Gagnavinnslusamningur

 

 

 

 

1 Preamble gagnavinnslu

1. Þessi gagnavinnslusamningur setur fram réttindi og skyldur sem eiga við um meðhöndlun gagnavinnsluaðila á persónulegum gögnum fyrir hönd gagnaeftirlitsins.

 

2. Þessi samningur hefur verið hannaður til að tryggja samræmi aðila við 28. gr. Reglugerð 2016/679 á Evrópuþinginu og ráðsins 27. apríl 2016 um verndun einstaklinga með tilliti til vinnslu persónuupplýsinga og frjálsra flutningur slíkra gagna og fella úr gildi tilskipun 95/46/EB (Almennar gagnavernd Reglugerð), sem setur fram sérstakar kröfur um innihald gagnavinnslusamninga.

 

3. Vinnsla gagnavinnsluaðila á persónulegum gögnum skal fara fram í þeim tilgangi að uppfylla „aðalsamning“ aðila. Vinnsla persónuupplýsinga sem hefst 01/04/18.
   
   
4. Gagnavinnslusamningurinn og „aðalsamningurinn“ skal vera háð innbyrðis og ekki er hægt að segja upp þeim sérstaklega. Skipt er um gagnavinnslusamninginn - án þess að uppsögn „aðalsamningsins“ - verði skipt út fyrir annan gildan gagnavinnslusamning.

 

5. Þessi gagnavinnslusamningur skal hafa forgang yfir öllum svipuðum ákvæðum sem eru í öðrum samningum milli aðila, þar með talið „aðalsamningur“.

 

6. Fjórir viðaukar eru tengdir þessum gagnavinnslusamningi. Viðaukarnir eru órjúfanlegur hluti af þessum gagnavinnslusamningi.

 

7. Viðauki aaf gagnavinnslusamningnum inniheldur upplýsingar um vinnsluna sem og tilgang og eðli vinnslunnar, tegund persónuupplýsinga, flokka gagna og lengd vinnslunnar.

 

8. Viðauki baf gagnavinnslusamningnum inniheldur skilmála og skilyrði gagnaeftirlitsins sem eiga við um notkun gagnavinnsluaðila á undirvinnsluaðilum og lista yfir undirvinnslu sem samþykktir eru af gagnaeftirlitinu.

 

9. Viðauki caf gagnavinnslusamningnum inniheldur leiðbeiningar um vinnsluna sem gagnavinnsluaðilinn á að framkvæma fyrir hönd gagnaeftirlitsins (efni vinnslunnar), lágmarksöryggisráðstafanir sem hrinda í framkvæmd og hvernig skoðun með gagnavinnsluaðilanum og hvaða undirliggjandi -Skirlar á að framkvæma.

 

10. Viðauki daf gagnavinnslusamningnum inniheldur ákvæði aðila um starfsemi sem ekki er að finna í þessum gagnavinnslusamningi eða „aðalsamningi“ aðila.

 

11. Gagnavinnslusamningurinn og tilheyrandi viðaukar hans skulu geymdir skriflega sem og rafrænt af báðum aðilum.

 

12. Þessi gagnavinnslusamningur skal ekki undanþiggja gagnavinnsluaðila frá skyldum sem gagnavinnsluaðilinn er háð almennri reglugerð um gagnavernd eða aðra löggjöf.

2 Réttindi og skyldur gagnaeftirlitsins

1. Gagnastjórnandinn skal bera ábyrgð á umheiminum (þar með talið gögnum) til að tryggja að vinnsla persónuupplýsinga fari fram innan ramma almennrar reglugerðar um gagnavernd og danska gagnaverndarlögin.

 

2. Gagnastjórnandinn skal því hafa bæði rétt og skyldu til að taka ákvarðanir um tilgang og leiðir til vinnslu persónuupplýsinga.

 

3. Gagnastjórnandinn skal bera ábyrgð á því að vinnslan sem gagnavinnsluaðilanum sé leiðbeint um að framkvæma er heimild í lögum.

