Databehandleraftale
1.0 Introduktion og baggrund
1.1 For at sikre, at såvel Plandisc som Kunden (sammen benævnt ”Parterne”) lever op til deres forpligtelser i henhold til nationale databeskyttelsesregler samt Europa-Parlamentet og Rådets forordning (EU) 2016/279 ("Forordningen"), har Parterne indgået denne Databehandleraftale, som finder anvendelse i det omfang Kunden indfører personoplysninger i Planlægningsværktøjet, der stilles til rådighed af Plandisc, hvorved Plandisc behandler personoplysninger på vegne af kunden.
1.2 Hvis Kunden ikke indfører Personoplysninger i Planlægningsværktøjet, som stilles til rådighed af Plandisc, finder bestemmelserne i denne aftale ikke anvendelse.
2.0 Formål
2.1 Plandisc må alene behandle personoplysninger til formål, som er nødvendige for at kunne opfylde sine forpligtelser i henhold til [ovenstående Servicevilkår].
3.0 Plandisc’s forpligtelser
3.1 Plandisc garanterer såvel nu som fremadrettet at opfylde og at ville opfylde sine forpligtelser i henhold til gældende databeskyttelseslovgivning.
3.2 Plandisc må alene behandle personoplysninger efter dokumenteret instruks fra Kunden, herunder for så vidt angår overførsel af personoplysninger til tredjemand, medmindre det kræves i henhold til EU-ret eller til medlemsstaternes nationale ret. I sådanne tilfælde skal Plandisc underrette Xxxxxx om dette retlige krav, inden behandlingen påbegyndes, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.
3.3 Plandisc har ikke nogen grund til at tro, at gældende lovgivning forhindrer Plandisc i at efterleve instruktionerne i denne databehandleraftale. Såfremt Plandisc på et senere tidspunkt bliver af den opfattelse, at Xxxxxxx instruks er i strid med gældende databeskyttelseslovgivning, skal Plandisc straks underrette Kunden herom.
3.4 Plandisc skal gennemføre passende tekniske og organisatoriske foranstaltninger, herunder sådanne yderligere foranstaltninger, som måtte være nødvendige til at sikre tilstrækkelig sikkerhed mod at de behandlede oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at de kommer uvedkommende til kendskab, misbruges eller i øvrigt behandles i strid med den til enhver tid gældende danske databeskyttelseslovgivning, jf. Forordningens artikel 32.
3.5 Personoplysninger er fortrolige og skal forblive fortrolige. Plandisc skal sikre, at alle, der behandler personoplysninger, har modtaget tilstrækkelig instruktion og undervisning i behandling af personoplysninger, samt har forpligtet sig til fortrolighed.
3.6 Plandisc skal bistå Kunden med at sikre overholdelse af forpligtelserne i medfør af Forordningens artikel 32-36 under hensynstagen til behandlingens karakter og de oplysninger, der er tilgængelige for Plandisc.
3.7 Plandisc skal underrette Kunden uden unødig forsinkelse, hvis Plandisc bliver bekendt med et sikkerhedsbrist, og Plandisc skal straks underrette Xxxxxx om enhver anmodning om offentliggørelse af persondata fra en retshåndhævende myndighed, medmindre dette er forbudt efter gældende lovgivning.
3.8 Under hensynstagen til behandlingens karakter, bistår Plandisc Kunden – så vidt muligt og ved hjælp af passende tekniske og organisatoriske foranstaltninger – med opfyldelse af Kundens forpligtelser til at besvare anmodninger om udøvelse af de registreredes rettigheder som fastlagt i Forordningens kapitel 3.
3.9 Hvis Kunden kræver information eller assistance omkring sikkerhedsforanstaltninger og dokumentation eller information om, hvordan Plandisc behandler Personoplysninger, og en sådan anmodning indeholder information, som går ud over, hvad der er rimeligt og nødvendigt ifø1ge gældende databeskyttelseslovgivning, må Plandisc kræve betaling for sådanne yderligere services.
