Appendix 1 Databehandleraftale

Transkript

1 Appendix 1 Databehandleraftale Med undtagelse af nedenstående ændringer skal Aftalen fortsat være gældende. Aftalen og denne DBA er indbyrdes afhængige og kan ikke opsiges særskilt. Denne DBA kan dog uden at dette får indflydelse på Aftalen erstattes af en anden gyldig DBA. I tilfælde af tvist eller uoverensstemmelse mellem indholdet af denne DBA og Aftalen skal denne DBA være afgørende. 1. Definitioner 1.1. Alle begreber skrevet med stort begyndelsesbogstav, der anvendes i dette dokument men ikke er defineret heri, har den betydning, der er defineret i Aftalen. I nærværende DBA har følgende begreber følgende betydning: Databehandler betegner Colourbox eller en Underdatabehandler Love og Forskrifter om Databeskyttelse betegner alle love og bestemmelser, herunder love og bestemmelser for den Europæiske Union, det Europæiske Økonomiske Samarbejdsområde og deres medlemsstater samt Schweiz og Storbritannien, som gælder i forbindelse med Behandling af Personoplysninger i henhold til det enkelte Ordredokument DBA betegner denne Databehandleraftale GDPR betegner Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (General Data Protection Regulation) Licenstagers Personoplysninger betegner alle Personoplysninger, der Behandles af en Databehandler på vegne af Licenstager som følge af eller i forbindelse med Aftalen Sikkerhedsforanstaltninger betegner de sikkerhedsforanstaltninger, der gælder for de specifikke Services, der leveres i henhold til Aftalen, og som opdateres fra tid til anden og er tilgængelige på Colourbox s website eller på anden måde gjort rimeligt tilgængeligt af Colourbox Side 1 af 14

2 Services betegner de services og andre aktiviteter, der skal leveres til eller udføres af eller på vegne af Colourbox for Licenstager i henhold til Aftalen Underdatabehandler betegner enhver Databehandler, der efter aftale med Colourbox må Behandle Personoplysninger på vegne af Licenstager i forbindelse med Aftalen 1.2. Begreberne Kommission, Dataansvarlig, Registrerede, Medlemsstat, Personoplysninger, Brud på Persondatasikkerheden, Behandling, Databehandler og Tilsynsmyndighed har den betydning, der er defineret i GDPR, og deres beslægtede begreber skal forstås på samme måde. 2. Behandling af Personoplysninger 2.1. Parterne anerkender, at med hensyn til Behandling af Personoplysninger er Licenstager den Dataansvarlige, Colourbox er Databehandleren, og at Colourbox er berettiget til at indgå aftale med Underdatabehandlere i overensstemmelse med de i nedenstående Sektion 5, Underdatabehandlere specificerede krav Licenstager skal i forbindelse med brugen af Services Behandle Personoplysninger i henhold til kravene i de gældende Love og Forskrifter om Databeskyttelse. Desuden skal Licenstagers instrukser for Behandling af Personoplysninger være i overensstemmelse med de gældende Love og Forskrifter om Databeskyttelse. Licenstager har alene ansvaret for nøjagtigheden, kvaliteten og lovligheden af Personoplysninger og den måde, hvorpå Licenstager Behandler Person oplysninger Colourbox skal overholde alle gældende Love og Forskrifter om Databeskyttelse i forbindelse med Behandling af Licenstagers Personoplysninger Colourbox må kun Behandle Licenstagers Personoplysninger på vegne af og efter dokumenteret instruks fra Licenstagertil følgende formål, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som Colourbox eller Underdatabehandler er underlagt; i så fald underretter Colourbox Licenstager om dette retlige krav inden Behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser: Behandling i overensstemmelse med Aftalen; og Behandling med henblik på at overholde andre dokumenterede instrukser fra Licenstager (f.eks. via ), hvor sådanne instrukser er i overensstemmelse med Aftalen. Side 2 af 14