3 Gagnaframleiðandinn virkar samkvæmt leiðbeiningum

1. Gagnaframleiðandanum skal eingöngu heimilt að vinna úr persónulegum gögnum um skjalfestar leiðbeiningar frá gagnastjórnandanum nema að vinnsla sé nauðsynleg samkvæmt lögum ESB eða aðildarríkis sem gagnavinnsluaðili er háð; Í þessu tilfelli skal gagnavinnsluaðili upplýsa gagnaeftirlitið um þessa lagalegu kröfu fyrir vinnslu nema að lög banni slíkar upplýsingar af mikilvægum forsendum almannahagsmuna, sbr. 28. grein, undirkafla 3, mgr.

 

2. Gagnaframleiðandinn skal strax upplýsa gagnaeftirlitið hvort leiðbeiningar að mati gagnavinnsluaðila stangast á við almenna reglugerð um gagnavernd eða ákvæði um gagnavernd sem er að finna í öðrum lögum ESB eða aðildarríkis.

4 Trúnaður

1. Gagnaframleiðandinn skal sjá til þess að aðeins þeir einstaklingar sem nú hafa heimild til þess geti fengið aðgang að persónulegum gögnum sem eru unnar fyrir hönd gagnaeftirlitsins. Því skal því hafnað aðgangi að gögnum án tafar ef slík heimild er fjarlægð eða rennur út.

 

2. Aðeins einstaklingar sem þurfa aðgang að persónulegum gögnum til að uppfylla skyldur gagnavinnsluaðila gagnvart gagnaeftirlitsmanni skulu fá heimild.

 

3. Gagnaframleiðandinn skal sjá til þess að einstaklingar sem hafa heimild til að vinna úr persónulegum gögnum fyrir hönd gagnaeftirlitsmannsins hafi skuldbundið sig til að fylgjast með trúnaði eða eru háð viðeigandi lögbundinni trúnaðarskuldbindingu.

 

4. Gagnaframleiðandinn skal að beiðni gagnaeftirlitsins geta sýnt fram á að hlutaðeigandi starfsmenn séu háðir ofangreindum trúnaði.

5 Öryggi vinnslu

1. Gagnaframleiðandinn skal gera allar ráðstafanir sem krafist er samkvæmt 32. gr.sem kveður á um að með tilliti til núverandi stigs, útfærslukostnaðar og eðli, umfang, samhengi og tilgang vinnslu og hættuna á mismunandi líkum og alvarleika fyrir réttindi og frelsi einstaklinga, skal gagnaeftirlitið og örgjörva hrinda í framkvæmd viðeigandi tæknilegum og Skipulagsráðstafanir til að tryggja öryggi sem hentar áhættunni.

 

2. Ofangreind skylda þýðir að gagnavinnsluaðili skal framkvæma áhættumat og síðan framkvæma ráðstafanir til að vinna gegn greindri áhættu. Það fer eftir mikilvægi þeirra, ráðstafanirnar geta falið í sér eftirfarandi:

 

1. Dulnefni og dulkóðun persónulegra gagna
2. Hæfni til að tryggja áframhaldandi trúnað, heiðarleika, framboð og seiglu vinnslukerfa og þjónustu.
3. Hæfni til að endurheimta framboð og aðgang að persónulegum gögnum tímanlega ef líklegt eða tæknilegt atvik verður.
4. Ferli til að prófa, meta og meta árangur tæknilegra og skipulagsaðgerða reglulega til að tryggja öryggi vinnslunnar.

 

3. Gagnaframleiðandinn skal til að tryggja ofangreint - í öllum tilvikum - í lágmarki framkvæmd öryggisstigs og ráðstafanir sem tilgreindar eru í viðauka C við þennan gagnavinnslusamning.

 

4. Hugsanleg reglugerð/samningur aðila um þóknun o.s.frv. Fyrir síðari kröfu gagnaeftirlitsmannsins eða gagnavinnsluaðila um að koma á viðbótaröryggisráðstöfunum skal tilgreina í „aðalsamningi“ aðila eða í viðauka D við þennan gagnavinnslusamning.

6 Notkun undirvinnsluaðila

1. Gagnaframleiðandinn skal uppfylla kröfur sem tilgreindar eru í 28. gr., Undirhluta 2. og 4. kafla, í almennri gagnaverndarreglugerð til að taka þátt í öðrum örgjörva (undirvinnsluaðila).

