktpersoner hos den dataansvarlige. Til fremsendelse af fakturaer.
Google Ireland Limited
IE6388047V Xxxxxx xxxxx, Barrow Xxxxxx, Xxxxxx 0, Xxxxxxx
Opbevaring af personoplysninger angivet i mailkorrespondance med kunder (arrangører, klubber, medlemmer, deltagere, købere).
Google Adsense | 0000 Xxxxxxxxxxxx Xxxxxxx, Xxxxxxxx Xxxx, XX 00000, XXX | Visning af annoncer tilpasset til den besøgende på xxx.xxxxxx.xx | |
Amazon Web | 000 Xxxxx Xxx Xxxxx, | Opbevaring af backup der indeholder | |
Services, Inc. | Seattle, WA | personoplysninger. | |
98109-5210, USA | |||
Linode, LLC | 329 E Xxxxxx Xxxxx | SPORTI’s programkode og alle | |
Road, Suite A, | indtastede data er opbevaret på | ||
Galloway, NJ 08205, | Linode servere i England. | ||
USA | |||
Postmark (Wildbit | 000 Xxxxxxxx Xxxxxx, | Udsendelse af e-mails fra SPORTI’s | |
LLC) | Philidelphia, PA | system. Postmark behandler e-mail | |
19106, USA | adresser og den tekst der sendes i de | ||
enkelte mail. | |||
Bambora Online / | DK28855060 | Vandmanden 10L, | Indtastning af betalingskort sker i |
ePay A/S | 9200 Aalborg, | Bambora’s sikkerhedsgodkendte | |
Danmark | system. SPORTI kan kun se de sidste | ||
4 cifre på betalingskortet. Bambora | |||
sørger for godkendelse af betalingen | |||
via en sikker forbindelse til | |||
Nets/Teller. | |||
Nets Danmark A/S | Lautrupbjerg 10, 2750 | Godkendelse af kortbetalinger via | |
Ballerup, Danmark | sikker forbindelse med | ||
Bambora/ePay. | |||
RaceTec | ABN92188780502 | Sorrento, Western | Visning af resultater på |
Australia, 6020, | xxx.xxxxxx.xx/xxxxxxxxxx. Der vises | ||
Australien | valgt distance, navn, køn, | ||
aldersklasse, klub, land ud over selve | |||
resultaterne. |
Det er en forudsætning for antagelse af en underdatabehandler, at databehandleren indgår en skriftlig aftale med underdatabehandleren om, at underdatabehandleren pålægges de samme databeskyttelsesforpligtelser og kontraktuelle betingelser, som dem der er fastsat i Aftalen.
Databehandleren er ansvarlig over for den dataansvarlige for eventuelle underdatabehandlere på samme måde som for databehandlerens egne handlinger og undladelser.
8. Underretning om brud på persondatasikkerheden
Databehandleren underrettet uden unødig forsinkelsen den dataansvarlige efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden hos databehandleren eller en eventuel underdatabehandler.
1. Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 36 timer efter at denne er blevet bekendt med bruddet, så den dataansvarlige har mulighed for at efterleve sin eventuelle forpligtelse til at anmelde bruddet til tilsynsmyndigheden (Datatilsynet) indenfor 72 timer.
2. Databehandleren hjælper den dataansvarlige med at foretage anmeldelse af bruddet til tilsynsmyndigheden. Databehandler hjælper ved at frembringe følgende oplysninger:
○ Karakteren af bruddet på sikkerheden samt hvor mange der er berørt
○ Sandsynlige konsekvenser af bruddet
○ Foranstaltninger, som er truffet eller foreslås truffet, for at håndtere bruddet på persondatasikkerheden, herunder eventuelle foranstaltninger for at begrænse mulige skadevirkninger
9. Sletning og tilbagelevering af oplysninger ved ophør af samarbejdet
Ved ophør af tjenesterne vedrørende behandling forpligtes databehandleren til, efter den dataansvarliges valg, at slette eller tilbagelevere alle personoplysninger til den dataansvarlige, samt at slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring af personoplysningerne. Data kan også leveres til ny databehandler i elektronisk format.
10. Ikrafttræden og ophør - Varigheden af behandlingen
Denne aftale gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige i henhold til parternes særskilte aftale om system, ydelser, betaling m.v.
Denne aftale træder i kraft den 25. maj 2018. Den dataansvarlige skal skriftligt kontakte databehandleren, hvis aftalen ikke accepteres.
Aftalen er gældende, så længe behandlingen består. Uanset ”hovedaftalens” og/eller databehandleraftalens opsigelse, vil databehandleraftalen forblive i kraft frem til behandlingens ophør og oplysningernes sletning hos databehandleren og eventuelle underdatabehandlere.