Licensvilkår for BOARD OFFICE BOARD GOVERNANCE A/S Vesterbro 21B, 2.

Licensvilkår for BOARD OFFICE

BOARD GOVERNANCE A/S

Vesterbro 21B, 2.

9000 Aalborg

CVR-nr.: 28966237 (”BG”)

1. Gældende betingelser

   1. Disse licensvilkår (”Vilkårene”) regulerer den relevante kundes (”Kunden”) brug af BG’s online løsning for bestyrelsesmedlemmer kaldet BOARD OFFICE^TM (”Løsningen”), som er et online medlemskab, der indeholder dokumentlager, debatforum, et planlægningsværktøj, digital signatur, opslag af bestyrelsesjobs samt inspirationsområde.

2. Disse Vilkår er en forudsætning for Kundens brug af Løsningen og anses for accepteret af Xxxxxx ved dennes brug af Løsningen.

3. Ved modstrid mellem disse betingelser og andre skriftligt aftalte vilkår har anden skriftlig aftale forrang.

2. Kundens Brugsret

   1. Brugsrettens omfang

      1. BG giver mod løbende betaling i henhold til disse Vilkår Kunden en ikke-eksklusiv brugsret til Løsningen i overensstemmelse med Vilkårene og Tilbuddet (“Brugsretten”). Licensen og adgang til Løsningen kan ikke overdrages uden BG’s forudgående, skriftlige accept.

2. Kunden er til enhver tid ansvarlig for, at Kundens brug af Løsningen sker i overensstemmelse med Brugsretten.

2. Begrænsninger i Brugsretten

   1. Informationer, data og illustrationer, der udgør hele eller dele af Løsningen, må ikke deles med tredjeparter eller på nogen måde anvendes til at drive direkte eller indirekte konkurrerende virksomhed med BG, herunder ved at videresælge indhold og dokumenter oprettet med Løsningen.

2. Kunden er uberettiget i at foretage ændringer i Løsningen, herunder men ikke begrænset til reverse engineering og dekompilering.

3. Brugsrettens løbetid

   1. Brugsretten til Løsningen træder i kraft, når Løsningen (helt eller delvist) er gjort tilgængelig for Kunden og fortsætter indtil det opsiges/ophæves.

2. Brugsretten bortfalder uden varsel pr. det tidspunkt, hvor Vilkårene er ophørt, uanset om det sker som følge af opsigelse eller ophævelse, og uanset hvilken part der har opsagt eller ophævet.

3. Vilkårene er opsigelige med det varsel, som gør sig gældende i punkt 9.2. Der sker automatisk fornyelse af licensen indtil Kundens opsigelse.

4. I tilfælde af forretningsophør, rekonstruktionsforhandling, konkurs eller dødsfald, kan licensen når som helst opsiges med virkning fra næste fornyelse af licensperiode.

3. Andre ydelser, gebyrer mv.

   1. Alle ydelser vedr. licensen skal rekvireres via BG eller en af BG godkendt samarbejdspartner.

2. For ydelser, der ikke er omfattet af Kundens Licens, betaler Kunden særskilt vederlag.

3. BG er berettiget til at opkræve de betalinger og gebyrer, der fremgår af BG’s hjemmeside. Disse beløb kan som følge af omkostningsstigninger, f.eks. portostigninger, administrationsomkostninger eller lign. forhøjes efter fremgangsmåden i punkt 18.1.

4. Løsningen

   1. Adgang til Løsningen og tekniske forudsætninger

      1. Kunden opnår adgang til Løsningen via brug af en browser på URL-adressen xxx.xxxxx-xxxxxx.xx eller via brug af applikationen BoardOffice^TM. Herfra logger Kunden ind ved brug af de brugernavne og kodeord, der er oprettet af BG eller Kunden selv. Brugernavne og -adgange må ikke deles eller overdrages, medmindre BG har givet forudgående skriftligt accept.

2. Kunden er selv ansvarlig for at anskaffe, installere og vedligeholde anvendeligt browser-programmel og operativsystemer for at være i stand til at anvende Løsningen. Kunden er ligeledes selv ansvarlig for at oprette og vedligeholde forbindelse til internettet og dermed til servere tilknyttet BG. Kunden kan ved henvendelse til BG få oplyst, hvilke(t) browser-programmel, som kan anvendes til brug af Løsningen.

2. Løsningens funktionalitet og indhold

   1. Løsningen gives i licens under disse Vilkår, som det er og forefindes uden andre tilsikringer, afhjælpningsforpligtelser eller misligholdelsesforpligtelser end dem, der fremgår af disse Vilkår.

2. Medmindre andet er skriftligt aftalt med Kunden, yder BG ingen garanti for, at Løsningen opfylder Kundens specifikke behov, idet Løsningen som udgangspunkt leveres som en standardiseret software uden specialtilpasninger til den enkelte kunde.

3. BG yder ingen garantier for, at Løsningen er kompatibelt med Kundens eller tredjemands software og/eller hardware, herunder operativsystemer, databasesoftware mv.

3. Afhjælpning af fejl og mangler

   1. BG tilstræber at levere Løsningen fejlfrit. Såfremt Xxxxxx på trods heraf oplever fejl i Løsningen, skal BG inden 21 kalenderdage efter modtagelse af besked herom fra Kunden afhjælpe sådanne fejl, forudsat (i) at der ikke er tale om mindre fejl, som ikke har indvirkning på Løsningens grundlæggende funktionalitet, og (ii) at Kunden har beskrevet og vist fejlen(e) skriftligt på en sådan måde, at BG kan identificere fejlen.

