Databehandleraftale

Parter

Den dataansvarlige: {customer.name}, CVR {customer.cvr}, {customer.address}.

Databehandleren: {provider.name}, CVR {provider.cvr}, {provider.address}.

Aftalen er indgået den {contract.date} og hører til aftalen «{contract.title}».

§ 1 Baggrund og formål

Databehandleren behandler personoplysninger på vegne af den dataansvarlige for at levere de ydelser, parterne har aftalt. Aftalen sikrer, at behandlingen sker i overensstemmelse med databeskyttelsesforordningen (GDPR) og databeskyttelsesloven.

§ 2 Behandling efter instruks

Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre andet følger af EU-ret eller dansk ret. Er en instruks efter databehandlerens opfattelse i strid med reglerne, underrettes den dataansvarlige straks.

§ 3 Fortrolighed

Kun personer, der har brug for det for at levere ydelsen, får adgang til personoplysningerne, og de er underlagt tavshedspligt.

§ 4 Behandlingssikkerhed

Databehandleren træffer passende tekniske og organisatoriske foranstaltninger efter GDPR art. 32, herunder kryptering under overførsel og opbevaring, adgangsstyring, logning af adgang, sikkerhedskopier og en plan for sikkerhedshændelser.

§ 5 Underdatabehandlere

Den dataansvarlige giver generel godkendelse til de underdatabehandlere, der er anført nedenfor. Databehandleren varsler ændringer mindst 14 dage før, og den dataansvarlige kan gøre indsigelse. Underdatabehandlere pålægges de samme forpligtelser som i denne aftale.

§ 6 Overførsel til tredjelande

Overførsel til lande uden for EU/EØS sker kun med et gyldigt overførselsgrundlag efter GDPR kapitel V.

§ 7 Bistand til den dataansvarlige

Databehandleren bistår den dataansvarlige med at opfylde de registreredes rettigheder og med sikkerhed, konsekvensanalyser og forhåndshøringer, i det omfang det er relevant for ydelsen.

§ 8 Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 24 timer efter at være blevet bekendt med et brud, med de oplysninger den dataansvarlige skal bruge til at anmelde det.

§ 9 Analyse for at forbedre databehandlerens produkter

Databehandleren må bruge oplysningerne pseudonymiseret til at analysere og forbedre sine produkter: brug af produkterne, strukturen i henvendelser og anonyme opgørelser for grupper på mindst 10 personer. Den pseudonymiserede analysekopi gemmes højst 6 måneder. Til dette formål er databehandleren selvstændigt dataansvarlig.

Helbredsoplysninger og andre særlige kategorier indgår kun, hvis den registrerede udtrykkeligt har givet samtykke.

Den dataansvarlige kan til enhver tid modsætte sig denne analyse skriftligt. Indsigelsen gælder fra modtagelsen. Undtagelser herfra aftales kun i en særskilt kontrakt.

Den dataansvarlige oplyser sine egne brugere om analysen i sin privatlivspolitik. Afsnittet nedenfor kan bruges uændret:

«Vores leverandør, {provider.name}, analyserer pseudonymiserede oplysninger om brugen af løsningen for at forbedre sine produkter. Navne og andre direkte kendetegn fjernes eller erstattes først, helbredsoplysninger indgår kun med dit udtrykkelige samtykke, og analysekopien gemmes højst 6 måneder. Du kan gøre indsigelse ved at kontakte os.»

§ 10 Sletning og tilbagelevering

Ved aftalens ophør sletter eller tilbageleverer databehandleren efter den dataansvarliges valg alle personoplysninger, medmindre lovgivningen kræver opbevaring. Sikkerhedskopier slettes inden for 90 dage.

§ 11 Revision og inspektion

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af aftalen, og giver mulighed for revision efter rimeligt varsel.

§ 12 Ikrafttrædelse, varighed og lovvalg

Aftalen gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige. Aftalen er underlagt dansk ret, og tvister afgøres ved de danske domstole. Den danske udgave gælder ved forskel til en oversættelse.