Databehandleraftale (inkl. Bilag A)
1. Baggrund
Leverandøren og Kunden har indgået en aftale som omfatter tjenesten/tjenesterne (”Tjenesterne”) beskrevet i de Almindelige betingelser og Vilkår - Erhverv (”Aftalen”), som er købt af Kunden Som led i Aftalen, og i overensstemmelse med Databehandleraftalen (defineret nedenfor), vil Leverandøren, fra tid til anden, og på vegne af Kunden, behandle persondata, som Kunden er dataansvarlig for.
2. Definitioner
“Gældende Databeskyttelseslovgivning” betyder, medmindre andet er skriftligt aftalt mellem Parterne; (i) Databeskyttelsesforordningen, (ii) den nationale databeskyttelseslovgivning i Sverige, Danmark, Norge og/eller Finland, som gælder for Tjenesten; og (iii) det nationale Datatilsyns forskrifter og afgørelser gældende for behandling af persondata under denne Databehandleraftale, i Sverige, Danmark, Norge og/eller Finland, som finder anvendelse.
”Kundeudstyr” betyder computere og andet udstyr ejet, lejet eller leaset af Kunden eller Kundens driftsudbyder.
“Leverandør” betyder det relevante Dustin-selskab inden for Dustin-gruppen, som beskrevet i Bilag A, og hvis relevant, enhver person/enhed som er autoriseret til at udføre arbejde på vegne af Leverandøren.
“Leverandørudstyr” betyder computer og andet udstyr ejet, lejet eller leaset af Leverandøren eller Leverandørens driftsudbyder.
”Databehandleraftale” betyder denne databehandleraftale og vedlagte bilag, samt alle ændringer til disse som følger af Aftalen.
”Sikkerhedsforanstaltninger” betyder passende tekniske og organisatoriske foranstaltninger, som er nødvendige for overholdelse af Gældende Databeskyttelseslovgivning, som er beskrevet i Bilag A, eller som på anden måde nødvendigt for at beskytte persondata fra at blive behandlet ved sikkerhedsbrud.
”Tredjeland” betyder et land uden for EU/EØS.
3. Behandling af persondata
3.1 Instruks
Kunden er, som dataansvarlig, ansvarlig for, at behandling af persondata foretages i overensstemmelse med Gældende Databeskyttelseslovgivning. Kunden skal sikre, at Leverandøren ikke behandler andre kategorier af persondata på vegne af Kunden, end de kategorier af persondata, som er beskrevet i Bilag A tilhørende de relevante Tjenester, og i omfanget det er angivet heri.
Leverandøren behandler alene persondata efter dokumenteret instruks fra Kunden, medmindre Leverandøren på anden måde er forpligtet til at behandle persondata under Svensk, Dansk, Norsk og/eller Finsk ret og/eller EU-lovgivning, som er gældende. I så fald vil Leverandøren, så vidt det er tilladt under gældende ret, informere Kunden om sådanne retlige forpligtelser før behandlingen påbegyndes.
Hver Part skal sikre, at den anden Part har ret til at behandle kontaktinformation og lignende typer af persondata om den anden Parts ansatte, hvis, og i det omfang, at behandling er en nødvendighed for at kunne levere Tjenesten.
Leverandøren må ikke behandle persondata til enge formål, eller andre formål end angivet i Databehandleraftalen og Aftalen. Leverandøren er berettiget til at behandle persondata med henblik på at levere, vedligeholde eller yde support til Tjenesten.
Denne Databehandleraftale og Kundens brug af Tjenesten, er Kundens fuldstændige og endelige instruks til Leverandøren i forhold til behandling af persondata, med undtagelse af enhver skriftlig instruks som Kunden er forpligtet til at give Leverandøren, for at overholde Gældende Databeskyttelseslovgivning. Enhver anden ændring skal aftales separat og skriftligt mellem Parterne, herunder, men ikke begrænset til, ændringer relateret til Bilag A. Hvis Leverandøren accepterer de tilrettede instrukser, er Leverandøren berettiget til rimelig kompensation for at indrette sig efter disse instrukser. Hvis Leverandøren inden rimelig tid informerer Kunden, at Leverandøren, for at overholde Gældende Databeskyttelseslovgivning, ikke kan indvillige i Kundens tilrettede instrukser, er Leverandøren ikke bundet af de foreslåede instrukser, og Kunden er berettiget til at bringe Aftalen til ophør i overensstemmelse med punkt 11.2.
