Databehandleraftale

Sprog

Dette er en oversættelse. Den engelske udgave er den gældende, og ved forskelle mellem de to går den engelske udgave forud. Se den engelske udgave. Spørgsmål kan sendes til legal@nodavio.dk.

Databehandleraftale

Denne databehandleraftale er en del af aftalen mellem Nodavio og kunden om levering af tjenesten Nodavio.

1. Parter

Dataansvarlig:
Den kunde, der fremgår af det pågældende abonnement eller den pågældende kundekonto.

Databehandler:
Nodavio
Kaj Munks Vej 11
7400 Herning
Danmark
E-mail: legal@nodavio.dk

I denne aftale kaldes kunden den dataansvarlige og Nodavio databehandleren.

2. Formål

Denne aftale regulerer Nodavios behandling af personoplysninger på vegne af den dataansvarlige i forbindelse med levering af tjenesten Nodavio.

Databehandleren må kun behandle personoplysninger, i det omfang det er nødvendigt for at levere, sikre, vedligeholde og supportere tjenesten, og i overensstemmelse med den dataansvarliges dokumenterede instrukser.

3. Den dataansvarliges forpligtelser

Den dataansvarlige er ansvarlig for:

1. at fastlægge formålene med og midlerne til behandlingen;
2. at sikre, at behandlingen er lovlig;
3. at give de registrerede de oplysninger, de har krav på;
4. at afgøre, hvilke personoplysninger der lægges ind i Nodavio;
5. at sikre, at brugerne har den rette bemyndigelse;
6. at sikre, at behandlingen overholder gældende ansættelsesretlige og databeskyttelsesretlige krav; og
7. at give databehandleren lovlige og dokumenterede instrukser.

Den dataansvarlige må ikke instruere databehandleren i at behandle personoplysninger på en måde, der strider mod gældende lovgivning.

4. Databehandlerens forpligtelser

Databehandleren skal:

1. kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige;
2. sikre, at de personer, der er autoriseret til at behandle personoplysninger, er underlagt tavshedspligt;
3. gennemføre passende tekniske og organisatoriske sikkerhedsforanstaltninger;
4. bistå den dataansvarlige med at overholde gældende databeskyttelsesforpligtelser;
5. underrette den dataansvarlige om relevante brud på persondatasikkerheden uden unødig forsinkelse;
6. bistå med anmodninger fra registrerede, hvor det er rimeligt nødvendigt;
7. bistå med forpligtelser vedrørende sikkerhed, konsekvensanalyser og høring, hvor det er påkrævet;
8. slette eller tilbagelevere personoplysninger efter ophør som krævet i denne aftale; og
9. stille de oplysninger til rådighed, der er rimeligt nødvendige for at påvise, at databehandlerens forpligtelser overholdes.

5. Instruks for behandlingen

Databehandleren må behandle personoplysninger til følgende formål:

1. at levere tjenesten Nodavio;
2. at hoste og opbevare kundens data;
3. at give kundens brugere adgang til og mulighed for at administrere kundens data;
4. at føre revisionsspor og aktivitetslogs;
5. at yde support;
6. at sikre tjenesten;
7. at tage sikkerhedskopier;
8. at fejlfinde tekniske problemer;
9. at vedligeholde og forbedre tjenestens driftssikkerhed og sikkerhed; og
10. at overholde retlige forpligtelser, som gælder for databehandleren.

Databehandleren må ikke bruge kundens personoplysninger til selvstændig annoncering eller salg af personoplysninger.

6. Kategorier af personoplysninger

Afhængigt af den dataansvarliges brug af tjenesten kan personoplysningerne omfatte:

1. navne;
2. e-mailadresser i arbejdsøjemed;
3. oplysninger om brugerkonti;
4. oplysninger om organisation og afdeling;
5. oplysninger om, hvem udstyr er tildelt;
6. identifikatorer for computere og enheder;
7. IP-adresser;
8. oplysninger om enheder og styresystemer;
9. registreringer af vedligeholdelse og reparationer;
10. noter og anden fritekst, som brugerne har skrevet;
11. revisionsspor og aktivitetslogs;
12. godkendelses- og sikkerhedsoplysninger; og
13. andre personoplysninger, som den dataansvarlige eller dennes brugere lægger ind.

7. Kategorier af registrerede

Personoplysningerne kan vedrøre:

1. medarbejdere;
2. konsulenter;
3. midlertidigt ansatte;
4. kundens personale;
5. andre autoriserede brugere;
6. personer, der har tilknytning til IT-udstyr; og
7. andre personer, hvis oplysninger den dataansvarlige lovligt lægger ind i tjenesten.

