GDPR
Download vores DATABEHANDLERAFTALE afale her
ENGLISH VERSION CAN BE FOUND HERE
DATABEHANDLERAFTALE
Der indgås hermed følgende databehandleraftale ("Aftalen") mellem "Kunden" (den juridiske enhed der benævnes Kunden i Aftalen om iPos) og iPos ApS, CVR nr.: 36968001, Nyvang 7, 5500 Middelfart ("Leverandøren"), der samlet benævnes "Parterne" og separat en "Part":
1 Aftalens omfang
1.1 Leverandøren er databehandler for Kunden, idet Leverandøren varetager de i Appendiks 1 beskrevne databehandlingsopgaver for Kunden.
1.2 I Appendiks 1 er beskrevet:
• De personoplysninger, der behandles af Leverandøren
• Formålene med behandlingen
• Kategorierne af personoplysninger
1.3 Aftalen regulerer alene behandlingen af personoplysninger, som Leverandøren foretager for Kunden.
1.4 Ved "personoplysning" forstås enhver form for information om en identificeret eller identificerbar fysisk person, jf. artikel 4(1) i Forordning (EU) 2016/679 af 27. april 2016 (Persondataforordningen).
2 Behandling af personoplysninger
2.1 Leverandøren behandler alene personoplysninger efter instruks fra Kunden.
2.2 Instruks: Leverandøren er instrueret i alene at behandle personoplysningerne med det formål at varetage de i Appendiks 1 fastsatte databehandlingsopgaver. Leverandøren må ikke behandle eller anvende personoplysningerne til andre formål end angivet i instruksen, herunder overføre personoplysningerne til et tredjeland eller en international organisation, medmindre Leverandøren er forpligtet hertil efter EU-retten eller lovgivningen i en medlemsstat, som Leverandøren er underlagt. I givet fald skal Leverandøren skriftligt underrette Kunden om denne juridiske forpligtelse, forinden behandlingen påbegyndes, medmindre pågældende lovgivning på baggrund af vigtige samfundsinteresser forbyder en sådan underretning.
2.3 Såfremt en instruktion efter Leverandørens opfattelse er i strid med Persondataloven eller Persondataforordningen, skal Databehandleren orientere den Dataansvarlige herom.
2.4 Kunden garanterer over for Leverandøren for, at denne har fornøden ret til at behandle personoplysninger omfattet af Aftalen og til at lade Leverandøren behandle disse personoplysninger på vegne af sig, herunder men ikke begrænset til ved indsamling af relevante samtykker.
3 Krav til Leverandøren
3.1 Leverandøren skal behandle personoplysninger i overensstemmelse med gældende dansk persondatalovgivning, herunder Persondataforordningen, når denne træder i kraft.
3.2 Leverandøren skal sikre, at de personer, der er autoriseret til at behandle person–oplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
3.3 Leverandøren skal gennemføre de passende tekniske og organisatoriske sikkerhedsforanstaltninger mod, at de behandlede personoplysninger
(i) hændeligt eller ulovligt tilintetgøres, fortabes eller ændres,
(ii) videregives eller gøres tilgængelige uden autorisation, eller
(iii) i øvrigt behandles i strid med lovgivningen, herunder
Persondataforordningen.
3.4 Under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved imple- menteringen, samt omfanget, konteksten og formålet med Behandlingen, er Leverandøren forpligtet til at foretage alle rimelige foranstaltninger, herunder tekniske og organisatoriske, for at sikre et tilstrækkeligt sikkerhedsniveau i forhold til den risiko og kategorien af Personoplysninger, der skal beskyttes.
3.5 Leverandøren skal på Kundens anmodning give Kunden alle nødvendige oplysninger til, at denne kan påse, at Leverandørens forpligtelser i henhold til Aftalen overholdes, herunder at de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger er truffet.
3.6 Kunden ret til for egen regning at udpege en uafhængig ekspert, som skal have adgang til de dele af Leverandørens fysiske faciliteter, hvor behandling af personoplysninger finder sted, samt modtage de nødvendige informationer til udførelsen af undersøgelsen af, hvorvidt Leverandøren har gennemført de nævnte tekniske og organisatoriske sikkerhedsforanstaltninger. Kundens uafhængige ekspert kan ikke opnå adgang til oplysninger om Leverandørens generelle omkostningsstruktur eller til oplysninger, der vedrører andre af Leverandørens kunder. Eksperten skal på Leverandørens anmodning underskrive en sædvanlig fortrolighedserklæring og skal under alle omstændigheder behandle enhver information indhentet hos eller modtaget fra Leverandøren fortroligt, og må alene dele informationen med Kunden. Kunden må ikke viderebringe informationen eller benytte informationen til andre formål end at vurdere hvor vidt, Leverandøren har truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger.
