Databehandleraftale – ITvagt ApS

Mellem

ITvagt ApS, CVR-nr. 35140867, Askelundsvej 15, 3250 Gilleleje, kontakt@itvagt.dk (“Databehandler”)

og

Kunden (“Dataansvarlig”)

Aftalen er indgået i henhold til artikel 28, stk. 3, i forordning (EU) 2016/679 (GDPR) og gælder for alle ydelser, hvor Databehandler behandler personoplysninger på vegne af Dataansvarlig. Aftalen indgår som en integreret del af ITvagts vilkår og betingelser.

1. Definitioner

I denne aftale forstås ved:

• Databehandler: ITvagt ApS

• Dataansvarlig: Kunden, der modtager IT-support, 24/7 IT-vagtordning, hjemmeside, hosting eller e-mail fra ITvagt

• Personoplysninger: Enhver information om en identificerbar fysisk person, som Databehandler behandler på vegne af Dataansvarlig

• Ydelserne: IT-support, 24/7 IT-vagtordning, design og bygning af hjemmesider, foto, tekster, SEO, hosting og e-mail

• Support: Fejlsøgning, problemløsning, rådgivning, konfiguration, overvågning og øvrige IT-relaterede ydelser

• Fjernsupport: Support leveret via fjernadgangs-software, telefon eller e-mail

• Fremmøde: Support leveret fysisk hos Dataansvarlig

• Hosting: Drift og lagring af Dataansvarliges hjemmeside, filer, databaser og backup på servere hos underdatabehandler

• E-mail: E-mailkonti og postkasser på Dataansvarliges domæne

• Underdatabehandler: Tredjepart, som Databehandler anvender til at levere Ydelserne, jf. Bilag B

• Brud på persondatasikkerheden: Brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger

2. Formål og karakteren af behandlingen

Databehandler behandler kun personoplysninger for at levere Ydelserne til Dataansvarlig, herunder:

• Telefon-, online- og fjernsupport samt fysisk fremmøde

• Fejlsøgning, rådgivning, konfiguration, systemadministration, vedligeholdelse og overvågning

• Design, bygning og opdatering af hjemmesider, herunder indhold, formularer og eventuelle webshops

• Hosting af hjemmeside, databaser og filer samt backup og sikkerhedsopdateringer

• Drift af e-mailkonti på Dataansvarliges domæne

• Teknisk SEO i det omfang, det kræver adgang til personoplysninger

Behandlingen omfatter indsamling, registrering, opbevaring, tilgang, ændring, sletning og anden teknisk håndtering, som er nødvendig for at levere Ydelserne.

3. Typer af personoplysninger og kategorier af registrerede

Databehandler kan få adgang til og behandle følgende typer personoplysninger (almindelige personoplysninger):

• Navn, e-mail, telefonnummer og adresse

• Bruger- og loginoplysninger samt adgangsrettigheder

• Dokumenter, e-mails og øvrige systemdata

• Logfiler, IP-adresser og supporthistorik

• Indhold på hjemmesiden og i databaser, fx kundeoplysninger, ordrer, formularindsendelser, kommentarer og tilmeldinger

• E-mailindhold og e-mailmetadata

• Billeder og tekster, der indeholder oplysninger om personer

Kategorier af registrerede er typisk Dataansvarliges medarbejdere, kunder, leverandører, besøgende på hjemmesiden og øvrige kontaktpersoner.

Følsomme personoplysninger

Databehandlers hostingløsning må ikke anvendes til behandling eller opbevaring af følsomme personoplysninger (GDPR art. 9), fx helbredsoplysninger, eller til CPR-numre. Hostingen sker hos en underdatabehandler, der udelukker sådanne oplysninger. Har Dataansvarlig behov for at behandle følsomme oplysninger, skal det aftales skriftligt på forhånd, og Databehandler vil da anvise en anden, egnet løsning. Dataansvarlig må ikke indsamle sådanne oplysninger via hjemmesiden, fx i kontaktformularer, uden denne aftale.

4. Varighed

Aftalen gælder, så længe Databehandler leverer Ydelserne til Dataansvarlig. Ved ophør håndteres personoplysninger efter punkt 10.

Bilag A – Kontakt

Henvendelser om databeskyttelse rettes til kontakt@itvagt.dk. Dataansvarlig opgiver en kontaktperson ved bestilling.

Vi er klar, når du har brug for IT-support

5. Databehandlers forpligtelser

Databehandler forpligter sig til at:

1. Behandle personoplysninger kun efter dokumenteret instruks fra Dataansvarlig. Denne aftale og Dataansvarliges bestilling af Ydelserne udgør instruksen

2. Underrette Dataansvarlig, hvis en instruks efter Databehandlers vurdering er i strid med GDPR eller anden databeskyttelseslovgivning

3. Kun anvende oplysninger til levering af Ydelserne og ikke til egne formål

4. Sikre, at medarbejdere med adgang til personoplysninger er ansat i ITvagt og underlagt tavshedspligt

5. Føre fortegnelse over behandlingsaktiviteter efter art. 30, stk. 2

6. Bistå Dataansvarlig med at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse

7. Bistå Dataansvarlig med overholdelse af art. 32-36, herunder sikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring af tilsynsmyndigheden

8. Stille de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af aftalen

Bistand ud over almindelig levering af Ydelserne kan afregnes efter ITvagts gældende timepris.

6. Sikkerhedsforanstaltninger

Databehandler gennemfører passende tekniske og organisatoriske foranstaltninger efter art. 32, jf. Bilag C. Hostingdata opbevares som udgangspunkt på servere i Tyskland (EU).

