Databehandleraftale

1. Parter og rangorden

Databehandleren er Redefine v/Morten Bang Justesen, CVR 30270444, Danmark, der leverer Sonardeck. Den dataansvarlige er den kunde, som er identificeret i den aftale, ordre eller det arbejdsrum, der henviser til denne databehandleraftale.

Aftalen supplerer parternes hovedaftale om Sonardeck. Ved modstrid har denne aftale forrang for behandling af personoplysninger. Ændringer skal være skriftlige, medmindre de følger af den aftalte ændringsmekanisme.

2. Behandlingens genstand, varighed og formål

Sonardeck behandler oplysninger for at hoste, organisere, vise, søge, eksportere, sikre og på anden måde levere CRM-, rekrutterings-, tidsregistrerings- og relaterede funktioner efter kundens valg og instrukser.

Behandlingen varer, mens hovedaftalen er i kraft, og i den efterfølgende periode hvor data slettes eller tilbageleveres. Behandlingens nærmere karakter, kategorier og registrerede fremgår af bilag A nedenfor.

3. Dokumenterede instrukser

Sonardeck behandler kun personoplysninger efter dokumenterede instrukser fra kunden, herunder kundens konfiguration og brug af tjenesten, medmindre EU-ret eller dansk ret kræver andet. I så fald underretter Sonardeck kunden før behandlingen, medmindre loven forbyder det.

Hvis Sonardeck vurderer, at en instruks er i strid med databeskyttelsesreglerne, underrettes kunden uden unødig forsinkelse, og udførelsen kan sættes i bero, indtil instruksen er afklaret. Kunden er ansvarlig for instruksernes lovlighed, information til registrerede og et gyldigt behandlingsgrundlag.

4. Fortrolighed

Sonardeck sikrer, at personer med adgang til oplysningerne er autoriserede, instruerede og underlagt fortrolighed ved aftale eller lov. Adgang begrænses til det, der er nødvendigt for den enkeltes opgaver.

5. Behandlingssikkerhed

Sonardeck gennemfører og opretholder passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32 under hensyn til behandlingens karakter, omkostninger, teknisk niveau og risici. De aktuelle hovedforanstaltninger fremgår af bilag B.

Kunden skal anvende tjenestens adgangsstyring forsvarligt, holde brugerkonti ajour, beskytte loginoplysninger og undlade at indlæse oplysninger, som tjenesten ikke er aftalt eller egnet til at behandle.

6. Underdatabehandlere

Kunden giver generel skriftlig godkendelse til brug af underdatabehandlere. Sonardeck sikrer, at de pålægges databeskyttelsesforpligtelser, der i det væsentlige svarer til denne aftale, og hæfter for deres opfyldelse efter GDPR.

Sonardeck varsler væsentlige tilføjelser eller udskiftninger mindst 30 dage før ændringen, normalt via e-mail eller tjenesten. Kunden kan gøre saglig indsigelse af databeskyttelsesgrunde inden ændringen. Parterne vil søge en rimelig løsning; kan det ikke lykkes, kan kunden opsige den berørte tjeneste efter hovedaftalens regler. Den aktuelle liste fremgår af bilag C.

7. Overførsel til tredjelande

Sonardeck overfører kun personoplysninger uden for EU/EØS efter kundens dokumenterede instruks og med et gyldigt grundlag efter GDPR kapitel V. Hvor det er relevant anvendes EU-Kommissionens standardkontraktbestemmelser, vurdering af overførslen og supplerende sikkerhedsforanstaltninger.

Kunden bemyndiger Sonardeck til på kundens vegne at indgå de standardkontraktbestemmelser, der er nødvendige med en godkendt underdatabehandler.

8. Bistand til kunden

Under hensyn til behandlingens karakter bistår Sonardeck kunden med passende tekniske og organisatoriske midler ved anmodninger om registreredes rettigheder. Sonardeck videresender anmodninger, der modtages direkte, og besvarer dem ikke på kundens vegne uden instruks.

Sonardeck bistår desuden rimeligt med sikkerhed, brudsanmeldelser, konsekvensanalyser og forudgående høring efter GDPR artikel 32-36. Bistand ud over tjenestens normale funktioner kan faktureres efter aftale, medmindre behovet skyldes Sonardecks misligholdelse.

9. Brud på persondatasikkerheden

Sonardeck underretter kunden uden unødig forsinkelse efter at være blevet opmærksom på et brud, der berører oplysninger behandlet for kunden. Underretningen indeholder de tilgængelige oplysninger om bruddets karakter, berørte kategorier og omtrentlige antal, sandsynlige konsekvenser, kontaktpunkt og trufne eller planlagte foranstaltninger. Oplysninger kan gives i faser.

Kunden er ansvarlig for at vurdere og foretage eventuel anmeldelse til tilsynsmyndigheden og underretning af registrerede. Sonardeck dokumenterer brud og samarbejder om kundens håndtering.

10. Tilbagelevering og sletning

Kunden kan anvende tjenestens eksportfunktioner, mens aftalen er aktiv. Ved ophør og efter kundens valg sletter eller tilbageleverer Sonardeck kundens personoplysninger og sletter eksisterende kopier, medmindre lovgivningen kræver fortsat opbevaring.

Oplysninger i sikkerhedskopier isoleres fra almindelig drift og overskrives efter backup-planen. Sonardeck kan bevare et begrænset auditspor, hvor det er nødvendigt for at dokumentere sikkerhed, sletning eller retskrav, forudsat at oplysningerne fortsat beskyttes og ikke anvendes til andre formål.

11. Dokumentation og revision

Sonardeck stiller oplysninger til rådighed, som er nødvendige for at påvise overholdelse af artikel 28, og bidrager til rimelige revisioner. Kunden skal først bruge tilgængelig dokumentation og spørgeskemaer.

En yderligere revision skal varsles mindst 30 dage, gennemføres i normal arbejdstid, begrænses til relevante systemer og udføres uden at kompromittere andre kunders data eller sikkerhed. Kunden afholder rimelige omkostninger, medmindre revisionen påviser væsentlig misligholdelse. Myndighedskrav og alvorlige hændelser kan begrunde kortere varsel.

12. Ansvar og ophør

Parternes ansvar følger GDPR og hovedaftalens ansvarsbegrænsninger i det omfang, disse lovligt kan anvendes. Sonardeck underretter kunden, hvis Sonardeck ikke længere kan opfylde aftalen, og træffer rimelige skridt for at afhjælpe forholdet.

Aftalen gælder, så længe Sonardeck behandler personoplysninger på kundens vegne. Bestemmelser om fortrolighed, sletning, dokumentation og ansvar består, hvor deres karakter kræver det. Aftalen er underlagt dansk ret og det værneting, der følger af hovedaftalen.

13. Bilag: behandling, sikkerhed og leverandører

Tabellerne er en del af aftalen. Funktioner, som kunden ikke aktiverer eller bruger, indgår ikke i den faktiske behandling. Leverandørlisten beskriver den planlagte produktionsopsætning og opdateres ved ændringer efter punkt 6.