2. Med fejlrettelse sidestilles anvisning af forretningsgange eller anvendelsesmåder (”work arounds”), hvorefter fejlen ikke har en væsentlig indvirkning på Kundens anvendelse af Løsningen.

3. Kunden er afskåret fra at gøre yderligere krav eller mangelbeføjelser gældende mod BG end krav om afhjælpning som beskrevet i dette punkt, medmindre der foreligger væsentlig misligholdelse.

4. BG’s ændringer og løbende opdatering af Løsningen

   1. BG vil løbende og efter eget valg og egen prioritering ændre og opdatere Løsningen med ny funktionalitet, når BG finder det nødvendigt. Sådanne løbende opdateringer og ajourføringer medfører ingen indskrænkninger eller ændringer i Brugsretten.

2. BG er berettiget til at foretage ændringer i funktionaliteten af Løsningen, herunder ændre eller fjerne funktioner, som BG finder nødvendigt for generelt at kunne levere den bedst mulige ydelse over for sine kunder. Det er til enhver tid BG, som afgør, hvilke funktioner der lever op til dette krav. Sådanne ændringer af funktionaliteten medfører heller ingen indskrænkninger eller ændringer i Kundens forpligtelser over for BG, ligesom det ikke giver Xxxxxx ret til at gøre misligholdelsesbeføjelser gældende over for BG.

5. Support

   1. BG yder support som en del af leverancen af Løsningen. Ved support på e-mail eller online chat tilstræber BG at have en svartid på 3 arbejdsdage, men yder ingen garanti herfor.

5. Hosting, storage og backup

   1. BG sørger som en del af sine ydelser under disse Vilkår for hosting, storage og backup af Løsningen og Kundens data indført i Løsningen. BG anvender ScanNet cloud-tjenester til levering af hosting og storage, hvilket blandt andet medfører en garanteret oppetid på 99,95 %.

2. BG’s ansvar for levering af hosting-, storage- og backup-ydelserne er på ”back-to-back” vilkår med ScanNet og IBM TSM, sådan at BG under disse Vilkår garanterer den samme oppetid og driftsstabilitet mv. til Kunden, som BG får fra disse leverandører. BG tager dog forbehold for nedetid på Løsningen grundet BG’s eget behov for deployment af nye versioner og løbende patching og debugging. Sådan nedetid vil i videst muligt omfang blive planlagt til at forekomme uden for almindelig arbejdstid.

6. Pris og betaling

   1. Prisen for Løsningen er specificeret på xxx.xxxxx-xxxxxx.xx og i de e-mailfakturaer, der bliver sendt til den e-mailadresse, som Kunden har angivet. Licensen for Løsningen betales forud, medmindre andet aftales.

2. Ved tilmelding og oprettelse af et BOARD OFFICE licens tegner Xxxxxx et licens gældende for 12 måneder.

3. Betaling sker ved, at BG fremsender mailfaktura til den adressemodtager, Kunden har indtastet. BG forbeholder sig ret til at lukke for adgangen til BOARD OFFICE, såfremt betaling ikke er modtaget senest 14 dage efter fakturadato.

4. Alle øvrige ydelser, herunder varer og gebyrer, kan faktureres særskilt. Betalingsbetingelser vil fremgå af fakturaen.

1. Prisreguleringer

   1. Licensvederlaget prisreguleres ikke de første seks måneder efter aftalens indgåelse. Xxxxxxxx af prisændringer efter dette tidspunkt sker i overensstemmelse med punkt 18.1.

2. BG er berettiget til at regulere priserne med 3 måneders varsel i uopsigelighedsperioden. Kunden har ret til opsigelse af licensen i tilfælde af varsling af prisregulering.

8. Kundens forpligtelser

   1. Ulovligt materiale må ikke forefindes på BG’s portal. Dette være sig ulovlige billeder, filmklip, andre typer filer eller links til ulovlige billeder eller tilsvarende materiale. Ulovligt materiale kan f.eks. være, men er ikke begrænset til ophavsretligt beskyttet materiale eller andet materiale som Kunden ikke er berettiget til at offentliggøre eller lagre ifølge lovgivningen.

2. Det er ligeledes forbudt at have erotisk, pornografisk eller andet stødende materiale liggende på Løsningen.

3. Kunden forpligter sig med tilmelding af sit licens til at sikre:

1. Overholdelse af ovenstående under pkt. 8.1

2. At der ikke sker videregivelse af adgangskoder eller materiale fra Løsningen til tredjemand

3. At tredjemand ikke uberettiget får adgang til Løsningen.

9. Varighed og opsigelse

   1. Vilkårene og aftaleperioden er fortløbende og fornyes automatisk, indtil Kunden eller BG opsiger Vilkårene.

2. Kunden kan til enhver tid opsige Vilkårene med skriftligt varsel på løbende måned plus tre måneder. Kunden vil efter indsendelse af en skriftlig opsigelse modtage en skriftlig bekræftelse, hvoraf det vil fremgå fra hvilken dato opsigelsen har virkning.

3. BG kan opsige Kundens licens med et varsel på 12 måneder.

10. Immaterielle rettigheder

    1. BG’s immaterielle rettigheder

       1. BG, eller tredjemand fra hvem BG afleder sine rettigheder, har og skal beholde den fuldstændige ophavsret, adkomst og enhver anden rettighed og immateriel rettighed til Løsningen og eventuelle ændringer heri, herunder til html-kode, kildekode, tekst i dokumenter, billeder, design, varemærker og andre elementer, som Kunden kan opnå adgang til. BG’s immaterielle rettigheder omfatter også indhold i ethvert fysisk medie og materiale vedrørende Løsningen, som er udleveret til Kunden, og som kan downloades på BG’s website.