3 2.5. Genstanden for Colourbox s Behandling af Personoplysninger er udførelsen af Services i henhold til Aftalen. Behandlingens varighed, karakter og formål, typen af Licenstagers Personoplysninger og kategorierne af Registrerede, der Behandles under denne DBA, er nærmere beskrevet i Tillæg A (Nærmere oplysninger om Behandlingen) til denne DBA. 3. Registreredes Rettigheder 3.1. Colourbox skal i det omfang loven tillader: omgående underrette Licenstager, hvis en Databehandler modtager en anmodning fra en Registreret under de gældende Love og Forskrifter om Databeskyttelse, der vedrører Licenstagers Personoplysninger ( Anmodning fra en Registreret ); og sikre, at Databehandleren ikke besvarer en sådan anmodning ud over at bekræfte, at anmodningen vedrører Licenstager, medmindre (i) der foreligger en dokumenteret instruks fra Licenstager, eller (ii) det kræves i henhold til gældende love, som Databehandleren er underlagt, i hvilket tilfælde Colourbox underretter Licens tager om dette retlige krav i det omfang, den pågældende lov tillader, inden Databehandleren besvarer anmodningen I det omfang Licenstager i forbindelse med brugen af Services ikke er i stand til at behandle en Anmodning fra en Registreret, skal Colourbox efter Licenstagers skriftlige anmodning og i det omfang, loven tillader det, yde en kommercielt rimelig assistance til behandlingen af en sådan Anmodning fra en Registreret, forudsat at en sådan Anmodning fra en Registreret udføres i overensstemmelse med gældende Love og Forskrifter om Databeskyttelse. Licenstager er i det omfang, loven tillader det, ansvarlig for alle omkostninger (inkl. mandtimer), der opstår i forbindelse med Colourbox s ydelse af en sådan assistance. 4. Colourbox-personale 4.1. Colourbox skal iværksætte passende foranstaltninger for at sikre pålideligheden hos den enkelte medarbejder, agent eller leverandør af enhver Databehandler, der har adgang til Licenstagers Personoplysninger Colourbox skal i hvert enkelt tilfælde sikre, at adgangen er strengt begrænset til kun at omfatte de personer, der har brug for kendskab eller adgang til Licenstagers Personoplysninger i det omfang, det er strengt nødvendigt til de formål, der er specificeret i Sektion 2.4, og i overensstemmelse med gældende love hvad angår disse personers forpligtelser over for Databehandleren, der sikrer, at disse personer har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, både under ansættelsesforholdet og efter dets afslutning. Side 3 af 14

