Databehandleraftale Zenegy; Databehandleraftale Rev. 2.0

Transkript

1 Databehandleraftale Zenegy; Databehandleraftale Rev

2 INDHOLDSFORTEGNELSE 1. PARTERNE BAGGRUND OG FORMÅ BEHANDLING AF PERSONOPLYSNINGER DATABEHANDLERENS ALMINDELIGE FORPLIGTELSER DEN DATAANSVARLIGES ALMINDELIGE FORPLIGTELSER ANVENDELSE AF UNDERDATABEHANDLERE FORTROLIGHED ÆNDRINGER OG OVERDRAGELSE UNDERRETNING OM BRUD PÅ PERSONDATASIKKERHEDEN VARIGHED OG OPSIGELSE AF AFTALEN PRIORITET KONTAKTPERSONER/KONTAKTPUNKTER HOS DEN DATAANSVARLIGE OG DATABEHANDLEREN LOVVALG OG TVISTER

3 Databehandleraftale Denne databehandleraftale ("Aftalen") er indgået den mellem 1. PARTERNE Undertegnede parter Nyx Systems IVS Elmegade 17 København N 2200 CVR-nr.: (Herefter betegnet den "Dataansvarlige") og Zenegy Danmark ApS Slotsmarken Hørsholm CVR-nr.: (Herefter betegnet "Databehandleren") (Kunden og Leverandøren refereres desuden hver for sig til som Part og sammen som Parterne) 2. BAGGRUND OG FORMÅL 2.1 Parterne har indgået nærværende Aftale med henblik på Parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/ 679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/ 46/ EF (Databeskyttelsesforordningen), som stiller specifikke krav til indholdet af en Databehandleraftale. 2.2 Databehandleren tilbyder en cloud-baseret applikation, der markedsføres under navnet ZENEGY (i denne Databehandleraftale refereret til som "Applikationen"), som via selvbetjening giver den Dataansvarlige mulighed for at administrere lønudbetalinger til den Dataansvarliges Medarbejdere. Databehandleren tilbyder derudover eller vil tilbyde - visse tilvalgsmoduler, som den Dataansvarlige mod yderligere betaling kan tilvælge til sit abonnement, eksempelvis et HR administrationsmodul for administration af den Dataansvarliges medarbejdere. Ved tilvalg af sådanne yderligere moduler gælder denne Databehandleraftale tillige sådanne ydelser og udtrykket Applikationen skal læses som også omfattende de tilvalgte moduler. 2.3 Databehandleraftalen er indgået som supplement til og som en konsekvens af den mellem Parterne indgåede abonnementsaftale ("Abonnementsaftalen") om den Dataansvarliges brug af Applikationen som lønadministrationssystem for den Dataansvarlige og dennes Medarbejdere, og fastsætter de rettigheder og forpligtelser, som finder anvendelse, når Databehandleren foretager behandling af personoplysninger på vegne af den Dataansvarlige i forbindelse med den Dataansvarliges brug af Applikationen. 3