2. Hvis der som led i kundens brug af Løsningen skulle dannes, opstå eller skabes ideer, funktioner, dokumenter, tekststykker, billeder, illustrationer eller andet materiale, hvad enten det sker på foranledning af Kundens ønsker eller BG’s videreudvikling eller tilpasning Kundens behov, skal BG være ene rettighedshaver til alle eventuelle rettigheder, som på nogen måde kan beskyttes eller defineres som immaterielle rettigheder under dansk ret eller anden anvendelig national lovgivning, og Kunden skal ikke under nogen omstændigheder være berettiget til betaling af royalties eller andre økonomiske rettigheder.

1. Kundens immaterielle rettigheder

   1. Kunden har og skal beholde den fuldstændige ophavsret, adkomst og enhver anden rettighed til alle data og materialer, som Kunden indfører i Løsningen ved dets brug.

3. Tredjemands rettigheder

   1. BG indestår for, at Løsningen – BG bekendt – ikke krænker tredjemands immaterielle rettigheder.

2. Hvis tredjemand over for Kunden rejser indsigelser vedrørende Løsningen, skal Kunden straks meddele dette til BG. BG kan for egen regning, og såfremt omstændighederne i øvrigt tillader det, i givet fald vælge at overtage og afslutte sagen på den måde, som BG finder hensigtsmæssig.

3. Såfremt en tredjemand ved en endelig, upåankelig dom eller voldgiftsafgørelse måtte få medhold i, at Løsningen udgør en krænkelse af dennes rettigheder, er BG forpligtet til for egen regning enten:

1. at opnå ret/tilladelse fra tredjemand til Xxxxxxx fortsatte anvendelse af Løsningen,

2. bringe krænkelsen til ophør ved at ændre Løsningen,

3. erstatte Løsningen eller de krænkende elementer heri med anden software, som i det væsentligste indeholder den samme funktionalitet som Løsningen henholdsvis elementerne heri eller

4. uden varsel annullere Vilkårene med virkning for fremtiden og straks tilbagebetale de eventuelt forudbetalte licensudgifter til Kunden, som denne har indbetalt, og som vedrører perioden frem til annulleringstidspunktet.

11. Behandling af personoplysninger

    1. I forbindelse med levering af Løsningen behandler BG personoplysninger om Xxxxxx. BG er databehandler for denne behandling, og der henvises til de vedlagte databehandlingsvilkår i underbilag A, som regulerer BG’s forpligtelser som databehandler. Dertil henvises der til BG’s generelle persondatapolitik, som er tilgængelig på Xxxxx-xxxxxx.xx.

12. Misligholdelse

    1. Kundens misligholdelse

    2. Ved Kundens væsentlige misligholdelse af sine forpligtelser, er BG berettiget til at:

1. ophæve licensaftalen,

2. indstille sine ydelser,

3. lukke for adgang til Løsningen (medmindre Kunden har købt dele heraf og har erlagt den fulde betaling herfor), og

4. kræve ikke forfaldne ydelser frem til det tidspunkt, hvor Xxxxxx kunne have opsagt licensen, betalt.

3. Som Xxxxxxx væsentlig misligholdelse anses blandt andet

1. væsentlige eller gentagne tilfælde af manglende rettidig betaling, jf. pkt. 5,

2. upload, distribution og opbevaring af ulovligt materiale jf. pkt. 8

3. overdragelse af adgangen til Løsningen eller nedtagning af Løsningen i strid med pkt. 10.

13. BG’s misligholdelse

    1. Som BG’s væsentlige misligholdelse anses blandt andet:

(a) BG’s væsentlige misligholdelse af Vilkårene, hvor denne misligholdelse ikke er afhjulpet senest 14 kalenderdage efter modtagelse af meddelelse om BG’s misligholdelse.

14. Ophævelse

    1. Begge parter kan ophæve Vilkårene ved den anden parts væsentlige misligholdelse i overensstemmelse med dansk rets almindelige regler om misligholdelse og punkt 12 og 13 ovenfor.

2. Ved ophør har Kunden en periode på 14 kalenderdage til at downloade dokumenter og andet materiale, som er oprettet og genereret i Løsningen. Efter udløbet af denne periode sletter BG alle Kundens data i Løsningen.

15. Ansvar og erstatning

    1. Generelt

       1. Begge parter er ansvarlige efter dansk rets almindelige regler herom, medmindre andet følger af Vilkårene.

2. BG kan alene gøres ansvarlig for skader, mangler eller tab, der direkte kan henføres til BG’s ydelser til Kunden. BG kan således ikke gøres ansvarlig for skader, mangler eller tab, der skyldes dele eller ydelser leveret af tredjemand. Hvis BG konstaterer fejl, som BG ikke er ansvarlig for, er BG dog forpligtet til at informere Kunden herom og mod vederlag at medvirke til at afhjælpe problemet.

2. Produktansvar

   1. BG er kun ansvarlig for produktskader i overensstemmelse med de bestemmelser i produktansvarsloven, som ikke kan fraviges ved aftale, og BG fraskriver sig produktansvar på ethvert andet grundlag.

3. Indirekte tab og følgeskader

   1. BG kan ikke holdes ansvarlig for Kundens indirekte tab eller følgeskader opstået i forbindelse med anvendelsen af Løsningen herunder driftstab, tab af profit, tab og/eller retablering af data, tab af goodwill samt andre former for følgeskade. BG er desuden ikke ansvarlig for tab opstået som følge af, at Kunden ikke har haft mulighed for at anvende Løsningen, uanset årsagen hertil og uanset om BG har været adviseret om muligheden for, at et sådant tab kunne indtræde.

