Databehandleraftale

Del C: Databehandleraftale

Denne databehandleraftale gælder, når vi behandler personoplysninger på foreningens vegne. Den er indgået efter databeskyttelsesforordningens artikel 28 og er en del af aftalen.

1. Roller

Foreningen er dataansvarlig. Vi er databehandler.

Aftalen dækker kun de personoplysninger, vi behandler for foreningen. Den dækker ikke de oplysninger, vi behandler som selvstændigt dataansvarlige, for eksempel oplysninger om foreningens konto, fakturering, sikkerhed og de personer hos foreningen, vi er i kontakt med. Dem beskriver vores erklæring om databrug.

To ting er værd at nævne udtrykkeligt, fordi de handler om personer i foreningen og alligevel ligger uden for denne aftale: den registrering af, hvilke skærme i administrationen der bruges, og de interne noter om samarbejdet, som begge er beskrevet i Del B pkt. 8. Dem er vi selvstændigt dataansvarlige for, ikke databehandlere, fordi de handler om vores kundeforhold til foreningen og ikke om foreningens medlemmer. Vi behandler dem på grundlag af vores legitime interesse, og foreningen instruerer os ikke i dem. Der registreres intet om medlemmerne til disse formål.

Bilag 1 beskriver formålet, varigheden, karakteren, kategorierne af personoplysninger og kategorierne af registrerede.

2. Foreningens instruks

Vi behandler kun personoplysninger efter foreningens dokumenterede instruks. Instruksen er denne aftale, den måde foreningen har sat platformen op på, foreningens brug af den, og det foreningen ellers beder os om skriftligt.

Foreningen instruerer os i at behandle oplysningerne i det omfang, det er nødvendigt for at drive, hoste, sikre, overvåge, supportere og fejlrette platformen, for at køre de AI-funktioner foreningen har slået til på vores eget udstyr, for at bruge de underdatabehandlere der står i Bilag 3, og for at sende data til de udbydere af SMS, e-mail og betaling, som foreningen har valgt.

Mener vi, at en instruks strider mod databeskyttelsesreglerne, siger vi til. Vi kan afvise en instruks, der ville udsætte os eller andre kunder for en juridisk eller sikkerhedsmæssig risiko.

3. Foreningens forpligtelser

Foreningen er ansvarlig for, at behandlingen er lovlig: at der er et grundlag, at de registrerede er oplyst, at der ikke registreres mere end nødvendigt, og at instrukserne til os er lovlige.

Foreningen må ikke lægge følsomme personoplysninger, oplysninger om strafbare forhold, helbredsoplysninger eller biometriske oplysninger ind i platformen uden en særskilt skriftlig aftale med os. Børneattester er undtaget: den funktion er bygget til det, står bag sin egen funktionsindstilling og sit eget rettighedsområde, og bruges den, er det aftalt.

Foreningen vurderer selv, om dens brug kræver samtykke, en konsekvensanalyse eller en forudgående høring.

4. Fortrolighed og personale

De hos os, der kan tilgå foreningens personoplysninger, er underlagt tavshedspligt.

Adgang gives efter behov, ikke som standard, og kun til dem, der skal drive, sikre eller supportere platformen.

5. Sikkerhed

Vi gennemfører passende tekniske og organisatoriske foranstaltninger, som beskrevet i Bilag 2. Vi kan opdatere dem, så længe beskyttelsesniveauet samlet set ikke sænkes.

Sikkerheden afhænger også af foreningen: af hvem den giver adgang, hvilke rettigheder de får, hvad der lægges i fritekstfelter, og hvordan foreningens eget udstyr og e-mail er sikret.

6. Underdatabehandlere

Foreningen giver os generel skriftlig bemyndigelse til at bruge underdatabehandlere til at drive, sikre og supportere platformen. De aktuelle står i Bilag 3.

Vil vi tilføje eller udskifte en, varsler vi det 15 dage før pr. e-mail til foreningens kontaktadresse og i platformen. Foreningen kan gøre indsigelse på et sagligt databeskyttelsesmæssigt grundlag inden for 14 dage. Kommer der ingen indsigelse, er underdatabehandleren bemyndiget.

Kan en indsigelse ikke løses, slår vi den berørte funktion fra, tilbyder et alternativ, eller foreningen kan opsige den berørte del af abonnementet ved udgangen af den betalte periode.

Er skiftet nødvendigt af hensyn til sikkerheden, eller fordi en leverandør lukker fra den ene dag til den anden, kan vi handle først og varsle straks efter.

Vi pålægger underdatabehandlere de samme forpligtelser, som vi har efter denne aftale, og vi er ansvarlige for deres arbejde som for vores eget.

7. Overførsel til tredjelande

Behandlingen sker i EU og EØS. Vi overfører ikke personoplysninger til lande uden for EØS.

Skulle det blive nødvendigt, sker det først, når underdatabehandleren står i Bilag 3, foreningen er varslet efter pkt. 6, og der foreligger et gyldigt overførselsgrundlag, for eksempel en tilstrækkelighedsafgørelse eller EU's standardkontraktbestemmelser med de supplerende foranstaltninger, der måtte være nødvendige.