7. Underdatabehandlere

Dataansvarlig giver generel godkendelse til de underdatabehandlere, der er anført i Bilag B. Databehandler informerer Dataansvarlig skriftligt, fx pr. e-mail, om planlagte tilføjelser eller udskiftninger af underdatabehandlere med mindst 3 dages varsel, medmindre forhold uden for Databehandlers kontrol gør det umuligt. I så fald informeres Dataansvarlig hurtigst muligt.

Dataansvarlig kan gøre saglig indsigelse inden for varslet. Kan parterne ikke finde en løsning, kan Dataansvarlig opsige de berørte Ydelser med øjeblikkelig virkning, og Databehandler sletter data, inden den nye underdatabehandler tages i brug. Databehandler pålægger underdatabehandlere samme databeskyttelsesforpligtelser som i denne aftale og er ansvarlig over for Dataansvarlig for deres opfyldelse.

8. Overførsel til tredjelande

Personoplysninger behandles som udgangspunkt kun inden for EU/EØS. Overførsel til tredjelande sker kun, hvis der er et gyldigt overførselsgrundlag efter GDPR kapitel V, fx EU-Kommissionens standardkontraktbestemmelser eller en afgørelse om tilstrækkeligt beskyttelsesniveau, og Dataansvarlig er informeret, jf. Bilag B.

9. Brud på persondatasikkerheden

Databehandler underretter Dataansvarlig uden unødig forsinkelse og så vidt muligt inden for 24 timer efter at være blevet opmærksom på et brud. Underretningen beskriver så vidt muligt bruddets karakter, de berørte oplysninger og registrerede, sandsynlige konsekvenser og de foranstaltninger, der er truffet. Databehandler bistår Dataansvarlig med anmeldelse til Datatilsynet (senest 72 timer efter Dataansvarlig er blevet bekendt med bruddet) og underretning af de registrerede.

10. Sletning og returnering

Ved ophør af Ydelserne udleverer Databehandler på forespørgsel Dataansvarliges hjemmeside, filer og data i et almindeligt brugt format, og sletter derefter alle personoplysninger i Databehandlers egne systemer senest 30 dage efter ophør, medmindre lovgivning kræver opbevaring. Databehandler instruerer underdatabehandleren om at slette hostingdata. Data i backup slettes i takt med backuprotationen (dagligt snapshot i 14 dage og yderligere kopi i op til 3 måneder). Sletning dokumenteres skriftligt på anmodning.

11. Fortrolighed

Databehandler behandler alle oplysninger fortroligt og videregiver dem ikke til uvedkommende. Tavshedspligten gælder både under og efter aftalens ophør.

12. Revision og dokumentation

Dataansvarlig har ret til at få dokumentation for Databehandlers overholdelse af aftalen og til at gennemføre revision, herunder inspektion, med rimeligt varsel og efter skriftlig aftale. Omkostninger ved revision afholdes af Dataansvarlig, medmindre revisionen viser væsentlig manglende overholdelse.

13. Ansvar

Databehandler er ansvarlig for sin egen overholdelse af GDPR og denne aftale. Dataansvarlig er ansvarlig for, at der er lovligt behandlingsgrundlag, for hjemmesidens indhold, privatlivspolitik og cookiesamtykke samt for oplysninger, Dataansvarlig selv lægger ind i systemerne. Ansvarsbegrænsningen i ITvagts vilkår og betingelser gælder også for denne aftale, medmindre ufravigelig lovgivning bestemmer andet.

14. Ændringer

ITvagt kan ændre aftalen. Den til enhver tid gældende version er tilgængelig på ITvagts hjemmeside, og væsentlige ændringer meddeles Dataansvarlig skriftligt.

15. Lovvalg og værneting

Aftalen er underlagt dansk ret. Tvister afgøres ved danske domstole med ITvagts hjemting som værneting.

16. Accept

Ved at indgå aftale om eller modtage Ydelserne fra ITvagt accepterer Kunden denne databehandleraftale som juridisk bindende.

Bilag B – Underdatabehandlere

• nordicway ApS, CVR 40745769, Ny Banegårdsgade 48, 8000 Aarhus C – webhosting, e-mailhosting og domæner. Servere i Tyskland (EU). Backup lagres i to EU-lande

• nordicways underleverandører til drift og levering (bl.a. Hetzner, Key-Systems GmbH til domæner og Stripe til betaling), som fremgår af nordicways databehandleraftale på nordicway.dk/handelsbetingelser

• Splashtop – fjernsupport. Overførsel til tredjeland kan forekomme og sker på grundlag af Splashtops databehandleraftale og EU-Kommissionens standardkontraktbestemmelser

• Microsoft – e-mail og dokumenter (Microsoft 365) i forbindelse med support og kommunikation med Dataansvarlig

Opdateret oversigt udleveres på forespørgsel.

Bilag C – Tekniske og organisatoriske foranstaltninger

• Adgangskontrol: kun medarbejdere i ITvagt har adgang efter behov, med personlige logins og to-faktor-godkendelse, hvor det er muligt

• Fjernsupport: krypterede forbindelser, kun efter Dataansvarliges accept, og adgang afsluttes efter endt opgave

• Hosting: SSL/TLS-kryptering, løbende sikkerhedsopdateringer, beskyttelse mod skadelig kode og logning hos underdatabehandler

• Backup: dagligt snapshot opbevaret i 14 dage og yderligere kopi i et andet EU-land i op til 3 måneder

• E-mail: adgangskodebeskyttede postkasser samt spam- og virusfiltrering

• Organisatorisk: tavshedspligt for medarbejdere, instruktion i databeskyttelse og princippet om mindst mulig adgang

• Hændelser: procedure for opdagelse, håndtering og underretning ved brud på persondatasikkerheden