8. Særlige kategorier af personoplysninger

Nodavio er ikke udviklet som en tjeneste til behandling af særlige kategorier af personoplysninger.

Den dataansvarlige må ikke bevidst lægge særlige kategorier af personoplysninger ind i fritekstfelter, medmindre behandlingen er nødvendig, lovlig og passende.

Bliver databehandleren opmærksom på, at der er lagt oplysninger af særlig kategori ind, kan databehandleren tage rimelige skridt til at beskytte oplysningerne, herunder anmode den dataansvarlige om at fjerne dem.

9. Fortrolighed

Databehandleren skal sikre, at de personer, der er autoriseret til at behandle personoplysninger, er underlagt passende tavshedspligt.

Databehandleren må ikke videregive kundens personoplysninger, medmindre den dataansvarlige har givet tilladelse til det, det er nødvendigt for at levere tjenesten, det er krævet ved lov, eller det i øvrigt er tilladt efter denne aftale.

10. Sikkerhedsforanstaltninger

Databehandleren skal opretholde tekniske og organisatoriske foranstaltninger, der passer til de risici, behandlingen indebærer.

Foranstaltningerne omfatter i dag, hvor det er relevant:

1. kryptering under overførsel;
2. hashing af adgangskoder;
3. to-faktor-login;
4. rollebaseret adgangsstyring;
5. adskillelse mellem kunder;
6. begrænsning af antallet af forespørgsler;
7. logning af adgang;
8. logning af handlinger;
9. sikkerhedskopiering;
10. kontrolleret adgang til produktionssystemer; og
11. sikkerhedsovervågning, der passer til tjenesten.

Databehandleren kan opdatere sine sikkerhedsforanstaltninger, forudsat at det samlede beskyttelsesniveau ikke forringes væsentligt.

11. Underdatabehandlere

Den dataansvarlige giver databehandleren en generel godkendelse til at bruge underdatabehandlere på vilkårene i dette afsnit.

På tidspunktet for denne aftale bruger databehandleren følgende underdatabehandlere:

1. Simply.com A/S (Danmark): hosting af applikationen, dens database og uploadede filer; de sikkerhedskopier, der opbevares på serveren; og afsendelse af de e-mails, tjenesten sender, for eksempel nulstilling af adgangskode, advarsler og opsummeringer. Alt opbevares og behandles i Danmark.
2. Stripe Payments Europe, Ltd. (Irland): fakturering af abonnementer. Stripe modtager kundens kontaktoplysninger til fakturering og betalingskortoplysninger. Stripe modtager intet af det, der lægges ind i selve tjenesten.

Derudover opbevarer databehandleren en ekstra kopi af sikkerhedskopierne på udstyr, som databehandleren selv driver, i Danmark. Dette er ikke en underdatabehandler.

Databehandleren skal give den dataansvarlige besked pr. e-mail mindst 30 dage, før en underdatabehandler tilføjes eller udskiftes. Den dataansvarlige kan inden for denne frist gøre indsigelse af rimelige databeskyttelsesmæssige grunde. Kan parterne ikke løse indsigelsen, kan den dataansvarlige opsige abonnementet med virkning fra den dato, ændringen træder i kraft, og den dataansvarlige opkræves ikke for nogen periode efter denne dato.

Databehandleren skal pålægge hver underdatabehandler databeskyttelsesforpligtelser, der beskytter mindst lige så godt som forpligtelserne i denne aftale.

Databehandleren er fortsat ansvarlig for sine underdatabehandleres opfyldelse i det omfang, gældende lovgivning kræver det.

12. Overførsel til tredjelande

Kundens personoplysninger opbevares og behandles i Danmark, og databehandleren må ikke overføre dem til lande uden for EØS, medmindre der foreligger et lovligt overførselsgrundlag og passende garantier.

Stripe indgår i en koncern med hovedsæde i USA, og nogle faktureringsdata kan blive overført dertil. Sådanne overførsler bygger på EU-U.S. Data Privacy Framework eller på Europa-Kommissionens standardkontraktbestemmelser.

13. De registreredes rettigheder

Under hensyntagen til behandlingens karakter skal databehandleren i rimeligt omfang bistå den dataansvarlige med at besvare anmodninger fra registrerede om deres rettigheder efter gældende databeskyttelseslovgivning.

Databehandleren kan henvise en registreret til den dataansvarlige, hvor det er den dataansvarlige, der skal besvare anmodningen.