3.7 Leverandøren skal uden unødig forsinkelse efter at være blevet opmærksom herpå, skriftligt orientere Kunden om
(i) enhver anmodning fra en myndighed om videregivelse af personoplysninger omfattet af Aftalen, medmindre orientering af Kunden er forbudt i henhold til EU-retten eller lovgivningen i en stat, som Leverandøren er underlagt,
(ii) enhver mistanke om, eller konstatering af, (a) brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet af Leverandøren i henhold til Aftalen, eller (b) enhver anden manglende overholdelse af Leverandørens forpligtelser efter punkt 3.3 og 3.4, eller
(iii) enhver anmodning om indsigt i personoplysningerne modtaget direkte fra den registrerede eller fra tredjemand.
3.8 Leverandøren skal assistere Kunden med håndteringen af enhver anmodning fra en registreret i henhold til kapitel III i Persondataforordningen, herunder anmodning om indsigt, berigtigelse, blokering eller sletning.
3.9 Leverandøren skal assistere Kunden med at sikre overholdelse af Kundens forpligtelser i medfør af artikel 32-36 i Persondataforordningen, samt øvrige forpligtelser, der måtte påhvile Kunden efter EU-retten eller lovgivningen i en medlemsstat, hvor Leverandørens assistance er forudsat, dog alene i det omfang Leverandørens assistance er nødvendig for, at Kunden kan overholde sine forpligtelser. Dette omfatter blandt andet, på anmodning at give Kunden alle nødvendige oplysninger om en hændelse omfattet af punkt 3.9 (ii), samt alle nødvendige oplysninger til brug for en konsekvensanalyse i medfør af artikel 35-36 i Persondataforordningen i det omfang, Leverandøren har adgang til sådan information.
3.10 I Appendiks 1 har Leverandøren oplyst den fysiske placering af servere, servicecentre mv. som indgår i udførelsen af databehandlingen. Leverandøren forpligter sig til at give skriftligt varsel til Kunden forud for ændringer af den fysiske placering. Dette kræver ikke en formel ændring af Appendiks 1, forudgående skriftlig meddelelse er tilstrækkelig.
3.11 Kunden honorerer Leverandøren særskilt og efter medgået tid og materiale for at håndtere forespørgsler og opgaver i henhold til Aftalens pkt. 3.5, 3.6, 3.7 (i) og (iii), 3.8, 3.9, 7.4 og 7.5. Honoreringen fastsættes efter Leverandørens til enhver tid gældende timetakster.
4 Underdatabehandlere
4.1 Kunden giver Leverandøren samtykke til anvendelse af underdatabehandlere, forudsat at de i Aftalen stillede betingelser for dette er opfyldt. Kunden kan altid se Leverandørens underdatabehandlere på Leverandørens hjemmeside på https://www.iPos.dk/persondataforordning/.
4.2 Underdatabehandleren er under Leverandørens instruks. Leverandøren har indgået skriftlig databehandleraftale med underdatabehandleren, hvori det er sikret, at underdata–behandleren opfylder krav tilsvarende dem, som stilles til Leverandøren af Kunden i medfør af Aftalen.
4.3 Omkostninger forbundet med etablering af aftaleforholdet til en underdatabehandler, herunder omkostninger til udarbejdelse af databehandleraftale og eventuel etablering af grundlag for overførsel til tredjelande, afholdes af Leverandøren og er således Kunden uvedkommende.
4.4 Såfremt Kunden måtte ønske at instruere underdatabehandlere direkte, bør dette alene ske efter drøftelse med og via Leverandøren. Hvis Kunden afgiver instruks direkte overfor underdatabehandlere, skal Kunden senest samtidig underrette Leverandøren om instruksen og baggrunden for denne. Hvor Kunden instruerer underdatabehandlere direkte,
a) er Leverandøren fritaget for ethvert ansvar, og enhver følge af sådan instruks er alene Kundens ansvar,
b) hæfter Kunden for enhver omkostning, som instruksen måtte medføre for Leverandøren, herunder er Leverandøren berettiget til at fakturere Kunden med sin sædvanlige timetakst for al arbejdstid, som en sådan direkte instruks måtte medføre for Leverandøren og
c) Kunden er selv ansvarlig overfor underdatabehandlere for enhver omkostning, vederlag eller anden betaling til underdatabehandleren, som den direkte instruks måtte medføre.
4.5 Kunden accepterer ved indgåelsen af nærværende Aftale, at Leverandøren er berettiget til at skifte underdatabehandler, forudsat, at
a) en eventuel ny underdatabehandler overholder tilsvarende betingelser, som stilles i nærværende pkt. 4 til den nuværende underdatabehandler og, at
b) Kunden senest ved en eventuel anden underdatabehandlers påbegyndelse af behandlingen af personoplysninger, som Kunden er dataansvarlig for, fremgår af Leverandørens hjemmeside.
5 Fortrolighed
5.1 Leverandøren skal holde personoplysningerne fortrolige.
5.2 Leverandøren må ikke formidle personoplysningerne til tredjemand eller tage kopi af personoplysningerne, medmindre dette er nødvendigt til varetagelse af Leverandørens forpligtelser over for Kunden, forudsat at den, til hvem personoplysningerne overlades, er bekendt med oplysningernes fortrolige karakter og har indvilget i at holde person–oplysningerne fortrolige i overensstemmelse med Aftalen, eller dette følger af en lovbestemt pligt for Leverandøren.
