Bizmiq ChatCHAT

Databehandleraftale

Aftale omkring behandling af persondata

Aftalen

Denne databehandleraftale (Aftalen) er er et tillæg til den indgåede kontrakt mellem kunden (Dataansvarlig) og MIQ ApS (Databehandler) og er gældende for de i kontrakten beskrevne produkter og ydelser. Databehandleraftalen er gældende såfremt kunden har et gyldigt og betalt abonnement og ikke er i restance til MIQ ApS. Databehandleraftalen definerer Databehandlerens behandling af personoplysninger på vegne af den Dataansvarlige.

1. Baggrund, formål og omfang

1.1 Som led i den Dataansvarliges indgåelse af aftale om levering af produkter og ydelser i kontrakten, foretager Databehandleren behandling af personoplysninger, som den Dataansvarlige er ansvarlig for.

1.2 Databehandleren skal overholde Persondataloven (lov nr. 421 af 31. maj 2000 med senere ændringer) med tilhørende bekendtgørelser.

1.3 Databehandleren skal fra 25. maj 2018 i stedet for Persondataloven overholde Persondataforordningen (Europa-Parlamentets og Rådets forordning 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger) med tilhørende retsakter samt heraf afledt national lovgivning.

1.4 Det er et krav i såvel Persondataloven som Persondataforordningen, at der mellem den dataansvarlige og databehandleren indgås skriftlig aftale om den behandling, som skal foretages; en såkaldt ’databehandleraftale’. Denne Aftale udgør sådan databehandleraftale.

2. Personoplysninger omfattet af aftalen

2.1 Denne Aftale og eventuelt tilhørende instruks omfatter alle typer personoplysninger.

3. Geografiske krav

3.1 Den behandling af persondata, som Databehandleren foretager efter aftale med den Dataansvarlige, må alene foretages af Databehandleren eller underdatabehandlere, jf. pkt. 5, indenfor Danmarks grænser. Databehandleren er ingenlunde berettiget til at lade databehandling foregå udenfor Danmarks grænser uden den Dataansvarliges skriftlige samtykke.

4. Instruks

4.1 Omfanget af de opgaver, som Databehandleren skal levere og understøtte, betyder, at der i medfør af den indgåede kontrakt, vil ske forskellige former for behandling af personoplysninger. De forskellige former for behandling af personoplysninger er beskrevet i Aftalens pkt. 2.

4.2 Databehandleren handler alene efter dokumenteret instruks fra den Dataansvarlige. Databehandleren skal sikre, at de overladte personoplysninger ikke benyttes til andre formål eller behandles på anden måde, end hvad der fremgår af den Dataansvarliges instruks. Alle de for afviklingen af kontraktens nødvendige og beskrevne behandlinger betragtes som dokumenterede af den dataansvarlige.

4.3 Såfremt en instruktion efter Databehandlerens opfattelse er i strid med Persondataloven eller Persondataforordningen, skal Databehandleren orientere den Dataansvarlige herom.

4.4 Denne Aftale og tilhørende instruks omfatter de kategorier af registrerede data, som er anført i pkt. 2.

4.5 Såfremt behandlingen af personoplysninger hos Databehandleren sker helt eller delvist ved anvendelse af fjernopkobling, herunder hjemmearbejdspladser, skal den Dataansvarlige fastsætte retningslinjer til

Databehandleren for medarbejdernes behandling af personoplysninger ved anvendelse af fjernopkobling, som i øvrigt skal opfylde de i Aftalen stillede krav.

4.6 Databehandleren skal så vidt muligt bistå den Dataansvarlige med opfyldelse af den Dataansvarliges forpligtelser til at besvare anmodninger om udøvelse af de registreredes rettigheder, herunder om indsigt, berigtigelse, begrænsning eller sletning, hvis de relevante personoplysninger behandles af Databehandleren. Modtager Databehandleren sådan henvendelse fra den registrerede, orienterer Databehandleren den Dataansvarlige herom.

