Sådan forpligter vi os overfor vores kunder

inLogic kan i visse tilfælde betragtes som databehandlere i anvendelsen af UMS, hvilket kræver en databehandleraftale. Der kan også være tilfælde, hvor en databehandleraftale ikke er nødvendig, fx hvis en skole har data liggende lokalt og selv hoster UMS. Hvis du er i tvivl om jeres skole/virksomhed skal have en databehandleraftale med os, kan du kontakte Justin Gress Howson på juh@inlogic.dk eller telefon 2237 9337.

Her kan du se den databehandleraftale der ligger til grund for behanding af persondata, når du har UMS. 

1. Om Databehandleraftalen

1.1.   Denne Databehandleraftale har til formål at regulere Databehandlerens behandling af personoplysninger i forbindelse med levering af en automatisk brugerhåndteringsløsning, UMS, som nærmere beskrevet i særskilt aftale ved kontrakt eller driftsaftale (”Hovedaftalen”).

1.2.   Ved uoverensstemmelse mellem denne Databehandleraftale og Hovedaftalen eller de med relevans for Databehandleraftalen indgående aftaler om samme, har denne Databehandleraftale forrang.

1.3.   Databehandleraftalen har til formål at sikre, at Databehandleren til enhver tid overholder sine forpligtelser i henhold til de til enhver tid gældende regler og forskrifter for behandling af personoplysninger, herunder Europa-Parlamentets og Rådets forordning 1016/679 af 27. april 2016 (”Persondataforordningen”) samt danske særregler vedtaget til udfyldning heraf.

2. Instruks og geografisk afgrænsning

2.1.   Databehandleren skal sikre, at de overladte personoplysninger ikke benyttes til andre formål eller behandles på anden måde, end hvad der fremgår af nærværende Databehandleraftale.

2.2.   Databehandlerens opgaver i forbindelse med denne Databehandleraftale er uddybet i Bilag 1.

2.3.   Såfremt en instruktion efter Databehandlerens opfattelse er i strid med Persondataforordningen, skal Databehandleren omgående orientere den Dataansvarlige herom.

2.4.   Overførsel af personoplysninger til tredjelande (lande uden for det Europæiske Økonomiske Samarbejde/”EØS”), må kun ske, såfremt dette udtrykkeligt fremgår af Bilag 1.

3. Underdatabehandlere

3.1.   Databehandleren har den Dataansvarliges generelle godkendelse til at gøre brug af underdatabehandlere. Ved underdatabehandler forstås en underleverandør, til hvem Databehandleren har overladt hele eller dele af den behandling, som Databehandleren foretager på vegne af den Dataansvarlige. Nuværende underdatabehandlere fremgår af Bilag 1.

3.2.   I alle tilfælde, hvor der gøres brug af en underdatabehandler, er Databehandleren forpligtet til at regulere dette forhold skriftligt i form af en (under)databehandleraftale. Underdatabehandleraftalen skal som minimum pålægge underdatabehandleren de samme forpligtelser, som påhviler Databehandleren efter denne Databehandleraftale samt den til enhver tid gældende instruks (jf. pkt. 2 ovenfor) og relevante lovgivning.

3.3.   Databehandleren forbliver fuldt ansvarlig over for den Dataansvarlige for enhver underdatabehandler, der ikke opfylder sine databeskyttelsesforpligtelser.

3.4.   Den Dataansvarlige kan til enhver tid forlange dokumentation fra Databehandleren vedrørende eksistens og indhold af underdatabehandleraftaler, der vedrører underdatabehandlere, som anvendes i forbindelse behandlingen af personoplysninger overladt i henhold til denne Databehandleraftale.

4. Sikkerhed

4.1.   Databehandleren er ansvarlig for iværksættelse af alle foranstaltninger som kræves i henhold til Persondataforordningens artikel 32, herunder implementering af passende tekniske og organisatoriske foranstaltninger, under hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne og den aktuelle behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder.