4 5. Underdatabehandlere 5.1. Licenstager giver Colourbox tilladelse til og instruks om at udpege (og tillade enhver Underdatabehandler, der er udpeget i henhold til denne Sektion 5 til at udpege) Underdatabehandlere i henhold til denne Sektion 5 og eventuelle restriktioner i Aftalen for at kunne yde de nødvendige Services og overføre Licenstagers Personoplysninger til et hvilken som helst land eller område, det skønnes nødvendigt for levering af disse Services og i overensstemmelse med Aftalen Colourbox må fortsat benytte de Underdatabehandlere, Colourbox allerede har indgået aftale med, fra datoen for denne DBA s ikrafttrædelse. Den aktuelle liste over Underdatabehandlere i forbindelse med Services er omfattet af Tillæg B (Underdatabehandlere). Listen over Underdatabehandlere omfatter identiteterne af disse Underdatabehandlere samt deres lokation (land). Forud for udpegning af en ny Underdatabehandler er Colourbox forpligtet til at give Licenstager dokumenteret meddelelse herom, herunder en fyldestgørende beskrivelse af den Behandling, som Underdatabehandleren skal udføre Licenstager kan gøre begrundet indsigelse mod Colourbox s anvendelse af en ny Underdatabehandler ved straks at give Colourbox skriftlig besked herom inden for ti (10) arbejdsdage efter modtagelse af Colourbox s meddelelse i henhold til Sektion 5.2: Colourbox må ikke udpege (eller overføre nogen af Licenstagers Personoplysninger til) denne foreslåede Underdatabehandler, før der er gjort rimelige anstrengelser for at stille de nødvendige ændringer i de pågældende Services til rådighed for Licenstager eller for at anbefale en kommercielt rimelig ændring i Licenstagers konfiguration eller brug af de pågældende Services, således at den ikke-ønskede Underdatabehandlers Behandling af Personoplysninger kan undgås uden unødvendig gene for Licenstager; og hvor sådanne passende foranstaltninger ikke kan iværksættes inden for tredive (30) dage fra Colourbox s modtagelse af Licenstagers indsigelse, uagtet andre bestemmelser i Aftalen, kan Licenstager ved skriftlig meddelelse til Colourbox med øjeblikkelig virkning opsige Aftalen for de Services, som ikke kan udføres af Colourbox uden brug af den nye Underdatabehandler, der var gjort indsigelse mod. Colourbox tilbagebetaler til Licenstager samtlige forudbetalte gebyrer (uden fradrag for Licenstager) for de opsagte Services for Aftalens restløbetid, efter at opsigelsen træder i kraft Colourbox skal i forhold til hver Underdatabehandler: sikre, at aftalen mellem Colourbox og Underdatabehandleren er underlagt en skriftlig kontrakt inklusive betingelser, der frembyder mindst samme beskyttelsesniveau for Licenstagers Personoplysninger, som er relevant for den type af Side 4 af 14

5 Services, der stilles til rådighed af de i denne DBA beskrevne Underdatabehandlere, og som opfylder de krav, der er defineret i Artikel 28(3) i GDPR; stille Licenstager sådanne kopier af Colourbox s aftaler med Underdatabehandlere til rådighed for gennemsyn (disse kan være bearbejdede med det formål at fjerne fortrolige forretningsmæssige informationer, der ikke er relevante i forhold til kravene i denne DBA), som Licenstager kan anmode om fra tid til anden, eller sikre, hvis denne aftale omfatter en overførsel af Personoplysninger til lande uden for EU/EEA, at Standardkontraktbestemmelserne på ethvert relevant tidspunkt indarbejdes i aftalen mellem Colourbox og Underdatabehandleren, før Underdatabehandleren begynder på Behandlingen af Licenstagers Personoplysninger Colourbox skal sikre, at hver Underdatabehandler opfylder de forpligtelser i denne DBA, som gælder for denne Underdatabehandlers Behandling af Licenstagers Personoplysninger, som var Underdatabehandleren en part i denne DBA i stedet for Colourbox Uagtet Sektion 5.4 og 5.5 accepterer Licenstager, at de til enhver tid gældende Standard-Underdatabehandleraftaler fra følgende udsnit af de i Tillæg B opførte Underdatabehandlere: Amazon opfylder Colourbox s forpligtelser i henhold til denne Sektion Sikkerhed 6.1. Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende Behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal Colourbox i forbindelse med Licenstagers Personoplysninger gennemføre fornødne tekniske og organisatoriske foranstaltninger for at sikre et passende sikkerhedsniveau, herunder de foranstaltninger, der refereres til i Artikel 32(1) i GDPR Ved fastsættelsen af et passende sikkerhedsniveau skal Colourbox specielt tage hensyn til de risici, der kan være forbundet med Behandling, i særlig grad hvad angår Brud på Persondatasikkerheden Et passende Sikkerhedsniveau sættes i overensstemmelse med de i Tillæg C beskrevne Sikkerhedsforanstaltninger. 7. Underretning om og Håndtering af Brud på Persondatasikkerheden 7.1. Colourbox vedligeholder de sikkerhedspolitikker og -procedurer, der er beskrevet i Sikkerhedsforanstaltninger. Side 5 af 14

