Databehandleraftale

i henhold til artikel 28 i den generelle forordning om databeskyttelse (GDPR)

mellem dig, som bruger af iubendas tjeneste

• den Dataansvarlige -

og

iubenda s.r.l Via San Raffaele, 1 20121 Milano Italien

juridisk repræsentant, Andrea Giannangelo

• Databehandleren -

---

1. Genstand, hovedaftale og løbetid

Genstanden for Databehandleraftalen følger af den hovedaftale, som parterne har underskrevet om levering af iubendas tjeneste ("Kontrakten"). Databehandleren skal udføre de behandlingsaktiviteter, der er beskrevet deri,

• for så vidt angår følgende kategorier af personoplysninger:

  • vigtige personoplysninger, kontakt- og kommunikationsoplysninger
  • betalingsrelaterede data til faktureringsformål
  • data, som brugeren har afgivet ved brug af generatoren, herunder virksomhedsoplysninger, personoplysninger om nøglepersoner og medarbejdere
  • data, der leveres til brug for Interne Databeskyttelsestjenester
  • data vedrørende brug af iubenda-webstedet, f.eks. data vedrørende support, analyser osv.
  • data vedrørende kundens brugere, herunder oplysninger om deres interaktion med iubenda-værktøjer på kundens websted og oplysninger om sporing af samtykke, der indsamles via iubendas Samtykkedatabase

• der henviser til følgende kategorier af personoplysninger:

  • kunder
  • kunders nøglepersoner, medarbejdere
  • tredjeparter, der handler på kundens vegne (f.eks. webbureauer)
  • kundernes kunder

Denne Databehandleraftales løbetid er den samme som hovedaftalens løbetid.

2. Behandling efter instruks

Behandlingsaktiviteter må kun finde sted efter dokumenteret instruks fra den Dataansvarlige. Sådanne instrukser er indeholdt i Kontrakten og i denne Aftale. Databehandlingsaktiviteter i henhold til denne Databehandleraftale skal udføres inden for Den Europæiske Union (EU) eller Det Europæiske Økonomiske Samarbejdsområde (EØS). Hvis der sker overførsel af oplysninger til lande uden for EU eller EØS, skal dette ske i overensstemmelse med betingelserne i artikel 44 ff i den generelle databeskyttelsesforordning.

3. Tekniske og organisatoriske foranstaltninger

Databehandleren har vedtaget tekniske og organisatoriske foranstaltninger for at sikre, at behandlingsaktiviteter i henhold til denne Databehandleraftale udføres i overensstemmelse med gældende databeskyttelsesbestemmelser. Databehandleren har navnlig vedtaget sikkerhedsforanstaltninger for at sikre beskyttelsesstandarder, der er tilstrækkelige til at imødegå risikoen for systemernes fortrolighed, integritet, tilgængelighed og modstandsdygtighed, idet der tages hensyn til sandsynligheden for brud på datasikkerheden og alvoren af den risiko for fysiske personers rettigheder og frihedsrettigheder, der kan være en følge heraf. Tekniske og organisatoriske foranstaltninger skal altid overvåges og opdateres i overensstemmelse med det tekniske fremskridt og udviklingen for at opretholde eller øge databeskyttelsesstandarderne.

4. Berigtigelse, begrænsning og sletning af oplysninger

Databehandleren må ikke berigtige eller slette oplysninger eller begrænse behandlingen af oplysninger, der er omfattet af denne aftale, medmindre den Dataansvarlige giver instruks herom. Hvis en registreret person henvender sig til Databehandleren vedrørende en databehandlingsaktivitet i henhold til denne aftale, skal Databehandleren videresende en sådan henvendelse direkte til den Dataansvarlige.

5. Kvalitetssikring og Databehandlerens øvrige pligter

Databehandleren skal overholde bestemmelserne i denne Databehandleraftale og alle gældende lovmæssige krav, navnlig dem, der følger af artikel 28-33 i den generelle databeskyttelsesforordning. Navnlig garanterer Databehandleren, at

• de personer, der er bemyndiget til at behandle personoplysningerne, har underlagt sig bestemmelser vedrørende fortrolighed eller er underlagt en passende lovbestemt tavshedspligt
• sikkerhedsforanstaltninger i henhold til artikel 32 i den generelle databeskyttelsesforordning er blevet vedtaget
• under hensyntagen til behandlingens karakter vil Databehandleren bistå den Dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, i det omfang det er muligt, for at opfylde den Dataansvarliges forpligtelse til at reagere på anmodninger om at udøve de registreredes rettigheder
• Databehandleren vil hjælpe den Dataansvarlige med at sikre overholdelse af forpligtelserne i henhold til artikel 32-36 i den generelle databeskyttelsesforordning under hensyntagen til behandlingens karakter og de oplysninger, som Databehandleren har adgang til
• Databehandleren vil stille alle de oplysninger til rådighed for den Dataansvarlige, der er nødvendige for at dokumentere overholdelse af forpligtelserne i henhold til artikel 28 i den generelle databeskyttelsesforordning, og tillade og bidrage til revisioner, herunder inspektioner, som fastsat i artikel 7 i denne aftale.