 

2. Gagnaframleiðandinn skal því ekki taka þátt í öðrum örgjörva (undirvinnsluaðila) til að uppfylla þessa gagnavinnslusamning án fyrri sérstaks eða almenns skriflegs samþykkis gagnastjórnandans.

 

3. Komi til almenns skriflegs samþykkis skal gagnavinnsluaðilinn upplýsa gagnaeftirlitið um fyrirhugaðar breytingar með tilliti til viðbótar við eða skipta um aðra gagnavinnsluaðila og gefa þar með gagnastjórnandanum tækifæri til að mótmæla slíkum breytingum.

 

4. Tilgreina skal kröfur gagnaeftirlitsins um þátttöku gagnavinnsluaðila í öðrum undirvinnsluaðilum í Viðauki bvið þennan gagnavinnslusamning.

 

5. Samþykki gagnaeftirlitsins til að taka þátt í tilteknum undirvinnsluaðilum, ef við á, skal tilgreina í Viðauki bvið þennan gagnavinnslusamning.

 

6. Þegar gagnavinnsluaðilinn hefur heimild gagnastjórnandans til að nota undirvinnsluaðila skal gagnavinnsluaðili sjá til þess að undirvinnsluaðilinn sé háð sömu gagnaverndarskuldbindingum og tilgreindir í þessum gagnavinnslusamningi á grundvelli samnings eða annars Lagalegt skjal samkvæmt ESB-lögum eða landslögum aðildarríkjanna, einkum sem veita nauðsynlegar ábyrgðir fyrir því að undirvinnsluaðilinn muni hrinda í framkvæmd viðeigandi tæknilegum og skipulagslegum ráðstöfunum á þann hátt að vinnslan uppfylli kröfur almennrar reglugerðar um gagnavernd.

 

Gagnaframleiðandinn skal því bera ábyrgð-á grundvelli undirvinnslusamnings-fyrir að krefjast þess að undirvinnsluaðilinn uppfylli að minnsta kosti skyldur sem gagnavinnsluaðilinn er háð kröfum almennra gagnaverndar og þetta Gagnavinnslusamningur og tilheyrandi viðaukar hans.

 

7. Afrit af slíkum undirvinnslusamningi og síðari breytingum skal-að beiðni gagnastjórnandans-vera lögð fyrir gagnastjórnandann sem mun þar með fá tækifæri til að tryggja að giltur samningur hafi verið gerður á milli gagnavinnsluaðila og undir- Örgjörva. Viðskiptaskilmálar, svo sem verðlagning, sem hafa ekki áhrif á lagalegt gagnavernd innihald undirvinnsluaðila, skal ekki krefjast framlagningar til gagnaeftirlitsins.

 

8. Gagnaframleiðandinn skal í samkomulagi sínu við undirvinnsluaðilann fela í sér gagnaeftirlitið sem þriðja aðila ef gjaldþrot gagnaframleiðandans er gert kleift að gera gagnaeftirlitinu kleift að gera ráð fyrir réttindum gagnavinnsluaðila og kalla á þetta hvað varðar undirvinnsluaðilann , t.d. þannig að gagnastjórnandinn er fær um að leiðbeina undirvinnsluaðilanum að framkvæma eyðingu eða endurkomu gagna.

 

9. Ef undirvinnsluaðilinn uppfyllir ekki gagnaverndarskuldbindingar sínar, skal gagnavinnsluaðili vera að fullu ábyrgur gagnvart gagnaeftirlitinu varðandi uppfyllingu skyldna undirvinnsluaðila.

7 Flutningur gagna til þriðju landa eða alþjóðastofnana

1. Gagnaframleiðandinn skal eingöngu heimilt að vinna úr persónulegum gögnum um skjalfestar leiðbeiningar frá gagnastjórnandanum, þ.mt hvað varðar flutning(Verkefni, upplýsingagjöf og innri notkun) af persónuupplýsingum til þriðju landa eða alþjóðastofnana, nema að vinna sé krafist samkvæmt ESB eða aðildarlögum sem gagnavinnsluaðilinn er háður; Í slíkum tilvikum skal gagnavinnsluaðili upplýsa gagnaeftirlitið um þá lagalegu kröfu fyrir vinnslu nema að lög banni slíkar upplýsingar af mikilvægum ástæðum almannahagsmuna, sbr. 28. grein, undirkafla 3, mgr.

