Databehandleraftale

Danskonlinemarketing ApS, CVR 45957969, Gunderupvej 16, 9260 Gistrup, Danmark. Kontakt: kontakt@dinvirksomhedsportal.dk.

Kunden er dataansvarlig, og leverandøren er databehandler for kundestyrede personoplysninger i medarbejderværktøjer, Google-værktøjer og øvrige aktiverede funktioner. Aftalen accepteres af en bemyndiget person for hver organisation og gælder under tjenestens levering og den efterfølgende aftalte sletning eller udlevering. Leverandørens egen konto-, betalings- og supportadministration beskrives i privatlivspolitikken.

Instruksen er at modtage, organisere, opbevare, vise, bearbejde, eksportere og slette data for at levere, sikre, supportere og vedligeholde de bestilte funktioner. Behandling sker alene efter denne aftale, kundens dokumenterede brug og lovlige skriftlige instrukser, også ved overførsler til tredjelande, medmindre EU-ret eller national ret kræver andet. Kunden orienteres om sådanne lovkrav inden behandlingen, medmindre loven forbyder det. Vi underretter kunden, hvis en instruks efter vores vurdering strider mod databeskyttelsesreglerne.

Registrerede kan være medarbejdere, brugere, kunder, kontaktpersoner, anmeldere og kundeemner. Data omfatter identitets- og kontaktoplysninger, ansættelses- og tidsdata, fraværstyper og datoer, opgaver, kommentarer, beskeder, profil- og analysedata samt tekniske identifikatorer. Kun data til de funktioner kunden faktisk bruger, er omfattet.

Fraværsværktøjet understøtter nødvendig registrering af en overordnet type som sygdom og de relevante datoer. Oplysningen kan være en helbredsoplysning. Kunden er ansvarlig for nødvendighed, dataminimering, information til medarbejderen samt grundlag efter GDPR artikel 6 og en relevant undtagelse efter artikel 9, fx hvor nødvendigt og lovligt efter arbejdsretlige regler. Aftalen giver ikke i sig selv kunden et behandlingsgrundlag. Diagnoser, journaler, behandling, CPR-numre og andre unødvendige følsomme detaljer må ikke indtastes i fritekst, beskeder eller AI-funktioner. Andre følsomme datakategorier kræver særskilt dokumenteret instruks og aftale før behandling.

Kunden styrer brugerroller, begrænser adgang til personer med et arbejdsbetinget behov og fastlægger nødvendige slettefrister, herunder for fravær. Kunden skal løbende gennemgå adgang og data og bruge tilgængelige slettefunktioner eller anmode os om sletning, når data ikke længere er nødvendige.

Personer med adgang er underlagt fortrolighed og får kun nødvendig adgang. Vi anvender rolle- og organisationsbaseret adgang, databasepolitikker, krypteret transport, logning, backup og kontrollerede servicekonti. Under hensyn til behandlingens karakter og risiko anvendes passende foranstaltninger efter artikel 32, herunder beskyttelse mod uautoriseret adgang, tab og ændring. Vi stiller relevant dokumentation om foranstaltningerne til rådighed for kunden.

Kunden giver generel skriftlig godkendelse til de relevante underdatabehandlere for de aktiverede funktioner. Den aktuelle leverandøroversigt og funktionerne fremgår af /privatlivspolitik; den nærmere underdatabehandlerliste med behandlingssteder fås ved kontakt til kontakt@dinvirksomhedsportal.dk. En leverandør er kun omfattet som underdatabehandler, når den behandler kundedata efter instruks; egne betalings- og bogføringsformål er ikke automatisk omfattet.

Vi underretter kunden om enhver planlagt tilføjelse eller udskiftning af en underdatabehandler i så god tid før ibrugtagning, at kunden har en reel mulighed for at gøre begrundet indsigelse. Underretningen beskriver leverandør, opgave og behandlingssted og oplyser indsigelsesfristen. Vi søger at løse en saglig indsigelse inden brugen. Kan det ikke lade sig gøre, aftales en løsning for den berørte funktion eller dens ophør før ændringen. Underdatabehandleren pålægges samme databeskyttelsesforpligtelser, og vi forbliver ansvarlige over for kunden for dens opfyldelse.

Under hensyn til behandlingens karakter og de oplysninger, vi har, bistår vi kunden med registreredes rettigheder og forpligtelserne efter artikel 32-36, herunder sikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring. Vi underretter uden unødig forsinkelse efter at være blevet bekendt med et brud på kundens persondatasikkerhed og giver de tilgængelige oplysninger om berørte data og personer, konsekvenser, kontaktpunkt og afhjælpning. Manglende oplysninger suppleres løbende.

Ved ophør sletter eller udleverer vi kundens personoplysninger efter kundens valg og sletter eksisterende kopier, medmindre lov kræver opbevaring. Kunden kan kontakte os om format og gennemførelse. Backupkopier forbliver beskyttet, bruges kun til genopretning og udfases efter den relevante backupcyklus; ved genopretning genanvendes sletteinstrukser. Lovpligtig opbevaring begrænses til de nødvendige data og formål.

Vi stiller alle nødvendige oplysninger til rådighed for at dokumentere overholdelse af artikel 28 og muliggør og bidrager til revisioner, herunder inspektioner, foretaget af kunden eller en bemyndiget revisor. Praktiske sikkerhedsforanstaltninger og rimeligt varsel aftales, så andre kunders data beskyttes; de må ikke gøre kontrollen illusorisk. Rimelige omkostninger aftales på forhånd, medmindre kontrollen afdækker væsentlig misligholdelse hos os.

Overførsler uden for EU/EØS må kun ske efter dokumenteret instruks og med gyldigt grundlag efter GDPR kapitel V. Vi giver kunden oplysninger om grundlag og relevante garantier. Ved modstrid har databehandleraftalen forrang for behandlingen af personoplysninger; handelsbetingelserne gælder øvrige kommercielle forhold.