Databehandleraftale

Disse kontraktklausuler fastlægger den dataansvarliges og databehandlerens rettigheder og forpligtelser ved behandling af personoplysninger på den dataansvarliges vegne.

Klausulerne er udformet for at sikre parternes overholdelse af artikel 28(3) i forordning 2016/679 (GDPR) af 27. april 2016. I forbindelse med levering af eventmanagement, livestreaming, kommunikation og relaterede tjenester behandler databehandleren personoplysninger på den dataansvarliges vegne. Klausulerne har forrang frem for lignende bestemmelser i andre aftaler mellem parterne.

Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med GDPR (jf. GDPR art. 24), gældende EU- eller medlemsstatslovgivning og klausulerne.

Den dataansvarlige har ret og pligt til at træffe beslutninger om formålene med og hjælpemidlerne til behandlingen, herunder at sikre at den instruerede behandling har et retsgrundlag.

Databehandleren må kun behandle personoplysninger efter dokumenterede instrukser fra den dataansvarlige, medmindre EU- eller medlemsstatsret kræver det. Efterfølgende instrukser kan gives løbende, men skal altid dokumenteres skriftligt.

Databehandleren skal straks underrette den dataansvarlige, hvis instrukser efter databehandlerens vurdering er i strid med GDPR eller gældende databeskyttelsesregler.

Databehandleren må kun give adgang til de behandlede personoplysninger til personer under databehandlerens myndighed, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt fortrolighedspligt, og kun på et need-to-know-grundlag.

Listen over personer med adgang skal løbende revideres, og adgang trækkes tilbage, hvis den ikke længere er nødvendig.

I overensstemmelse med GDPR art. 32 skal databehandleren implementere passende tekniske og organisatoriske foranstaltninger. Foranstaltningerne kan bl.a. omfatte:

• Pseudonymisering og kryptering af personoplysninger
• Sikring af løbende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer
• Evne til rettidigt at genoprette adgang til personoplysninger ved hændelser
• Regelmæssig afprøvning og evaluering af de tekniske og organisatoriske foranstaltninger

Personhenførbare oplysninger anonymiseres hurtigst muligt, efter de ikke længere er nødvendige for at levere den aftalte funktionalitet.

Databehandleren må ikke anvende en underdatabehandler uden forudgående generel skriftlig godkendelse fra den dataansvarlige. Planlagte ændringer meddeles skriftligt mindst 45 dage i forvejen.

Underdatabehandleren pålægges de samme databeskyttelsesforpligtelser som angivet i klausulerne. Databehandleren forbliver fuldt ansvarlig over for den dataansvarlige, hvis underdatabehandleren ikke opfylder sine forpligtelser.

Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun ske på baggrund af dokumenterede instrukser fra den dataansvarlige og altid i overensstemmelse med GDPR kapitel V.

Uden dokumenterede instrukser er databehandleren ikke berettiget til at overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland, overdrage behandlingen til en underdatabehandler i et tredjeland eller lade personoplysningerne behandle i et tredjeland.

Databehandleren bistår den dataansvarlige med at opfylde forpligtelserne i GDPR kapitel III om de registreredes rettigheder, herunder:

• Retten til indsigt, berigtigelse og sletning
• Retten til begrænsning af behandling og dataportabilitet
• Retten til indsigelse og retten til ikke at være genstand for automatiske afgørelser
• Underretning til Datatilsynet inden for 72 timer ved brud på persondatasikkerheden
• Gennemførelse af konsekvensanalyser (DPIA) og forudgående høring af tilsynsmyndigheden

I tilfælde af brud på persondatasikkerheden skal databehandleren uden unødigt ophold underrette den dataansvarlige — om muligt inden for 48 timer — så den dataansvarlige kan overholde sin anmeldelsespligt over for Datatilsynet jf. GDPR art. 33.

Underretningen skal indeholde oplysninger om bruddets art, de berørte kategorier og antal registrerede, de sandsynlige konsekvenser samt de iværksatte eller foreslåede foranstaltninger.

Ved ophør af personoplysningsbehandlingstjenesterne er databehandleren forpligtet til at slette alle personoplysninger behandlet på den dataansvarliges vegne og bekræfte dette skriftligt, medmindre EU- eller medlemsstatsret kræver opbevaring.

Databehandleren stiller alle nødvendige oplysninger til rådighed for den dataansvarlige for at påvise overholdelse af GDPR art. 28, og bidrager til revisioner foretaget af den dataansvarlige eller en udpeget revisor.

Klausulerne er bindende for parterne og gælder i hele perioden for levering af personoplysningsbehandlingstjenesterne. Databehandleren er bundet af aftalen fra det tidspunkt, der indgås en kommerciel aftale.

Databehandleren forbeholder sig retten til løbende at foretage ændringer i overensstemmelse med gældende lovgivning. Den dataansvarlige underrettes og har 45 kalenderdage til at gøre indsigelse. Det er altid den seneste version af aftalen, der gælder — se captivateint.com/compliance.