1. Baggrund, formål og anvendelsesområde

1.1 Som led i den dataansvarliges indgåelse af en aftale om hosting af den dataansvarliges e-handels-/websiteplatform baseret på databehandlerens Accumolo/Masterpiece-løsning, som beskrevet i bilag 1 til aftalen, behandler databehandleren personoplysninger, som den dataansvarlige er ansvarlig for.

1.2 Databehandleren skal overholde persondataloven (lov nr. 429 af 31. maj 2000 med senere ændringer) samt tilhørende bekendtgørelser.

1.3 Fra den 25. maj 2018 skal databehandleren i stedet overholde databeskyttelsesforordningen (EU-forordning 2016/679) samt tilhørende lovgivning og nationale regler.

1.4 Det er et krav, at der indgås en skriftlig aftale mellem den dataansvarlige og databehandleren om behandlingen af personoplysninger. Denne aftale udgør en sådan databehandleraftale.

 

2. Personoplysninger omfattet af aftalen

2.1 Aftalen og tilhørende instrukser omfatter de typer personoplysninger, der er beskrevet i bilag 1. Det vil primært være kundeoplysninger relateret til den dataansvarliges kunder. Medmindre andet er angivet i bilag 1, behandles der ikke følsomme personoplysninger.

Oplysningerne behandles primært i databehandlerens Accumolo/Masterpiece-løsning med henblik på håndtering af kunders ordrer.

 

3. Geografiske krav

3.1 Den dataansvarlige accepterer, at databehandleren kan behandle personoplysninger uden for EU/EØS, forudsat at der sikres et tilstrækkeligt beskyttelsesniveau.

Databehandleren indgår i den forbindelse standardkontrakter godkendt af EU-Kommissionen med eventuelle underdatabehandlere.

 

4. Instrukser

4.1 Behandlingen af personoplysninger sker som led i hosting af den dataansvarliges e-handels-/websiteplatform og omfatter forskellige typer behandlinger, som beskrevet i bilag 1.

4.2 Databehandleren må kun behandle personoplysninger i henhold til dokumenterede instrukser fra den dataansvarlige og må ikke anvende data til andre formål.

4.3 Hvis en instruks vurderes at være i strid med gældende lovgivning, skal databehandleren informere den dataansvarlige.

4.4 Aftalen omfatter de kategorier af registrerede, der fremgår af bilag 1.

4.5 Hvis behandling sker via fjernadgang (fx hjemmearbejdspladser), skal databehandleren sikre, at dette sker i overensstemmelse med aftalens krav.

4.6 Databehandleren skal, så vidt muligt, bistå den dataansvarlige med at håndtere anmodninger fra registrerede (indsigt, rettelse, sletning m.v.).

4.7 Den dataansvarlige afholder omkostningerne for denne bistand, som faktureres efter gældende timepris.

 

5. Brug af underdatabehandlere

5.1 Den dataansvarlige giver samtykke til brug af underdatabehandlere, forudsat at aftalens krav overholdes.

5.2 Der skal indgås databehandleraftale med underdatabehandlere med tilsvarende krav.

5.3 Omkostninger ved etablering af aftaler med underdatabehandlere afholdes af den dataansvarlige.

5.4 Instrukser til underdatabehandlere skal gå via databehandleren. Direkte instrukser kan medføre ansvar og omkostninger for den dataansvarlige.

5.5 Aktuelle underdatabehandlere fremgår af bilag 1.

5.6 Databehandleren kan ændre underdatabehandlere, hvis kravene overholdes og den dataansvarlige informeres.

 

6. Behandling og videregivelse af personoplysninger

6.1 Den dataansvarlige garanterer at have hjemmel til behandling af personoplysninger.

6.2 Databehandleren må ikke videregive oplysninger til tredjepart uden samtykke, medmindre det følger af lovgivning eller myndighedskrav.

 

7. Sikkerhed

7.1 Databehandleren skal implementere passende tekniske og organisatoriske sikkerhedsforanstaltninger for at beskytte personoplysninger.

7.2 Alternative sikkerhedsforanstaltninger kan anvendes, hvis de lever op til samme eller højere niveau.

7.3 Databehandleren skal bistå med overholdelse af GDPR-krav (fx artikel 32, 35 og 36) mod betaling.

 

8. Tilsyn

8.1 Databehandleren skal give den dataansvarlige adgang til oplysninger om sikkerhedsforanstaltninger.

8.2 Dette gælder også underdatabehandlere.

8.3 Tilsyn kræver minimum 30 dages varsel.

8.4 Sikkerhedsrapporter skal udleveres ved anmodning.

8.5 Revision kan udføres efter aftale og mod betaling.

8.6 Den dataansvarlige afholder alle omkostninger ved tilsyn.

 

9. Brud på persondatasikkerheden

9.1 Databehandleren skal straks håndtere og begrænse skader ved sikkerhedsbrud.

9.2 Databehandleren skal uden unødig forsinkelse informere den dataansvarlige.

Meddelelsen skal indeholde:

• Beskrivelse af bruddet
• Antal berørte personer
• Kontaktoplysninger
• Konsekvenser
• Trufne foranstaltninger

9.3 Oplysninger gives løbende, hvis ikke alt kan leveres med det samme.

 

10. Fortrolighed

10.1 Databehandleren skal behandle personoplysninger fortroligt.

10.2 Medarbejdere og underdatabehandlere er underlagt tavshedspligt.

 

11. Varighed og ophør

11.1 Aftalen træder i kraft ved indgåelse af hostingaftalen.

11.2 Ved ophør af hostingaftalen ophører også denne aftale.
Databehandleren må dog fortsat behandle data, indtil den dataansvarlige har givet instrukser.

Senest 30 dage efter ophør kan databehandleren slette data.

 

 

Sidst opdateret: D. 12. marts 2018