4 2.4 Databehandleren fungerer som databehandler for den Dataansvarlige, idet Databehandleren behandler personlige oplysninger for den Dataansvarlige og dennes Medarbejdere, som angivet i Bilag 1. Ved personlige oplysninger forstås oplysninger om en identificeret eller identificerbar fysisk person, jf. Artikel 4, stk. 1, i forordning (EU) 2016/ 679 af 27. april 2016 (Generaldirektoratet for Databeskyttelse "GDPR"). 2.5 Databehandleraftalen og Abonnementsaftalen er indbyrdes afhængige, og kan ikke opsiges særskilt. Databehandleraftalen kan dog uden at opsige Abonnementsaftalen erstattes af en anden gyldig Databehandleraftale. 2.6 Denne Databehandleraftale har forrang i forhold til eventuelle tilsvarende bestemmelser i andre Aftaler mellem Parterne, herunder i Abonnementsaftalen. 2.7 Til denne Databehandleraftale hører to Bilag. Bilagene udgør en integreret del af Databehandleraftalen. 3. BEHANDLING AF PERSONOPLYSNINGER 3.1 Databehandleren er instrueret til kun at behandle personoplysninger med det formål at levere de ydelser, der er angivet i Abonnementsaftalen. Databehandleren må ikke behandle eller anvende personlige data fra den Dataansvarlige til andre formål end fastsat i instruktionerne, herunder overførsel af personoplysninger til tredjelande eller til en international organisation, medmindre Databehandleren modtager skriftlig instruks om det fra den Dataansvarlige, eller er forpligtet til at gøre det i henhold til EU- eller medlemsstaternes lovgivning. I så fald skal Databehandleren skriftligt informere den Dataansvarlige om et sådant lovkrav inden behandlingen, medmindre den relevante lovgivning forbyder sådan oplysninger af hensyn til vigtige samfundsmæssig interesser, jf. GDPR, Artikel 28, stk. 3, litra a. Uanset foranstående bestemmelse kan Databehandleren behandle og/ eller anvende personlige data om den enkelte registrerede person til sådanne andre formål, som er tilladt af den registrerede. 3.2 Uanset bestemmelsen i pkt. 3.1 bemærkes, at Applikationen er en cloud-baseret Applikation, som bruges ved den Dataansvarliges selvbetjening. Databehandlerens ansvar er således begrænset til at sikre, at Applikationen ikke i sig selv medfører dataindsamling, behandling eller opbevaring, der er i strid med gældende lovgivning, bortset fra i det omfang andet fremgår af Abonnementsaftalen eller af denne Aftale, men er ikke ansvarlig for den Dataansvarliges eller dennes medarbejderes faktiske brug af Applikationen, herunder hvis sådan brug sker i strid med gældende ret eller i strid med Abonnementsaftalen eller denne Aftale. Behandlingen af persondata skal kun ske i et teknologisk miljø, som er under den Dataansvarliges, Databehandlerens og/ eller underleverandørers kontrol, og kun indenfor det territorie, som er angivet i Bilag 1. Det understreges dog, at databehandling kan omfatte tilgåelse af persondata udefra, både indenfor og udenfor territoriet. 3.3 Hvis den Dataansvarlige i instruktionerne i Bilag 1 eller på anden måde har givet tilladelse til overførsel af personoplysninger til et tredjeland eller til internationale organisationer, skal Databehandleren sikre, at der er et retsgrundlag for overførslen, jf. Bilag 1, pkt. (f). 3.4 Den Dataansvarliges instruks om, at der skal eller må foretages overførsel af personoplysninger til et tredjeland, skal fremgå af denne aftales Bilag 1 eller i en separate skriftlig instruks fra den Dataansvarlige til Databehandleren. Overførsel skal i sådanne tilfælde ske for den Dataansvarliges regning, risiko og ansvar. 4

5 3.5 Hvis Databehandleren anser en instruktion fra den Dataansvarlige for at være i strid med GDPR eller andre bestemmelser om databeskyttelse i EU eller i medlemsstaterne, skal Databehandleren omgående underrette den Dataansvarlige om dette. 4. DATABEHANDLERENS ALMINDELIGE FORPLIGTELSER 4.1 Databehandleren skal sikre, at personer, der er beføjet til at behandle personoplysningerne, har forpligtet sig til fortrolighed, eller er under en passende lovbestemt fortrolighedsforpligtelse. 4.2 Databehandleren skal iværksætte passende tekniske og organisatoriske foranstaltninger for at forhindre, at de behandlede personoplysninger (i) ved et uheld eller ulovligt ødelagt, tabes eller ændres (ii) offentliggøres eller stilles til rådighed uden tilladelse, eller (iii) på anden måde behandles i strid med gældende love, herunder GDPR. 4.3 Databehandleren skal også overholde de særlige datasikkerhedskrav, der gælder for Databehandleren, jf. Bilag 1, og andre gældende datasikkerhedskrav, der direkte er pålagt Databehandleren; herunder datasikkerhedskravene i Databehandlerens hjemland eller i det land, hvor databehandlingen skal udføres. 4.4 De relevante tekniske og organisatoriske sikkerhedsforanstaltninger skal fastlægges under behørig hensyntagen til (i) de aktuelle standarder (ii) omkostningerne ved deres gennemførelse, og (iii) arten, omfanget, sammenhænget og formålet med databehandlinge, samt risikoen for varierende sandsynlighed og alvorlighed for fysiske personers rettigheder og friheder. 4.5 Databehandleren skal efter anmodning give den Dataansvarlige tilstrækkelige oplysninger til, at den Dataansvarlige kan sikre, at Databehandlerens forpligtelser i henhold til Aftalen overholdes, herunder at de relevante tekniske og organisatoriske sikkerhedsforanstaltninger er gennemført. 4.6 Såfremt den Dataansvarlige stiller krav om, at Databehandleren skal fremsende en revisionsrapport fra en uafhængig ekspert om Databehandlerens overholdelse af datasikkerhedskravene i henhold til Aftalen, skal Databehandleren foranledige at dette sker senest med udgangen af februar hvert år for perioden til og med december det foregående år. Revisionsrapporten skal, efter Databehandlerens valg, udarbejdes på grundlag af en anerkendt standard for sådanne revisionsrapporter. Endvidere skal rapporten bekræfte, at Databehandleren har alle de nødvendige myndighedsgodkendelser, der er nødvendige for at udføre databehandlingsopgaverne. Omkostningerne ved indhentelse af den af den Dataansvarlige krævede revisionsrapport skal afholdes af den Dataansvarlige. 5

