Databehandleraftale
Når vi arbejder på jeres WordPress-site, behandler vi persondata på jeres vegne. Denne aftale beskriver, hvordan vi gør det. Skriv til kim@dicm.dk, så sender vi den til underskrift.
1. Parter
Dataansvarlig: kunden, som angivet ved underskrift nedenfor ("den dataansvarlige").
Databehandler: DICM v/ Kim Vinberg, Nordre Borelyngvej 3, 3770 Allinge, kim@dicm.dk ("databehandleren").
2. Baggrund og formål
Aftalen gælder, når databehandleren udfører opgaver for den dataansvarlige, fx drift, vedligeholdelse, backup, overvågning, fejlretning og udvikling af den dataansvarliges WordPress-site. Aftalen opfylder kravene i databeskyttelsesforordningen (GDPR) artikel 28 og gælder sammen med parternes samarbejdsaftale.
Behandlingens formål, art, typer af personoplysninger og kategorier af registrerede står i bilag A.
3. Den dataansvarliges rettigheder og forpligtelser
Den dataansvarlige er ansvarlig for, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesreglerne, og for at der er hjemmel til behandlingen.
4. Instruks
Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige. Instruksen fremgår af denne aftale og af de opgaver, den dataansvarlige bestiller. Mener databehandleren, at en instruks er i strid med databeskyttelsesreglerne, giver databehandleren straks besked.
5. Fortrolighed
Kun personer, der er autoriseret af databehandleren og har brug for det i forbindelse med opgaven, får adgang til personoplysningerne. Disse personer har tavshedspligt.
6. Sikkerhed
Databehandleren træffer passende tekniske og organisatoriske foranstaltninger for at beskytte personoplysningerne, jf. GDPR artikel 32. Foranstaltningerne står i bilag C.
7. Underdatabehandlere
Den dataansvarlige giver med denne aftale generel godkendelse til, at databehandleren bruger de underdatabehandlere, der står i bilag B. Databehandleren giver den dataansvarlige skriftlig besked mindst 30 dage før en ny underdatabehandler tages i brug, så den dataansvarlige kan gøre indsigelse.
Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og er ansvarlig over for den dataansvarlige for deres overholdelse.
8. Overførsel til tredjelande
Personoplysninger behandles inden for EU/EØS. Mail håndteres af Proton AG i Schweiz, som EU-Kommissionen har anerkendt som et land med tilstrækkeligt beskyttelsesniveau. Databehandleren overfører ikke personoplysninger til andre tredjelande uden den dataansvarliges skriftlige instruks.
9. Bistand til den dataansvarlige
Databehandleren hjælper i rimeligt omfang den dataansvarlige med at besvare anmodninger fra registrerede, fx om indsigt eller sletning, og med at overholde forpligtelserne i GDPR artikel 32–36. Bistand ud over det almindelige afregnes efter medgået tid.
10. Brud på persondatasikkerheden
Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden. Underretningen indeholder de oplysninger, den dataansvarlige skal bruge til at anmelde bruddet til Datatilsynet inden for 72 timer.
11. Sletning og tilbagelevering
Når samarbejdet ophører, sletter databehandleren de personoplysninger, der behandles på den dataansvarliges vegne, herunder adgangsoplysninger og backupkopier. Det sker senest 30 dage efter ophør, medmindre den dataansvarlige inden da beder om at få en kopi udleveret, eller lovgivningen kræver opbevaring.
12. Revision og tilsyn
Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise, at aftalen overholdes, og giver mulighed for revision, herunder inspektioner foretaget af den dataansvarlige eller en revisor, som denne har bemyndiget. Omkostninger til revision afholdes af den dataansvarlige.
13. Ikrafttræden og ophør
Aftalen træder i kraft ved underskrift og gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige. Aftalen kan ændres, hvis begge parter er enige, eller hvis lovgivningen kræver det.
Bilag A: Behandlingen
- Formål: drift, vedligeholdelse, backup, overvågning, fejlretning og udvikling af den dataansvarliges WordPress-site.
- Behandlingens art: opbevaring af backupkopier, adgang til sitet og databasen i forbindelse med opgaver, opdatering og overvågning.
- Typer af personoplysninger: almindelige personoplysninger, som findes på sitet, fx navn, kontaktoplysninger, brugerkonti, ordrer og henvendelser. Behandler sitet følsomme oplysninger, skal det aftales særskilt.
- Kategorier af registrerede: den dataansvarliges kunder, besøgende, brugere og medarbejdere.
- Varighed: så længe samarbejdet løber.
Bilag B: Underdatabehandlere
| Underdatabehandler | Opgave | Placering |
|---|---|---|
| Websitecare.dk | Hosting | Tyskland |
| Hetzner Online GmbH | Lager til backup | Tyskland og Finland |
| Proton AG | Schweiz |
Bilag C: Sikkerhedsforanstaltninger
- Adgangsoplysninger til kundernes sites og backuplager opbevares krypteret.
- Hvert site har sit eget login til backuplageret.
- Backup gemmes adskilt fra den server, sitet kører på.
- Al trafik er krypteret (HTTPS og krypterede forbindelser).
- Adgang gives kun til de personer og systemer, der har brug for den.
- Sites overvåges for nedetid, kendte sårbarheder og ændrede filer.
- Personoplysninger deles ikke med AI-tjenester.
Underskrifter
| Dataansvarlig | Databehandler |
|---|---|
| Virksomhed: Navn: Dato og underskrift: | DICM v/ Kim Vinberg Navn: Kim Vinberg Dato og underskrift: |