BILAG A: DATABEHANDLERAFTALE ( AFTALEN ) 1 AFTALENS OMFANG 2 BEHANDLING AF PERSONOPLYSNINGER INDHOLDSFORTEGNELSE. Version 1.1 af 25.

Transkript

1 BILAG A: DATABEHANDLERAFTALE ( AFTALEN ) Version 1.1 af 25. september 2018 INDHOLDSFORTEGNELSE 1 AFTALENS OMFANG 2 BEHANDLING AF PERSONOPLYSNINGER 3 KRAV TIL CONFERENCE MANAGER A/S 4 KRAV TIL KONFERENCEAFHOLDER 5 UNDERDATABEHANDLERE 6 FORTROLIGHED 7 ÆNDRINGER OG OVERDRAGELSER 8 VARIGHED OG OPHØR AF AFTALEN 9 FORRANG 10 APPENDIKS 1 11 APPENDIKS 2 1 AFTALENS OMFANG 1.1 Vilkårene i dette Bilag A til "Betingelser for anvendelse af Conference Manager " version 1.8 af 25. september 2018 ("Betingelserne") udgør den databehandleraftale, som er gældende for Conference Manager A/S'' behandling af personoplysninger ved brug af Conference Manager 1.2 Conference Manager A/S er databehandler for Konferenceafholder, idet Konferenceafholder har købt en licens til systemet Conference Manager af Conference Manager A/S og Conference Manager A/S i forbindelse hermed varetager de i Appendiks 1 beskrevne databehandlingsopgaver for Konferenceafholder. 1.3 De personoplysninger, der behandles af Conference Manager A/S, omfatter de formål med behandlingen, de kategorier af personoplysninger og de kategorier af registrerede personer, som er anført i Appendiks Ved "personoplysning" forstås enhver form for information om en identificeret eller identificerbar, fysisk person, jf. artikel 4(1) i Forordning (EU) 2016/679 af 27. april 2016 ("persondataforordningen"). Hvis der som led i opfyldelsen af Aftalen behandles andre fortrolige oplysninger end personoplysninger, f.eks. oplysninger som i medfør af lov om finansiel virksomhed anses for fortrolige, så omfatter enhver henvisning til "personoplysninger" også de øvrige fortrolige oplysninger. 1.5 Definitioner anvendt i Aftalen skal forstås på samme måde, som i Betingelserne. 2 BEHANDLING AF PERSONOPLYSNINGER 2.1 Instruks: Conference Manager A/S er instrueret i alene at behandle personoplysningerne med det formål at varetage de i Appendiks 1 fastsatte databehandlingsopgaver. Conference Manager A/S må ikke behandle eller anvende personoplysningerne til andre formål end angivet i instruksen, herunder overføre personoplysningerne til et tredjeland eller en international organisation, medmindre Conference Manager A/S er forpligtet hertil efter EU-retten eller lovgivningen i en medlemsstat, som Conference Manager A/S er underlagt. I givet fald skal Conference Manager A/S skriftligt underrette Konferenceafholder om denne juridiske forpligtelse, forinden behandlingen påbegyndes, medmindre pågældende lovgivning på baggrund af vigtige samfundsinteresser forbyder en sådan underretning. 2.2 Hvis Konferenceafholder i instruksen i Appendiks 1 eller konkret har givet tilladelse til en overførsel af personoplysninger til et tredjeland eller til internationale organisationer, påhviler det Conference Manager A/S at sikre, at der foreligger et lovligt overførselsgrundlag, f.eks. EU- Kommissionens standardkontrakter til overførsel af personoplysninger til tredjelande. 2.3 Hvis Conference Manager A/S skønner, at en instruktion fra Konferenceafholder er i strid med persondataforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller i lovgivningen i en medlemsstat, skal Conference Manager A/S omgående, skriftligt orientere Konferenceafholder herom. Side 1 af 5

2 2.4 Hvis Conference Manager A/S er undergivet lovgivningen i et tredjeland, erklærer Conference Manager A/S ved Aftalens indgåelse, at Conference Manager A/S ikke er bekendt med, at den nævnte lovgivning forhindrer Conference Manager A/S i at efterleve Aftalen, og at Conference Manager A/S straks skriftligt vil orientere Konferenceafholder, hvis Conference Manager A/S bliver bekendt med, at en sådan forhindring er til stede eller vil indtræde. 3 KRAV TIL CONFERENCE MANAGER A/S 3.1 Conference Manager A/S skal sikre, at de personer, der er autoriseret til at behandle personoplysningerne, er underlagt ubetinget tavshed omkring de informationer, som de måtte komme i kontakt med i deres arbejde for Konferenceafholder. 3.2 Conference Manager A/S skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at de behandlede personoplysninger (i) hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, kommer til uvedkommendes kendskab eller misbruges, eller i øvrigt behandles i strid med lovgivningen, herunder persondataforordningen. 