Databehandleraftale
Databehandleraftale
Udkast til databehandleraftale efter databeskyttelsesforordningens artikel 28. Ikke godkendt til underskrift eller indgåelse.
På denne side
Parter, formål og varighed
Kunden er dataansvarlig for CRM-oplysninger, og Aprex AS (org.nr. 937 881 444) er databehandler. Aftalen gælder behandling, som Aprex udfører på kundens vegne for at levere, drive, sikre og yde support til Hej CRM, så længe Aprex behandler personoplysninger for kunden. Aprex kan være selvstændig dataansvarlig for konto, fakturering og egne lovpligtige forpligtelser.
Behandlingens art, registrerede og oplysninger
Behandlingen kan omfatte indsamling, registrering, strukturering, opbevaring, brug, videregivelse til godkendte underdatabehandlere, eksport, berigtigelse og sletning. Registrerede kan være kundens brugere, ansatte, kontaktpersoner, kunder, leverandører og potentielle kunder. Oplysninger kan omfatte navn, arbejdskontakt, virksomhed, dialog, salgsstatus, opgaver, aftaler, tilbud, mødelyd, transskriptioner samt konto-, adgangs-, sikkerheds- og supportoplysninger. Følsomme oplysninger og oplysninger om straffedomme må ikke behandles uden dokumenteret grundlag, formål og passende foranstaltninger aftalt før brug.
Kundens instrukser og fortrolighed
Aprex behandler kun personoplysninger efter kundens dokumenterede instrukser, også om overførsel, som følger af aftalen, kundens konfiguration og senere skriftlige instrukser, tjenesten understøtter. Hvis EØS-ret eller norsk ret, der gælder for Aprex, kræver behandling, informerer Aprex kunden før behandlingen, medmindre loven forbyder det. Aprex underretter uden unødig forsinkelse, hvis Aprex mener, at en instruks strider mod databeskyttelsesreglerne. Personer med adgang skal være underlagt fortrolighed eller tilsvarende lovbestemt tavshedspligt, og adgangen begrænses til arbejdsbetinget behov.
Sikkerhed og bistand
Aprex gennemfører passende tekniske og organisatoriske foranstaltninger efter artikel 32, tilpasset risikoen. Foranstaltninger og faktisk driftsopsætning skal dokumenteres, før aftalen bruges; udkastet bekræfter ikke, at alle beskrevne kontroller er aktive i produktion. Under hensyn til behandlingens art og tilgængelige oplysninger bistår Aprex med anmodninger om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse samt forpligtelser efter artikel 32–36, herunder sikkerhedsvurdering, konsekvensanalyse og forudgående høring. Henvendelser om kundens behandling videresendes uden unødig forsinkelse; Aprex svarer ikke på kundens vegne uden instruks eller lovkrav.
Brud på persondatasikkerheden
Aprex underretter kunden uden unødig forsinkelse efter kendskab til et brud på persondatasikkerheden, der berører kundedata. Aprex giver tilgængelige oplysninger om hændelsens art, berørte kategorier og omfang, sandsynlige følger, kontaktpunkt og foranstaltninger løbende, efterhånden som oplysningerne bliver kendt. Aprex bistår kunden med at undersøge og dokumentere hændelsen. Kunden vurderer og udfører eventuel underretning af tilsynsmyndighed og registrerede.
Underdatabehandlere og overførsler
Kunden giver en generel skriftlig forhåndsgodkendelse til underdatabehandlerne på den aktuelle leverandørliste. Aprex underretter kunden mindst 30 dage, før en ny eller erstatningsunderdatabehandler begynder at behandle kundedata, medmindre et kortere varsel er nødvendigt for at håndtere en akut sikkerheds- eller driftsrisiko. Kunden kan inden fristen fremsætte en konkret og begrundet indsigelse af hensyn til databeskyttelse. Parterne forsøger at finde en løsning; hvis det ikke lykkes, kan kunden opsige den berørte tjeneste, før ændringen træder i kraft. Aprex indgår skriftlige aftaler om tilsvarende databeskyttelsespligter og er ansvarlig over for kunden for underdatabehandlerens opfyldelse. Overførsel uden for EØS kræver dokumenteret instruks og gyldigt grundlag efter kapitel V.
Returnering og sletning
I 30 dage efter at tjenesten er ophørt med virkning kan kunden eksportere oplysninger eller bede Aprex om at returnere dem. En anmodning om returnering skal fremsættes inden for perioden og gennemføres før sletning. Nødvendig midlertidig opbevaring under returneringen begrænses til dette formål, og returneringen gennemføres uden unødig forsinkelse. Når returneringen er gennemført, sletter Aprex resterende CRM-kopier, medmindre loven kræver fortsat opbevaring. Hvis kunden ikke har bedt om returnering inden fristen, slettes CRM-data fra aktive systemer efter 30-dagesperioden med samme lovforbehold. Automatisk sletning aktiveres først efter varsling og kontrol af opbevarings- og gendannelsesrutinerne. Sikkerhedskopier følger særskilte gendannelsesfrister: Neons gendannelseshistorik til et valgt tidligere tidspunkt (PITR) er 24 timer, nye releasesnapshots opbevares i 7 kalenderdage, og nye øvelseskopier udløber 24 timer efter verificeret resultat. Dette garanterer ikke fysisk sletning af alle leverandørkopier. Aprex’ personhenførbare kvitteringer for aftaleaccept er særskilt kontraktbevis, ikke CRM-data, der behandles på kundens vegne: de opbevares i tre kalenderår efter aftalens ophør med årlig gennemgang af formål og holdbehov; ved udløb slettes kvitteringen og kundespecifikke indholdskopier, mens masterteksten opbevares én gang i et begrænset arkiv.
Dokumentation og revision
Aprex stiller oplysninger til rådighed, som er nødvendige for at påvise overholdelse af artikel 28. Kunden kan selv eller gennem en uafhængig revisor underlagt fortrolighed gennemføre revision normalt én gang pr. 12 måneder med mindst 30 dages varsel og uden unødig forstyrrelse. Begrænsningerne gælder ikke ved dokumenteret brud på persondatasikkerheden, påbud fra tilsynsmyndighed eller konkret og begrundet mistanke om en væsentlig afvigelse. Kunden betaler egne omkostninger og Aprex’ rimelige meromkostninger, medmindre revisionen afdækker en væsentlig afvigelse hos Aprex.