6 7.2. Colourbox underretter Licenstager uden unødig forsinkelse og inden for 36 timer efter, at Colourbox eller en eventuel Underdatabehandler er blevet opmærksom på, at der er sket Brud på Persondatasikkerheden, som har indflydelse på Licenstagers Personoplysninger. Colourbox stiller alle de oplysninger til rådighed for Licenstager, der er nødvendige for at Licenstager kan opfylde sine eventuelle forpligtelser til at informere Registrerede om Brud på Licenstagers Datasikkerhed i overensstemmelse med gældende Love om Databeskyttelse Colourbox vil gøre sig rimelige anstrengelser for at identificere årsagen til et sådan Brud på Datasikkerheden og tage de skridt, som Colourbox skønner nødvendige og rimelige for at fjerne årsagen i det omfang, dette er inden for Colourbox s rimelige kontrol Colourbox vil i samarbejde med Licenstager og efter Licenstagers anvisninger tage rimelige, kommercielle skridt til at assistere ved en undersøgelse, minimering og fjernelse af ethvert sådan Brud på Persondatasikkerheden Hvis Bruddet på Persondatasikkerheden er forårsaget af Licenstager, vil Licenstager i det omfang loven tillader det være ansvarlig for alle omkostninger, der opstår i forbindelse med Bruddet på Persondatasikkerheden. 8. Sletning og Tilbagelevering af Licenstagers Personoplysninger 8.1. I henhold til Sektion 8.2 og de begrænsninger, der er beskrevet i Aftalen og i Sikkerhedsforanstaltninger forpligtes Colourbox til straks ved ophør af Services vedrørende Behandling af Licenstagers Personoplysninger at tilbagelevere alle Licenstagers Personoplysninger og kopier heraf til Licenstager, destruere eksisterende kopier eller sørge for, at Personoplysningerne bliver gjort uigenkendelige, medmindre gældende lov eller et behov for at dokumentere Licenstagers brug af disse Services forhindrer Colourbox i at tilbagelevere eller destruere alle eller en del af Licenstagers Personoplysninger Databehandleren må opbevare Licenstagers Personoplysninger i det omfang, det kræves i henhold til gældende love eller det kræves for at dokumentere Licenstagers brug af de pågældende Services, og kun i det omfang og så længe dette kræves i henhold til gældende love og altid under forudsætning af, at Colourbox sikrer fortroligheden af alle Licenstagers Personoplysninger og sikrer, at Licenstagers Personoplysninger kun Behandles i det omfang, det er nødvendigt til det/ de formål, der er beskrevet i de gældende love, der kræver dets opbevaring, og til intet andet formål. 9. Ansvarsbegrænsning 9.1. De i Aftalen indeholdte bestemmelser om ansvar og ansvarsbegrænsning gælder også for denne DBA, der er en integreret del heraf. Side 6 af 14

