BILAG G DATABEHANDLERAFTALE. mellem. Aalborg Havn Logistik A/S XXX A/S

Transkript

1 Dette Bilag udgør Bilag G til Partnerskabs- og Driftsaftalen. BILAG G DATABEHANDLERAFTALE mellem Aalborg Havn Logistik A/S og XXX A/S APRIL 2019 [1]

2 DATABEHANDLERAFTALE Mellem Aalborg Havn Logistik A/S Langerak Aalborg Øst CVR. nr.: (herefter AHL ) og [Leverandørens navn] [adresse] [postnr. og by] CVR. nr.: [XXXX] (herefter Leverandøren ) I forbindelse med udbud af serviceopgaver på Aalborg Havns områder, herunder Partnerskabs- og driftsaftale samt Virksomhedsoverdragelsesaftale (herefter hver for sig og samlet benævnt som Hovedaftalen), er der indgået nærværende databehandleraftale (herefter Aftalen ) om Leverandørens behandling af personoplysninger på vegne af AHL: [2]

3 Generelt (regulering) 1.1 Aftalen vedrører Leverandørens forpligtelser til at overholde Persondatalovens bestemmelser om behandling af personoplysninger samt Leverandørens forpligtelser til at overholde Sikkerhedsbekendtgørelsens bestemmelser (Bekendtgørelse nr. 528), Sikkerhedsvejledningens bestemmelser (Bekendtgørelse nr. 37) samt EU s Databeskyttelsesforordning (2016/679) af 27. april Leverandøren skal behandle personoplysninger i overensstemmelse med god databehandlingsskik, jf. de til enhver tid gældende regler og forskrifter for behandling af personoplysninger. 1.3 Leverandøren forpligter sig til at gøre sig bekendt med Aalborg Havns Data-sikkerhedspolitik og IT-politik samt følge de til enhver tid gældende retningslinjer, som AHL måtte kræve. 1.4 Aftalen regulerer alene den behandling af personoplysninger, som Leverandøren foretager for AHL. 2. Formål 2.1 Leverandøren behandler i medfør af Hovedaftalen personoplysninger for AHL. De personoplysninger, der behandles af Leverandøren, omfatter; formål med behandlingen, kategorier af personoplysninger, kategorier af registrerede personer, lokation for behandlingen, varigheden af behandlingen; og er beskrevet i bilag AHL s rettigheder og forpligtelser 3.1 AHL er dataansvarlig for de personoplysninger, som AHL instruerer Leverandøren om at behandle. AHL s behandling af personoplysninger er nødvendig og saglig i forhold til AHL s opgavevaretagelse. 3.2 AHL har de rettigheder og forpligtelser, som er givet en dataansvarlig i medfør af lovgivningen. 3.3 AHL er forpligtet til at orientere Leverandøren i tilfælde af AHL s eventuelle skærpede it-sikkerhedsregler, ved ændringer i AHL s data-sikkerhedspolitik og IT-politik samt i tilfælde hvor lovgivningen måtte stille særlige krav til de sikkerhedsforanstaltninger som gælder for AHL. 4. Leverandørens rettigheder og forpligtelser 4.1 Leverandøren er databehandler for de personoplysninger, som Leverandøren behandler på vegne af AHL. Leverandøren har som databehandler de rettigheder og forpligtelser, som er givet og pålagt en databehandler i medfør af lovgivningen. [3]

