Databehandleraftale ISS

Transkript

1 Databehandleraftale ISS

2 Denne aftale ( Aftale ) er indgået den [dato] mellem ISS Facility Services A/S DK Gyngemose Parkvej Søborg (den Dataansvarlige ) og [indsæt navn på leverandør] [indsæt CVR nummer] [indsæt adresse] [indæst postnummer og by] ( Databehandleren ) Den Dataansvarlige og Databehandleren benævnes herefter individuelt som en Part og samlet for Parterne. Parterne har aftalt følgende: 1 Aftalens omfang 1.1 Parterne har indgået en aftale ( Hovedaftalen ) under hvilken Databehandleren skal levere nærmere bestemte services og/eller produkter til den Dataansvarlige. Databehandleren vil i Aftalens løbetid behandle personoplysninger på vegne af den Dataansvarlige med det formål at levere services og/eller produkter under Hovedaftalen. Databehandleren vil ikke behandle personoplysninger til andre formål og vil alene behandle personoplysninger i henhold til denne Aftale og Hovedaftalen. 1.2 De personoplysninger, som Databehandleren vil behandle under denne Aftale, er bl.a. navn, mailadresse, telefonnummer og adresse vedrørende den Dataansvarliges medarbejdere, gæster og den Dataansvarliges kunders medarbejdere og gæster. 2 Instrukser, sikkerhed osv. 2.1 Databehandleren vil alene behandle personoplysninger på vegne af den Dataansvarlige og i henhold til den Dataansvarliges instrukser herom. 2

3 2.2 Databehandleren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at personoplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med bestemmelserne i Europa- Parlamentets og Rådets Direktiv 95/46 EF og gældende lovgivning, som implementerer disse og eventuelle senere ændringer heraf, herunder Forordningen (EU) 2016/679 af den 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af Direktiv 95/46/EF (herefter benævnt Databeskyttelseslovgivningen ). 2.3 På den Dataansvarliges skriftlige anmodning skal Databehandleren give den Dataansvarlige, eller eventuelle tredjeparter udpeget af den Dataansvarlige (under forudsætning af indgåelse af rimelige og passende fortrolighedsforpligtelser), tilladelse til at kontrollere Databehandlerens behandlingsaktiviteter. Databehandleren skal efterleve alle rimelige anmodninger og instrukser fra den Dataansvarlige, således at den Dataansvarlige har mulighed for at påse, at Databehandleren og eventuelle underleverandører overholder deres forpligtelser i henhold til denne Aftale og Databeskyttelseslovgivningen. 2.4 Databehandleren skal sikre, at de medarbejdere, der behandler personoplysninger på dennes vegne, er underlagt en fortrolighedsforpligtelse. Fortrolighedsforpligtelsen skal også gælde efter Aftalens ophør. 2.5 Databehandleren skal opbevare dokumentation for kategorierne af personoplysninger og behandlingen heraf. Dokumentationen skal være tilgængelig for den Dataansvarlige på dennes skriftlige anmodning herom. 2.6 Databehandleren skal straks meddele den Dataansvarlige, såfremt en instruks, efter dennes opfattelse, strider mod Databeskyttelseslovgivningen. 3 Datastrømme og overførsel af data 3.1 Databehandleren vil ikke overføre personoplysninger til lande uden for EU/EØS uden den Dataansvarliges forudgående skriftlige samtykke. Såfremt et sådan samtykke gives, skal Databehandleren overholde alle krav, som er fremsat af databeskyttelsesmyndighederne eller andre myndigheder, og som er nødvendige for at opnå godkendelse til at overføre personoplysninger til lande uden for EU/EØS herunder at Databehandleren skal behandle personoplysninger i henhold til Kommissionens standardkontraktbestemmelser angivet i Kommissionens Afgørelse af 5. februar 2010 med senere ændringer. 3

4 4 Databehandling foretaget af underleverandører 4.1 Databehandleren må ikke udlicitere behandlingsaktiviteter, som udføres på vegne af den Dataansvarlige, til en underleverandør uden den Dataansvarliges forudgående skriftlige samtykke. 4.2 Såfremt Databehandleren udliciterer sine forpligtelser, som beskrevet i pkt. 4.1 til en underleverandør, skal dette ske ved indgåelse af skriftlig aftale, som pålægger underleverandøren de samme forpligtelser, som Databehandleren er underlagt i henhold til denne Aftale. Såfremt underleverandøren ikke opfylder sine forpligtelser i henhold til en sådan skriftlig aftale, skal Databehandleren være fuldt ud ansvarlig over for den Dataansvarlige for opfyldelsen af underleverandørens forpligtelser. 5 Meddelelse om brud på datasikkerheden 5.1 Databehandleren skal uden ugrundet ophold, og altid senest inden for en tidsramme, der giver den Dataansvarlige mulighed for at overholde Databeskyttelseslovgivningen, skriftligt meddele den Dataansvarlige, såfremt der konstateres eller er risiko for brud på datasikkerheden for personoplysninger, der behandles under denne Aftale. Meddelelsen skal indeholde de oplysninger, som er nødvendige for, at den Dataansvarlige kan overholde Databeskyttelseslovgivningen, herunder oplysninger om karakteren af bruddet og de foranstaltninger som er taget for at begrænse dets mulige skadevirkninger. 6 Erstatningsansvar 6.1 Databehandleren kan ikke begrænse eller ekskludere den Dataansvarliges ret til og Databehandlerens pligt til at betale erstatning som resultat af ethvert brud på databeskyttelsesforpligtelserne beskrevet i denne Aftale. Derfor skal Databehandleren holde den Dataansvarlige skadesløs for alle krav, udgifter, tab og skade lidt, samt for erstatningskrav fremsat mod den Dataansvarlige i forbindelse med Databehandlerens eller dennes underleverandørers manglende opfyldelse af kravene i denne Aftale. 7 Aftalens ophør 7.1 Denne Aftale træder i kraft den dato, hvor den sidste af Parterne underskriver Aftalen og kan opsiges af hver af Parterne med en (1) måneds skriftligt varsel. Uanset ovenstående skal bestemmelserne i denne Aftale forblive i kraft så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige. 7.2 Ved Aftalens ophør skal Databehandleren tilbagelevere al materiale indeholdende personoplysninger, som Databehandleren har behandlet på vegne af den Dataansvarlige, eller på den Dataansvarliges opfordring slette alle personoplysninger, som Databehandleren har behandlet på vegne af den Dataansvarlige samt fremlægge dokumentation for sletningen heraf. 4

5 8 Lovvalg og værneting 8.1 Enhver tvist eller ethvert krav, der måtte opstå i forbindelse med denne Aftale skal behandles ved de danske domstole og skal være underlagt dansk ret. 9 Underskrift, eksemplarer, osv. 9.1 Parterne erklærer hver især, at de er bemyndiget til at indgå denne Aftale. 9.2 Denne Aftale er underskrevet i to originale eksemplarer. Dato: På vegne af den Dataansvarlige: Navn: [indsæt navn] Dato: På vegne af Databehandleren: Navn: [indsæt navn] 5