7 9.2. Parterne hæfter i henhold til de generelle lovmæssige bestemmelser, dog med forbehold for begrænsningerne i denne sektion Følgende er ikke omfattet af ansvarsbegrænsningen i denne Sektion 9: Tab som en direkte følge af den anden parts groft uagtsomme eller forsætlige handlinger; og Rimelige omkostninger og internt ressourceforbrug i forbindelse med overholdelse af forpligtelserne over for en Tilsynsmyndighed eller en Registreret, herunder kompensation til en Registreret i tilfælde af, at dette skyldes et brud forårsaget af den anden part. 10. Konsekvensanalyse vedrørende Databeskyttelse, Revisioner og Forrudgående Høring Colourbox skal bistå Licenstager, når det er nødvendigt og efter anmodning, med at sikre Licenstagers overholdelse af sine forpligtelser under GDPR til at foretage konsekvensanalyser vedrørende databeskyttelse og forudgående høring af tilsynsmyndigheden eller andre kompetente databeskyttelsesmyndigheder, som efter Licenstagers rimelige skøn kræves af Licenstager i henhold til artikel 35 eller 36 i GDPR eller tilsvarende bestemmelser i andre Love og Forskrifter om Databeskyttelse, i hvert enkelt tilfælde udelukkende i forbindelse med Databehandlernes Behandling af Licenstagers Personoplysninger og under hensyntagen til Behandlingens karakter og de oplysninger, der er tilgængelige for Databehandlerne Colourbox skal ved anmodning herom stille alle oplysninger, der er nødvendige for at påvise overholdelsen af kravene i denne DBA, til rådighed for Licenstager og give mulighed for og bidrage til revisioner, herunder inspektioner, der foretages af Licenstager eller en anden revisor, som er bemyndiget af Licenstager i forbindelse med Databehandlernes Behandling af Licenstagers Personoplysninger Licenstagers informations- og revisionsrettigheder under Sektion 10.1 opstår kun i det omfang, at Aftalen ikke på anden vis giver de informationer og revisionsrettigheder, der opfylder de relevante krav i henhold til gældende Love og Forskrifter om Databeskyttelse (herunder i givet fald Artikel 28(3)(h) i GDPR) Før gennemførelsen af en revision eller en inspektion i henhold til Sektion 10.1 skal Licenstager give Colourbox et rimeligt varsel herom og gøre sig rimelige anstrengelser for at undgå (samt sikre, at hver af de bemyndigede revisorer undgår) at forvolde materielle eller fysiske skader eller afbrydelser på Databehandlernes lokaler, materiel, personale og forretning, imens Licenstagers medarbejdere (eller bemyndigede revisorer) befinder sig i lokalerne i forbindelse med en sådan revision eller inspektion En Databehandler er i følgende tilfælde ikke forpligtet til at give adgang til sine lokaler med hen- Side 7 af 14

8 blik på en sådan revision eller inspektion: over for personer, der ikke kan fremvise tilstrækkelig identitet eller bemyndigelse; uden for normale arbejdstider i disse lokaler, medmindre revisionen eller inspektionen haster og skal gennemføres straks og Licenstager har givet Colourbox meddelelse herom, før tilstedeværelsen uden for disse arbejdstider starter; eller i tilfælde af mere end en revision eller inspektion, for hver enkelt Databehandler, i ethvert kalenderår, bortset fra yderligere revisioner eller inspektioner, som Licenstager er forpligtet til eller blevet bedt om at udføre i henhold til gældende Love og Forskrifter om Databeskyttelse, en Tilsynsmyndighed eller anden tilsvarende lovmæssig myndighed til gennemførelse af Love og Forskrifter om Databeskyttelse i et land eller område Licenstager dækker alle Colourbox s omkostninger inkl. gebyrer for forbrugt tid, gebyrer til juridisk eller anden relevant assistance, hvis Licenstager anmoder om revisioner og inspektioner, der ikke er underlagt Colourbox s forpligtelser i henhold til denne Sektion Overførsler til tredjelande Enhver overførsel af Personoplysninger under denne DBA fra den Europæiske Union til lande, der ikke sikrer en tilstrækkelig grad af databeskyttelse i henhold til de gældende Love og Forskrifter om Databeskyttelse i ovenstående områder skal (i) være underlagt de da aktuelle Standardkontraktbestemmelser eller (ii) være autoriseret af de gældende Love og Forskrifter om Databeskyttelse i det eksporterende land, for eksempel i forbindelse med overførsler fra EU til et land, der er godkendt af Kommissionen, som sikrer en tilstrækkelig grad af beskyttelse (som Schweiz) eller (iii) være omfattet af en ordning (såsom Privacy Shield) godkendt af Kommissionen eller (iv) falde inden for en tilladt fravigelse. Licenstager accepterer og anerkender hermed, at Colourbox kan indgå Standardkontraktbestemmelser med berørte Underbehandlere med hensyn til Behandling af Personoplysninger Under alle omstændigheder må Licenstagers Personoplysninger kun overføres i det omfang, det er tilladt under de til enhver tid gældende Love og Forskrifter om Databeskyttelse. 12. Generelle Bestemmelser Med forbehold for Sektion 7 (mægling og kompetence) og 9 (gældende lov) i Standardkontraktbestemmelserne: Side 8 af 14