 

2. Án leiðbeininga eða samþykkis gagnastjórnandans getur gagnavinnsluaðilinn því ekki - innan ramma þessa gagnavinnslusamnings:

 

1. Lýstu persónulegum gögnum til gagnaeftirlits í þriðja landi eða í alþjóðastofnun
2. Úthlutaðu vinnslu persónuupplýsinga til undirvinnsluaðila í þriðja landi
3. Láttu unna gögnin í öðru af deildum gagnavinnsluaðila sem er staðsett í þriðja landi

 

3. Leiðbeiningar eða samþykki gagnaeftirlitsins um flutning persónuupplýsinga til þriðja lands, ef við á Viðauki cvið þennan gagnavinnslusamning.

8 Aðstoð við gagnaeftirlitið

1. Gagnaframleiðandinn, með hliðsjón af eðli vinnslunnar, skal, eins langt og kostur, aðstoða gagnaeftirlitið við viðeigandi tæknilegar og skipulagslegar ráðstafanir, við uppfyllingu skyldna gagnaeftirlitsins til að svara beiðnum um nýtingu gagnaþátta 'Réttindi samkvæmt 3. kafla í almennri gagnaverndarreglugerð.

Þetta felur í sér að gagnavinnsluaðilinn ætti að vera eins langt og mögulegt er að aðstoða gagnaeftirlitið í samræmi gagnastjórnandans við:

 

1. Tilkynningarskylda þegar safnað er persónuupplýsingum frá gögnum
2. Tilkynningarskylda ef persónuupplýsingar hafa ekki verið fengnar frá gögnum
3. aðgangsréttur gagnafélagsins
4. Rétturinn til leiðréttingar
5. Rétturinn til að eyða (‘rétturinn til að gleymast’)
6. Rétturinn til að takmarka vinnslu
7. Tilkynningarskylda varðandi leiðréttingu eða eyðingu persónuupplýsinga eða takmörkun vinnslu
8. Rétturinn til gagnaflutnings
9. Rétturinn til mótmæla
10. Rétturinn til að mótmæla niðurstöðu sjálfvirkrar ákvarðanatöku einstaklings, þ.mt prófunar

 

2. Gagnaframleiðandinn skal aðstoða gagnastjórnandann við að tryggja að farið sé að skyldum gagnastjórnandans samkvæmt 32-36. gr. Almennra reglugerðar um gagnavernd með hliðsjón af eðli vinnslunnar og gagna sem gerð eru aðgengileg fyrir gagnavinnsluaðila, sbr. 28. gr., Undirlið 3, para f.

 

Þetta felur í sér að gagnavinnsluaðilinn ætti að taka mið af eðli vinnslunnar, eins langt og mögulegt er, aðstoða gagnastjórnandann í samræmi gagnastjórnandans við:

 

1. Skyldan til að hrinda í framkvæmd viðeigandi tæknilegum og skipulagslegum ráðstöfunum til að tryggja öryggisstig sem hentar áhættunni sem fylgir vinnslunni
2. Skyldan til að tilkynna um brot á persónuupplýsingum til eftirlitsstofnunarinnar (danska gagnaverndarstofnunarinnar) án óþarfa seinkunar og, ef mögulegt er, innan 72 klukkustunda frá því að gagnaeftirlitið uppgötvaði slíkt brot nema ólíklegt sé að brot á persónulegum gögnum muni leiða til áhættu á réttindum og frelsi einstaklinga
3. Skuldbindingin - án óþarfa seinkunar - að miðla persónulegum gögnum brotum til gagna þegar slíkt brot er líklegt til að leiða til mikillar áhættu fyrir réttindi og frelsi einstaklinga
4. skylda til að framkvæma mat á áhrifum á gagnavernd ef líklegt er að tegund vinnslu leiði til mikillar áhættu fyrir réttindi og frelsi einstaklinga
5. Skuldbindingin til að hafa samráð við eftirlitsstofnunina (danska gagnaverndarstofnunina) fyrir vinnslu ef mat á gagnavernd sýnir að vinnslan mun leiða til mikillar áhættu vegna skorts á ráðstöfunum sem gagnaeftirlitið hefur gert til að takmarka áhættu

 

3. Hugsanleg reglugerð/samningur aðila um þóknun o.s.frv. Fyrir aðstoð gagnavinnsluaðila við gagnastjórnandann skal tilgreina í „aðalsamningi“ aðila eða í viðauka D við þennan gagnavinnslusamning.