4 4.2 Leverandøren behandler alene de overladte personoplysninger efter instruks fra AHL, og alene med henblik på opfyldelse af Hovedaftalen. 4.3 Leverandøren skal sikre at kun personer som er autoriseret hertil, har adgang til de personoplysninger, der behandles på AHL s vegne. 4.4 Data skal altid opbevares centralt og arbejdspladser med mulighed for adgang hertil skal være beskyttet med adgangskontrol, antivirus og firewall leveret af databehandler. 4.5 Leverandøren skal føre en fortegnelse over alle sikkerhedsbrud. 4.6 Leverandøren skal på AHL s foranledning hjælpe AHL med at efterleve dennes forpligtelser efter Databeskyttelsesforordningens artikel Leverandøren garanterer at levere tilstrækkelig ekspertise, pålidelighed og ressourcer til at implementere passende tekniske og organisatoriske foranstaltninger sådan, at Leverandørens behandling af AHL s personoplysninger opfylder kravene i Databeskyttelsesforordningen og sikrer beskyttelse af den registreredes rettigheder. 5. Underleverandør (underdatabehandler) 5.1 Ved underdatabehandler forstås en underleverandør, til hvem Leverandøren har overladt hele eller dele af den behandling, som Leverandøren foretager på vegne af AHL. 5.2 Leverandøren må ikke uden udtrykkelig skriftlig godkendelse fra AHL anvende underdatabehandlere, herunder foretage udskiftning af eksisterende, til at behandle de personoplysninger, som AHL har overladt til Leverandøren i medfør af Hovedaftalen. 5.3 Hvis Leverandøren overlader behandlingen af personoplysninger, som AHL er dataansvarlig for, til underdatabehandlere, skal Leverandøren indgå en skriftlig (under)databehandleraftale med underdatabehandleren. 5.4 Underdatabehandleraftalen skal pålægge underdatabehandleren de samme databeskyttelsesforpligtelser, som Leverandøren er pålagt efter Aftalen, herunder, at underdatabehandleren garanterer at kunne levere tilstrækkelig ekspertise, pålidelighed og ressourcer til at kunne implementere de passende tekniske og organisatoriske foranstaltninger således, at underdatabehandlerens behandling opfylder kravene i Databeskyttelsesforordningen og sikrer beskyttelse af den registreredes rettigheder. [4]

5 5.5 Når Leverandøren overlader behandlingen af personoplysninger, som AHL er dataansvarlig for, til underdatabehandlere, har Leverandøren over for AHL ansvaret for underdatabehandlernes overholdelse af disses forpligtelser. 5.6 AHL kan til enhver tid forlange dokumentation fra Leverandøren for eksistensen og indholdet af underdatabehandleraftaler for de underdatabehandlere, som Leverandøren anvender i forbindelse med opfyldelsen af sine forpligtelser over for AHL. 5.7 De underdatabehandlere som AHL har givet samtykke til at Leverandøren må benytte, fremgår af bilag Al kommunikation mellem AHL og underdatabehandleren sker via Leverandøren. 6. Instrukser 6.1 Leverandørens behandling af personoplysninger på vegne af AHL sker udelukkende efter instruks. 6.2 Leverandøren må ikke behandle eller anvende personoplysninger til andre formål end angivet i instruksen. 6.3 Det er Leverandørens ansvar at sikre, at eventuelle underdatabehandlere får tilsendt AHL s instruks. 6.4 Leverandøren giver omgående besked til AHL, hvis en instruks efter Leverandørens vurdering er i strid med lovgivningen. 7. Tekniske og organisatoriske sikkerhedsforanstaltninger 7.1 Leverandøren skal sikre personoplysningerne via tekniske og organisatoriske sikkerhedsforanstaltninger, som beskrevet i Sikkerhedsbekendtgørelsen og Sikkerhedsvejledningen og Databeskyttelsesforordningen. 7.2 Leverandøren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at personoplysninger hændeligt eller ulovligt: (i) (ii) (iii) tilintetgøres, mistes, ændres eller forringes, kommer til uvedkommendes kendskab eller misbruges, eller i øvrigt behandles i strid med Persondataloven eller i strid med AHL s uddybende itsikkerhedsregler samt AHL s instruks (bilag 1) til Leverandøren. 7.3 Leverandøren skal iværksætte alle sikkerhedsforanstaltninger, der kræves for at sikre et passende sikkerhedsniveau. Leverandøren træffer desuden de fornødne sikkerhedsforanstaltninger for at sikre et sikkerhedsniveau, der opfylder kravene i Sikkerhedsbekendtgørelsen og tilhørende praksis. [5]