4.0 Kundens forpligtelser
4.1 Kunden garanterer såvel nu som fremadrettet at opfylde og at ville opfylde sine forpligtelser i henhold til gældende databeskyttelseslovgivning Herunder forpligter Kunden sig til følgende:
o Ved brug af planlægningsværktøjet, som stilles til rådighed af Plandisc, behandler kunden udelukkende personoplysninger i overensstemmelse med den gældende databeskyttelseslovgivning.
o Kunden har et lovligt grundlag for at behandle Personoplysninger.
o Kunden har ansvaret for nøjagtigheden, integriteten, indholdet af, pålideligheden og lovligheden af de personoplysninger, som behandles af Plandisc.
o Xxxxxx har opfyldt sin oplysningsforpligtelser over for de registrerede vedrørende behandlingen af personoplysninger i henhold til gældende databeskyttelseslovgivning.
5.0 Brug af underdatabehandlere og videregivelse af data
5.1 Denne Databehandleraftale udgør Kundens forudgående generelle og specifikke skriftlige godkendelse af Plandisc’s brug af andre databehandlere (”Underdatabehandlere”). Kunden accepterer Plandisc’s brug af de Underdatabehandlere, som er angivet i Bilag 1.
5.2 Databehandlerens Underdatabehandlere er oplistet i den til enhver tid opdaterede liste over Underdatabehandlere, som kan ses her: https:/ /xxxxxxxx.xxx. Kunden skal orienteres, inden Plandisc udskifter eller tilføjer nye Underdatabehandlere. Xxxxxx har dog kun ret til at protestere imod en ny Underdatabehandler, hvis denne ikke behandler data i overensstemmelse med gældende databeskyttelseslovgivning. I en sådan situation skal Plandisc demonstrere overensstemmelse ved at give Kunden adgang til Plandisc’s databeskyttelsesvurdering af Underdatabehandleren. Hvis der stadig er uenighed om
anvendelsen af Underdatabehandleren, kan Kunden opsige sit abonnement på planlægningsværktøjet, således at Kundens personoplysninger ikke behandles af den pågældende Underdatabehandler.
5.3 Forud for overførsel af persondata til en Underdatabehandler skal Plandisc sikre, at (1) Kunden ikke har protesteret imod brugen af denne Underdatabehandler; (2) Plandisc og Underdatabehandleren har indgået en aftale (”Underdatabehandleraftale”) svarende til indholdet af denne aftale, særligt for så vidt angår garanti for gennemførsel af passende tekniske og organisatoriske foranstaltninger; (3) Underdatabehandleraftalen vedrørende Kundens persondata ophører automatisk i tilfælde af opsigelse af denne Databehandleraftale.
5.4 Hvis en Underdatabehandler er etableret uden for eller personoplysninger opbevares uden for EU/EØS giver Kunden Plandisc autorisation til at sikre et tilstrækkeligt grundlag for overførsel af Personoplysninger til tredjeland på vegne af Kunden, herunder ved anvendelse af EU Kommissionens Standardkontrakter eller EU-U.S. Privacy Shield.
5.5 Plandisc bærer det fulde ansvar overfor Kunden i tilfælde af, at Underdatabehandleren ikke lever op til sine forpligtelser efter denne Databehandleraftale.
6.0 Adgang til revision
6.1 Plandisc stiller alle oplysninger, som er nødvendige for at påvise overholdelse af kravene i Forordningens artikel 28, til rådighed for Kunden.
6.2 Kunden er berettiget til at igangsatte en revision af Plandisc’s forpligtelser i henhold til Databehandleraftalen én gang årligt. Hvis Xxxxxx er forpligtet hertil efter gældende lovgivning, kan der foretages revision oftere end en gang årligt. Kunden skal i forbindelse med anmodning om en revision medsende en detaljeret revisionsplan med en beskrivelse af omfang, varighed og startdato minimum fire uger forud for den foreslåede startdato. Det skal besluttes i fællesskab mellem Plandisc og Kunden, hvis en tredjepart skal foretage revisionen. Imidlertid kan Kunden lade Plandisc bestemme, at revisionen af sikkerhedsårsager skal foretages af en neutral tredjepart efter Plandisc’s valg, såfremt der er tale om et behandlingsmiljø, hvor flere dataansvarliges data er anvendt.
