Databehandleraftale

Baggrund for databehandleraftalen

Denne aftale fastsætter de rettigheder og forpligtelser, der gælder, når Booking Board (databehandleren) behandler personoplysninger på vegne af en kunde (den dataansvarlige).

Aftalen er udformet med henblik på at sikre overholdelse af artikel 28, stk. 3, i Databeskyttelsesforordningen (EU) 2016/679, som stiller specifikke krav til indholdet af en databehandleraftale.

Databehandlerens behandling af personoplysninger sker i forbindelse med den dataansvarliges brug af Booking Board-systemet, som beskrevet i Booking Boards forretningsbetingelser.

Databehandleraftalen og Booking Boards forretningsbetingelser er indbyrdes afhængige og kan ikke opsiges særskilt. Databehandleraftalen kan dog erstattes af en anden gyldig databehandleraftale uden at påvirke forretningsbetingelserne. Ved ændring skal Booking Board underrette den dataansvarlige og fremsende den nye aftale.

Denne databehandleraftale har forrang frem for eventuelle lignende bestemmelser i andre aftaler mellem parterne, herunder Booking Boards forretningsbetingelser.

Rettigheder og forpligtelser

Den dataansvarlige er i sidste ende ansvarlig for at sikre, at behandlingen af personoplysninger sker inden for rammerne af Databeskyttelsesforordningen og databeskyttelsesloven.

Databehandleren skal altid uden unødig forsinkelse efterkomme rimelige anmodninger fra den dataansvarlige for at sikre overholdelse af Databeskyttelsesforordningen og databeskyttelsesloven.

Databehandleren handler efter instruks

• Databehandleren må kun behandle personoplysninger i overensstemmelse med dokumenterede instrukser fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller national lovgivning. I sådanne tilfælde skal databehandleren informere den dataansvarlige om dette lovkrav inden behandlingen, medmindre den pågældende lovgivning forbyder en sådan meddelelse af væsentlige samfundsmæssige hensyn.
• Databehandleren skal straks informere den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med Databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller national lovgivning.

Fortrolighed

Databehandleren sikrer, at kun personer, der har behov for adgang i forbindelse med deres arbejde for Booking Board, har adgang til de personoplysninger, der behandles på vegne af den dataansvarlige. Adgangen til data skal straks tilbagekaldes, hvis personen ikke længere har behov for adgang eller ikke længere er tilknyttet Booking Board.

Datasikkerhed

Databehandleren skal implementere alle foranstaltninger, der kræves i henhold til artikel 32 i Databeskyttelsesforordningen, og sikre passende tekniske og organisatoriske sikkerhedsforanstaltninger baseret på risikoen for fysiske personers rettigheder og frihedsrettigheder:

1. Pseudonymisering og kryptering af personoplysninger
2. Evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og modstandsdygtighed af behandlingssystemer
3. Evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
4. En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerheden

Anvendelse af underdatabehandlere

Databehandleren skal opfylde betingelserne i artikel 28, stk. 2 og 4, i Databeskyttelsesforordningen for at gøre brug af en anden databehandler (underdatabehandler). Databehandleren må ikke gøre brug af en underdatabehandler uden forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige.

Overførsel af oplysninger til tredjelande eller internationale organisationer

Databehandleren må kun behandle personoplysninger i overensstemmelse med dokumenterede instrukser fra den dataansvarlige, herunder ved overførsler til tredjelande eller internationale organisationer, medmindre det kræves i henhold til EU-ret eller national lovgivning.

Bistand til den dataansvarlige

Databehandleren skal bistå den dataansvarlige med at opfylde sine forpligtelser til at besvare anmodninger fra registrerede vedrørende deres rettigheder i henhold til kapitel 3 i Databeskyttelsesforordningen.

Underretning om brud på persondatasikkerheden

Databehandleren skal uden unødig forsinkelse underrette den dataansvarlige, når databehandleren bliver opmærksom på et brud på persondatasikkerheden.

Sletning og returnering af data

Ved ophør af de tjenester, der vedrører behandling, skal databehandleren efter den dataansvarliges valg slette eller tilbagelevere alle personoplysninger til den dataansvarlige og slette eksisterende kopier, medmindre EU-ret eller national lovgivning foreskriver opbevaring af personoplysningerne.

Tilsyn og revision

Databehandleren skal stille alle nødvendige oplysninger til rådighed for at påvise overholdelse af artikel 28 i Databeskyttelsesforordningen og denne aftale samt muliggøre revisioner eller inspektioner udført af den dataansvarlige.

Ikrafttræden og ophør

Denne aftale træder i kraft, når den dataansvarlige begynder at anvende Booking Boards system. Aftalen forbliver i kraft, så længe behandlingen fortsætter, og kan ikke opsiges særskilt fra Booking Boards forretningsbetingelser.