3.2 Sikkerhedsforanstaltninger
Leverandøren skal træffe passende tekniske og organisatoriske sikkerhedsforanstaltninger, som omfatter de foranstaltninger, der er anført i bilag A, ud over Leverandørens gældende interne IT-sikkerhedsforskrifter, der gælder for levering af Ydelserne, og Leverandøren kan justere sådanne forskrifter i Aftalens løbetid.
Ved at træffe ovennævnte tekniske og organisatoriske sikkerhedsforanstaltninger har Leverandøren taget hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne ved sikkerhedsforanstaltningerne, behandlingens art, omfang og kontekst, formålene med og den tilsigtede brug af Leverandørens Tjenester samt risikoen af varierende sandsynlighed og alvor for de registreredes rettigheder og friheder, som Leverandøren kan forvente i lyset af den tilsigtede brug af Tjenesterne.
Kunden er ansvarlig for at sikre, at Sikkerhedsforanstaltningerne opfylder Kundens forpligtelser om tilstrækkelig behandlingssikkerhed for persondata, i henhold til Gældende Databeskyttelseslovgivning. Hvis Kunden anmoder om ændring i Sikkerhedsforanstaltningerne, gælder de samme bestemmelser, som for Kundens tilretning af instrukser under afsnit 3.1, afsnit 5. Hvis Leverandøren anmoder om ændringer i de aftalte Sikkerhedsforanstaltninger, gælder det, som er anført i afsnittet nedenfor.
3.2.2 Særlige vilkår i forbindelse med IT-konsulentydelser
Hvis, og I det omfang, Leverandøren yder ITkonsulentydelser på Leverandørudstyr eller Kundeudstyr, gælder ovenstående punkt 3.2.1 også for sådanne behandlingsaktiviteter. I forhold til behandling foretaget på Kundeudstyr, er Kunden dog ansvarlig for implementering af de nødvendige Sikkerhedsforanstaltninger.
4. Rapportering af brud på persondatasikkerheden
Hvis Leverandøren bliver opmærksom på et brud på persondatasikkerheden, skal Leverandøren informere Kunden herom, uden ugrundet ophold, og i overensstemmelse med Gældende Databeskyttelseslovgivning.
Hvis Kunden bryder Gældende Databeskyttelseslovgivning, og undlader at informere de registrerede om et brud på persondatasikkerheden, og det nationale Datatilsyn giver Leverandøren besked om at rette manglen, er Leverandøren berettiget til kompensation for enhver omkostning relateret til Datatilsynets beslutning.
5. Underdatabehandlere og overførsel til tredjelande
Leverandøren er berettiget til at anvende underleverandører til behandling af persondata, som er etableret inden for og uden for EU/EØS. Kunden godkender hermed, at behandling af persondata kan udføres af underdatabehandlere beskrevet i Bilag A, som er etableret i de lande, som angivet heri. Leverandøren skal sikre, at underdatabehandlere er bundet af skriftlige aftaler, som giver minimum det samme niveau af databeskyttelse, som forpligtelserne under denne Databehandleraftale. Hvis en underdatabehandler ikke opfylder sine forpligtelser i overensstemmelse med ovenstående, er Leverandøren ansvarlig for misligholdelsen af sådanne forpligtelser pålagt underdatabehandleren.
Leverandøren vil informere Kunden om enhver hensigt om at erstatte eller anvende nye underdatabehandlere, herunder oplyse navnet på underdatabehandleren og den geografiske placering af persondatabehandlingen. Kunden har ret til at gøre skriftlig indsigelse mod erstatning eller anvendelse af sådanne nye underdatabehandlere inden 14 dage fra modtagelsen af meddelelsen.
Leverandøren skal sikre, at der er et lovligt grundlag for at overføre persondata til et Tredjeland. Sådan et lovligt grundlag kan bestå i EU-kommissionens standardkontraktbestemmelser eller tilsvarende bestemmelser. Leverandøren er berettiget til at indgå sådanne standardkontraktbestemmelser med underdatabehandlere på vegne af Kunden.
