Aftalens omfang
1.1 Leverandøren er databehandler for Kunden, idet Leverandøren varetager de i Appendiks 1 beskrevne databehandlingsopgaver for Kunden.
1.2 Personoplysninger, der behandles af Leverandøren, omfatter de formål med behandlingen, de typer af persondata, som er anført i Appendiks 1.
1.3 Ved “personoplysning” forstås enhver form for information om en identificeret eller identificerbar, fysisk person, jf. artikel 4(1) i Forordning (EU) 2016/679 af 27. april 2016 (“persondataforordningen”).
2. Behandlingen af personoplysninger
2.1 Instruks: Leverandøren er instrueret til at alene behandle personoplysningerne, med formål at varetage de i Appendiks 1 fastsatte opgaver og formål. Leverandøren må ikke behandle eller anvende personoplysningerne til andre formål end angivet i instruksen, dette inkludere overførsel af personoplysningerne til et tredjeland eller en international organisation, medmindre Leverandøren er forpligtet hertil efter EU-retten eller lovgivningen i en medlemsstat, som Leverandøren er underlagt. I så fald skal Leverandøren underrette Kunden skriftligt om denne juridiske forpligtelse, forinden behandlingen påbegyndes, medmindre pågældende lovgivning på baggrund af vigtige samfundsinteresser forbyder underretningen.
2.2 Hvis Kunden i instruksen i Appendiks 1 eller på anden måde skriftligt har givet tilladelse til en overførsel af personoplysninger til et tredjeland eller til internationale organisationer, er det Leverandørens opgave at sikre, et lovligt overførselsgrundlag. (f.eks. EU-Kommissionens standardkontrakter til overførsel af personoplysninger til tredjelande.)
2.3 Skønner Leverandøren, at en instruktion fra Kunden er i strid med persondataforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller i en medlemsstats lovgivning, skal Leverandøren omgående, skriftligt orientere Kunden herom.
2.4 Er Leverandøren underlagt lovgivning i et tredjeland, skal Leverandøren ved Aftalens indgåelse erklære, at Leverandøren ikke er bekendt med, at denne lovgivning forhindrer Leverandøren i at efterleve Aftalen. Ligeledes skal Leverandøren straks orientere Kunden skriftligt, såfremt Leverandøren bliver bekendt med, at en sådan forhindring er til stede eller vil indtræde.
3. Krav til leverandøren
3.1 Leverandøren skal sikre, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
3.2 Leverandøren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger for at sikre de behandlede personoplysninger ikke;
(i) hændeligt eller ulovligt tilintetgøres, fortabes eller ændres,
(ii) videregives eller gøres tilgængelige uden autorisation eller
(iii) i øvrigt behandles i strid med lovgivningen, herunder persondataforordningen.
3.3 Leverandøren skal endvidere overholde de særlige krav til sikkerhedsforanstaltninger, der gælder for Kunden, jf. Appendiks 1, samt overholde de krav til sikkerhedsforanstaltninger, som direkte forpligter Leverandøren, herunder kravene til sikkerhedsforanstaltninger i landet, hvor Leverandøren er etableret. Finder databehandlingen sted i et andet land vil dette lands ret dine anvendelse.
3.4 De fornødne tekniske og organisatoriske sikkerhedsforanstaltninger skal fastsættes under hensyntagen til;
(i) det aktuelle tekniske niveau,
(ii) omkostningerne ved implementeringen, samt
(iii) behandlingens karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder.
3.5 Leverandøren skal til myndigheder og Kundens eksterne rådgivere, herunder revisorer, give alle ønskede oplysninger i relation til udførelse af databehandlingsopgaven, i det omfang oplysningerne er nødvendige for deres opgavevaretagelse i medfør af EU-retten eller lovgivningen i en medlemsstat.
3.6 Leverandøren skal give myndigheder adgang til Leverandørens fysiske faciliteter mod forevisning af behørig legitimation, såfremt disse myndigheder eller deres repræsentanter efter EU-retten eller lovgivningen i en medlemsstat har adgang til Kundens og Kundens leverandørers faciliteter.
3.7 Leverandøren skal omgående efter at være blevet opmærksom herpå, skriftligt orientere Kunden om
(i) enhver anmodning fra en myndighed om videregivelse af personoplysninger omfattet af Aftalen, medmindre orientering af Kunden er forbudt i henhold til EU-retten eller lovgivningen i en medlemsstat,
(ii) enhver mistanke om, eller konstatering af, (a) brud på sikkerheden, der kan føre til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er opbevaret eller på anden måde behandlet af Leverandøren jævnfør Aftalen, eller (b) enhver manglende overholdelse af Leverandørens forpligtelser efter punkt 3.2 og 3.3 eller
(iii) enhver anmodning om indsigt i personoplysningerne modtaget direkte fra den registrerede eller fra tredjemand.
3.8 Leverandøren skal straks assistere Kunden med håndteringen af enhver anmodning fra en registreret under kapitel III i persondataforordningen, herunder anmodning om indsigt, berigtigelse, blokering eller sletning. Leverandøren skal ligeledes implementere passende tekniske og organisatoriske foranstaltninger til at bistå Kunden med opfyldelse af Kundens forpligtelse til at besvare sådanne anmodninger.
3.9 Leverandøren skal assistere Kunden med at overholde de øvrige forpligtelser, der måtte påhvile Kunden efter EU-retten eller lovgivningen i en medlemsstat, hvor Leverandørens assistance er forudsat, samt hvor Leverandørens assistance er nødvendig for, at Kunden kan overholde sine forpligtelser. Dette omfatter blandt andet, men er ikke begrænset til, at på anmodning at give Kunden alle nødvendige oplysninger om en hændelse omfattet af punkt 3.9 (ii) samt alle nødvendige oplysninger til brug for en konsekvensanalyse i medfør af artikel 35-36 i persondataforordningen.