2. BG fraskriver sig ethvert ansvar for tab eller skade, der kan henføres til Kundens egen opkobling til Løsningen, herunder manglende internetadgang, systemnedbrud eller andre forhold vedrørende Kundens it-udstyr, programmel og browser mv.

4. Ansvarsbegrænsning

   1. BG’s ansvar for alle kumulerede krav i henhold til Vilkårene er under alle omstændigheder begrænset til et beløb svarende til de samlede forfaldne betalinger for den 12 måneders periode, der går umiddelbart forud for en eventuel skadegørende omstændighed. Hvis Vilkårene ikke har været i

kraft i 12 måneder, opgøres beløbet forholdsmæssigt på baggrund af den aftalte betaling i den periode, som Vilkårene har været i kraft.

5. Ansvarsfraskrivelse

   1. BG leverer som led i Løsningen adgang til en række templates. Selvom disse templates er udarbejdet med henblik på at bistå Kunden med at overholde gældende lovgivning, er disse templates udelukkende vejledende og til inspiration, og BG er ikke ansvarlig for, at de tilgængelige templates er udformet i overensstemmelse med gældende lovgivning.

6. Force majeure

   1. Med undtagelse af betaling af økonomiske fordringer, er ingen af parterne i henhold til Xxxxxxxxx ansvarlig over for den anden part for så vidt angår forhold, som ligger uden for partens kontrol, og som parten ikke ved Vilkårenes indgåelse burde have taget i betragtning eller undgået eller overvundet (force majeure). Forhold hos en parts leverandør anses som en force majeure for denne part under Vilkårene, såfremt der for leverandøren foreligger en tilsvarende hindring, og leverandøren ikke burde have undgået eller overvundet denne, eventuelt ved brug af en alternativ leverandør.

16. Referencekunde

    1. Medmindre andet aftales, er BG berettiget til at anvende Kundens navn og logo på sin hjemmeside som en referencekunde. Såfremt BG indhenter kundecitat fra Xxxxxx til visning på BG’s hjemmeside eller i andet materiale, kan Xxxxxx til enhver tid og uden krav til begrundelse herfor kræve sådan et citat fjernet.

17. Lovvalg og værneting

    1. Vilkårene og andre eventuelle supplerende aftaler mellem parterne er undergivet dansk ret, uanset hvad der måtte følge af internationale privatretlige regler. Parterne er enige om at udelukke anvendelse af FN’s Konvention om aftaler om internationale køb (”CISG”).

2. Såfremt der mellem parterne opstår uenighed om et juridisk eller teknisk spørgsmål, som udspringer af Vilkårene eller en eventuel supplerende aftale, skal parterne forsøge at løse tvisten ved forhandling.

3. Hvis tvisten ikke løses mindeligt ved forhandling, skal tvisten afgøres ved voldgift ved Voldgiftsinstituttet efter de af Voldgiftsinstituttet vedtagne regler herom, som er gældende ved indledningen af voldgiftsagen. Voldgiften skal foregå i Aalborg og besættes med én voldgiftsdommer.

18. Ændring i Vilkårene

    1. BG kan til enhver tid ændre disse betingelser og øvrige licensvilkår. De til enhver tid gældende betingelser er tilgængelige på BG’s hjemmeside. Varsling af ændringer vil ske på BG’s hjemmeside, faktura, betalingsserviceoversigt, elektronisk post, SMS eller via almindelig post. Ganske uvæsentlige ændringer kan varsles alene via BG’s hjemmeside. Alle ændringer i aftaleforholdet mellem BG og Kunden skal være skriftlige. Betaling for en licens, efter en vilkårsændring, anses for accept af ændringen.

Underbilag A - Databehandleraftale

1. Indledning

   1. Som en del af Vilkårene, gælder følgende denne databehandleraftale (”Databehandleraftalen”) mellem BOARD GOVERNANCE A/S (”Databehandleren”) og Kunden (den ”Dataansvarlige”) for Databehandlerens behandling af personoplysninger på vegne af den Dataansvarlige.

2. Hvis der er uoverensstemmelser mellem forpligtelserne under Vilkårene og Databehandleraftalen, skal Databehandleraftalen have forrang.

2. Lovgivning

   1. Databehandleraftalen har til formål at sikre, at Databehandleren overholder den til enhver tid gældende persondataretlige regulering ("Databeskyttelseslovgivningen"), navnlig Europa- Parlamentets og Rådets Forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (“GDPR“) samt anvendelige nationale implementeringslove, herunder den danske databeskyttelseslov.

3. Behandling af personoplysninger

   1. I forbindelse med levering af Hovedydelserne behandler Databehandleren personoplysninger på vegne af den Dataansvarlige.

2. ”Personoplysninger” omfatter enhver form for information om en identificeret eller identificerbar fysisk person, der behandles i forbindelse med Databehandleraftalen, som defineret i GDPR, artikel 4, stk. 1, nr. 1 (”Personoplysningerne”). Personoplysningerne, kategorierne af registrerede, formålene med behandlingen, behandlingsaktiviteterne og lokationerne for behandlingen er angivet i underbilag B. Databehandleren opdaterer underbilag B, når der indtræder ændringer, der nødvendiggør dette.

3. Databehandleren har en eller flere fortegnelser over behandlingsaktiviteter, der ajourføres, når dette er relevant i overensstemmelse med GDPR, artikel 30, stk. 2.

