Databehandleraftale

Disse kontraktbestemmelser (“Bestemmelserne”) fastsætter den dataansvarliges og databehandlerens rettigheder og forpligtelser ved behandling af personoplysninger på vegne af den dataansvarlige. De er Datatilsynets standardkontraktbestemmelser, vedtaget efter databeskyttelsesforordningens artikel 28, stk. 8, efter Det Europæiske Databeskyttelsesråds udtalelse 14/2019 (version 1.2, marts 2024), i skabelonens rækkefølge og ordlyd, med de valg, skabelonen overlader til parterne, truffet dér, hvor den overlader dem, og i bilagene.

Den dataansvarlige er den kunde, der er nævnt i dens ordre, eller den virksomhed, hvis konto Core4it ApS har oprettet (“kunden”). Databehandleren er Core4it ApS, Nordre Frihavnsgade 84, 5. th., 2100 København Ø, Denmark, CVR-nr. 46251377, [email protected].

Bestemmelserne sikrer overholdelse af artikel 28, stk. 3, i forordning (EU) 2016/679 (databeskyttelsesforordningen). Behandlingen sker i forbindelse med tjenesten lets-onboard, som beskrevet i vilkårene for brug. Bestemmelserne har forrang for enhver modstridende bestemmelse i andre aftaler mellem parterne. Fire bilag udgør en integreret del af Bestemmelserne: bilag A (oplysninger om behandlingen), bilag B (godkendte underdatabehandlere), bilag C (instruks vedrørende behandling af personoplysninger) og bilag D (parternes regulering af andre forhold).

• Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen, databeskyttelsesloven og anden gældende databeskyttelsesret.
• Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må ske behandling.
• Den dataansvarlige er blandt andet ansvarlig for, at der er et retsgrundlag for den behandling, som databehandleren instrueres i at foretage: for lets-onboard som regel dens ansættelsesforhold til de personer, den inviterer, og for det materiale, den uploader, at den må uploade og dele det.

• Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandlingen, medmindre loven forbyder det af hensyn til vigtige samfundsmæssige interesser. Instruksen er brugen af tjenesten, som dens funktioner tillader, præciseret i bilag C; senere instrukser kan gives gennem tjenestens funktioner eller skriftligt.
• Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med databeskyttelsesforordningen eller anden databeskyttelsesret.

• Databehandleren giver kun adgang til de personoplysninger, der behandles på vegne af den dataansvarlige, til personer under databehandlerens myndighed, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Disse personer er de personer hos databehandleren, der driver tjenesten.
• Databehandleren kan efter anmodning fra den dataansvarlige påvise, at de pågældende personer er underlagt en sådan tavshedspligt.

Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene for fysiske personers rettigheder og frihedsrettigheder gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici. Den dataansvarlige vurderer risiciene og gennemfører foranstaltninger for at imødegå dem. Databehandleren vurderer, uafhængigt af den dataansvarlige, ligeledes risiciene ved den behandling, den foretager, og gennemfører foranstaltninger for at imødegå dem; de aftalte foranstaltninger er dem i bilag C.2, som databehandleren opretholder mindst på det niveau.

Databehandleren bistår den dataansvarlige med at sikre overholdelse af dennes forpligtelser efter artikel 32 ved at give oplysninger om de gennemførte foranstaltninger efter den dataansvarliges anmodning.

• Databehandleren opfylder betingelserne i databeskyttelsesforordningens artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler (en underdatabehandler). Databehandleren gør det kun med den dataansvarliges generelle skriftlige godkendelse, som hermed gives for de underdatabehandlere, der er anført i bilag B.
• Databehandleren underretter skriftligt, pr. e-mail til dens administratorer, den dataansvarlige om enhver planlagt tilføjelse eller udskiftning af en underdatabehandler mindst 30 dage, før underdatabehandleren begynder at behandle, så den dataansvarlige har mulighed for at gøre indsigelse. Den dataansvarlige kan gøre indsigelse på rimelige, dokumenterede grunde vedrørende databeskyttelse; kan parterne ikke løse indsigelsen, kan den dataansvarlige opsige vilkårene for brug med virkning fra den dag, underdatabehandleren ville begynde, og databehandleren tilbagebetaler vederlag betalt for tiden derefter.
• Databehandleren pålægger ved en skriftlig kontrakt hver underdatabehandler de samme databeskyttelsesforpligtelser som dem, der er fastsat i disse Bestemmelser, navnlig tilstrækkelige garantier for at gennemføre passende tekniske og organisatoriske foranstaltninger, så behandlingen opfylder forordningens krav. Databehandleren sender efter anmodning en kopi af underdatabehandleraftalen, eller de relevante dele af den, til den dataansvarlige; kommercielle vilkår kan udelades.
• Opfylder underdatabehandleren ikke sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer foretaget af databehandleren sker kun på grundlag af dokumenteret instruks fra den dataansvarlige eller for at opfylde EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Uden sådan instruks overfører databehandleren ikke personoplysninger til et tredjeland, lader ikke en underdatabehandler i et tredjeland behandle dem og lader dem ikke behandle af sig selv i et tredjeland.