5.3 Leverandøren skal begrænse adgangen til personoplysningerne til de medarbejdere, for hvem det er nødvendigt at have adgang til personoplysninger for at kunne opfylde Leverandørens forpligtelser over for Kunden.
5.4 Leverandørens forpligtelser efter nærværende punkt 5 består uden tidsbegrænsning, og uanset om Parternes samarbejde i øvrigt måtte være ophørt.
5.5 Kunden skal behandle fortrolige oplysninger, som modtages fra Leverandøren, fortroligt, og må ikke uberettiget udnytte eller videregive de fortrolige oplysninger.
6 Ændringer og overdragelser
6.1 Leverandøren kan overdrage sine rettigheder og forpligtelser i henhold til Aftalen uden Kundens samtykke, forudsat at den, til hvem rettigheder og/eller pligter overdrages, forpligtes til at behandle personoplysninger i overensstemmelse med de krav, der gælder for Leverandøren, i henhold til Aftalen.
7 Varighed og ophør af Aftalen
7.1 Aftalen træder i kraft på samme tidspunkt, som Aftalen om iPos og er gældende indtil Aftalen om iPos ophører.
7.2 Hver Part kan opsige Aftalen efter samme vilkår, som er gældende i Aftalen om iPos.
7.3 Uanset Aftalens formelle aftaleperiode skal Aftalen vedblive at gælde, så længe Leverandøren behandler personoplysninger for Kunden, som Kunden er dataansvarlig for, dog alene for de personoplysninger som til enhver tid behandles for Kunden af Leverandøren.
7.4 I tilfælde af ophør af Aftalen er Leverandøren forpligtet til efter anmodning loyalt at medvirke til, at databehandlingen overgår til en anden leverandør eller tilbageføres til Kunden.
7.5 Leverandøren skal efter anmodning fra Kunden og ved ophør af aftalen overføre personoplysninger, som Leverandøren behandler og/eller har behandlet for Kunden, til kunden eller slette disse, medmindre EU-retten eller lovgivningen i en medlemsstat foreskriver opbevaring af personoplysningerne.
8 Meddelelser
8.1 I det tilfælde en Part i henhold til Aftalen skal afgive skriftlig meddelelse til den anden Part, kan denne pligt opfyldes ved at afsende en e-mail til den anden Parts senest oplyste e-mailadresse. Leverandøren kan ligeledes opfylde sin pligt til at afgive skriftlig meddelelse ved at udsende nyheder direkte i systemet, som kunden har fået tildelt en licens til at benytte i henhold til Aftalen om iPos.
9 Forrang
9.1 I tilfælde af uoverensstemmelse mellem bestemmelserne i Aftalen og bestemmelserne i andre skriftlige eller mundtlige aftaler indgået mellem Parterne, skal bestemmelserne i Aftalen have forrang APPENDIKS 1
Dette Appendiks indeholder blandt andet Kundens instruks til Leverandøren i forbindelse med Leverandørens databehandling for Kunden og er en integreret del af Aftalen.
Instruks og beskrivelse af behandlingen af personoplysninger i iPos
Formål og karakteren af databehandlingen
Formålet med at lade Leverandøren foretage databehandlingen er at lade Kunden anvende iPos, der er et IT-system, som Kunden tilgår via programmet Filemaker Pro og internettet, og som er hostet og drevet af Leverandøren og dennes Underdatabehandler.
iPos er et kassesystem med mulighed for at registrere kunder og kundeklubber mv.
Kategorier af Registrerede
- Den Dataansvarliges slutbrugere
- Den Dataansvarliges medarbejdere
- Den Dataansvarliges kontaktpersoner
- Den Dataansvarliges kunder og leverandører og deres slutbrugere
- Den Dataansvarliges kunders og leverandørers medarbejdere
- Den Dataansvarliges kunders og leverandørers kontaktpersoner
Kategorier af Personoplysninger
- Navn
- Titel
- Telefonnummer
- Adresse
Ovenstående er de personoplysninger, som iPos via felter typisk bliver brugt til. Men iPos indeholder også kundeklub, disponible felter og notefelter som evt. kan bruges til:
Følsomme Personoplysninger.
- Politisk, filosofisk eller religiøs overbevisning
- Fagforeningsmæssige tilhørsforhold
- Race eller etnisk oprindelse
- Helbredsoplysninger
- Oplysninger om en fysisk persons seksuelle forhold eller sexuelle orientering
- Genetiske eller biometriske data med det formål entydigt at identificere en fysisk person
Kunden opfordres til at rette henvendelse til Leverandøren såfremt iPos bruges til Følsomme Personoplysninger. Derved kan aftales om der skal foretages yderligere for at sikre disse data, og om der evt. skal laves tillæg til nærværende aftale.