4.2.   Databehandleren garanterer overfor den Dataansvarlige, at Databehandleren vil gennemføre passende tekniske og organisatoriske foranstaltninger, således at Databehandlerens forhold til enhver tid overholder den gældende persondataretlige regulering. Databehandlerens nærmere forpligtelser i relation til sikkerhed er uddybet i Bilag 1.

4.3   Databehandleren er forpligtet til uden unødig forsinkelse at orientere den Dataansvarlige om ethvert datasikkerhedsbrud, hvorved forstås et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet. Orienteringen om sikkerhedsbruddet skal så vidt muligt indeholde:

• En beskrivelse af karakteren af bruddet, herunder kategorierne og det omtrentlige antal berørte registrerede og registreringer af personoplysninger.
• En beskrivelse af de sandsynlige konsekvenser af bruddet.
• En beskrivelse af den foranstaltninger, som Databehandleren eller underdatabehandleren har truffet eller foreslår truffet for at håndtere bruddet, herunder foranstaltninger for at begrænse dets mulige skadevirkninger.

4.4.   Databehandleren skal under hensyntagen til behandlingens karakter så vidt muligt bistå den Dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den Dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder som fastlagt i Persondataforordningens kapitel III. Databehandleren er berettiget til at fakturer den Dataansvarlige med sin sædvanlige timetakst for den anvendte arbejdstid, som bistanden måtte medføre, og for eventuel betaling til underdatabehandlere, der tillige bistår den Dataansvarlige.

4.5.   Databehandleren bistår den Dataansvarlige med at sikre overholdelse af forpligtelserne i medfør af artikel 32-36 under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for Databehandleren. Databehandleren er berettiget til at fakturere den Dataansvarlige med sin sædvanlige timetakst for den anvendte arbejdstid, som bistanden måtte medføre, og for eventuel betaling til underdatabehandlere, der tillige bistår den Dataansvarlige.

5. Databehandlerens medarbejdere

5.1.   Databehandleren er forpligtet til at begrænse behandlingen af personoplysninger til nødvendigt personale, samt at udføre og opretholde undervisning af personale i håndtering af personoplysninger og med jævne mellemrum offentliggøre relevante oplysninger om de opdaterede og gældende databeskyttelseskrav til dets personale.

5.2.   Alle medarbejdere underlagt Databehandleren og dennes organisation, som behandler personoplysninger på vegne af den Dataansvarlige, skal være underlagt fortrolighedsforpligtelse eller anden passende lovbestemt tavshedspligt.

6. Dokumentation og tilsyn

6.1.   Efter en skriftlig anmodning fra den Dataansvarlige skal Databehandleren give den Dataansvarlige eller en uafhængig tilsynsmyndighed tilstrækkelig dokumentation for at påvise overholdelse af denne Databehandleraftale samt de til enhver tid gældende persondataretlige regler. Såfremt Databehandleren er omfattet af kravet om at føre en fortegnelse over behandlingsaktiviteter efter Persondataforordningens artikel 30, skal denne tillige stilles til rådighed for den Dataansvarlige på dennes anmodning.

6.2.   Databehandleren skal opfylde en anmodning fra den Dataansvarlige efter stk. 1 indenfor rimelig tid, og senest indenfor 10 arbejdsdage efter fremsættelse af anmodningen.

6.3.   Såfremt den Dataansvarlige, en repræsentant for denne eller en relevant tilsynsmyndighed, ønsker at foretage en fysisk inspektion af Databehandlerens faciliteter, forpligter Databehandleren sig til at give adgang hertil. Anmodning om tilsynsbesøg skal ske med mindst 5 arbejdsdages varsel. Databehandleren er berettiget til særskilt vederlag eller erstatning herfor.

7. Ophør og sletning

7.1.   Denne Databehandleraftale træder i kraft ved begge parters underskrift heraf.

7.2.   Databehandleraftalen kan opsiges eller ophæves i overensstemmelse og samtidigt med Hovedaftalen. Herudover kan Databehandleraftalen opsiges uafhængigt af Hovedaftalen ved udtrykkelig og skriftligt aftale mellem parterne.

