Databehandleraftale

Denne Databehandleraftale er indgået mellem følgende parter:

Dataansvarlig: Kunden, som defineret i den gældende tjenesteaftale ("den Dataansvarlige").

Databehandler: 360 Sprint ApS, CVR 27700489, Akademigrunden 30C, 4180 Sorø, Danmark ("Databehandleren").

Denne DPA træder i kraft, når den Dataansvarlige accepterer Servicevilkårene via platformen (click-wrap).

1. Baggrund og formål

Denne Databehandleraftale ("DPA") er indgået i henhold til den generelle forordning om databeskyttelse (EU) 2016/679 ("GDPR") artikel 28, stk. 3, og regulerer Databehandlerens behandling af personoplysninger på vegne af den Dataansvarlige i forbindelse med leveringen af 360 Sprint, en platform til strategisk intelligensanalyse ("Tjenesten"). DPA'en udgør et bilag til den gældende tjenesteaftale ("Servicevilkårene") mellem parterne.

2. Definitioner

I denne DPA gælder følgende: "Personoplysninger" betyder enhver oplysning om en identificeret eller identificerbar fysisk person, jf. GDPR artikel 4, nr. 1. "Behandling" betyder enhver operation eller række af operationer, der udføres med personoplysninger, jf. GDPR artikel 4, nr. 2. "Registrerede" betyder de fysiske personer, hvis personoplysninger behandles under denne DPA. "Underdatabehandler" betyder en tredjepart, som Databehandleren anvender til at behandle personoplysninger på vegne af den Dataansvarlige. "Sikkerhedshændelse" betyder et brud på persondatasikkerheden som defineret i GDPR artikel 4, nr. 12.

3. Genstand, formål og instruks

3.1 Genstand

Databehandleren behandler udelukkende personoplysninger med henblik på at levere Tjenesten til den Dataansvarlige, herunder: opbevaring og behandling af strategiske analysedata uploadet af den Dataansvarlige; AI-drevet analyse af datafelter klassificeret som PUBLIC eller INTERNAL; brugerkontostyring og adgangskontrol; transaktionsmails relateret til kontoadministration; fejlsporing og ydelseovervågning (med PII-filtrering).

3.2 Instruks

Databehandleren behandler kun personoplysninger efter dokumenterede instruktioner fra den Dataansvarlige, medmindre EU- eller medlemsstatsret kræver andet. Den Dataansvarliges instruks ved indgåelsen af denne DPA er, at Databehandleren må behandle personoplysninger med henblik på at levere Tjenesten som beskrevet i Servicevilkårene.

3.3 Kategorier af registrerede

Behandlingen omfatter personoplysninger om følgende kategorier af registrerede: medarbejdere og konsulenter hos den Dataansvarlige (platformbrugere); fysiske personer, hvis data den Dataansvarlige uploader til platformen (f.eks. kontakter hos kunder, partnere eller konkurrenter); offentligt tilgængelige oplysninger om fysiske personer i forbindelse med strategisk analyse.

3.4 Typer af personoplysninger

Behandlingen omfatter følgende kategorier af personoplysninger: Brugeridentitetsdata (navn, e-mailadresse, sessionsoplysninger); Virksomhedsdata (data uploadet af den Dataansvarlige, indhold bestemt af den Dataansvarlige); Tekniske metadata (IP-adresser, browserdata, adgangslogfiler). Særlige kategorier af personoplysninger (artikel 9) er ikke tilladt under denne DPA. Den Dataansvarlige er ansvarlig for at sikre, at særlige kategorier ikke uploades til platformen.

3.5 Behandlingens varighed

Denne DPA er gældende, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige under Servicevilkårene.

4. Databehandlerens forpligtelser

4.1 Dokumenterede instruktioner

Databehandleren behandler kun personoplysninger i overensstemmelse med den Dataansvarliges dokumenterede instruktioner, herunder med hensyn til overførsler af personoplysninger til et tredjeland eller en international organisation, medmindre EU- eller medlemsstatsret kræver andet.

4.2 Fortrolighed

Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

4.3 Sikkerhed

Databehandleren implementerer alle foranstaltninger, der kræves i henhold til GDPR artikel 32, og som minimum de tekniske og organisatoriske foranstaltninger beskrevet i Bilag 2 til denne DPA. Databehandleren evaluerer og opdaterer løbende disse foranstaltninger for at sikre et passende sikkerhedsniveau.

4.4 Underdatabehandlere

Databehandleren indhenter godkendelse fra den Dataansvarlige, inden nye underdatabehandlere engageres. Godkendelse gives i overensstemmelse med proceduren beskrevet i afsnit 5. En liste over aktuelle underdatabehandlere fremgår af Bilag 1.

4.5 Bistand til den Dataansvarlige

Databehandleren bistår den Dataansvarlige, under hensyntagen til behandlingens karakter, med passende tekniske og organisatoriske foranstaltninger til at opfylde den Dataansvarliges forpligtelse til at besvare anmodninger fra registrerede, der udøver deres rettigheder i henhold til GDPR kapitel III. Bistand ydes uden unødig forsinkelse og inden for 10 hverdage. Databehandleren bistår også den Dataansvarlige med overholdelse af GDPR artikel 32-36, herunder DPIA'er og forudgående høring.