4.7 Den Dataansvarlige hæfter for alle Databehandlerens omkostninger ved sådan bistand, jf. pkt. 4.6, herunder til underdatabehandlere. Databehandlerens bistand afregnes til Databehandlerens til enhver tid gældende timetakst for sådant arbejde.

5. Brug af underdatabehandler

5.1 Den Dataansvarlige giver Databehandleren samtykke til anvendelse af underdatabehandlere, forudsat at de i Aftalen stillede betingelser for dette er opfyldt. Databehandleren underretter den Dataansvarlige om sådanne underdatabehandlere.

5.2 Underdatabehandleren er under Databehandlerens instruks. Databehandleren har indgået skriftlig databehandleraftale med underdatabehandleren, hvori det er sikret, at underdatabehandleren opfylder krav tilsvarende dem, som stilles til Databehandleren af den Dataansvarlige i medfør af Aftalen.

5.3 Omkostninger forbundet med etablering af aftaleforholdet til en underdatabehandler, herunder omkostninger til udarbejdelse af databehandleraftale og eventuel etablering af grundlag for overførsel til tredjelande, afholdes af Databehandleren og er således den Dataansvarlige uvedkommende.

5.4 Såfremt den Dataansvarlige måtte ønske at instruere underdatabehandlere direkte, bør dette alene ske efter drøftelse med og via Databehandleren. Hvis den Dataansvarlige afgiver instruks direkte overfor underdatabehandlere, skal den Dataansvarlige senest samtidig underrette Databehandleren om instruksen og baggrunden for denne. Hvor den Dataansvarlige instruerer underdatabehandlere direkte, a) er Databehandleren fritaget for ethvert ansvar, og enhver følge af sådan instruks er alene den Dataansvarliges ansvar, b) hæfter den Dataansvarlige for enhver omkostning, som instruksen måtte medføre for Databehandleren, herunder er Databehandleren berettiget til at fakturere den Dataansvarlige med sin sædvanlige timetakst for al arbejdstid, som en sådan direkte instruks måtte medføre for Databehandleren og c) den Dataansvarlige er selv ansvarlig overfor underdatabehandlere for enhver omkostning, vederlag eller anden betaling til underdatabehandleren, som den direkte instruks måtte medføre

Den Dataansvarlige accepterer ved indgåelsen af nærværende Aftale, at Databehandleren er berettiget til at skifte underdatabehandler, forudsat, at a) en eventuel ny underdatabehandler overholder tilsvarende betingelser, som stilles i nærværende pkt. 5 til den nuværende underdatabehandler og, at b) den

Dataansvarlige senest ved en eventuel anden underdatabehandlers påbegyndelse af behandlingen af personoplysninger, som den Dataansvarlige er dataansvarlig for, af Databehandleren orienteres om den nye underdatabehandlers identitet.

6. Behandling og videregivelse af personoplysninger

6.1 Den Dataansvarlige indestår for at have fornøden hjemmel til behandling af personoplysningerne omfattet af nærværende Aftale.

6.2 Databehandleren må ikke uden skriftligt samtykke fra den Dataansvarlige videregive oplysninger til tredjemand, medmindre sådan videregivelse følger af lovgivningen eller af en bindende anmodning fra en retsinstans eller en databeskyttelsesmyndighed, eller det fremgår af denne Aftale.

7. Sikkerhed

7.1 Databehandleren skal træffe passende tekniske og organisatoriske sikkerhedsforanstaltninger mod, at personoplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lovgivningen, jf. pkt. 1.2 og pkt. 1.3 ovenfor.

7.2 Databehandlerens Underdatabehandler er via sit medlemskab hos Brancheforeningen for IT-hostingvirksomheder i Danmark (“BFIH”) certificeret indenfor IT-hosting (“Hostingcertifikatet”) og skal dermed overholde certificeringsguidens krav til sikkerhed. Derudover skal Underdatabehandleren, jf. pkt. 7.1, opretholde de i Databehandlerens ISAE RS-3402 Type 2 erklæring beskrevne sikkerhedsforanstaltninger samt eventuelle krav særskilt angivet i den indgåede kontrakt. Såfremt andet ikke særskilt aftales i den indgåede kontrakt udgør disse sikkerhedskrav den Dataansvarliges krav til sikkerhedsforhold hos Databehandleren og dennes Underdatabehandler.