6. Bistand med anmodninger om udøvelse af rettigheder fra de registrerede
Udover hvad der følger af punkt 3.2, skal Leverandøren implementere tilstrækkelige tekniske og organisatoriske foranstaltninger, for at kunne bistå Kunden efter dennes skriftlige anmodning, med at opfylde de registreredes rettigheder som fremgår af Databeskyttelsesforordningen. Leverandørens forpligtelser under denne bestemmelse gælder kun i det omfang at bistanden med rimelighed er mulig, og i det omfang behandlingen af persondata kræver disse forpligtelser. I forhold til IT-konsulentydelser, skal Kunden, senest ved underskrivelse af Aftalen, give en skriftlig redegørelse til Leverandøren, i det eventuelle omfang Kunden finder sådanne foranstaltninger nødvendige for Leverandørens behandling af persondata for Kunden, når ITkonsulentydelser udføres, som er omfattet af Aftalen.
Udover ovenstående, og taget behandlingens karakter og informationen tilgængeligt for Leverandøren i betragtning, skal Leverandøren, efter skriftlig anmodning fra Kunden, bistå Kunden således, at Kunden kan opfylde forpligtelserne pålagt denne, i forhold til persondatasikkerhed, brud på persondatasikkerheden, konsekvensanalyse vedrørende databeskyttelse og forudgående høring i overensstemmelse med Gældende Databeskyttelseslovgivning.
Leverandøren er berettiget til rimelig kompensation for bistand ydet under nærværende punkt 6.
7. Fortrolighed og adgang til persondata
Leverandøren må ikke give en registreret eller tredjemand adgang til Kundens persondata under denne Databehandleraftale, medmindre andet er angivet i Aftalen eller følger af loven, en retsafgørelse eller en myndighedsafgørelse. Hvis Leverandøren udleverer sådanne Kundens persondata grundet lovkrav, en retsafgørelse eller en myndighedsafgørelse, vil Leverandøren informere Kunden om offentliggørelsen, medmindre dette er forbudt i henhold til den pågældende lov, retsafgørelse eller myndighedsafgørelse.
Leverandøren skal, uden ugrundet ophold, informere Kunden, hvis den registrerede anmoder om information relateret til behandling af persondata under denne Databehandleraftale, og henvise den registrerede til Kunden. Leverandøren vil bistå Kunden med besvarelse af sådanne anmodninger, i overensstemmelse med punkt 6 ovenfor.
Leverandøren og dens repræsentanter er, under Gældende Databeskyttelseslovgivning, forpligtet til at samarbejde med de kompetente tilsynsmyndigheder. Leverandøren vil informere Kunden om sådanne anmodninger uden ugrundet ophold, hvis anmodningen specifikt vedrører behandling af persondata under denne Databehandleraftale. Leverandøren vil ikke repræsentere eller handle på vegne af Kunden i forbindelse med sådanne anmodninger fra en tilsynsmyndighed. Leverandøren er berettiget til rimelig kompensation for arbejde udført i forbindelse med forespørgsler relateret til Kunden, såfremt forespørgslen ikke er forårsaget af Leverandørens misligholdelse af dens forpligtelser under denne Databehandleraftale.
8. Kompensation
Udover hvad der er angivet i denne Databehandleraftale, er Leverandøren berettiget til rimelig kompensation for at følge Kundens skriftlige instrukser, medmindre den anmodede instruks er udtrykkeligt anført i Aftalen. Hvis Leverandøren er berettiget til kompensation for arbejde som er udført i henhold til denne Databehandleraftale, finder Leverandørens til enhver tid gældende prisliste anvendelse, medmindre andet er angivet i Aftalen.
9. Ansvar
9.1 Generelt
Hvis Leverandøren er erstatningsansvarlig over for registrerede ifølge Gældende Databeskyttelseslovgivning, og Kunden har deltaget i den persondatabehandling, som danner grundlag for de registreredes krav, skal Kunden godtgøre Leverandøren for den del af erstatningen, som Leverandøren er forpligtet til at betale til de registrerede, som kan henføres til Kundens misligholdelse af dennes forpligtelser eller Kundens instrukser til Leverandøren. Derudover skal Kunden godtgøre Leverandøren for dens rimelige omkostninger i forbindelse med Leverandørens forsvar mod krav fra registrerede (herunder sagsomkostninger, som Leverandøren dømmes til at betale til de registrerede).