9 underkaster parterne af denne DBA sig hermed det lovvalg, der er fastsat i Aftalen med hensyn til eventuelle tvister eller erstatningsspørgsmål som måtte opstå under denne DBA, herunder tvister vedrørende dens eksistens, gyldighed eller opsigelse eller konsekvenserne af dens ugyldighed; og at denne DPA og alle ikke-kontraktlige eller andre forpligtelser, der opstår ud af eller i forbindelse hermed er underlagt det i Aftalen fastsatte lovvalg Licenstager kan: med mindst 30 (tredive) kalenderdages skriftlig varsel til Colourbox fra tid til anden foretage eventuelle ændringer til Standardkontraktbestemmelserne (herunder enhver Standardkontraktbestemmelse, der er indgået i henhold til Sektion 11.1), som de gælder for overførsler til tredjelande, som er omfattet af særlige Love og Forskrifter om Databeskyttelse, som er nødvendige som følge af enhver ændring i, eller afgørelse fra en kompetent myndighed under gældende Love og Forskrifter om Databeskyttelse, så disse overførsler til tredjelande foretages (eller fortsat blive gjort) uden brud på gældende Love og Forskrifter om Databeskyttelse; og foreslå eventuelle andre ændringer til denne DBA, som Licenstager med rimelighed anser for at være nødvendige for at imødegå gældende Love og Forskrifter om Databeskyttelse Hvis Licenstager giver varsel under Sektion : Skal Colourbox straks samarbejde (og sikre, at alle berørte Underdatabehandlere hurtigt samarbejder) for at sikre, at tilsvarende ændringer laves til den aftale indgået under Sektion Hvis Licenstager giver varsel under Sektion skal parterne hurtigst muligt drøfte de foreslåede ændringer og forhandle i god tro med henblik på at acceptere og gennemføre dem eller alternative variationer designet til at imødekomme kravene fastlagt i Licenstagers varsel, så snart som det er praktisk muligt Aftalens regulering af force majeure ved levering af Services gælder også for denne DBA og er en integreret del heraf. Hvis force majeure situationen fører til en brud af Persondatasikkerheden, gælder notifikationsproceduren i Sektion 7. Force majeure kan kun gøres gældende for det antal arbejdsdage, som force majeure-situation varer. Side 9 af 14

10 Tillæg A - NÆRMERE OPLYSNINGER OM BEHANDLINGEN Dette Tillæg A indeholder visse oplysninger om behandling af Licenstagers Personoplysninger som foreskrevet i artikel 28 (3) GDPR. Behandlingens Karakter og Formål Colourbox vil Behandle Licenstagers Personoplysninger i det omfang, det er nødvendigt for at udføre Services i henhold til Aftalen. Emne og varighed af Behandlingen Emne og varighed af Behandlingen af Licenstagers Personoplysninger er fastsat i Aftalen og/eller i denne DBA, medmindre andet er aftalt skriftligt. Varigheden er udtrykkeligt underlagt Sektion 8, Sletning og Tilbagelevering af Licenstagers Personoplysninger af denne DBA. Kategorier af Registrerede Licenstager kan sende Licenstagers Personoplysninger til de Services, omfanget er fastlagt og kontrolleret af Licenstager efter eget skøn, og kan omfatte, men er ikke begrænset til Personoplysninger vedrørende følgende kategorier af Registrerede: Licenstagers ansatte, agenter, rådgivere, freelancere og kunder (som er naturlige personer) Da Services omfatter muligheden for organisering, lagring og deling af Licenstagers materialer/ data, kan Colourbox behandle enhver kategori af Registrerede, herunder Personoplysninger på børn. Dette afhænger af Licenstagers materiale/data, som er under kontrol af Licenstager. Licenstager skal holde styr på de kategorier af Registrerede, som indgår i Licenstagers materiale/data. Typer af Personoplysninger, der Behandlesd Licenstager kan sende Personoplysninger til Services, omfanget heraf er fastlagt og kontrolleret af Licenstager efter eget skøn, og kan omfatte, men er ikke begrænset til følgende kategorier af Personoplysninger: Fornavn og efternavn Kontaktinformationer (f.eks. firma, , tlf., fysisk adresse) Da Services omfatter muligheden for organisering, lagring og deling af Licenstagers materialer/ data, kan Colourbox behandle enhver form for Personoplysninger, herunder Personoplysninger på børn. Dette afhænger af Licenstagers materiale/data, som er under kontrol af Licenstager. Licenstager skal holde styr på de typer af Personoplysninger, som indgår i Licenstagers materiale/data. Side 10 af 14