4. Databehandleren behandler muligvis personoplysninger om den Dataansvarliges medarbejdere i forbindelse med Databehandlerens salg, markedsføring og produktudvikling. Disse personoplysninger er ikke omfattet af denne Databehandleraftale, fordi Databehandleren er dataansvarlig for disse personoplysninger, og der henvises i stedet til Databehandlerens persondatapolitik, som kan findes på Databehandlerens hjemmeside eller efter anmodning.

4. Den Dataansvarliges forpligtelser (Instruks)

   1. Databehandleren behandler alene Personoplysningerne efter dokumenteret instruks fra den Dataansvarlige ("Instruksen"), medmindre Databehandleren er forpligtet til at behandle Personoplysningerne anderledes for at overholde EU-ret eller EU-medlemsstaternes nationale ret, som Databehandleren er underlagt. I så fald giver Databehandleren straks den Dataansvarlige besked om afvigelsen fra Instruksen og årsagen hertil. Instruksen ved Kundens accept af Vilkårene er, at Databehandleren må behandle og opbevare Personoplysningerne med henblik på, og i det omfang det er nødvendigt for, levering af Databehandlerens Løsning og i øvrigt i overensstemmelse med denne Databehandleraftale, herunder inden for rammerne specificeret i underbilag B.

   2. Den Dataansvarlige er ansvarlig for, at Personoplysningerne, som overlades til Databehandleren, behandles og overlades i overensstemmelse med Databeskyttelseslovgivningen og eventuelle senere ændringer, herunder Databeskyttelseslovgivningens regler om behandlingshjemmel og oplysningspligt over for de registrerede.

3. Hvis den Dataansvarlige bliver bekendt med, at Databehandleren behandler Personoplysningerne i strid med denne Databehandleraftale, kan den Dataansvarlige instruere Databehandleren i at stoppe behandling af Personoplysningerne med omgående effekt.

4. Databehandleren informerer omgående Dataansvarlige, hvis Databehandleren mener, at den gældende Instruks overtræder Databeskyttelseslovgivningen eller anden lovgivning.

5. Databehandlerens forpligtelser

   1. Fortrolighed

      1. Databehandleren behandler Personoplysningerne strengt fortroligt. Personoplysningerne må ikke kopieres, videregives eller på anden måde behandles uden for Instruksen uden den Dataansvarliges udtrykkelige og forudgående tilladelse.

2. Databehandlerens medarbejdere, som behandler Personoplysningerne, har påtaget sig en fortrolighedsforpligtelse, som indebærer, at de er underlagt tavshedspligt om alle forhold vedrørende Personoplysningerne.

2. Sikkerhed

   1. Databehandleren gennemfører de nødvendige tekniske og organisatoriske foranstaltninger for at sikre databeskyttelse i overensstemmelse med Databeskyttelseslovgivningen og i overensstemmelse med GDPR, artikel 32.

2. Databehandlerens sikkerhedsforanstaltninger er nærmere beskrevet i underbilag C.

3. Databehandleren udleverer efter skriftlig anmodning herom fra den Dataansvarlige dokumentation for Databehandlerens sikkerhedsforanstaltninger.

3. Konsekvensanalyser og forudgående høring

   1. Hvis Databehandlerens bistand er nødvendig og relevant, skal Databehandleren bistå den Dataansvarlige med udarbejdelsen af eventuelle lovpligtige konsekvensanalyser i overensstemmelse med GDPR, artikel 35, samt eventuelle forudgående høringer i overensstemmelse med GDPR, artikel 36.

4. De registreredes rettigheder

   1. Hvis den Dataansvarlige modtager en anmodning om udøvelsen af personers rettigheder efter Databeskyttelseslovgivningen, og korrekt besvarelse af anmodningen kræver bistand fra Databehandleren, skal Databehandleren bistå den Dataansvarlige med nødvendige og relevante oplysninger og dokumentation samt passende tekniske og organisatoriske sikkerhedsforanstaltninger.

2. Hvis den Dataansvarlige vil have hjælp til at besvare en anmodning fra en registreret person, skal den Dataansvarlige sende skriftlig anmodning herom til Databehandleren, og Databehandleren skal

som svar herpå levere den nødvendige hjælp eller dokumentation senest 7 kalenderdage efter modtagelse af anmodning herom.

3. Hvis Databehandleren modtager en anmodning om udøvelsen af personers rettigheder efter Databeskyttelseslovgivningen fra andre end den Dataansvarlige, og anmodningen vedrører Personoplysningerne, skal Databehandleren uden unødvendig forsinkelse videresende anmodningen til den Dataansvarlige.

5. Sikkerhedsbrud

   1. Databehandleren skal underrette den Dataansvarlige om brud på persondatasikkerheden hos Databehandleren eller Underdatabehandlere, der potentielt kan føre til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til Personoplysningerne ("Sikkerhedsbrud"). Sikkerhedsbrud skal meddeles straks og senest 12 timer efter det tidspunkt, hvor Databehandleren er blevet bekendt med Sikkerhedsbruddet.

2. Databehandleren skal vedligeholde en eller flere fortegnelser over alle Sikkerhedsbrud. Fortegnelserne skal som minimum dokumentere følgende for hvert Sikkerhedsbrud:

1. De faktiske omstændigheder omkring Sikkerhedsbruddet, herunder, hvis muligt, kategorierne og antallet af berørte registrerede personer og kategorier af Personoplysninger berørt af Sikkerhedsbruddet.

2. Sikkerhedsbruddets faktiske og potentielle virkninger og effekter.

3. Beskrivelser af de trufne afhjælpningsforanstaltninger, som er gennemført for at begrænse Sikkerhedsbruddets eventuelle negative konsekvenser.