3.3 Conference Manager A/S skal endvidere overholde de særlige krav til sikkerhedsforanstaltninger, der gælder for Konferenceafholder, jf. Appendiks 1, samt overholde de krav til sikkerhedsforanstaltninger, som direkte forpligter Conference Manager A/S, herunder kravene til sikkerhedsforanstaltninger i det land, hvor Conference Manager A/S er etableret, eller i det land hvor databehandlingen finder sted. 3.4 Fastsættelsen af de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger skal ske under hensyntagen til (i) det aktuelle tekniske niveau, omkostningerne ved implementeringen samt behandlingens karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder. 3.5 Conference Manager A/S skal på Konferenceafholders anmodning give Konferenceafholder alle nødvendige oplysninger til, at denne kan påse, at de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger er truffet. 3.6 Derudover har Konferenceafholder ret til for egen regning at udpege en uafhængig ekspert, som skal have adgang til Conference Manager A/S'' fysiske faciliteter til behandling af personoplysninger samt modtage de nødvendige informationer til udførelse af undersøgelsen af, hvorvidt Conference Manager A/S overholder sine forpligtelser under Aftalen. Den uafhængige ekspert kan ikke opnå adgang til oplysninger, der vedrører andre af Conference Manager A/S'' Kunder. Eksperten skal på Conference Manager A/S'' anmodning underskrive en sædvanlig fortrolighedserklæring og behandle enhver information indhentet hos eller modtaget direkte fra Conference Manager A/S fortroligt, og må alene dele informationen med Konferenceafholder. Konferenceafholderen må ikke viderebringe informationen eller benytte informationen til andre formål end at vurdere hvor vidt, Conference Manager A/S har truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger. 3.7 Conference Manager A/S skal til myndigheder og Konferenceafholders eksterne rådgivere, herunder revisorer, give alle ønskede oplysninger i relation til udførelse af databehandlingsopgaven, i det omfang oplysningerne er nødvendige for deres opgavevaretagelse i medfør af EU-retten eller lovgivningen i en medlemsstat. 3.8 Conference Manager A/S skal give myndigheder, der efter EU-retten eller lovgivningen i en medlemsstat har adgang til Konferenceafholders og Konferenceafholders leverandørers faciliteter, eller repræsentanter der optræder på myndighedernes vegne, adgang til Conference Manager A/S'' fysiske faciliteter mod forevisning af behørig legitimation. 3.9 Conference Manager A/S skal uden unødig forsinkelse efter at være blevet opmærksom herpå, skriftligt orientere Konferenceafholder om (i) enhver anmodning fra en myndighed om videregivelse af personoplysninger omfattet af Aftalen, medmindre orientering af Konferenceafholder er forbudt i henhold til EU-retten eller lovgivningen i en medlemsstat, enhver mistanke om, eller konstatering af, (a) brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet af Conference Manager A/S under Aftalen, eller (b) enhver anden manglende overholdelse af Conference Manager A/S'' forpligtelser efter punkt 3.2 og 3.3 eller enhver anmodning om indsigt i personoplysningerne modtaget direkte fra den registrerede eller fra tredjemand. Side 2 af 5

3 3.10 Conference Manager A/S skal assistere Konferenceafholder med håndteringen af enhver anmodning fra en registreret under kapitel III i persondataforordningen, herunder anmodning om indsigt, berigtigelse, blokering eller sletning. Conference Manager A/S skal ligeledes implementere passende tekniske og organisatoriske foranstaltninger til at bistå Konferenceafholder med opfyldelse af Konferenceafholders forpligtelse til at besvare sådanne anmodninger Conference Manager A/S skal assistere Konferenceafholder med at overholde de øvrige forpligtelser, der måtte påhvile Konferenceafholder efter EU-retten eller lovgivningen i en medlemsstat, hvor Conference Manager A/S'' assistance er forudsat, samt hvor Conference Manager A/S'' assistance er nødvendig for, at Konferenceafholder kan overholde sine forpligtelser. Dette omfatter blandt andet, men er ikke begrænset til, på anmodning at give Konferenceafholder alle nødvendige oplysninger om en hændelse omfattet af punkt 3.9 samt alle nødvendige oplysninger til brug for en konsekvensanalyse i medfør af artikel i persondataforordningen I Appendiks 1 har Conference Manager A/S oplyst den fysiske placering af servere, servicecentre mv., som indgår i udførelse af databehandlingen. Conference Manager A/S forpligter sig til skriftligt at orientere Konferenceafholder forud for ændringer af den fysiske placering. Dette kræver ikke en formel ændring af Appendiks 1; forudgående skriftligt varsel via post eller er tilstrækkeligt Punkt er tomt Ved Conference Manager A/S'' eller dennes underdatabehandleres assistance ved revision, håndtering af anmodninger fra registrerede, udlevering af information til myndigheder mv. efter dette punkt 3, er Conference Manager A/S berettiget til at kræve betaling for medgået tid i henhold til den til enhver tid gældende timetakst. 