8. AI og personoplysninger

Kører en AI-funktion på foreningens data, behandler vi prompt, det hentede indhold, embeddings, logs og svar for at udføre den funktion, foreningen har bedt om. Det hele sker på vores eget udstyr.

Vi bruger ikke foreningens indhold til at træne eller finjustere modeller. Vi bruger tekniske data, forbrugstal og feedback til at drive og forbedre platformen.

Foreningen skal holde mængden af personoplysninger i prompts nede og må ikke lægge følsomme oplysninger ind, jf. pkt. 3.

Bruger vi på et tidspunkt en ekstern AI-leverandør, bliver den en underdatabehandler og følger pkt. 6 og 7. Indtil da gør vi det ikke.

9. Bistand til foreningen

Vi hjælper foreningen med anmodninger fra registrerede, med sikkerheden, med håndtering af brud og med konsekvensanalyser, i det omfang det er relevant og vi har oplysningerne.

Meget af det kan foreningen selv: platformen har indsigt, rettelse og sletning som funktioner, og de er der, for at foreningen ikke skal spørge os hver gang.

Bistand ud over det, platformen og dokumentationen dækker, kan vi fakturere efter medgået tid, medmindre behovet skyldes vores egen fejl.

10. Brud på persondatasikkerheden

Opdager vi et brud, der rammer foreningens personoplysninger, siger vi til uden unødig forsinkelse og giver de oplysninger, vi har, så foreningen kan opfylde sin egen underretningspligt.

Vi giver oplysningerne i takt med, at undersøgelsen skrider frem, og vi kan skride til inddæmning uden at spørge først, hvis det er nødvendigt.

En underretning fra os er ikke en indrømmelse af ansvar. Foreningen vurderer selv, om Datatilsynet eller de registrerede skal underrettes.

11. Sletning og tilbagelevering

Når aftalen ophører, sletter eller tilbageleverer vi foreningens personoplysninger efter foreningens valg, medmindre lovgivningen kræver, at vi gemmer dem.

Foreningen kan hente sine data ud i 30 dage efter ophør. Derefter sletter eller anonymiserer vi.

Backups slettes ikke enkeltvis. De overskrives efter den rullende plan, og indtil da er de beskyttede og bliver ikke brugt til andet end gendannelse.

Bogføringsmateriale gemmer vi i fem år plus indeværende år efter bogføringsloven.

12. Revision

Vi giver foreningen de oplysninger, den skal bruge for at se, at vi overholder aftalen: beskrivelse af sikkerheden, listen over underdatabehandlere og svar på rimelige spørgeskemaer.

Foreningen kan lade en revision gennemføre én gang om året, og derudover efter et konstateret brud, med 30 dages varsel og i arbejdstiden. Revisionen må ikke forstyrre driften eller give adgang til andre foreningers data.

Foreningen betaler for revisionen. Den kan gennemføres som en gennemgang af dokumentation eller på afstand, hvor det er tilstrækkeligt.

13. Fortegnelser

Vi fører den fortegnelse over behandlingsaktiviteter, en databehandler skal føre, og samarbejder med Datatilsynet, når vi skal.

Foreningen fører sin egen fortegnelse og sine egne konsekvensanalyser.

14. Ansvar og forrang

Ansvar efter denne aftale følger ansvarsbegrænsningen i Del B pkt. 12, i det omfang databeskyttelsesreglerne tillader det.

Begrænsningen ændrer ikke på det, databeskyttelsesforordningen selv bestemmer. Den indskrænker ikke en parts ansvar over for en registreret efter artikel 82, og den gælder ikke for administrative bøder efter artikel 83. Har den ene part betalt hele erstatningen, kan den kræve den andens del af ansvaret tilbage, jf. artikel 82, stk. 5.

Er der modstrid mellem denne databehandleraftale og Del A eller B om behandling af personoplysninger, går denne aftale forud. Gælder EU's standardkontraktbestemmelser, går de forud for denne aftale, hvor de strider mod den.

Bilag 1: Behandlingsoplysninger

Bilag 2: Tekniske og organisatoriske foranstaltninger

Dette er de foranstaltninger, pkt. 5 henviser til, beskrevet som de er indført i dag. Ændrer noget sig væsentligt, opdateres bilaget.

Bilag 3: Underdatabehandlere

Dette er listen, pkt. 6 henviser til, udfyldt for opsætningen som den drives i dag. Nogle rækker er vores eget udstyr, og der er hverken en tredjepart eller en overførsel. Resten er navngivne virksomheder. Tilføjes eller udskiftes en, opdateres bilaget først, og varslet følger.

Videresendelse af feedback fra platformen til et eksternt sagssystem er bygget, men ikke slået til, og er derfor bevidst udeladt. Slås den til, bliver leverandøren en underdatabehandler, og så opdateres bilaget, og varslet gives, før den tages i brug.