7.3 Databehandleren er altid berettiget til at implementere alternative sikkerhedsforanstaltninger under forudsætning af, at sådanne sikkerhedsforanstaltninger som minimum opfylder eller giver større sikkerhed end de i pkt. 7.2 beskrevne sikkerhedsforanstaltninger og i øvrigt opfylder de i kontraktens evt. øvrige stillede krav til sikkerhed. Databehandleren kan ikke uden den Dataansvarliges skriftlige forudgående godkendelse foretage forringelse af sikkerhedsforholdene.

7.4 Databehandleren skal efter nærmere aftale med den Dataansvarlige, så vidt muligt, bistå den Dataansvarlige med at sikre overholdelse af forpligtelserne i forordningens artikel 32 (gennemførelse af passende tekniske og organisatoriske foranstaltninger), artikel 35 (foretagelse af konsekvensanalyse vedrørende databeskyttelse) og artikel 36 (forudgående høring). I den forbindelse er Databehandleren berettiget til at fakturere den Dataansvarlige med sin sædvanlige timetakst for al Databehandlerens arbejdstid, som sådan aftale måtte medføre for Databehandleren, ligesom den Dataansvarlige hæfter for eventuel betaling til underdatabehandleren.

7.5 Såfremt det i pkt. 7.4 anførte fører til skærpede krav til sikkerhedsforanstaltninger i forhold til det allerede aftalte mellem Parterne i medfør af denne Aftale, implementerer Databehandleren, så vidt det er muligt, sådanne foranstaltninger, forudsat at Databehandleren modtager betaling herfor, jf. pkt. 7.6 nedenfor.

Omkostninger forbundet med implementering af foranstaltninger, jf. pkt. 7.5, afholdes af den Dataansvarlige og er således Databehandleren uvedkommende. Databehandleren er endvidere berettiget til at fakturere den Dataansvarlige med sin sædvanlige timetakst for al Databehandlerens arbejdstid, som sådan implementering måtte medføre for Databehandleren, ligesom den Dataansvarlige hæfter for eventuel betaling til underdatabehandlere.

8. Tilsynsret

8.1 Databehandleren skal på den Dataansvarliges anmodning give den Dataansvarlige tilstrækkelige informationer til, at denne kan påse, at Databehandleren har truffet de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger.

8.2 I det omfang den Dataansvarlige tillige ønsker, at dette skal omfatte den behandling, som sker hos underdatabehandlere, oplyses Databehandleren om dette. Databehandleren indhenter herefter tilstrækkelige oplysninger fra underdatabehandleren.

8.3 Såfremt den Dataansvarlige ønsker at foretage tilsyn, som anført i dette pkt. 8, skal den Dataansvarlige altid give Databehandleren et varsel på mindst 30 dage i sådan forbindelse.

8.4 Såfremt Databehandleren får udarbejdet en sikkerhedsrevisionsrapport, som beskriver sikkerhedsforholdene hos underdatabehandleren i overensstemmelse med pkt. 8.4, er den Dataansvarlige berettiget til på begæring at få udleveret en kopi heraf forudsat Databehandleren er berettiget til at udlevere denne.

8.5 Den Dataansvarlige afholder alle omkostninger i forbindelse med den Dataansvarliges eventuelle ønske om at få udarbejdet sikkerhedsrevisionsrapport og/eller i forbindelse med dennes ønske om at få foretaget anden eller yderligere tilsyn af Databehandlerens eller underdatabehandlerens persondatabehandling. Herunder er Databehandleren berettiget til at fakturere den Dataansvarlige med sin sædvanlige timetakst for al Databehandlerens arbejdstid, som sådant tilsyn måtte medføre for Databehandleren, ligesom den Dataansvarlige hæfter for eventuel betaling til underdatabehandleren.