3. Fortegnelserne over Sikkerhedsbrud skal efter skriftlig anmodning stilles til rådighed for den Dataansvarlige eller tilsynsmyndighederne.

4. Databehandleren skal efter anmodning fra den Dataansvarlige bistå den Dataansvarlige i forhold til afklaring af sikkerhedsbruddet, herunder i forbindelse med eventuel anmeldelse til tilsynsmyndigheder og/eller de berørte registrerede personer.

6. Dokumentation af overholdelse af Databehandleraftalen

   1. Databehandleren skal på skriftlig anmodning dokumentere overfor den Dataansvarlige, at Databehandleren

1. overholder sine forpligtelser efter denne Databehandleraftale og Instruksen, og

2. overholder bestemmelserne i Databeskyttelseslovgivningen, for så vidt angår Personoplysningerne, som behandles på den Dataansvarliges vegne.

2. Databehandlerens dokumentation i henhold til punkt 5.6.1 skal sendes til den Dataansvarlige inden for rimelig tid efter modtagelsen af anmodningen herom.

3. Databehandleren er ikke forpligtet til selv at iværksætte og gennemføre ekstern revision (audit) af Databehandlerens overholdelse af Databehandleraftalen.

4. Uanset punkt 5.6.3 skal Databehandleren derudover give mulighed for og bidrage til revisioner og inspektioner hver 12. måned, der foretages af revisorer udpeget af den Dataansvarlige, de offentlige myndigheder i Danmark eller af anden kompetent jurisdiktion, i det omfang det er nødvendigt for at kontrollere, at Databehandleren overholder Databehandleraftalen og gældende Databeskyttelseslovgivning. Den pågældende revisor skal være underlagt fortrolighed i henhold til lov eller aftale. Den Dataansvarlige skal skriftligt varsle revisioner som beskrevet med 10 kalenderdage.

6. Databehandlerens brug af underdatabehandlere

   1. Ved Databehandlerens brug af tredjeparter til behandling af Personoplysningerne for den Dataansvarlige (såkaldte "Underdatabehandlere") gælder følgende:

1. Databehandleren har generel tilladelse til at gøre brug af Underdatabehandlere uden at indhente yderligere skriftligt samtykke fra den Dataansvarlige, forudsat at Databehandleren skriftligt underretter den Dataansvarlige om identiteten på den potentielle Underdatabehandler (og dennes eventuelle databehandlere) minimum 7 kalenderdage inden indgåelse af aftale med de pågældende Underdatabehandlere, hvorved den Dataansvarlige får mulighed for at gøre indsigelse mod ændringer eller tilføjelser.

2. Den Dataansvarlige kan ikke med rette gøre indsigelse mod tilføjelse eller udskiftning af en Underdatabehandler, medmindre der foreligger en konkret saglig begrundelse herfor. Hvis den Dataansvarlige ikke har gjort indsigelse over for den navngivne Underdatabehandler inden for 7 kalenderdage efter underretningen fra Databehandleren herom, skal den manglende indsigelse anses som et stiltiende samtykke.

2. Databehandleren skal indgå skriftlig aftale med eventuelle Underdatabehandlere, som pålægger Underdatabehandlerne de samme databeskyttelsesforpligtelser og sikkerhedsforpligtelser, som påhviler Databehandleren i medfør af denne Databehandleraftale. Databehandleren skal ligeledes føre løbende kontrol med sine Underdatabehandlere, og dokumentation herfor skal forevises den Dataansvarlige løbende.

3. Databehandleren er direkte ansvarlig for Underdatabehandlernes behandling af Personoplysningerne på samme vis, som var behandlingen foretaget af Databehandleren selv.

4. Databehandleren benytter på tidspunktet for indgåelsen af Databehandleraftalen de Underdatabehandlere, der fremgår af underbilag D. Ved Databehandlerens benyttelse af nye Underdatabehandlere, skal disse tilføjes under punkt 2 i underbilag D.

7. Placering af Personoplysningerne

   1. Personoplysningerne behandles kun af Databehandleren på de lokationer, som er angivet i underbilag B. Som led i opfyldelsen af Hovedaftalen overfører Databehandleren Personoplysninger til USA til lokationer angivet i underbilag B eller til Underdatabehandlere angivet i underbilag D. Overførelserne sker på baggrund af modtagernes certificering under "EU-U.S. Privacy Shield". Efter Xxxxxxx XX-dommen arbejdes der på en ny transatlantisk aftale om overførsel af personoplysninger fra EU/EØS til USA.

2. De anvendte underdatabehandlere angivet i underbilag D, som er beliggende i USA, er endvidere omfattet af EU SCC (Standard Contractual Clauses). Endvidere sker der ingen behandling af, men kun overførsel af personoplysninger til underdatabehandlerne angivet i bilag D.

3. Overførsel af Personoplysninger må i alle tilfælde kun ske som foreskrevet i denne Databehandleraftale, på den Dataansvarliges instruks, og i det omfang det er tilladt i medfør af Databeskyttelseslovgivningen.

8. Vederlag og omkostninger

   1. Den Dataansvarlige skal betale Databehandleren vederlag for medgået tid i henhold til Databehandlerens gældende timepriser til opfyldelse af Databehandlerens bistand til udarbejdelse af konsekvensanalyser for den Dataansvarlige i Databehandleraftalens punkt 5.3 og Databehandleres bistand til den Dataansvarliges overholdelse af de registreredes rettigheder, efter punkt 5.4.