6 4.7 Den Dataansvarlige har desuden ret til for egen regning at udpege en uafhængig ekspert, som skal have adgang til Databehandlerens databehandlingsanlæg og modtage de nødvendige oplysninger for at kunne kontrollere, om Databehandleren har implementeret og vedligeholdt de tekniske og organisatoriske sikkerhedsforanstaltninger. Eksperten skal på Databehandlerens anmodning underskrive en fortrolighedssaftale og behandle alle oplysninger, der er opnået adgang til eller modtaget fra Databehandleren, fortroligt og må kun videregive de oplysninger til den Dataansvarlige, der vedrører Databehandlerens databehandling for den Dataansvarlige. 4.8 Databehandleren skal give oplysninger vedrørende levering af ydelserne til myndigheder eller Databehandlerens eksterne rådgivere, herunder revisorer, hvis dette er nødvendigt for udførelsen af deres opgaver i overensstemmelse med EU- eller medlemsstatslovgivningen. 4.9 Databehandleren skal give myndigheder, som i henhold til EU- eller medlemsstatslovgivning har ret til at få adgang til Databehandlerens eller Databehandlerens underleverandørers faciliteter, eller repræsentanter for myndighederne, adgang til Databehandlerens fysiske faciliteter mod forevisning af behørig legitimation Databehandleren skal uden unødig forsinkelse, efter at have fået kendskab til de faktiske oplysninger, skriftligt underrette den Dataansvarlige om: (i) enhver anmodning fra myndigheder om offentliggørelse af personoplysninger behandlet i henhold til Aftalen, medmindre det udtrykkeligt er forbudt i henhold til EU- eller medlemsstaternes lovgivning at give sådan underretning, (ii) enhver form for mistanke om eller konstatering af (a) brud på sikkerheden, der resulterer i utilsigtet eller ulovlig destruktion, tab, ændring, uautoriseret offentliggørelse eller adgang til personlige data, der overføres, opbevares eller på anden måde behandles af Databehandleren i henhold til Aftalen eller (b) anden manglende overholdelse af Databehandlerens forpligtelser i henhold til pkt. 4.2 og pkt. 4.3 eller (iii) fra tredjemand. enhver anmodning om adgang til personoplysningerne, modtaget direkte fra de registrerede eller 4.11 Under hensyntagen til databehandlingens art skal Databehandleren straks bistå den Dataansvarlige med håndtering af anmodninger fra registrerede ifølge kapitel III i GDPR, herunder anmodninger om adgang, rettelse, blokering eller sletning. Databehandleren skal også bistå den Dataansvarlige ved at gennemføre passende tekniske og organisatoriske foranstaltninger til opfyldelse af den Dataansvarliges forpligtelse til at reagere på sådanne anmodninger Databehandleren skal bistå den Dataansvarlige med at opfylde de øvrige forpligtelser, der måtte påhvile den Dataansvarlige i henhold til EU- eller medlemsstatslovgivning, hvor bistanden fra Databehandleren er underforstået, og hvor bistand fra Databehandleren er nødvendig for den Dataansvarlige for at denne kan overholde sine forpligtelser. Dette omfatter, men er ikke begrænset til, på anmodning at give den Dataansvarlige alle nødvendige oplysninger om en hændelse i henhold til pkt (ii) og alle nødvendige oplysninger til en konsekvensanalyse i overensstemmelse med artikel 35 og 36 i GDPR Databehandleren har i eller via Bilag 2 angivet anvendte underleverandører, og den fysiske placering af servere, servicecentre mv, der anvendes til at levere databehandlingsydelserne. Databehandleren forpligter sig til at holde oplysningerne om den fysiske placering opdateret med en (1) måneds forudgående skriftlig meddelelse til den Dataansvarlige i tilfælde af ændringer. Ændring af fysisk placering kræver ikke formel ændring af Bilag 2 forudgående skriftlig meddelelse via mail eller er tilstrækkelig. 6