6 7.4 Leverandøren skal endvidere overholde de særlige krav til sikkerhedsforanstaltninger, der gælder for AHL, jf. bilag 1, samt overholde de lovgivningsmæssige krav til sikkerhedsforanstaltninger, som direkte forpligter Leverandøren. 7.5 Leverandøren skal udarbejde en redegørelse for hvordan Leverandøren planlægger at iværksætte de fornødne sikkerhedsforanstaltninger samt redegøre for hvordan Leverandøren overholder relevante krav i sikkerhedsbekendtgørelsen inden for de i bilag 2, pkt. 3 nævnte områder. 7.6 Leverandøren skal mindst en gang årligt gennemgå sine interne sikkerhedsforskrifter og retningslinjer for behandlingen af personoplysninger med henblik på at sikre, at de fornødne sikkerhedsforanstaltninger til stadighed er iagttaget. 7.7 Leverandøren samt dennes ansatte er underlagt forbud mod at skaffe sig oplysninger af enhver art, som ikke har betydning for udførelsen af den pågældendes opgaver. 7.8 Leverandøren har pligt til at instruere de ansatte, der har adgang til eller på anden måde varetager behandling af AHL s personoplysninger, om Leverandørens forpligtelser, herunder bestemmelserne om tavshedspligt og fortrolighed, jf. pkt Leverandøren er forpligtet til straks at underrette AHL om ethvert sikkerhedsbrud samt ved: (i) (ii) (iii) enhver anmodning om videregivelse af personoplysninger omfattet af Aftalen fra en myndighed, medmindre orienteringen af AHL er eksplicit forbudt ved lov, f.eks. i medfør af bestemmelser, der har til formål at sikre fortroligheden af en retshåndhævende myndigheds efterforskning; enhver mistanke om, eller konstatering af, (a) brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, forringelse, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet af Leverandøren i henhold til Aftalen, eller (b) enhver anden manglende overholdelse af Leverandørens forpligtelser; anden manglende overholdelse af Leverandørens, samt eventuelle underdatabehandleres forpligtelser uanset, om dette sker hos Leverandøren eller hos en underdatabehandler Leverandøren må ikke hverken offentligt eller til tredjeparter kommunikere om sikkerhedsbrud uden forudgående skriftlig aftale med AHL om indholdet af en sådan kommunikation, medmindre Leverandøren har en retlig forpligtelse til sådan kommunikation. 8. Overførsler til andre lande 8.1 Leverandørens overførsel af personoplysninger til lande, der ikke er medlem af EU (tredjelande), f.eks. via en cloudløsning eller en underdatabehandler, skal ske i overensstemmelse med AHL s instruks herfor. [6]

7 8.2 Hvis AHL s personoplysninger overføres til en EU-medlemsstat, er det frem til 25. maj 2018 Leverandørens ansvar, at de til enhver tid gældende bestemmelser om sikkerhedsforanstaltninger, som er fastsat i lovgivningen i den pågældende medlemsstat, overholdes. 8.3 Leverandøren må ikke overføre eller tillade overførsel af personoplysninger til andre lande, med mindre AHL har givet skriftlig godkendelse hertil. Leverandøren har pligt til at anmode AHL om godkendelse heraf såfremt overførsel af personoplysninger til andre lande er nødvendige for opfyldelsen af Leverandørens forpligtelser i henhold til Hovedaftalen. 9. Tavshedspligt og fortrolighed 9.1 Leverandøren er såvel under Hovedaftalen som efter Hovedaftalens ophør underlagt fuld tavshedspligt med hensyn til de fortrolige oplysninger, som kommer til Leverandørens kendskab. Leverandøren må således ikke uden instruks fra AHL videregive oplysninger, som man kommer i besiddelse af ved udførelsen af opgaven som databehandler. Leverandøren må ej heller bruge oplysninger fra databehandleropgaven til egne formål. 9.2 Leverandøren skal sikre, at alle, der behandler oplysninger omfattet af Aftalen, herunder ansatte, tredjeparter (f.eks. en reparatør) og underdatabehandlere, forpligter sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. 10. Kontroller og erklæringer 10.1 Leverandøren skal udlevere fyldestgørende oplysninger til AHL s vurdering og kontrol af, om de nødvendige sikkerhedsforanstaltninger er iværksat og overholdes AHL, en repræsentant for AHL eller dennes revision, såvel intern som ekstern, har adgang til at foretage inspektioner og revision hos Leverandøren, herunder, få udleveret dokumentation, herunder logs, stille spørgsmål m.v. med henblik på at konstatere, at Leverandøren overholder de krav, der følger af denne Aftale Leverandøren skal på AHL s forlangende, og for Leverandørens regning, inden udgangen af 1. kvartal til AHL fremsende en ISAE 3402 type 2 erklæring vedr. generelle IT-kontroller relevante for de i Hovedaftalen omhandlende opgaver. Erklæringen skal omfatte både Leverandørens og eventuelle underdatabehandleres databehandling I tilfælde af, at relevante offentlige myndigheder, særligt Datatilsynet, ønsker at foretage en inspektion af de ovennævnte foranstaltninger i henhold til denne aftale, forpligter Leverandøren og Leverandørens underleverandører sig til uden yderligere omkostninger for AHL at stille tid og ressourcer til rådighed herfor. [7]