2. Databehandleren har krav på vederlag for medgået tid og materiale brugt til gennemførelse af den Dataansvarliges eventuelle ændringer af Instruksen, herunder implementeringsomkostninger og forøgede omkostninger til levering af Databehandlerens Løsning.

3. Hver part afholder egne omkostninger forbundet med ændringer i Databeskyttelseslovgivningen, herunder fortolkningerne heraf og vejledninger hertil.

9. Misligholdelse og ansvar

   1. Databehandleren er ikke ansvarlig for manglende levering eller forsinkelse af Databehandlerens Løsning i det omfang, at levering heraf vil være i strid med den ændrede Instruks, eller levering i overensstemmelse med den ændrede Instruks er umulig. Dette kan eksempelvis være tilfældet, (i) hvor ændringerne ikke teknisk, praktisk eller juridisk kan implementeres eller (ii) hvor den Dataansvarlige eksplicit meddeler, at ændringerne skal være gældende, før implementeringen er mulig.

2. Uanset modstridende bestemmelser i denne Databehandleraftale skal Vilkårenes regulering af misligholdelse og ansvarsbegrænsning finde anvendelse også for denne Databehandleraftale, som om denne Databehandleraftale var en integreret del heraf.

3. Parternes ansvar for alle kumulerede krav i henhold til denne Databehandleraftale er dog begrænset til de samlede forfaldne vederlag i henhold til Vilkårene for den 12 måneders periode, der går umiddelbart forud for en eventuel skadegørende omstændighed. Hvis Databehandleraftalen ikke har været i kraft i 12 måneder, opgøres beløbet forholdsmæssigt på baggrund af perioden, hvor Databehandleraftalen har været i kraft. Ansvarsbegrænsningen omfatter ikke tab som følge af den anden Parts groft uagtsomme eller forsætlige handlinger eller udgifter og ressourceforbrug ved opfyldelse af en Parts forpligtigelser over for en tilsynsmyndighed.

10. Varighed

    1. Databehandleraftalen er gældende, så længe Databehandleren eller dennes Underdatabehandlere behandler Personoplysningerne.

11. Ophør

    1. Databehandlerens bemyndigelse til at behandle Personoplysningerne på vegne af den Dataansvarlige bortfalder ved Databehandleraftalens ophør, uanset årsag.

2. Databehandleren må fortsat behandle Personoplysningerne i op til tre måneder efter Databehandleraftalens ophør, i det omfang dette gøres for at fortage nødvendige lovpligtige foranstaltninger. I samme periode er Databehandleren berettiget til at lade Personoplysningerne indgå i Databehandlerens sædvanlige backupprocedure. Databehandlerens behandling i denne periode anses fortsat for at ske under overholdelse af Instruksen.

3. Databehandleren og dennes Underdatabehandlere skal efter den Dataansvarliges valg slette eller tilbagelevere alle Personoplysningerne til den Dataansvarlige ved Databehandleraftalens ophør, i det omfang den Dataansvarlige ikke allerede er i besiddelse af Personoplysningerne. Databehandleren er efter den Dataansvarliges skriftlige valg forpligtet til at tilbagelevere eller slette alle Personoplysningerne, medmindre andet følger af EU-retten eller medlemsstaternes nationale ret. Den Dataansvarlige kan anmode om fornøden dokumentation for, at dette er sket.

12. Ændring i Databehandleraftalen

    1. BG kan til enhver tid ændre denne Databehandleraftale. Den til enhver tid gældende aftale er tilgængelig på BG’s hjemmeside. Varsling af ændringer vil ske på BG’s hjemmeside, via faktura, betalingsserviceoversigt, elektronisk post, SMS eller via almindelig post. Ganske uvæsentlige ændringer kan dog varsles alene via BG’s hjemmeside. Alle ændringer i aftaleforholdet mellem BG og Kunden skal være skriftlige.

Underbilag B

1. Personoplysninger

   1. Databehandleren behandler Personoplysningerne i forbindelse med Databehandlerens levering af sin Løsning. De behandlede Personoplysninger omfatter, men er ikke begrænset til, følgende typer af Personoplysninger:

1. navn, adresse, telefonnummer, e-mail, brugernavn til et eller flere systemer, adgangskode til et eller flere systemer, køn samt profilbillede samt varierende personoplysninger, som den Dataansvarlige afgiver eller registrerer uden Databehandlerens aktive behandling og identificering heraf.

2. Formål

   1. Personoplysningerne behandles med henblik på Databehandlerens opfyldelse og levering af Løsningen.

3. Kategorier af registrerede

   1. Databehandleren behandler personoplysninger om følgende kategorier af registrerede personer på vegne af den Dataansvarlige:

1. Samarbejdspartnere (hvor samarbejdspartnerne er personer eller enkeltmandsvirksomheder) og samarbejdspartneres ansatte (hvor samarbejdspartnerne er virksomheder).

2. Ledelse og bestyrelsesmedlemmer.

4. Databehandlingsaktiviteter

   1. Databehandleren behandler Personoplysningerne ved udførelsen af generelle opgaver i forbindelse med udbud af bestyrelsesuddannelser samt den Dataansvarliges brug af den digitale bestyrelsesportal.

2. Herudover forestår Databehandleren drift, test, vedligeholdelse, udvikling samt fejlretning af Databehandlerens applikationer.

5. Lokationer

   1. Databehandleren behandler Personoplysningerne på følgende lokationer:

1. BOARD GOVERNANCE A/S, Vesterbro 21B, 9000 Aalborg og Xxxxxxxxxxxxx 00, 0000 Xxxxxxxxx V.

2. Zitcom A/S /ScanNet /xxxx.xxxx Denmark A/S, CVR: 29412006 (Højvangen 4, 8660 Skanderborg, Danmark)

• Anvendes til opbevaring og hosting af data.