7 4.14 Såfremt den Dataansvarlige eller en eller flere af dennes medarbejdere fremsætter krav derom, skal Databehandleren slette alle personoplysninger om de enkelte medarbejdere. Databehandleren er dog, trods krav om sletning, berettiget til fortsat at opbevare og behandle sådanne personoplysninger ifølge bestemmelserne i pkt , ligesom sletning ikke vil omfatte oplysninger, der er gemt på back-up lagre som del af Databehandlerens sædvanlige back-up procedurer, forudsat at sådanne back-up lagre ikke er umiddelbart tilgængelige for Databehandlerens personale og underleverandører. 5. DEN DATAANSVARLIGES ALMINDELIGE FORPLIGTELSER 5.1 Den Dataansvarlige er dataansvarlig og Databehandleren er databehandler i henhold til GDPR i forhold til de oplysninger som den Dataansvarlige og/ eller dennes medarbejdere indlæser/ overfører til Databehandleren ved brug af Applikationen, jf. dog pkt Den Dataansvarlige har overfor omverdenen (herunder de registrerede) ansvaret for, at behandlingen af personoplysninger sker indenfor rammerne af GDPR, medmindre andet er fastsat i GDPR, medlemsstatslovgivning eller i denne Aftale. 5.3 Den Dataansvarlige er ansvarlig for, at der foreligger hjemmel til den persondatabehandling, som Databehandleren instrueres i at foretage på vegne den Dataansvarlige. Det er den Dataansvarlige ansvar til enhver tid at sikre, at den Dataansvarliges medarbejdere har givet det fornødne samtykke til Databehandlerens modtagelse, behandling og opbevaring af personoplysninger om de enkelte medarbejdere, samt at sikre, at de til Databehandleren overførte oplysninger er korrekte og til enhver tid opdaterede. 5.4 Udover de af den Dataansvarlige og/ eller dennes medarbejdere indlæste/ overførte personoplysninger indhenter Applikationen, i det omfang det er muligt, løbende og automatisk oplysninger fra relevante myndigheder, eksempelvis skattemyndigheden, for at sikre, at de anvendte oplysninger om medarbejdernes forhold er opdaterede når den Dataansvarlige bruger Applikationen, mens andre oplysninger som er nødvendige for den Dataansvarliges beregning af medarbejdernes løn m.v., skal overføres/ indlæses i Applikationen af den Dataansvarlige eller den enkelte medarbejder. Oplysninger, der er nødvendige for brug af Applikationen, vil være forskellige i forskellige lande, ligesom muligheden for automatisk adgang til sådanne oplysninger vil være forskellig i forskellige lande. Oversigt over hvilke oplysninger, der er nødvendige for brug af Applikationen i de enkelte lande, og hvilke oplysninger, der kan hentes automatisk fra relevante myndigheder i de pågældende lande vil blive oplyst gennem et landespecifikt bilag til Databehandleraftalen ved den Dataansvarliges tilmelding til Applikationen. 5.5 Den Dataansvarliges medarbejdere må for såvidt angår oplysninger om dem selv både via Databehandlerens hjemmeside og via den af Databehandleren tilbudte App, egenhændigt træffe beslutning om Databehandlerens behandling af personoplysninger til andre formål og på anden måde end det, som følger af denne Aftale. 5.6 Den Dataansvarlige er bekendt med og er forpligtet til at gøre sine medarbejdere bekendt med - at Applikationen er en cloud-baseret løsning, hvor Databehandleren gør brug af IT-systemer, herunder servere, der stilles til rådighed overfor Databehandleren af tredjemand, og accepterer, at der i forbindelse med dataindsamling, databehandling og dataopbevaring ved brug af Applikationen sker overførsel af persondata til sådanne tredjemænd. De af Databehandleren p.t. anvendte tredjeparts-løsninger, hvortil der kan ske udveksling og behandling af persondata, fremgår af vedhæftede Bilag 2. 7