8 11. Ændringer i Aftalen 11.1 AHL kan til enhver tid, med et forudgående varsel på mindst 5 arbejdsdage, foretage ændringer i Aftalen og instruksen. Leverandøren skal ved sådanne ændringer uden ugrundet ophold sikre, at underdatabehandlerne tillige forpligtes af ændringerne I det omfang ændringer i lovgivningen eller tilhørende praksis, giver anledning til dette, er AHL straks og uden at dette medfører krav om betaling fra Leverandøren, berettiget til at foretage ændringer i Aftalen. 12. Sletning af data 12.1 AHL træffer beslutning om, hvorvidt der skal ske sletning eller tilbagelevering af personoplysningerne efter, at behandlingen af personoplysningerne er ophørt Ved reparation, service, bortskaffelse eller salg af databærende medier indeholdende oplysninger af fortrolig eller følsom karakter, skal medierne enten destrueres efter anerkendt metode (fx NIST eller lignende) eller data uigenkaldeligt slettes ved hjælp af gentagne overskrivninger med specialprogram eller afmagnetisering af selve datamediet Er der ikke aftalt nærmere påhviler det Leverandøren ved databehandlingens ophør at anmode AHL om at anvise nærmere vedr. behandlingen af personoplysninger, herunder om data ønskes slettet eller tilbageleveret I det tilfælde, hvor personoplysningerne ønskes tilbageleveres til AHL, skal Leverandøren ligeledes slette eventuelle kopier. Leverandøren skal sikre, at eventuelle underdatabehandlere ligeledes efterlever AHL s meddelelse Leverandøren skal fremsende dokumentation for, at den påkrævede sletning, jf. pkt og 12.3, er foretaget. 13. Misligholdelse og tvister 13.1 En parts manglende misligholdelse af Aftalen udgør en væsentlig misligholdelse af såvel Aftalen som Hovedaftalen, medmindre den manglende overholdelse bringes til ophør snarest muligt og senest inden for en af den anden part fastsat rimelig frist. Den rimelige frist skal fastsættes uden hensyntagen til den faktiske risiko, som den manglende overholdelse udgør, og de realistiske muligheder for at sikre overholdelse. Den misligholdende part er ansvarlig for alle direkte tab, som den ikke-misligholdende part påføres som følge af den misligholdende parts ansvarspådragende handlinger eller undladelser. [8]

9 14. Betalinger og omkostninger 14.1 Hver pat bærer selv samtlige omkostninger forbundet med opfyldelsen af egne forpligtelser i henhold til Aftalen, medmindre andet udtrykkeligt er anført i Aftalen eller udtrykkeligt fremgår af andre aftaler mellem parterne. 15. Erstatning og forsikring 15.1 Den misligholdende part skal friholde den ikke-misligholdende part for bøder og omkostninger, som den ikkemisligholdende part påføres som en direkte følge af, at den misligholdende part ikke har overholdt gældende persondatalovgivning Erstatnings- og forsikringsspørgsmål er herudover reguleret i Hovedaftalen. 16. Ikrafttræden og ophør 16.1 Aftalen træder i kraft ved begge parters underskrift og løber indtil ophør af Hovedaftalen Leverandøren er dog forpligtet af Aftalen, så længe denne behandler personoplysninger på vegne af udgiver. 17. Lovvalg og værneting 17.1 Nærværende aftale reguleres efter dansk ret Enhver tvist som måtte opstå som følge af Aftalen, herunder om Aftalens eksistens eller gyldighed, skal afgøres af domstolene ved AHL s værneting. [9]