Hvis Kunden er erstatningsansvarlig over for registrerede ifølge Gældende Databeskyttelseslovgivning, og Leverandøren har deltaget i den persondatabehandling, som danner grundlag for de registreredes krav, skal Leverandøren godtgøre Kunden for den del af erstatningen, som Kunden er forpligtet til at betale til de registrerede, som kan henføres til Leverandørens misligholdelse af dens forpligtelser under Gældende Databeskyttelseslovgivning eller denne Databehandleraftale. Derudover skal Leverandøren godtgøre Kunden for dens rimelige omkostninger i forbindelse med Kundens forsvar mod krav fra registrerede (herunder sagsomkostninger, som Kunden dømmes til at betale til de registrerede). Leverandørens samlede ansvar under denne Databehandleraftale er begrænset til 150 procent af honoraret for de første 12 måneder af Tjenesten, medmindre Leverandøren har forårsaget skade ved forsæt eller grov uagtsomhed.
En Parts erstatningsansvar er, udover hvad der udtrykkeligt er anført heri, reguleret af Aftalen.
9.2 Meddelelse, indsigt i dokumenter, etc.
En Part, som der er rejst krav mod af registrerede, skal inden rimelig tid (i) skriftligt informere den anden Part om ethvert krav som er rejst, og som kan resultere i et krav mod den anden Part i henhold til punkt 9.; og (ii) give den anden Part ret til indsigt i dokumenter i sådan en retssag, både fra Parten og fra den registrerede, og give den anden Part ret til at kommentere på sådanne dokumenter.
Krav om godtgørelse fra den anden Part under dette punkt 9. er underlagt reglerne ovenfor, og kan ikke rejses senere end seks måneder efter at Parten er blevet forpligtet til at betale erstatningen til de registrerede.
10. Revision
Leverandøren skal give Kunden adgang til alle oplysninger, som der med rimelighed er brug for til at bevise, at de forpligtelser som en databehandler er underlagt i henhold til Gældende Databeskyttelseslovgivning, er opfyldt. Dette omfatter også at yde rimelig bistand i forbindelse med revision og inspektioner, som udføres af Kunden, eller en revisor udpeget af Kunden. Inspektioner kan kun udføres, hvis en revision ikke kan gennemføres ved Leverandørens udlevering af information. Leverandøren skal informeres om en inspektion i god tid inden den påtænkte dato for inspektionen, med angivelse af omfanget og formålet med inspektionen. Leverandøren er berettiget til rimelig kompensation for omkostninger forbundet med gennemførelse af sådan en revision eller inspektion.
Forud for en revision eller inspektion, skal Kunden, eller revisoren udpeget af Kunden, opfylde de nødvendige fortrolighedsforpligtelser, og overholde Leverandørens sikkerhedsforskrifter på stedet for inspektionen. Inspektionen må ikke være til hinder for Leverandørens forretning, eller udsætte beskyttelsen af andre kunders information for risiko. Information indsamlet som led i revisionen, skal slettes efter gennemførelse af revisionen, eller når den ikke længere er nødvendig for formålet med revisionen.
11. Løbetid og aftalens ophør
11.1 Generelt
Denne Databehandleraftale er gældende så længe Leverandøren behandler persondata på vegne af Kunden, og bringes automatisk til ophør sammen med Aftalen, når Leverandøren ikke længere yder nogen Tjenester for Kunden; dog gælder en Parts ansvar under denne Databehandleraftale også efter at den er bragt til ophør.