9 Tilkynning um brot á persónuupplýsingum

1. Við uppgötvun á brotum á persónuupplýsingum í aðstöðu gagnavinnsluaðila eða aðstöðu undirvinnsluaðila skal gagnavinnsluaðilinn án óþarfa seinkunar tilkynna gagnaeftirlitinu.

 

Tilkynning gagnavinnsluaðila til gagnastjórnandans skal, ef mögulegt er, fara fram innan sólarhrings frá því að gagnavinnsluaðili hefur uppgötvað brotið til að gera gagnaeftirlitinu kleift að fara eftir skyldu sinni, ef við á, til að tilkynna brotið til eftirlitsstofnunar innan 72 klukkustundir.

 

2. Samkvæmt ákvæði 9.2.

Þetta getur þýtt að gagnavinnsluaðilinn er skylt að aðstoða við að afla upplýsinganna sem taldar eru upp hér að neðan, samkvæmt 33. gr., Undirhluta 3, í almennri reglugerð um gagnavernd, skal kveðið á um í skýrslu gagnaeftirlitsmannsins til eftirlitsstofnunarinnar:

 

1. Eðli brotsbrota persónuupplýsinga, þar með talið, ef mögulegt er, flokkarnir og áætlaður fjöldi gagna sem hafa áhrif á og flokkana og áætlaðan fjölda persónulegra gagna
2. Líklegar afleiðingar brotsbrota
3. Ráðstafanir sem gerðar hafa verið eða er lagt til að stjórna brot á persónuupplýsingum, þar með talið, ef við á, ráðstafanir til að takmarka hugsanlegt tjón þess

10 ERASURE OG RETURN OF DATA

1. Við uppsögn vinnsluþjónustunnar skal gagnavinnsluaðilinn vera skylda, að mati gagnastjórnandans, til að eyða eða skila öllum persónulegum gögnum til gagnaeftirlitsins og eyða núverandi eintök Gögn.

11 Skoðun og endurskoðun

1. Gagnaframleiðandinn skal gera gagnastjórnandanum aðgengilegar allar upplýsingar sem nauðsynlegar eru til að sýna fram á samræmi 28. gr. Almennra reglugerðar um gagnavernd og þennan gagnavinnslusamning og gera ráð fyrir og stuðla að úttektum, þar með talið skoðunum sem framkvæmdastjórnin er gerð eða annar endurskoðand af gagnaeftirlitinu.

 

2. Aðferðirnar sem gilda um skoðun gagnastjórnandans á gagnavinnsluaðilanum eru tilgreindar í Viðauki cvið þennan gagnavinnslusamning.

 

3. Skoðun gagnaeftirlitsins á undirvinnslu, ef við á, skal að jafnaði framkvæmd í gegnum gagnavinnsluaðila. Aðferðir við slíka skoðun eru tilgreindar íViðauki cvið þennan gagnavinnslusamning.

 

4. Gagnavinnsluaðilanum skal þurfa að veita yfirvöldum, sem samkvæmt gildandi löggjöf hafa aðgang að aðstöðu gagnaeftirlitsins og gagnavinnsluaðila, eða fulltrúar sem starfa fyrir hönd slíkra eftirlitsyfirvalda, með aðgang að líkamlegri aðstöðu gagnavinnsluaðila á kynningu á viðeigandi viðkomandi eftirlit auðkenni.

12 Samningur aðila um aðra skilmála

1. (Aðskildir) Skilmálar sem tengjast afleiðingum brots aðila á þessum gagnavinnslusamningi, ef við á, skal tilgreina í „aðalsamningi“ aðila eða í Viðauki dvið þennan gagnavinnslusamning.

 

2. Reglugerð annarra skilmála milli aðila skal tilgreind í „aðalsamningi“ aðila eða íViðauki dvið þennan gagnavinnslusamning.

13 Upphaf og uppsögn

1. Þessi gagnavinnslusamningur skal taka gildi dagsetningu undirskriftar beggja aðila við samninginn.