10 18. Underskrifter Aalborg Havn Logistik A/S: Leverandøren: Dato: / Dato: / Claus Holstein Administrerende direktør (Tegningsberettigede) Administrerende direktør Lasse Frimand Jensen Bestyrelsesformand (Tegningsberettigede) Bestyrelsesformand [10]

11 Bilag: Bilag 1 Instruks Bilag 2 Sikkerhed (Leverandørens redegørelse) Bilag 3 Underdatabehandlere (godkendte) [11]

12 Bilag 1 Instruks AHL s instruks til leverandøren vedr. Dette bilag udgør AHL s instruks til Leverandøren i forbindelse med Leverandørens databehandling for AHL, og er en integreret del af Aftalen. Instruksen omfatter foruden de anonymiserede personoplysninger, som er indeholdt i det samlede aftalekompleks og som udleveres til Leverandøren som en del af udbudsmaterialet, også samtlige tilgængelige personoplysninger, i uanonymiseret form, som AHL er i besiddelse af vedrørende de for udbuddet relevante ansatte. Behandlingen af personoplysninger A) Formål og karakteren af databehandlingen: Formål med databehandlingen Udleveringen af persondata, for hvem AHL er ansvarlig for, til Leverandøren sker med det formål, at bidrage til et mere fyldestgørende billede af den virksomhed, herunder gruppen af medarbejdere, som den vindende tilbudsgiver i så fald vil skulle overtage efter afslutningen af udbuddet. Leverandøren behandler personoplysninger alene med det formål bedre at kunne vurdere helhed og konsekvenser ved at indgå Partnerskabs- og driftsaftale med AHL. Karakteren af databehandlingen Leverandørens behandling af persondata er, udover de begrænsninger der følger af nærværende databehandleraftale eller lovgivningen, begrænset til følgende: - Leverandøren må alene opbevare persondata i forhandlingsperioden indtil dét udbud, hvortil nærværende databehandleraftale er tilknyttet er afsluttet eller ophørt. - Leverandøren må ikke lave egne registreringer, herunder kopier af personoplysninger. - Leverandøren må på ingen måde videregive personoplysninger og andet materiale til tredjemand. - Leverandøren må ikke anvende personoplysningerne til egne formål, udover beregninger og lignende specifikt rettet mod dét udbud, hvortil nærværende databehandleraftale er tilknyttet. - Leverandøren må ikke foretage ændringer af nogen som helst form i personoplysningerne. - Leverandøren skal opbevare samtlige personoplysningerne i aflåst skab, hvortil et begrænset antal personer har adgang til. Personoplysningerne skal altid holdes under opsyn når disse er uden for aflåst skab, og altid kun af personer der er autoriserede af Leverandøren til at måtte omgås oplysningerne. B) Kategorier af registrerede personer: a) AHL s nuværende medarbejdere, som tiltænkes at kunne overgå til Leverandøren som led i en virksomhedsoverdragelse. [12]

13 C) Kategorier af personoplysninger: Re B-1) AHL s nuværende medarbejdere CPR-nummer, Navn, Adresse, Alder, Køn, Stillingsbetegnelse, Anciennitet, Telefonnumre, adresser, Ansættelsesforhold, Fraværsregistreringer, Løndata, Pensions informationer, Skattekortoplysninger, Navn og adresse samt telefonnummer på pårørende, Medlemskaber, Kompetencer, Arbejdsskader, Uddannelse og kurser. D) Særlige kategorier af personoplysninger: AHL opbevarer som hovedregel ingen personoplysninger under kategorien særligt følsomme personoplysninger, ud over medlemskab af fagforening for overenskomstansatte, men undtagelsesvist kan der evt. forefindes bl.a. helbredsoplysninger for enkeltstående medarbejdere. E) Lokation(er), inklusive angivelse af land for behandlingen: [Leverandørens adresse, Bynavn/STED], Land F) Særlige krav til sikkerhedsforanstaltninger, der gælder for AHL: Ingen G) Varighed af databehandlingen: Varighed De af denne instruks omfattede persondata må behandles af Leverandøren indtil tidspunktet hvor dét udbud, hvortil nærværende databehandleraftale er tilknyttet, er afsluttet eller ophørt. Leverandøren er dog forpligtet af Aftalen så længe denne behandler persondata på vegne af AHL. Leverandørens handlinger ved databehandlingens ophør Leverandøren er forpligtet til, ene og ansvarlig for, straks efter afslutningen eller ophøret af dét udbud, hvortil nærværende databehandleraftale er tilknyttet, fuldstændigt at destruere eller tilbagelevere samtlige persondata udleveret af AHL til Leverandøren. Vælger Leverandøren at destruere de udleverede persondata skal dette ske på en faglig anerkendt og sikkerhedsmæssigt forsvarlig måde, hvor data aldrig vil kunne genskabes. Leverandøren indestår herfor. [13]