Ved denne Databehandleraftales ophør, skal Leverandøren slette eller tilbagelevere Kundens persondata til Kunden, eller til en tredjepart efter Kundens instruks, inklusivt data som behandles på Leverandørudstyr, men eksklusiv data som behandles på Kundeudstyr. Persondata som lagres elektronisk kan udleveres elektronisk efter Kundens instruks, hvis dette er rimeligt. Kundens anmodning om sletning eller øjeblikkelig tilbagelevering, skal fremsættes inden seks dage efter denne Databehandleraftales ophør. Efter udløbet af ovenstående periode, og medmindre andet er påkrævet af Svensk, Dansk, Norsk og/eller Finsk ret og/eller EUlovgivning, som finder anvendelse, kan Leverandøren slette eksisterende kopier af persondata. Efter tilbagelevering af persondata, eller hvis tilbagelevering af persondata ikke er blevet anmodet af Kunden inden udløbet af ovenstående periode, vil Leverandøren slette Kundens persondata inden rimelig tid, og senest seks måneder efter denne Databehandleraftales ophør.
Efter ophøret af denne Databehandleraftale, må Leverandøren ikke behandle Kundens persondata til andre formål end at slette persondataen eller beskytte persondataen fra brud på sikkerheden, medmindre andet er krævet af Svensk, Dansk, Norsk og/eller Finsk ret og/eller EU-lovgivning, som finder anvendelse. Leverandøren har ret til rimelig kompensation for arbejde udført under nærværende punkt 11.1.
BILAG A. TIL DATABEHANDLERAFTALE
Specifikation af behandling af personoplysninger i forbindelse med Takeback Services
INSTRUKTIONER | ||
|---|---|---|
1.1 Kort beskrivelse af Tjenesten og formålet med behandlingsaktiviteten | Angiv alle formål, til hvilke Leverandøren behandler personoplysninger: Leverandøren vil behandle personoplysninger efter behov for at udføre Tjenesterne i henhold til Aftalen og som nærmere angivet i Bilag 1 – Beskrivelse af Tjenester, og desuden som nærmere anvist af Kunden i dennes brug af Tjenesterne. | |
1.2 Kategorier af personoplysninger | Angiv de typer af personoplysninger, som vil blive behandlet af Leverandøren: Leverandøren vil behandle (slette) personoplysninger, som er oplagret på Kundens IT-udstyr, i overensstemmelse med Bilag 1 - Beskrivelse af Tjenester. Indholdet af ethvert lagret medie, som Kunden stiller til rådighed, afhænger af den pågældende brugers brug af udstyret og er derfor ikke kendt af Leverandøren og kan være enhver form for personlig data. Angiv de særlige kategorier af personoplysninger, der vil blive behandlet af Leverandøren (hvis sådanne findes): Personoplysninger, som er oplagret på Kundens enheder, og som leveres til Leverandøren i henhold til Tjenesterne, afhænger af brugerens brug af sådanne enheder. På grund af dette kan særlige kategorier af personoplysninger blive behandlet (slettet). | |
1.3 Kategorier af registrerede personer | Angiv de kategorier af registrerede personer, som Leverandøren behandler personoplysninger om samt omfanget af behandlingen: Indholdet af ethvert lagret medie, som Kunden stiller til rådighed, afhænger af den pågældende brugers brug af udstyret, og , og Leverandøren ved derfor ikke, hvilke registrerede personer personoplysningerne kan vedrøre. | |
1.4 Behandlingsaktiviteter (lager, administration m.m.) | Angiv de behandlingsaktiviteter, der vil blive udført af Leverandøren: Sletning af lagrede medier, som Kunden stiller til rådighed, foregår enten ved sikker overskrivning eller sikker destruering af mediee/udstyret. | |
1.5 Sted for behandling | Angiv alle lande, hvor personoplysninger kan lagres og/eller behandles af Leverandøren: Personlige oplysninger kan behandles af Leverandøren for de købte tjenester i Sverige. |
SIKKERHEDSFORANSTALTNINGER | ||
|---|---|---|
Angiv alle organisatoriske og tekniske sikkerhedsforanstaltninger, som vil blive gennemført af Leverandøren | ||