11 Licenstagers pligter og rettigheder Licenstager forpligtelser og rettigheder er fastsat i Aftalen og i denne DBA. Side 11 af 14

12 Tillæg B UNDERDATABEHANDLERE Colourbox s aktuelle liste over Underdatabehandlere i forbindelse med Services: Amazon Web Services - Burlington Plaza, 1 Burlington Rd, Dublin 4, D04 N9W8 Ireland - Hosting (infrastruktur) ( Amazon ) Side 12 af 14

13 Tillæg C TEKNISKE OG ORGANISATORISKE SIKKERHEDSKRAV OG - FORANSTALTNINGER Specifikke tekniske og organisatoriske sikkerhedskrav: 1. Colourbox iværksætter følgende specifikke foranstaltninger til overholdelse af den fysiske sikkerhed: a) Den fysiske adgang til Colourbox s bygning kontrolleres manuelt og er underlagt videoovervågning b) Amazon benyttes som hosting-tjeneste til levering af Services. Amazon stiller meget høje krav til egen fysiske sikkerhed 2. Colourbox iværksætter følgende specifikke foranstaltninger til overholdelse af den tekniske sikkerhed: a) Colourbox gennemfører regelmæssige risikoanalyser og tilpasser sin tekniske sikkerhed derefter b) En to-faktor autentificering er påkrævet for adgang til Colourbox s infrastruktur c) Kildekoden versionskontrolleres og vedligeholdes gennem en brug af ekstern tjeneste a) Ind- og udgående datakommunikation er krypteret i henhold til nyeste industristandarder 3. Colourbox iværksætter følgende specifikke foranstaltninger til overholdelse af den organisatoriske sikkerhed: a) Colourbox har undervist alle medarbejdere i korrekt håndtering af Licenstagers Personoplysninger i henhold til Databeskyttelsesforordningen b) Colourbox sikrer, at kun relevante personer har adgang til Licenstagers Personoplysninger placeret i Colourbox s systemer c) Colourbox har pålagt alle medarbejdere kontraktlige forpligtelser med hensyn til fortrolighed 4. Colourbox iværksætter følgende specifikke foranstaltninger i forbindelse med sletning af personoplysninger: a) Colourbox opbevarer Licenstagers Personoplysninger i henhold til Aftalen og vil ved ophør af Services vedrørende Behandling af Licenstagers Personoplysninger tilbagelevere alle Licenstagers Personoplysninger og kopier heraf til Licens tager, Side 13 af 14

14 destruere eksisterende kopier eller sørge for, at Personoplysningerne bliver gjort uigenkendelige, medmindre gældende lov eller et behov for at dokumentere Licenstagers brug af disse Services forhindrer Colourbox i at tilbagelevere eller destruere alle eller en del af Licenstagers Personoplysninger Fastsatte kontrolforanstaltninger for krævede behandlingssikkerhed 5. Colourbox giver de følgende specifikke garantier: a) Colourbox bruges Amazon AWS gletscher som en backup b) Backup af billeder, databasen og søgemaskinen er gennemført på tre sæt Amazon AWS udstyr c) Opbevaring er designet til % holdbarhed, se / Side 14 af 14