 

2. Báðir aðilar eiga rétt á að krefjast þess að þessi gagnavinnslusamningur sé endursagður ef breytingar á lögum eða órökstuddum ákvæðunum sem hér er að finna ættu að gefa tilefni til slíkrar endursamninga.

 

3. Tilgreina skal samkomulag aðila um þóknun, skilmála o.fl. í tengslum við breytingar á þessum gagnavinnslusamningi, ef við á, í „aðalsamningi“ aðila eða í viðauka D við þennan gagnavinnslusamning.

 

4. Hægt er að segja upp þessum gagnavinnslusamningi samkvæmt skilmálum og uppsagnarskilyrðum, þ.m.t. Tilkynning um uppsögn, tilgreind í „aðalsamningi“.

 

5. Þessi gagnavinnslusamningur skal eiga við svo framarlega sem vinnslan er framkvæmd. Óháð uppsögn „aðalsamnings“ og/eða þessa gagnavinnslusamnings skal gagnavinnslusamningurinn vera í gildi þar til lokun vinnslunnar og eyða gögnum af gagnavinnsluaðilanum og öllum undirvinnsluaðilum.

 

6. Undirskrift

 

Fyrir hönd gagnaeftirlitsins

Nafn:	Michael Stampe
Staða:	Forstjóri
Dagsetning:	01/04/18

14 Gagnaeftirlit og tengiliðir fyrir örgjörva/tengiliðir

 

1. Aðilar geta haft samband við hvort annað með eftirfarandi tengiliðum/tengiliðastigum:

 

2. Aðilum skal stöðugt skylda til að upplýsa hvort annað um breytingar á tengiliðum/tengiliðastigum.

 

 

Nafn:	Mike Stampe
Staða:	Forstjóri
Símanúmer:	+45 52137210
Tölvupóstur:	stampe@kv-stampe.dk

 

 

Viðauki A Upplýsingar um vinnsluna

 

Tilgangurinn með vinnslu gagnavinnsluaðila á persónuupplýsingum fyrir hönd gagnaeftirlitsins er:

• Gagnastjórnandinn er fær um að nota Google Analytics sem er í eigu og stjórnað af gagnavinnsluaðilanum til að safna og vinna úr gögnum um meðlimi gagnaeftirlitsins.

 

Vinnsla gagnavinnsluaðila á persónuupplýsingum fyrir hönd gagnaeftirlitsins skal aðallega lúta að (eðli vinnslunnar):

• Gagnaframleiðandinn gerir tiltækt kerfisverslun fyrir gagnaeftirlitið og geymir hér með persónulegum gögnum um meðlimi gagnastjórnandans á netþjónum fyrirtækisins. “

 

Vinnslan felur í sér eftirfarandi tegundir persónuupplýsinga um gagnagreinar:

• Nafn, netfang, símanúmer, heimilisfang, greiðsluupplýsingar og lönd

 

Vinnsla felur í sér eftirfarandi flokka gagna:

 Einstaklingar sem hafa keypt einhverjar vörur á vefsíðunni eða skráð sig sem meðlimur

 

Vinnsla gagnavinnsluaðila á persónulegum gögnum fyrir hönd gagnaeftirlitsins má framkvæma þegar þessi gagnavinnslusamningur hefst. Vinnsla hefur næstu lengd:

• Vinnsla skal ekki vera tímabundin og skal framkvæmd fyrr en þessum gagnavinnslusamningi er slitið eða aflýst af einum aðila.

 

 

VIÐAUKI B LEIÐBEININGAR Varðandi notkunar persónuupplýsinga

 

 

B.1 Geymslutímabil/Erasure málsmeðferð

• Persónuupplýsingar eru geymdar í 3 ár en eftir það er þeim eytt af gagnavinnsluvélinni.

 

B.2 vinnslustaðsetning

Ekki er hægt að framkvæma vinnslu persónuupplýsinga samkvæmt þessum gagnavinnslusamningi á öðrum stöðum en eftirfarandi án skriflegs samþykkis gagnastjórnarinnar:

• Tilgreindu gagnavinnslu eða undirvinnsluaðila með því að nota heimilisfangið Ringvejen 60, 7900 Nykøbing Mors