2.1 Fysisk adgangskontrol | Foranstaltninger til at forhindre fysisk adgang for uvedkommende personer til IT-systemer, som håndterer personoplysninger: Adgang til bygninger er begrænset ved brug af personlige adgangskort med personlige pinkoder, og adgang gives kun til autoriseret personale i bestemte tidsrum. Dette gælder både for bygninger anvendt til kontor og bygninger anvendt til produktion. Adgang til produktionsområder er begrænset yderligere og gives kun til autoriseret personale, som arbejder med at levere Tjenesterne. Bygningerne er beskyttet af sikkerhedsalarmer på niveau 2, som er forbundet til tredjeparts sikkerhedsfirmaer. Områderne aflåses hver aften og låses op igen hver morgen af sikkerhedsvagter på stedet. Aktivering af alarm sker automatisk og er indstillet til et specifikt tidspunkt om aftenen. | |
2.2 Adgangskontrol til systemer | Foranstaltninger, der forhindrer uautoriserede personer i at anvende IT-systemer og processer: Adgangsrettigheder implementeres på need-to-know basis, som sikrer, at personalet kun har adgang til den information, de har brug for, for at kunne udføre deres respektive arbejdsopgaver. Adgangsrettigheder gennemgås regelmæssigt inden for en prædefineret periode for at sikre, at alle adgangsrettigheder er up-to-date og relevante. | |
2.3 Dataadgangs- kontrol | Foranstaltninger til at sikre, at personer med tilladelse til at anvende IT-systemet kun har adgang til personoplysninger ifølge deres adgangsrettigheder: Som følge af Tjenesternes karakter vil Leverandøren ikke tilgå eller behandle data, bortset fra sletning. | |
2.4 Adgangskontrol til transmissioner | Foranstaltninger til at sikre, at personoplysninger ikke kan læses, kopieres, ændres eller fjernes af uautoriserede personer under elektroniske transmissioner eller under transport eller lagring på datamedier, og at disse områder kan kontrolleres og identificeres, når der foretages transmission af personoplysninger via datatransmissionssystemer: Som følge af Tjenesternes karakter vil Leverandøren ikke transmittere personoplysninger elektronisk. Enheder transporteres i aflåste sikkerhedskasser med forskellige pinkoder for hver enkelt sikkerhedskasse. Produktionsteamet scanner de pågældende numre på kasserne og knytter sikkerhedskasserne til de specifikke ordrer. Sikkerhedskasserne er aflåste, når de afsendes tomme, og Kunden er ansvarlig for at låse sikkerhedskasserne, inden de sendes tilbage til Leverandøren. Sikkerhedskasserne åbnes, når de ankommer til Leverandøren, og der tages fotos for at dokumentere indholdet af kasserne. Koderne til låsen ændres inden for en forudindstillet frekvens for at forebygge uautoriseret adgang til sikkerhedskasserne. | |
2.5 Indgangskontrol | Adgang til systemerne logges og monitoreres for at skabe et spor til revision af sikkerhed og processer for regnskab. | |
2.6 Tilgængelighedskontrol | Foranstaltninger til at sikre, at personoplysninger beskyttes mod utilsigtet ødelæggelse eller tab: Som følge af Tjenesternes karakter, vil intentionen altid være at slette data, som er oplagret på enheder, der er leveret af Kunden til Leverandøren. | |
2.7 Separationskontrol | Foranstaltninger til at sikre, at personoplysninger, der indsamles til forskellige formål, kan behandles separat: Ikke anvendelig. Leverandøren behandler ikke personoplysninger på vegne af Kunden til andre formål end sletning af oplysningerne. | |
2.8 Sikker sletning proceskontrol | Processen for returnering, sletning og videre levering er etableret for at sikre en sikker håndtering af de returnerede varer til enhver tid. De vigtigste sikkerhedsforanstaltninger er følgende:
| |
2.9 Opbevaringsregler | Foranstaltninger til at sikre, at personoplysninger slettes eller destrueres tilstrækkeligt, når brugen af personoplysningerne ikke længere er rimelige eller nødvendige: I aftaleperioden: Som følge af Tjenesternes karakter, vil Leverandøren altid slette eller destruere personoplysningerne som en del af at yde Tjenesterne inden for 2 måneder fra datoen for overdragelse af produkterne til Dustin. Efter aftaleperiodens udløb: Leverandøren behandler ikke personoplysninger til andre formål end sletning. Sletning eller returnering af personoplysninger efter aftalens udløb vil derfor ikke gælde for Tjenesterne. |