9. Persondatasikkerhedsbrud

9.1 Såfremt Databehandleren måtte blive bekendt med et persondatasikkerhedsbrud, hvorved forstås et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet, er Databehandleren forpligtet til uden unødig forsinkelse at søge at lokalisere sådan brud og søge at begrænse opstået skade i videst muligt omfang, samt i det omfang det er muligt reetablere eventuelt mistede data.

9.2 Databehandleren er endvidere forpligtet til uden unødig forsinkelse at underrette den Dataansvarlige efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden. Databehandleren skal herefter uden unødig forsinkelse, i det omfang det er muligt, give skriftlig meddelelse til den Dataansvarlige, som så vidt muligt skal indeholde:

a) En beskrivelse af karakteren af bruddet, herunder kategorierne og det omtrentlige antal berørte registrerede og registreringer af personoplysninger.
b) Navn på og kontaktoplysninger for databeskyttelsesrådgiveren.
c) En beskrivelse af de sandsynlige konsekvenser af bruddet.
d) En beskrivelse af den foranstaltninger, som Databehandleren eller underdatabehandleren har truffet eller foreslår truffet for at håndtere bruddet, herunder foranstaltninger for at begrænse dets mulige skadevirkninger.

9.3 For så vidt det ikke er muligt at give de i pkt. 9.2 anførte oplysninger samlet, kan oplysningerne meddeles trinvist uden unødig yderligere forsinkelse.

9.4 Tilsvarende er underdatabehandlere pålagt uden unødig forsinkelse at underrette Databehandleren i overensstemmelse med pkt. 9.2 og 9.3.

9.5 Den Dataansvarlige hæfter for alle Databehandlerens omkostninger ved sådan bistand. Databehandlerens bistand afregnes til Databehandlerens til enhver tid gældende timetakst for sådant arbejde.

10. Ansvarsbegrænsning

10.1 Ansvarsbegrænsning tager afsæt i de Salgs- og Leveringsbetingelser, som er gældende for Aftalen.

11. Tavshespligt

11.1 Databehandleren skal holde personoplysninger, som behandles i henhold til Aftalen, fortrolige, og er således alene berettiget til at anvende personoplysningerne som led i opfyldelsen af sine forpligtelser og rettigheder i henhold til Aftalen. Herunder skal Databehandleren pålægge medarbejdere og eventuelle andre, herunder underdatabehandlere, der er autoriseret til at behandle de i Aftalen omfattede personoplysninger, er pålagt tavshedspligt. Sådan tavshed/fortrolighed finder tillige sted efter aftales ophør.

12. Forrang

12.1 Medmindre andet fremgår af Aftalen, har bestemmelser I Aftalen forrang I forhold til tilsvarende bestemmelser I andre aftaler mellem parterne, herunder Hostingaftalen.

13. Varighed og ophør af databehandleraftalen

13.1 Aftalen træder i kraft ved indgåelse af kontrakt mellem kunde og MIQ ApS.
13.2 I tilfælde af at kontrakten ophører, uanset årsag, ophører Aftalen også. Databehandleren er dog forpligtet af denne Aftale, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige, idet den Dataansvarlige snarest muligt og senest 30 dage før ophør af kontrakten skal oplyse Databehandleren skriftligt, hvorledes Databehandleren skal forholde sig til de behandlede personoplysninger. Ved kontraktens udløb er Databehandleren berettiget til at slette alle personoplysninger, som er blevet behandlet under den ophørte kontrakt på vegne af den Dataansvarlige med mindre andet særskilt aftales.

Få E-bogen om kunstig intelligens

MIQ APS - JYLLAND

Essen 25
6000 Kolding

CVR: 38885189
+45 3939 4050
hello@miq.ai

MIQ APS - SJÆLLAND

Rådhuspladsen 16
1550 København