7.3.   Databehandlerens bemyndigelse til at behandle personoplysninger på vegne af den Dataansvarlige bortfalder ved Databehandleraftalens ophør, uanset årsag.

7.4.   Databehandleren og dennes underdatabehandlere skal tilbagelevere alle personoplysninger, som Databehandleren har behandlet under denne Databehandleraftale, til den Dataansvarlige ved Databehandleraftalens ophør, i det omfang den Dataansvarlige ikke allerede er i besiddelse af personoplysningerne. Databehandleren er herefter forpligtet til at slette alle personoplysninger fra den Dataansvarlige, medmindre EU-retten eller national ret foreskriver opbevaring af personoplysningerne.

8. Ansvar og øvrige juridiske vilkår

8.1.   Parterne er ansvarlige i overensstemmelse med gældende rets almindelige regler. Dog fraskriver begge parter sig ethvert ansvar for indirekte tab og følgeskader, herunder driftstab, tab af goodwill, tab af besparelser og indtægter, inklusive udgifter til at indvinde mistede indtægter, rentetab og tab af data.

8.2.   Ingen af parterne kan gøres ansvarlige for forhold, der almindeligvis må betegnes som force majeure, herunder, men ikke begrænset til, krig, optøjer, terror, opstand, strejke, ildsvåde, naturkatastrofer, valutarestriktioner, import- eller eksportrestriktioner, afbrydelse af almindelig samfærdsel, afbrydelse af eller svigt i energiforsyningen, offentlige dataanlæg og kommunikationssystemer, længerevarende sygdom hos nøglemedarbejdere, virus samt indtrædelse af force majeure hos underleverandører. 

Bilag 1 – Konkretisering af instruks og sikkerhed

1. Instruks

1.1.   I forbindelse med Databehandlerens leverance af de ydelser, som fremgår af Hovedaftalen, skal Databehandleren foretage følgende behandling af personoplysninger på vegne af den Dataansvarlige:

• Ved driftsaftale ydes drift af kundens UMS-løsning jf. aftalens indhold.
• Ved levering af UMS til institutionens eget miljø bistår inLogic med support jf. kontrakt.

1.2.   I forbindelse med Databehandlerens leverancer behandles oplysninger om følgende kategorier af registrerede (sæt kryds/udfyld):

1.3.   I forbindelse med Databehandlerens leverancer behandles følgende typer af oplysninger:

2. Sikkerhedsforanstaltninger

2.1.   Databehandleren iværksætter i forbindelse med sin leverance følgende konkrete sikkerhedsforanstaltninger:

• Fysiske foranstaltninger
  • Hele matriklen er omgivet af hegn og skydeport. Bygningen er installeret med alarmsystem. Serverrum er aflåste.
• Tekniske foranstaltninger
  • Kundedata og adgangsgivende information er samlet i et system, hvor 2 nøglepersoner hos inLogic har adgang. Medarbejdere skal rekvirere data for at kunne tilgå og arbejde på en kundes miljø.
  • UMS kan alene tilgås med brug af brugernavn og password, og UMS foretager automatisk verificering af, at valgte passwords lever op til de kompleksitetskrav, som kunden har valgt.
  • PC’ere er meldt i domæne og kræver en konto for at kunne logge på. Wifi er lukket med kode. Det kræves rettigheder for at se datashares på netværk.
• Organisatoriske foranstaltninger
  • UMS giver mulighed for bruger- og rettighedsstyring, og at kunden kan lægge en ”IT-politik” op til brugernes godkendelse.
  • inLogics kunder har mulighed for at tage fuld back-up af UMS-databasen og dermed mindske risikoen for, at persondata går tabt.

3. Nuværende underdatabehandlere

3.1.   Databehandleren har aktuelt følgende databehandlere:

3.2.   Databehandleren skal informere den Dataansvarlige om eventuelle påtænkte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere og herved give den Dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer. Den Dataansvarlige kan alene gøre indsigelse, såfremt den Dataansvarlige har rimelige, konkrete årsager hertil.