4 KRAV TIL KONFERENCEAFHOLDER 4.1 Konferenceafholder er forpligtet til at sikre, at der forud for hver videregivelse/overdragelse af oplysninger om en Konferencedeltager, Foredragsholder eller anden person, herunder ved indtastning eller anden offentliggørelse af sådanne oplysninger i Conference Manager er sikret den fornødne hjemmel til indsamlingen, videregivelsen og behandlingen af oplysningerne, såfremt sådanne oplysninger er omhandlet af persondataforordningen. 4.2 Denne pligt gælder også i forhold til oplysninger, som en Konferencedeltager, Foredragsholder eller anden person får adgang til selv at indtaste eller på anden måde gøre tilgængelig i Conference Manager via et login stillet til rådighed af Konferencearrangøren. 4.3 Conference Manager lagrer de informationer/data, som er indtastet eller på anden måde gjort tilgængelige i Conference Manager i forhold til konferencen/arrangementet, i perioden frem til konferencens/arrangementets afholdelse og i den periode som er aftalt, jf. Betingelsernes punkt Ved udløbet af den aftalte opbevaringsperiode efter konferencens/arrangementets afholdelse vil adgangen til Conference Manager i forhold til denne konference/arrangement automatisk og øjeblikkeligt blive slettet uden yderligere varsel, og de informationer/data, der måtte være indtastet eller på anden måde gjort tilgængelig i Conference Manager af Konferencearrangøren selv eller af andre i forhold til konference/arrangementet, vil gå tabt, idet de automatisk bliver slettet uden mulighed for genetablering. Det er Konferenceafholders eget ansvar at udtage oplysninger, som denne ikke vil miste, fra Conference Manager inden udløbet af opbevaringsperioden. 4.5 Såfremt arrangementet annulleres slettes alle lagrede informationer/data vedrørende arrangementet uden yderligere varsel. Informationer/data kan alene udlæses fra Conference Manager, i det omfang der stilles rapporter og lignende til rådighed i Conference Manager applikationen. 5 UNDERDATABEHANDLERE 5.1 Conference Manager A/S må gøre brug af en underdatabehandler. På tidspunktet for indgåelsen af Aftalen anvender Conference Manager A/S de i Appendiks 2 anførte underdatabehandlere. Conference Manager A/S skal skriftligt underrette Konferenceafholder om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af underdatabehandlere inden brugen påbegyndes. Konferenceafholder har ret til uden begrundelse at nægte brugen af en underdatabehandler. Ved ophør af brugen af en underdatabehandler skal Conference Manager A/S give Konferenceafholder skriftlig meddelelse herom. 5.2 Conference Manager A/S skal forinden brug af en underdatabehandler indgå en skriftlig aftale med underdatabehandleren, hvori underdatabehandleren som minimum pålægges de samme forpligtelser, som Conference Manager A/S har påtaget sig ved Aftalen, herunder pligten til at gennemføre passende tekniske og organisatoriske foranstaltninger til sikring af, at behandlingen opfylder kravene i persondataforordningen. Side 3 af 5

4 5.3 Konferenceafholder har ret til at få udleveret en kopi af Conference Manager A/S'' aftale med en underdatabehandler, for så vidt angår bestemmelser i nævnte aftale, som vedrører databeskyttelsesforpligtelser. Conference Manager A/S hæfter over for Konferenceafholder for underdatabehandlerens opfyldelse af sine databeskyttelsesforpligtelser. Det forhold, at Konferenceafholder har meddelt samtykke til Conference Manager A/S'' aftaleindgåelse med en underdatabehandler er uden præjudice for Conference Manager A/S'' pligt til at efterleve Aftalen. 6 FORTROLIGHED 6.1 Conference Manager A/S skal holde personoplysningerne fortrolige. 6.2 Conference Manager A/S må ikke formidle personoplysningerne til nogen eller tage kopi af personoplysningerne, medmindre dette er absolut nødvendigt til varetagelse af Conference Manager A/S'' forpligtelser over for Konferenceafholder i henhold til Aftalen og forudsat, at den, til hvem personoplysningerne overlades, er bekendt med oplysningernes fortrolige karakter og har indvilget i at holde personoplysningerne fortrolige i overensstemmelse med Aftalen. 