Databehandleren må ikke selv besvare en anmodning fra en registreret, der vedrører kundens data, medmindre det kræves ved lov eller den dataansvarlige i øvrigt har givet tilladelse til det.

14. Brud på persondatasikkerheden

Databehandleren skal underrette den dataansvarlige uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører kundens personoplysninger.

I det omfang oplysningerne er rimeligt tilgængelige, skal underretningen indeholde:

1. bruddets karakter;
2. de kategorier af personoplysninger, der er berørt;
3. de sandsynlige konsekvenser;
4. de foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet; og
5. de oplysninger, den dataansvarlige har brug for til at vurdere og håndtere hændelsen.

Databehandleren skal i rimeligt omfang samarbejde med den dataansvarlige om bruddet.

15. Bistand med overholdelse

Under hensyntagen til behandlingens karakter og de oplysninger, databehandleren har adgang til, skal databehandleren i rimeligt omfang bistå den dataansvarlige med:

1. sikkerhedsforpligtelser;
2. anmeldelser og vurderinger i forbindelse med brud på persondatasikkerheden;
3. konsekvensanalyser vedrørende databeskyttelse;
4. forudgående høring af tilsynsmyndigheder, hvor det er påkrævet; og
5. andre forpligtelser efter gældende databeskyttelseslovgivning.

Databehandleren kan opkræve rimelige omkostninger for bistand, der ligger væsentligt uden for tjenestens almindelige omfang.

16. Revision og oplysninger

Databehandleren skal stille de oplysninger til rådighed, der er rimeligt nødvendige for at påvise, at databehandleren overholder sine forpligtelser efter gældende databeskyttelseslovgivning.

Den dataansvarlige kan anmode om rimelige oplysninger om databehandlerens sikkerheds- og databeskyttelsesforanstaltninger.

Revisioner skal:

1. varsles med rimeligt forudgående varsel;
2. finde sted inden for normal arbejdstid;
3. undgå unødig forstyrrelse af databehandlerens drift;
4. respektere krav til fortrolighed og sikkerhed; og
5. ikke give adgang til oplysninger om andre kunder.

Hvor det er passende, kan dokumentation som sikkerhedsbeskrivelser, certificeringer eller uafhængige vurderinger bruges i stedet for en fysisk revision.

17. Sletning og tilbagelevering

Når kundens abonnement ophører, ophører adgangen til applikationen. Databehandleren opbevarer den dataansvarliges data i 14 dage efter den sidste betalte abonnementsperiode, og i den periode kan den dataansvarlige få en kopi af dem ved at skrive til support@nodavio.dk.

Efter denne periode kan databehandleren slette kundens data.

I den aktive tjeneste kan slettede poster blive opbevaret markeret som slettede i op til 90 dage, før de slettes permanent fra produktionsdatabasen.

Sikkerhedskopier kan indeholde slettede oplysninger i en begrænset yderligere periode, indtil sikkerhedskopierne overskrives i henhold til databehandlerens procedurer for sikkerhedskopiering.

Databehandleren må ikke gendanne slettede kundedata, undtagen hvor det er nødvendigt ved genopretning fra sikkerhedskopi, af hensyn til retlige forpligtelser eller til andre legitime tekniske formål.

18. Varighed

Denne aftale gælder, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige.

Forpligtelserne vedrørende fortrolighed, sikkerhed og sletning samt andre bestemmelser, der efter deres karakter bør gælde efter ophør, gælder fortsat i den relevante periode.

19. Den dataansvarliges instrukser

Den dataansvarlige kan give dokumenterede instrukser om behandlingen af personoplysninger.

Mener databehandleren med rimelighed, at en instruks strider mod gældende databeskyttelseslovgivning, skal databehandleren underrette den dataansvarlige, før instruksen udføres, medmindre loven forbyder det.

20. Ansvar

Parternes ansvar i forbindelse med behandling af personoplysninger reguleres af den gældende aftale mellem parterne og af gældende ufravigelig databeskyttelseslovgivning.

Intet i denne aftale udelukker eller begrænser ansvar i det omfang, en sådan udelukkelse eller begrænsning er forbudt efter gældende lovgivning.

21. Lovvalg

Denne aftale er underlagt dansk ret.

Enhver tvist, der udspringer af denne aftale, afgøres ved de danske domstole, med forbehold for ufravigelige regler i gældende lovgivning.

22. Rangorden

Er der modstrid mellem denne aftale og handelsbetingelserne, går denne aftale forud for så vidt angår behandling af personoplysninger.