Formål og omfang

Som led i den Dataansvarliges (Vican Regnskabs kunde) indgåelse af aftale om levering af ydelser, som beskrevet i samarbejdskontrakten, foretager Databehandleren (Vican Regnskab) behandling af personoplysninger, som den Dataansvarlige er ansvarlig for.

Personoplysninger omfattet af aftalen

Alle typer personoplysninger, som er nødvendige i forbindelse med opfyldelse af samarbejdskontrakten med Parterne, er omfattet. Aftalen omfatter oplysninger om personer, som har eller har haft ansættelse, ejerskab eller anden tilknytning til Kunden.

Aftalen indeholder nærmere oplysninger om behandlingen, herunder de behandlede oplysninger, behandlingens formål og karakter, den dataansvarliges og databehandlerens forpligtelser og rettigheder samt varigheden af behandlingen.

Geografiske krav

Den behandling af persondata, som Databehandleren foretager efter aftale med den Dataansvarlige, må alene foretages af Databehandleren eller underdatabehandlere, jf. pkt. 5, indenfor det Europæiske Økonomiske Samarbejde (EØS).

Instruks

• Omfanget af de opgaver, som Databehandleren skal levere og understøtte betyder, at der i medfør af Parternes aftale vil ske forskellige former for behandling af personoplysninger. Den dataansvarlige er forpligtet til positivt at oplyse om eventuelle særlige forhold, som levering af Ydelsen skal tage hensyn til.
• Databehandleren handler alene efter dokumenteret instruks fra den Dataansvarlige. Databehandleren skal sikre, at de overladte personoplysninger ikke benyttes til andre formål eller behandles på anden måde, end hvad der fremgår af den Dataansvarliges instruks. Alle de for levering af ydelsen, jf. samarbejdskontrakten, nødvendige og beskrevne behandlinger betragtes som dokumenterede.
• Den dataansvarlige er forpligtet til at sikre at den påkrævede behandling af personoplysninger sker på lovligt grundlag.
• Denne aftale og øvrige aftaler om levering af ydelser omfatter de personoplysninger, som er nødvendige for levering af ydelsen. I den forbindelse henvises der til samarbejdskontrakten eller øvrige nærmere beskrivelser af ydelsen.
• Databehandleren skal så vidt muligt bistå den Dataansvarlige med opfyldelse af den Dataansvarliges forpligtelser til at besvare anmodninger om udøvelse af de registreredes rettigheder, herunder om indsigt, berigtigelse, begrænsning eller sletning, hvis de relevante personoplysninger behandles af Databehandleren. Modtager Databehandleren sådan henvendelse fra den registrerede person, orienterer Databehandleren den Dataansvarlige herom.
• Den Dataansvarlige hæfter for alle Databehandlerens omkostninger ved sådan bistand. Databehandlerens bistand afregnes til Databehandlerens til enhver tid gældende timetakst for sådant arbejde.

Behandling og videregivelse af personoplysninger

Den Dataansvarlige indestår for at have nødvendig hjemmel til behandling af personoplysningerne omfattet af nærværende aftale.

Databehandleren må ikke videregive oplysninger til tredjemand, medmindre sådan videregivelse følger af lovgivningen eller af en bindende anmodning fra en retsinstans eller en databeskyttelsesmyndighed, eller det fremgår af denne aftale.

Sikkerhed

• Databehandleren skal træffe passende tekniske og organisatoriske sikkerhedsforanstaltninger mod, at personoplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lovgivningen.
• Databehandleren bistår den dataansvarlige med efterlevelse af de forpligtigelser der påligges den dataansvarlige jf. Persondataforordningens art. 15-22. Den dataansvarlige faktureres den til enhver tid gældende timesats.

Tilsynsret

Databehandleren skal på den Dataansvarliges anmodning give den Dataansvarlige tilstrækkelige informationer til, at denne kan påse, at Databehandleren har truffet de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger.

Hvis den Dataansvarlige ønsker at foretage tilsyn, skal den Dataansvarlige altid give Databehandleren et varsel på mindst 30 dage i sådan forbindelse.

Persondata sikkerhedsbrud

• Hvis Databehandleren måtte blive bekendt med et persondatasikkerhedsbrud, hvorved forstås et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet, er Databehandleren forpligtet til uden unødig forsinkelse at søge at lokalisere sådant brud og søge at begrænse opstået skade i videst muligt omfang, samt i det omfang det er muligt at reetablere eventuelt mistede data.
• Databehandleren er endvidere forpligtet til, uden unødig forsinkelse, dog senest efter 72 timer, at underrette den Dataansvarlige efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden. Databehandleren skal herefter uden unødig forsinkelse, i det omfang det er muligt, give skriftlig meddelelse til den Dataansvarlige, som så vidt muligt skal indeholde
  • a) En beskrivelse af karakteren af bruddet, herunder kategorierne og det omtrentlige antal berørte registrerede og registreringer af personoplysninger
  • b) Navn på og kontaktoplysninger for databeskyttelsesrådgiveren
  • c) En beskrivelse af de sandsynlige konsekvenser af bruddet
  • d) En beskrivelse af de foranstaltninger, Databehandleren har truffet eller foreslår truffet for at håndtere bruddet, herunder foranstaltninger for at begrænse dets mulige skadevirkninger.
• For så vidt det ikke er muligt at give de anførte oplysninger samlet, kan oplysningerne meddeles trinvist uden unødig forsinkelse.

Tavshedspligt

Databehandleren skal holde personoplysningerne fortrolige og er således alene berettiget til at anvende personoplysningerne som led i opfyldelsen af sine forpligtelser og rettigheder i henhold til samarbejdskontrakten.

Databehandleren skal sikre, at de medarbejdere der er autoriseret til at behandle de i samarbejdskontrakten omfattede personoplysninger, er pålagt tavshedspligt.

Varighed og ophør af databehandleraftalen

Aftalen træder i kraft ved Parternes underskrift af aftalen.

I tilfælde af, at samarbejdsaftalen ophører, uanset årsag, ophører aftalen også. Databehandleren er dog forpligtet af denne aftale, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige, idet den Dataansvarlige snarest muligt og senest 14 dage efter ophør af samarbejdsaftalen skal oplyse Databehandleren skriftligt, hvorledes Databehandleren skal forholde sig til de behandlede personoplysninger.

30 dage efter ophøret af samarbejdsaftalen er Databehandleren berettiget til at slette eller tilbagelevere alle personoplysninger, som er blevet behandlet under den ophørte samarbejdsaftale på vegne af den Dataansvarlige, med mindre EU-ret eller national ret kræver at disse opbevares.at disse opbevares.