4.6 Sletning, tilbagelevering og dataportabilitet

Ved ophør af Tjenesten har den Dataansvarlige 30 dage til at eksportere alle personoplysninger i et struktureret, maskinlæsbart format. Herefter sletter Databehandleren alle personoplysninger og kopier inden for 30 dage efter eksportperiodens udløb (60 dage i alt), medmindre EU- eller medlemsstatsret kræver opbevaring. Databehandleren bekræfter sletning skriftligt. Sletning gennemføres også af underdatabehandlere inden for samme tidsramme.

4.7 Revision og dokumentation

Databehandleren stiller alle oplysninger til rådighed, der er nødvendige for at påvise overholdelse af GDPR artikel 28, og muliggør og bidrager til revisioner, herunder inspektioner, udført af den Dataansvarlige eller en af den Dataansvarlige bemyndiget revisor. Revisioner kræver 30 dages skriftligt varsel og gennemføres på den Dataansvarliges regning i normal kontortid.

4.8 Underretning om ulovlige instruktioner

Databehandleren informerer straks den Dataansvarlige, hvis en instruks efter Databehandlerens opfattelse er i strid med GDPR eller andre EU- eller medlemsstatsbestemmelser om databeskyttelse.

5. Underdatabehandlere

5.1 Generel godkendelse

Den Dataansvarlige giver hermed specifik godkendelse til de underdatabehandlere, der er anført i Bilag 1.

5.2 Ændringer af underdatabehandlere

Databehandleren underretter den Dataansvarlige skriftligt via e-mail om påtænkte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel. Den Dataansvarlige kan gøre skriftlig indsigelse inden for denne periode. Kan parterne ikke nå til enighed, kan den Dataansvarlige opsige Servicevilkårene med et varsel svarende til underretningsperioden. En opdateret liste over underdatabehandlere er tilgængelig på trust.360sprint.dk.

5.3 Krav til underdatabehandlere

Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som dem, der er fastsat i denne DPA, herunder navnlig tilstrækkelige garantier for implementering af passende tekniske og organisatoriske foranstaltninger.

5.4 Ansvar for underdatabehandlere

Databehandleren er fuldt ansvarlig over for den Dataansvarlige for underdatabehandlerens opfyldelse af sine forpligtelser.

6. Internationale dataoverførsler

Databehandleren behandler som udgangspunkt alle personoplysninger inden for EU/EØS. Hvor behandling finder sted uden for EU/EØS, er dette begrænset til de underdatabehandlere, der er anført i Bilag 1, og overførslen er baseret på en gyldig overførselsmekanisme i henhold til GDPR kapitel V, herunder: EU-US Data Privacy Framework (DPF) for overførsler til DPF-certificerede virksomheder i USA; EU Standard Contractual Clauses (SCCs) i henhold til Kommissionens gennemførelsesafgørelse (EU) 2021/914. En opdateret oversigt over gældende overførselsmekanismer er tilgængelig i Bilag 1 og på trust.360sprint.dk.

7. Sikkerhedshændelser

7.1 Underretning

Databehandleren underretter den Dataansvarlige uden unødig forsinkelse og senest 72 timer efter at være blevet opmærksom på en sikkerhedshændelse, der berører personoplysninger behandlet under denne DPA. Underretningen skal indeholde: en beskrivelse af hændelsens karakter; navn og kontaktoplysninger på Databehandlerens databeskyttelseskontakt; en beskrivelse af de sandsynlige konsekvenser; en beskrivelse af de foranstaltninger, der er truffet eller foreslået for at afhjælpe hændelsen.

7.2 Yderligere bistand

Databehandleren bistår den Dataansvarlige med at opfylde forpligtelsen til at anmelde sikkerhedshændelser til tilsynsmyndigheder og registrerede i henhold til GDPR artikel 33 og 34.

7.3 Dokumentation

Databehandleren dokumenterer alle sikkerhedshændelser, herunder omstændighederne, virkningerne og de afhjælpende foranstaltninger, der er truffet. Dokumentationen stilles til rådighed for den Dataansvarlige efter anmodning.

8. Registreredes rettigheder

Hvis Databehandleren modtager en anmodning fra en registreret, der udøver rettigheder i henhold til GDPR kapitel III (indsigt, berigtigelse, sletning, begrænsning, portabilitet, indsigelse), videresender Databehandleren straks og inden for 5 hverdage anmodningen til den Dataansvarlige og undlader at besvare den, medmindre den Dataansvarlige bemyndiger det. Databehandleren bistår den Dataansvarlige med at opfylde anmodninger fra registrerede ved at stille relevante tekniske funktioner til rådighed (dataeksport, kontosletning osv.).

9. Kontaktoplysninger

Databehandlerens databeskyttelseskontakt:

10. Ansvar og erstatning

Parternes ansvar og erstatningsforpligtelser er reguleret af Servicevilkårene. Databehandlerens ansvar i henhold til GDPR artikel 82 begrænses ikke, i det omfang sådanne begrænsninger ville stride mod GDPR.

11. Varighed og opsigelse

Denne DPA er gældende, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige. DPA'en ophører automatisk ved ophør af Servicevilkårene, med forbehold for forpligtelser, der overlever ophør (navnlig afsnit 4.6 om sletning og afsnit 7 om sikkerhedshændelser).

12. Lovvalg og værneting

Denne DPA er underlagt dansk ret. Eventuelle tvister afgøres af Københavns Byret.

13. Ikrafttræden

Denne DPA træder i kraft, når den Dataansvarlige accepterer Servicevilkårene, herunder denne DPA, via platformen.