6.3 Under alle omstændigheder skal revision finde sted i normal kontortid på den relevante facilitet i overensstemmelse med Plandisc’s politikker og må ikke på urimelig vis forstyrre Plandisc’s sædvanlige kommercielle aktiviteter.
6.4 Kunden er ansvarlig for alle omkostninger i forbindelse med revision. Databehandlerens assistance i forbindelse hermed, der overskrider den almindelige service som Plandisc skal stille til rådighed som følge af gældende databeskyttelseslovgivning, afregnes særskilt.
7.0 Varighed og ophør
7.1 Databehandleraftalen træder i kraft ved Kundens elektroniske afkrydsning eller anden accept af aftalen.
7.2 Databehandleraftalen er gældende, så længe Plandisc behandler personoplysninger på vegne af Kunden i forbindelse med Kundens brug af planlægningsværktøjet.
7.3 Denne databehandleraftale vil automatisk ophøre ved ophør af Kundens abonnement på planlægningsværktøjet. Ved ophør af abonnementet vil Plandisc slette eller returnere alle Personoplysninger i det relevante format, som Plandisc har behandlet på vegne af Kunden. Såfremt Kunden ønsker bistand til returnering af data, fastsættes omkostninger forbundet hermed i fællesskab mellem parterne og skal baseres på i) timetakster for Plandisc’s anvendte tid, ii) kompleksiteten af den anmodede proces og iii) det valgte format.
8.0 Vilkårsændringer
8.1 Denne Databehandleraftale er bindende for Parterne og kan kun ændres ved indgåelse af en ny databehandleraftale.
8.2 Uanset bestemmelsen i punkt 8.1 kan Plandisc revidere Databehandleraftalen med henblik på at sikre overensstemmelse med den til enhver tid gældende databeskyttelseslovgivning. Plandisc vil i sådanne tilfælde notificere Kunden om ændringer af Databehandleraftalen.
9.0 Ansvar
9.1 Plandisc er ikke ansvarlig over for Kunden for opnåede tab, for så vidt disse er forårsaget af forhold, der ligger uden for Plandisc’s kontrol.
9.2 Plandisc er under ingen omstændigheder erstatningspligtig over for Xxxxxx for dennes inddirekte tab, herunder men ikke begrænset til tab af omsætning og tab af omdømme. I øvrigt er Plandisc’s samlede erstatningsansvar over for Kunden begrænset til et beløb svarende til Kundens seneste 12 måneders abenonnementsbetalinger.
10.0 Lovvalg og værneting
10.1 Denne databehandleraftale reguleres af dansk ret.
10.2 Ethvert krav og enhver tvist, der udspringer eller på anden made er forbundet med denne databehandleraftale, skal afgøres ved byretten i Aarhus.
Bilag 1
Dette bilag er en integreret del af Databehandleraftalen og udgør Kundens instruktion af Plandisc i forbindelse med Plandisc’s behandling af personoplysninger på vegne af Kunden.
Behandling af personoplysninger
1. Formål med behandlingen:
Plandisc behandler Kundens persondata, i det omfang Kunden indfører personoplysninger i planlægningsværktøjet, som stilles til rådighed og hostes af Plandisc. Behandlingen af persondata vil være nødvendige for at Plandisc kan opfylde sine forpligtelser i henhold til aboonementsaftalen.
2. Kategorier af datasubjekter:
Plandisc behandler personoplysninger om de kategorier af datasubjekter, som Kunden indfører i planlægningsværktøjet, herunder Kundens ansatte, kunder, klienter, samarbejdspartnere, servicemodtagere (fx en skoles elever og elevernes forældre).
3. Kategorier af personoplysninger:
Da planlægningsværktøjet indeholder fritekstfelter og mulighed for at uploade Dokumenter, behandler Plandisc de personoplysninger, som Kunden indfører i
Planlægningsværktøjet, herunder navn, titel, kontaktoplysninger, CPR, sygdom, samt ferie- og fridage.
Kunden opfordres til at begrænse indførslen af følsomme personoplysninger.
4. Underdatabehandlere og fysisk placering af behandlingen
Plandisc bruger Microsoft som underdatabehandler, idet Plandisc softwaren hostes i Microsofts datacenter i Dublin, Irland.