4. Underleverandører
4.1 Leverandøren må gøre brug af underleverandører. Leverandøren skal, senest 2 måneder ingen brugen påbegyndes, skriftligt underrette Kunden om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af underleverandører. Kundens nægtelse af brug af en eller flere underleverandører kan påvirke Leverandørens mulighed for at levere visse services til kunden. En sådan reduktion af services kan ikke begrunde krav om kompensation eller ændring i honorering af leverandøren. Ophører anvendelsen af en underleverandør skal Leverandøren give Kunden skriftlig meddelelse herom.
4.2 Før en underleverandør kan tages i brug skal Leverandøren indgå en skriftlig aftale med underleverandøren, hvori underleverandøren som minimum pålægges de samme forpligtelser, som Leverandøren har påtaget sig ved Aftalen, heriblandt pligten til at gennemføre passende tekniske og organisatoriske foranstaltninger til sikring af, at behandlingen opfylder kravene i persondataforordningen.
4.3 Kunden har ret til at få udleveret en kopi af Leverandørens aftale med en underleverandør, vedrørende bestemmelser i nævnte aftale, som vedrører databeskyttelsesforpligtelser. Leverandøren hæfter over for Kunden for underleverandørens opfyldelse af sine databeskyttelsesforpligtelser. Kundens samtykke til Leverandørens aftaleindgåelse med en underleverandør er uden præjudice for Leverandørens pligt til at efterleve Aftalen.
5. Fortrolighed
5.1 Leverandøren skal holde personoplysningerne fortrolige.
5.2 Leverandøren må ikke formidle personoplysningerne til nogen eller tage kopi af personoplysningerne, medmindre dette er absolut nødvendigt til varetagelse af Leverandørens forpligtelser over for Kunden i henhold til Aftalen og forudsat, at den, til hvem personoplysningerne overlades, er bekendt med oplysningernes fortrolige karakter og har indvilget i at holde personoplysningerne fortrolige i overensstemmelse med Aftalen.
5.3 Er Leverandøren en juridisk person, gælder bestemmelserne i Aftalen enhver af Leverandørens medarbejdere, og Leverandøren indestår for, deres medarbejderes overholdelse af Aftalen.
5.4 Leverandøren skal begrænse adgangen til personoplysningerne til de medarbejdere, for hvem adgangen er nødvendig for at kunne opfylde Leverandørens forpligtelser over for Kunden.
5.5 Leverandørens forpligtelser efter nærværende punkt 5 består uden tidsbegrænsning, og uanset om Parternes samarbejde er ophørt.
5.6 Kunden skal behandle fortrolige oplysninger, som modtages fra Leverandøren, fortroligt og må ikke uberettiget udnytte eller videregive de fortrolige oplysninger.
6. Overdragelser og ændringer
6.1 Ændringer kan ske til enhver tid efter skriftlig aftale mellem Parterne.
6.2 Overdragelse af Leverandørens rettigheder og forpligtelser i henhold til Aftalen kan kun ske med Kundens forudgående skriftlige samtykke.
7. Ophør af aftalen
7.1 Aftalen træder i kraft ved begge Parters underskrift og er gældende, indtil den opsiges eller ophæves af en af Parterne.
7.2 Hver Part kan opsige Aftalen med 1 måneds skriftlig varsel.
7.3. Uanset Aftalens formelle aftaleperiode vil aftalen være gældende, så længe Leverandøren behandler de personoplysninger, som Kunden er dataansvarlig for.
7.4 I tilfælde af ophør af Aftalen, uanset det juridiske grundlag herfor, skal Leverandøren yde de fornødne overgangstjenesteydelser til Kunden. Leverandøren er yderligere forpligtet til loyalt og hurtigst muligt medvirke til, at databehandlingen overgår til en anden leverandør eller tilbageføres til Kunden.
7.5 Leverandøren skal straks efter anmodning fra Kunden overføre eller slette personoplysninger, som Leverandøren behandler for Kunden, medmindre EU-retten eller lovgivningen i en medlemsstat kræver opbevaring af personoplysningerne.
7.6 Leverandøren har ingen tilbageholdelsesret og kan aldrig betinge den fulde og ubegrænsede efterlevelse af Kundens instrukser af Kundens betaling af udestående fakturaer mv.
8. Forrang
8.1 I tilfælde af uoverensstemmelse mellem bestemmelserne i Aftalen og bestemmelserne i andre skriftlige eller mundtlige aftaler indgået mellem Parterne, har bestemmelserne i Aftalen forrang. Bestemmelserne i punkt 3 finder dog ikke anvendelse i det omfang, der er fastsat strengere forpligtelser for Leverandøren ved anden aftale mellem Partnerne. Herudover finder Aftalen ikke anvendelse, i det omfang der er fastsat strengere forpligtelser for Leverandøren og/eller underleverandører ved brug af Kommissionens standardkontrakter til overførsel af personoplysninger til tredjelande.
8.2 Der er ved Aftalen ikke taget stilling til Kundens honorering af Leverandøren for Leverandørens ydelser i medfør af Aftalen.
Appendiks 1
Leverandøren behandler, styrer og opbevarer personoplysninger (navn, e-mail, adresse, ansøgning, CV, beviser, billede) for Kunden i systemet i op til 6 måneder for det enkelte ansøger/ansøgning.
Leverandøren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at
- Oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lov om behandling af personoplysninger og andre love og regler, der regulerer området for personoplysninger.