8 5.7 Den Dataansvarlige er ligeledes bekendt med og accepterer og er forpligtet til at gøre sine medarbejdere bekendt med og at acceptere - at brugersupport for Applikationen ikke leveres af Databehandleren, men at den Dataansvarlige kan tilkøbe denne service fra tredjeparts-supportleverandører og/ eller lønadministrationsvirksomheder, som den Dataansvarlige indgår direkte aftale med, og som den Dataansvarlige kan tildele adgang til Applikationen og til de personoplysninger, som er eller vil blive overført til eller behandlet eller opbevaret af Databehandleren i forbindelse med den Dataansvarliges brug af Applikationen. 5.8 Den Dataansvarlige er ligeledes bekendt med og accepterer, at Applikationen tilbyder et åbent API ("Application Programming Interface"), som gør det muligt for andre at udvikle Apps (software-løsninger), der kan "tale" med Applikationen, herunder udveksle data på tværs af programmerne, således at den Dataansvarlige og dennes medarbejdere, udover de funktionaliteter, der er til rådighed i Applikationen, kan vælge også at gøre brug af funktionaliteter i sådanne andre Apps, der tilbydes af tredjemand. Databehandleren udveksler ikke egenhændigt personoplysninger med sådanne tredjeparters Apps, men hvis den Dataansvarlige eller dennes medarbejdere vælger at installere og gøre brug af sådanne Apps fra tredjeparter, accepterer de samtidig, at de data, som Databehandleren har modtaget i forbindelse med brugen af Applikationen, helt eller delvist kan blive overført til databehandleren for de tilvalgte Apps. Databehandleren er uden nogen form for ansvar for den pågældende App-leverandørs behandling og opbevaring af sådanne personoplysninger, idet der ved den Dataansvarliges eller dennes medarbejders accept af en tredjeparts App opstår et selvstændigt retsforhold mellem den Dataansvarlige og/ eller den pågældende medarbejder på den ene side samt databehandleren af den pågældende App på den anden side. 6. ANVENDELSE AF UNDERDATABEHANDLERE 6.1 Den Dataansvarlige accepterer, at Databehandleren er berettiget til at gøre brug af underleverandører til indhentelse, behandling og opbevaring af personoplysninger. Databehandleren er forpligtet til at sikre, at underdatabehandlernes behandling af personoplysninger opfylder kravene i denne Aftale. Dette inkluderer Databehandlerens verifikation af, at de sikkerhedsforanstaltninger, som er indført af underdatabehandleren som minimum sikrer samme grad af beskyttelse som den, der kræves af Databehandleren ifølge denne Aftale. Såfremt den Dataansvarlige ønsker at modsætte sig brugen af de underleverandører, som Databehandleren har indgået Aftale med, er Databehandleren berettiget til at opsige Abonnementsaftalen med den Dataansvarlige, og denne Databehandleraftale. 6.2 Inden Databehandlerens antagelse af en underleverandør, skal Databehandleren indgå en skriftlig Aftale med underleverandøren, hvor mindst de samme databeskyttelsesforpligtelser som fastsat i Aftalen skal pålægges underleverandøren. 6.3 Databehandleren forbliver fuldt ansvarlig overfor den Dataansvarlige for underleverandørens opfyldelse af sine forpligtelser. At den Dataansvarlige har givet samtykke til Databehandlerens brug af underleverandører, berører ikke Databehandlerens forpligtelse til at overholde Aftalen. 8