6.3 Hvis Conference Manager A/S er en juridisk person, gælder bestemmelserne i Aftalen enhver af Conference Manager A/S'' medarbejdere, og Conference Manager A/S indestår for, at medarbejderne overholder Aftalen. 6.4 Conference Manager A/S skal begrænse adgangen til personoplysningerne til de medarbejdere, for hvem det er nødvendigt at have adgang til personoplysninger for at kunne opfylde Conference Manager A/S'' forpligtelser over for Konferenceafholder. 6.5 Conference Manager A/S'' forpligtelser efter nærværende punkt 6 består uden tidsbegrænsning, og uanset om Parternes samarbejde i øvrigt måtte være ophørt. 6.6 Konferenceafholder skal behandle fortrolige oplysninger, som modtages fra Conference Manager A/S, fortroligt og må ikke uberettiget udnytte eller videregive de fortrolige oplysninger. 7 ÆNDRINGER OG OVERDRAGELSER 7.1 Parterne kan til enhver tid aftale at ændre Aftalen. Ændringer skal være skriftlige. I det omfang ændringer af Aftalen medfører yderligere forpligtelser for Conference Manager A/S, er Conference Manager A/S berettiget til at kræve betaling herfor i henhold til den til enhver tid gældende timetakst. 7.2 Conference Manager A/S må ikke overdrage sine rettigheder og forpligtelser i henhold til Aftalen uden Konferenceafholders forudgående skriftlige samtykke. 8 VARIGHED OG OPHØR AF AFTALEN 8.1 Aftalen træder i kraft ved Konferenceafholders online godkendelse af Betingelserne og er gældende indtil den opsiges i henhold til punkt 16 i Betingelserne. 8.2 Uanset Aftalens formelle aftaleperiode skal Aftalen vedblive at gælde, så længe Conference Manager A/S behandler de personoplysninger, som Konferenceafholder er dataansvarlig for. 8.3 I tilfælde af ophør af Aftalen, uanset det juridiske grundlag herfor, skal Conference Manager A/S yde de fornødne overgangstjenesteydelser til Konferenceafholder. Conference Manager A/S er forpligtet til loyalt og hurtigst muligt at medvirke til, at databehandlingen overgår til en anden leverandør eller tilbageføres til Konferenceafholder. Conference Manager A/S er berettiget til at kræve betaling for medgået tid i forbindelse med dette i henhold til den til enhver tid gældende timetakst. 8.4 Conference Manager A/S skal straks efter anmodning fra Konferenceafholder overføre eller slette personoplysninger, som Conference Manager A/S behandler for Konferenceafholder, medmindre EU-retten eller lovgivningen i en medlemsstat foreskriver opbevaring af personoplysningerne. Conference Manager A/S er berettiget til at kræve betaling for medgået tid i forbindelse med dette i henhold til den til enhver tid gældende timetakst. Side 4 af 5

5 9 FORRANG 9.1 I tilfælde af uoverensstemmelse mellem bestemmelserne i Aftalen og bestemmelserne i andre skriftlige eller mundtlige aftaler indgået mellem Parterne, skal bestemmelserne i Aftalen have forrang. Bestemmelserne i punkt 3 finder dog ikke anvendelse i det omfang, der er fastsat strengere forpligtelser for Conference Manager A/S ved anden aftale mellem Partnerne. Herudover finder Aftalen ikke anvendelse, i det omfang der er fastsat strengere forpligtelser for Conference Manager A/S og/eller underdatabehandlere ved brug af Kommissionens standardkontrakter til overførsel af personoplysninger til tredjelande. 10 APPENDIKS 1 Dette Appendiks udgør Konferenceafholders instruks til Conference Manager A/S i forbindelse med Conference Manager A/S'' databehandling for Konferenceafholder og er en integreret del af Aftalen. Behandlingen af personoplysninger a) Formål og karakteren af databehandlingen Conference Manager A/S stiller systemet Conference Manager til rådighed for Konferenceafholder. Konferenceafholderens brug af systemet udgør Konferenceafholderens instruks til Conference Manager A/S i forhold til behandling af de personoplysninger, som Konferenceafholderen registrerer og anvender. b) Kategorier af registrerede personer I. Konferencearrangører og Konferenceafholder II. III. IV. Konferencedeltagere Foredragsholdere Leverandører, der leverer ydelser til konferencen V. Andre brugere af Conference Manager c) Kategorier af personoplysninger Navn, adresse, telefonnummer, adresse samt andre almindelige personoplysninger Konferencearrangøren eller Konferencedeltageren selv vælger at uploade d) Særlige kategorier af personoplysninger Ingen, med mindre Konferencearrangøren eller Konferencedeltageren selv vælger at uploade disse e) Lokation(er), inklusive angivelse af land for behandlingen Conference Manager A/S Kongevejen 268 DK-2830 Virum Danmark f) Særlige krav til sikkerhedsforanstaltninger, der gælder for Konferenceafholder Ingen 11 APPENDIKS 2 Ingen underdatabehandlere Side 5 af 5