14 Vælger Leverandøren at tilbagelevere at tilbagelevere de udleverede persondata skal dette ske til AHL s adresse, ved personligt fremmøde eller ved anbefalet brev. Det er Leverandørens ensidige ansvar og risiko at de udleverede persondata tilbageleveres til AHL i fuldstændig og uændret form. Leverandøren skal senest 1 uge efter afslutningen eller ophøret af dét udbud, hvortil nærværende databehandleraftale er tilknyttet informere AHL om hvilken mulighed Leverandøren har valgt samt fremsende dokumentation på at de valgte handlinger er udført. [14]

15 Bilag 2 Sikkerhed (Leverandørens redegørelse) 1. Indledning Dette bilag indeholder en beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger, som Leverandøren i medfør af Aftalen har ansvar for at gennemføre, overholde og sikre overholdelse af hos dennes underdatabehandlere, som er angivet i bilag Sikkerhedskrav Leverandøren skal gennemføre de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger for at sikre et sikkerhedsniveau, der opfylder kravene i Persondataloven, Sikkerhedsbekendtgørelsen, Sikkerhedsvejledningen og tilhørende praksis. Foranstaltningerne gennemføres for at undgå, at personoplysninger hændeligt eller ulovligt: tilintetgøres, mistes, ændres eller forringes, kommer til uvedkommendes kendskab eller misbruges, eller i øvrigt behandles i strid med lovgivningen, jf. Aftalens pkt Leverandørens redegørelse vedr. Sikkerhedsforanstaltninger [LEVERANDØREN UDFYLDER EN REDEGØRELSE] Leverandøren skal, i tillæg til nærværende aftale, udarbejde en redegørelse for hvordan Leverandøren planlægger at iværksætte de nødvendige sikkerhedsforanstaltninger samt redegøre for hvordan Leverandøren overholder relevante krav i sikkerhedsbekendtgørelsen inden for nedenstående områder: A) Generelle sikkerhedsforanstaltninger [LEVERANDØREN UDFYLDER] B) Autorisation og adgangskontrol (begrænsning af adgang til persondata udleveret fra AHL) [LEVERANDØREN UDFYLDER] C) Inddatamateriale som indeholder personoplysninger (opbevaring af persondata) [LEVERANDØREN UDFYLDER] D) Uddatamateriale som indeholder personoplysninger [LEVERANDØREN UDFYLDER] E) Kommunikationsforbindelser (deling af persondata i virksomheden) [LEVERANDØREN UDFYLDER] F) Kontrol med afviste adgangsforsøg [LEVERANDØREN UDFYLDER] G) Logning [LEVERANDØREN UDFYLDER] H) Hjemmearbejdspladser [LEVERANDØREN UDFYLDER] [15]

16 4. Leverandørens erklæring vedr. IT kontroller Leverandøren skal til enhver tid leve op til gældende standarder på IT-området, herunder på AHL s anmodning, med en frist på 3 måneder og for Leverandørens egen regning, fremsende en ISAE 3402 type 2 erklæring vedr. generelle IT-kontroller relevante for de i Hovedaftalen omhandlede opgaver. [16]

17 Bilag 3 Underdatabehandlere (AHL s godkendte) LEVERANDØREN UDFYLDER, såfremt der benyttes underdatabehandlere, som AHL har godkendt] [17]