9 7. FORTROLIGHED 7.1 Databehandleren skal opbevare personlige oplysninger fortroligt. 7.2 Databehandleren må ikke videregive personoplysningerne til tredjeparter eller tage kopier af personoplysninger, medmindre det er strengt nødvendigt for udførelsen af Databehandlerens forpligtelser over for den Dataansvarlige i henhold til Aftalen, og på betingelse af, at den som personoplysningerne videregives til, er fortrolig med oplysningernes fortrolige karakter og har accepteret at holde personoplysningerne fortrolige i overensstemmelse med denne Aftale. 7.3 Databehandleren skal begrænse adgangen til personoplysninger til medarbejdere og underleverandører, for hvem adgang til disse data er nødvendig for at opfylde Databehandlerens forpligtelser over for den Dataansvarlige. Leverandøren er dog berettiget til fortsat at opbevare oplysningerne så længe og i det omfang det er nødvendigt for at kunne opfylde en kontrakt eller for at kunne opfylde en juridisk forpligtelse, samt for Leverandørens varetagelse af egne interesser, eksempelvis som dokumentation for opfyldelse af Leverandørens forpligtelser ifølge Abonnementsaftalen og/ eller Databehandleraftalen. 7.4 Den Dataansvarlige skal holde de fortrolige oplysninger, der er modtaget af Databehandleren fortrolige, og må ikke på ulovlig måde anvende eller videregive fortrolige oplysninger. 8. ÆNDRINGER OG OVERDRAGELSE 8.1 Parterne kan til enhver tid Aftale at ændre denne Aftale. Ændringer skal være skriftlige. 8.2 Databehandleren må ikke overdrage eller på anden måde overføre nogen af sine rettigheder eller forpligtelser i henhold til denne Aftale uden den Dataansvarliges forudgående skriftlige samtykke. 9. UNDERRETNING OM BRUD PÅ PERSONDATASIKKERHEDEN 9.1 Databehandleren skal uden unødig forsinkelse underrette den Dataansvarlige efter at være blevet bekendt med, at der er sket brud på persondatasikkerheden hos Databehandleren eller eventuelle underdatabehandlere. Databehandlerens underretning til den Dataansvarlige skal om muligt ske senest 40 timer efter at denne er blevet bekendt med sikkerhedsbruddet, således at den Dataansvarlige har mulighed for at efterleve sin eventuelle forpligtelse til at anmelde bruddet til tilsynsmyndigheden indenfor 72 timer. 9.2 Databehandleren skal - under hensynstagen til behandlingens karakter og de oplysninger, der er tilgængelige for denne bistå den Dataansvarlige med at foretage anmeldelse af bruddet til tilsynsmyndigheden. Det kan betyde, at Databehandleren bl.a. skal hjælpe med at tilvejebringe nedenstående oplysninger, ifølge GDPR Artikel 33, stk. 3, til det ansvarlige datatilsyn: (i) Karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger. 9

10 (ii) Sandsynlige konsekvenser af bruddet på persondatasikkerheden. (iii) Foranstaltninger, som er truffet eller foreslås truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger. 10. VARIGHED OG OPSIGELSE AF AFTALEN 10.1 Aftalen træder i kraft, når den er underskrevet af begge parter, og forbliver i kraft, indtil den opsiges af en af parterne. Ved en Parts opsigelse eller ophævelse af Abonnementsaftalen, anses dette som en samtidig opsigelse, henholdsvis ophævelse, af denne Databehandleraftale, og ved opsigelse eller ophævelse af denne Databehandleraftale, anses dette som en samtidig opsigelse, henholdsvis ophævelse, af Abonnementsaftalen Hver part kan opsige Aftalen med 3 måneders skriftlig varsel Ved den Dataansvarliges undladelse af at gøre brug af Applikationen i en periode på mere end 6 måneder, anses dette automatisk som en opsigelse af Databehandleraftalen og af Abonnementsaftalen Uanset Aftalens løbetid er Aftalen gældende, så længe Databehandleren behandler de personlige oplysninger, for hvilke den Dataansvarlige er dataansvarlig I tilfælde af Aftalens ophør skal Databehandleren, uanset årsag, levere de nødvendige overdragelsessydelser til den Dataansvarlige. Databehandleren er forpligtet til at hjælpe loyalt og så hurtigt som muligt med at overføre personoplysninger til en anden leverandør eller returnere dem til den Dataansvarlige, og er, uanset årsagen til Aftalens ophør, berettiget til vederlag for sådanne overdragelsessydelser På den Dataansvarliges anmodning skal Databehandleren straks overføre eller slette personlige data, som Databehandleren behandler for den Dataansvarlige, medmindre EU- eller medlemsstatslovgivningen kræver opbevaring af personoplysningerne Ved Databehandleraftalens ophør opbevarer Databehandleren de modtagne oplysninger og de lønsedler m.v., som er genereret via Applikationen på basis af de modtagne oplysninger i en periode på 6 måneder efter Databehandleraftalens ophør, hvorefter oplysningerne permanent slettes, jf. dog pkt Ved Databehandleraftalens ophør er den Dataansvarlige berettiget til at modtage kopi af de til Databehandleren overførte personoplysninger. Oplysningerne skal leveres til den Dataansvarlige i det læsbare digitale format, som genereres af Applikationen Tilsvarende har den Dataansvarliges medarbejdere mulighed for til enhver tid at hente elektroniske kopier og/eller foretage fysiske udskrifter af de lønsedler, som er genereret for hver af dem via brugen af Applikationen, dog således, at adgangen hertil ophører på det tidligste af følgende to tidspunkter: (i) 6 måneder efter Databehandleraftalens ophør, eller (ii) 6 måneder efter at den Dataansvarlige har meddelt Databehandleren, at den pågældende medarbejder er fratrådt sin stilling hos den Dataansvarlige. 10