6. Underleverandørvirksomhed

Databehandleren har lagt en del af sine tjenester ud i underentreprise til tredjeparter, som – i det omfang det kræves i henhold til lovgivningen – er underlagt de samme forpligtelser og garantier, der er fastsat i denne Databehandleraftale og i gældende databeskyttelseslovgivning. Den Dataansvarlige kan anmode om en liste over de aktuelle underdatabehandlere, der anvendes af Databehandleren. Enhver ændring på denne liste skal meddeles den Dataansvarlige uden unødig forsinkelse, så den Dataansvarlige har mulighed for at gøre indsigelse. I tilfælde af indsigelse har Databehandleren ret til at opsige Kontrakten med den Dataansvarlige uden varsel.

7. Revision

Hvis der er en tvingende grund til det, kan den Dataansvarlige anmode om, at en uafhængig og anerkendt tredjepart foretager en inspektion eller revision af de databehandlingsaktiviteter, der udføres af Databehandleren i henhold til denne aftale. Inspektioner og revisioner skal aftales på forhånd med Databehandleren og foretages uden at forstyrre Databehandlerens sædvanlige forretningsaktiviteter. Databehandleren kan pålægge den Dataansvarlige at betale omkostningerne til sådanne revisioner eller inspektioner. Overholdelse af forpligtelserne i henhold til artikel 32-36 i den generelle databeskyttelsesforordning kan også dokumenteres i form af dokumentation for

• overholdelse af de godkendte Adfærdskodekser i henhold til artikel 40 i den generelle databeskyttelsesforordning
• en certificering i henhold til en godkendt certificeringsprocedure i henhold til artikel 42 i den generelle databeskyttelsesforordning
• Databehandlerens aktuelle revisorerklæringer, rapporter eller uddrag af rapporter fra uafhængige organer
• en passende certificering af it-sikkerhed eller databeskyttelsesrevision.

8. Databrud

Databehandleren skal bistå den Dataansvarlige med at opfylde forpligtelserne vedrørende personoplysningers sikkerhed, indberetning af brud på datasikkerheden, konsekvensanalyser vedrørende databeskyttelse og forudgående høringer, jf. artikel 32-36 i databeskyttelsesforordningen, herunder

• at sikre passende beskyttelsesstandarder ved hjælp af tekniske og organisatoriske foranstaltninger under hensyntagen til behandlingens type, omstændigheder og formål, sandsynligheden for brud på datasikkerheden og alvoren af den risiko for fysiske personer, der kan være en følge heraf
• at sikre effektiv opdagelse af overtrædelser
• at indberette brud på datasikkerheden uden unødig forsinkelse til den Dataansvarlige
• at bistå den Dataansvarlige med at besvare anmodninger fra de registrerede eller at udøve deres rettigheder.

9. Nøje overholdelse

Hvis den Dataansvarlige måtte kræve ændringer i behandlingen af personoplysninger i henhold til de dokumenterede retningslinjer, der er anført i pkt. 2, skal Databehandleren straks underrette den Dataansvarlige, hvis denne mener, at sådanne ændringer medfører overtrædelse af databeskyttelsesbestemmelserne. Databehandleren kan afholde sig fra at udføre enhver aktivitet, der kan føre til en sådan overtrædelse.

10. Ophør, sletning og returnering af personoplysninger

Når leveringen af tjenesterne er afsluttet, skal Databehandleren, efter den Dataansvarliges valg, slette eller returnere alle personoplysninger, der er indsamlet og behandlet i henhold til denne aftale, til den Dataansvarlige, medmindre en gældende lovbestemmelse, som Databehandleren er underlagt, kræver opbevaring af personoplysningerne. Under alle omstændigheder kan Databehandleren opbevare alle oplysninger, der er nødvendige for at påvise overensstemmende behandlingsaktiviteter efter Kontraktens ophør, i overensstemmelse med de lovbestemte opbevaringsperioder.