3. CODAN FORSIKRING A/S, CVR: 10529638 (Gammel Kongevej 60, 1850, Frederiksberg C, Danmark)

• Såfremt kunden har valgt ELITE licens og tilvælger bestyrelsesansvarsforsikring, så er BOARD OFFICE berettiget til at videregive de informationer, som kunden har afgivet ved etablering på portalen, til Codan.

4. Endvidere henvises til oversigt over øvrige underdatabehandlere i underbilag D.

Underbilag C

1. Indledning

   1. Denne beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger (”Sikkerhedsbeskrivelsen”) er udarbejdet med henblik på at dokumentere Databehandlerens etablerede sikkerhedsforanstaltninger, der er implementeret i medfør af GDPR, artikel 32, eller som etableres, inden behandlingen af Personoplysningerne påbegyndes.

2. Organisatorisk sikkerhed

   1. Databehandleren har etableret følgende organisatoriske sikkerhedsforanstaltninger:

1. Alle Databehandlerens medarbejdere er underlagt fortrolighedsforpligtelser, der gælder for alle behandlede personoplysninger.

2. Databehandlerens medarbejderes adgang til personoplysninger er begrænset, så kun de relevante medarbejdere har adgang til de nødvendige personoplysninger.

3. Databehandlerens medarbejdere med adgang til personoplysninger eller kritiske it-systemer er sikkerhedsgodkendt inden ansættelse.

4. Databehandlerens medarbejderes behandling af personoplysninger logges og kan kontrolleres efter behov.

5. Databehandleren har dokumenterbare procesbeskrivelser for personoplysninger.

6. Databehandleren har en it-sikkerhedspolitik.

7. Databehandleren har en fast proces, der sikrer, at der ved reparation, service og kassation af hardware sørges for sletning eller fortsat fortrolighed vedrørende personoplysninger på det berørte hardware.

3. Teknisk og logisk sikkerhed

   1. Databehandleren har etableret følgende tekniske og logiske sikkerhedsforanstaltninger:

1. Logisk adgangskontrol med brugernavn og adgangskode eller anden entydig autorisation.

2. Regelmæssig backup.

3. Personoplysninger krypteres i systemer og/eller på opbevaringsmedier, hvor det er relevant og under hensyntagen til behandlingen og personoplysningernes karakter.

4. Firewall, som opdateres jævnligt.

5. Antivirus programmer, som opdateres jævnligt.

6. Databehandlerens websites anvender HTTPS (Hyper Text Transfer Protocol Secure), så alt kommunikation på det åbne internet er krypteret peer-to-peer.

7. Logning og kontrol af uautoriserede eller gentagne mislykkede forsøg på log-in.

4. Fysisk sikkerhed

   1. Databehandleren har etableret følgende fysiske sikkerhedsforanstaltninger:

1. Databehandlerens udstyr (herunder PC'er, eventuelle servere mv.) er sikret bag låste døre.

2. Overvågning (video eller billeder) af databehandlerens lokaler og faciliteter eller adgangsveje.

3. Alarmsystem til at opdage og forhindre indbrud.

4. Kontrolproces eller -system til kontrol med besøgendes identitet.

Underbilag D

1. Godkendte Underdatabehandlere

   1. Følgende Underdatabehandlere er godkendt på tidspunktet for Databehandleraftalens indgåelse på de betingelser, der følger af Databehandleraftalen og Databeskyttelseslovgivningen:

1. Zitcom A/S /ScanNet /xxxx.xxxx Denmark A/S, CVR: 29412006 (Højvangen 4, 8660 Skanderborg, Danmark)

Anvendes til opbevaring og hosting af data.

2. Visma e-conomic A/S, CVR: 29403473 (Xxxxxxxxxxxx 0, 0000 Xxxxxxxxx X., Xxxxxxx)

Anvendes som regnskabsprogram til bl.a. fakturering, bogføring og rapportering.

3. Penneo ApS, CVR: 35633766 (Xxxxxxxxxx 00, 0. xxx, 0000 Xxxxxxxxx X, Xxxxxxx)

Anvendes til proces håndtering og underskrift af dokumenter med NemID. 

4. Zendesk, EIN: 00-0000000 (0000 Xxxxxx Xx., 00000 Xxx Xxxxxxxxx, XX, XXX)

Anvendes til kundesupport, -service og -rådgivning. 

5. Mailchimp, EIN: 00-0000000 (000 Xxxxx Xx Xxxx Xxx XX, Xxxxx 0000, XX 00000 Xxxxxxx, XXX)

Anvendes til udsendelse af nyhedsbreve samt markedsføring og kommunikation. 

6. Citrix Podio, EIN: 75–2275152 (851 W. Cypress Creek Rd., 00000 Xxxx Xxxxxxxxxx, XXX)

Anvendes til registrering af kundedata og data på potentielle kunder.

7. Microsoft Office 365, EIN: 00-0000000 (One Microsoft Way, WA 98052-6399 Redmond, USA)

Anvendes til kommunikation, administration og registrering af diverse data, herunder salgs-, markedsførings-, økonomi og kundedata.

2. Nye Underdatabehandlere

   1. Nye Underdatabehandlere kan tages i brug af Databehandleren ved at tilføje og opdatere disse i et separat dokument i forlængelse af dette underbilag.

Dette er version 2021-2 (opdateret d. 03.05.21), som erstatter version 2021-1 (d. 08.01.21).