11 10.10 Uanset bestemmelserne i pkt og/ eller i pkt er Databehandleren berettiget til fortsat at opbevare personoplysningerne så længe og i det omfang det er nødvendigt for at kunne opfylde en kontrakt eller for at kunne opfylde en juridisk forpligtelse, samt for Databehandlerens varetagelse af egne interesser, eksempelvis som dokumentation for opfyldelse af Databehandlerens forpligtelser ifølge Abonnementsaftalen og/ eller Databehandleraftalen. 11. PRIORITET 11.1 Hvis nogen af bestemmelserne i Aftalen er i strid med bestemmelserne i nogen anden skriftlig eller mundtlig aftale indgået mellem Parterne, skal bestemmelserne i Aftalen have forrang. Kravene i Aftalens pkt. 4 gælder dog ikke i det omfang Parterne i en anden Aftale måtte have fastsat skærpede forpligtelser for Databehandleren. Endvidere finder Aftalen ikke anvendelse, hvis EU-Kommissionens Standard Kontraktbestemmelser for overførsel af personoplysninger til tredjelande er indgået, og sådanne bestemmelser indeholder strengere forpligtelser for Databehandleren og/ eller dennes underleverandører Denne Aftale fastsætter ikke den Dataansvarliges vederlag til Databehandleren for Databehandlerens ydelser i henhold til Aftalen. 12. KONTAKTPERSONER/KONTAKTPUNKTER HOS DEN DATAANSVARLIGE OG DATABEHANDLEREN 12.1 Parterne kan kontakte hinanden via nedenstående kontaktpersoner/ kontaktpunkter: Den Dataansvarlige: Databehandleren: Navn: Nicolai Cornelis Stilling: Founder & Lead Developer Telefonnummer: cornelis@nyxapp. net Navn: Jes Tækker Stemann Brinch Stilling: CEO Telefonnummer: jes@zenegy. com 12.2 Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende kontaktpersonen/ kontaktpunktet. 13. LOVVALG OG TVISTER 13.1 Denne Databehandleraftale og enhver tvist, der måtte udspringe heraf, er underlagt dansk ret, undtagen eventuel international privatretlig regulering. 11

12 13.2 Enhver tvist mellem Parterne, der udspringer af denne aftale, skal afgøres efter de tvistløsningsbestemmelser, som er fastsat i Abonnementsaftalen mellem Parterne. For og på vegne af den Dataansvarlige: For og på vegne af Databehandleren: Dato: Dato: Navn: Nicolai Cornelis Navn: Jes Tækker Stemann Brinch Stilling: Founder & Lead Developer Stilling: CEO 12

13 INSTRUKS VEDRØRENDE BEHANDLING AF PERSONOPLYSNINGER Bilag 1 zenegy.com/ bilag-1-databehandleraftale/ Bilag 2 OVERSIGT OVER UNDERLEVERANDØRER, MYNDIGHEDER OG TREDJEPARTERS SOFTWARE SOM PERSONDATA UDVEKSLES/BEHANDLES MED zenegy.com/ third-party-apps/ 13