Den dataansvarliges instruks om overførsler står i bilag C.6: den godkender overførslerne til underdatabehandlerne i bilag B på de grundlag, der er angivet dér — Europa-Kommissionens afgørelse om tilstrækkelighed for EU-USA-databeskyttelsesrammen (afgørelse (EU) 2023/1795) for certificerede modtagere og EU's standardkontraktbestemmelser (afgørelse (EU) 2021/914) i øvrigt, efter forordningens artikel 45 og 46. Hvor databehandleren støtter sig på standardkontraktbestemmelserne i en underdatabehandlers vilkår, gør den det som den dataansvarliges fuldmægtig til dette formål.

• Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder efter forordningens kapitel III: retten til oplysning, indsigt, berigtigelse, sletning, begrænsning, underretning, dataportabilitet, indsigelse og til ikke at være genstand for automatiske afgørelser. Tjenestens egne funktioner lader den dataansvarliges administratorer se, rette, hente og slette en persons oplysninger; for det, de ikke selv kan gøre, handler databehandleren inden 10 arbejdsdage efter en skriftlig anmodning.
• Databehandleren bistår, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, den dataansvarlige med at sikre overholdelse af forordningens artikel 32–36: behandlingssikkerhed, anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden og underretning af de registrerede, konsekvensanalyser og forudgående høring. Bistanden er præciseret i bilag C.3.

• Databehandleren underretter uden unødig forsinkelse den dataansvarlige, efter at databehandleren er blevet opmærksom på, at der er sket et brud på persondatasikkerheden, og under alle omstændigheder inden for 48 timer, pr. e-mail til den dataansvarliges administratorer, så den dataansvarlige kan opfylde sin pligt til at anmelde bruddet til tilsynsmyndigheden inden for 72 timer (forordningens artikel 33).
• Databehandlerens underretning indeholder, så vidt det er kendt, det, artikel 33, stk. 3, kræver: bruddets karakter, herunder kategorierne og det omtrentlige antal berørte registrerede og registreringer, de sandsynlige konsekvenser, og de foranstaltninger, der er truffet eller foreslås for at håndtere bruddet og begrænse dets virkninger. Oplysninger, der ikke er tilgængelige i første omgang, gives, så snart de er det.
• Databehandleren bistår den dataansvarlige med underretning af de registrerede, hvor artikel 34 kræver det.

Ved ophør af tjenesterne sletter eller tilbageleverer databehandleren efter den dataansvarliges valg alle personoplysninger, der er behandlet på dennes vegne, og sletter eksisterende kopier, medmindre EU-ret eller national ret foreskriver opbevaring. I lets-onboard: den dataansvarlige kan hente sine data i 30 dage, efter at vilkårene for brug er ophørt, herunder ved at bede om en eksport i et almindeligt maskinlæsbart format; derefter sletter databehandleren oplysningerne, og de daglige sikkerhedskopier, der indeholder dem, udløber inden for 14 dage. Databehandleren bekræfter sletningen skriftligt efter den dataansvarliges anmodning. Underdatabehandlerne sletter deres kopier efter deres egne vilkår (bilag B).

• Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af forordningens artikel 28 og disse Bestemmelser, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.
• Procedurerne for den dataansvarliges revisioner af databehandleren er præciseret i bilag C.7 og af underdatabehandlerne i bilag C.8.
• Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter EU-ret eller national ret har adgang, eller deres repræsentanter adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

Parterne kan aftale andre bestemmelser vedrørende tjenesteydelsen om behandling af personoplysninger, for eksempel om ansvar, så længe de ikke er i direkte eller indirekte strid med disse Bestemmelser eller forringer den registreredes grundlæggende rettigheder eller frihedsrettigheder og den beskyttelse, forordningen giver. Disse vilkår står i bilag D.

• Disse Bestemmelser træder i kraft den dag, vilkårene for brug begynder at gælde for den dataansvarlige.
• Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i Bestemmelserne giver anledning til det.
• Bestemmelserne gælder, så længe behandlingen af personoplysninger varer. I den periode kan de ikke opsiges, medmindre parterne har aftalt andre bestemmelser, der regulerer behandlingen.
• Ophører leveringen af tjenesten, og er personoplysningerne slettet eller tilbageleveret efter bestemmelse 10, kan hver part opsige Bestemmelserne med skriftligt varsel.

For databehandleren: Core4it ApS, Nordre Frihavnsgade 84, 5. th., 2100 København Ø, Denmark, [email protected]. For den dataansvarlige: administratorerne af dens lets-onboard-konto på de e-mailadresser, de blev oprettet med, og den kontaktperson, der eventuelt er nævnt i dens ordre. Parterne kan kontakte hinanden gennem disse kontaktpersoner.

A.1 Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige er at levere tjenesten lets-onboard: bygning af onboardingforløb og e-læringskurser ud fra den dataansvarliges materiale, invitation af den dataansvarliges medarbejdere, levering af læringen til dem, registrering af deres fremskridt, prøveresultater og certifikater og afsendelse af de e-mails, tjenesten kræver.

A.2 Behandlingen omfatter: opbevaring af oplysningerne i en database; læsning af uploadede dokumenter, skærmbilleder og billeder (herunder afsendelse af deres tekst og billeder, og det, der er bygget ud fra dem, til AI-underdatabehandleren til analyse, udarbejdelse, korrekturlæsning, gennemgang af spørgsmål og assistentens svar, når en administrator beder om det); opbevaring af det, tjenesten og dens administratorer bygger; registrering af læring; afsendelse af e-mails gennem mail-underdatabehandleren; visning af oplysningerne for den dataansvarliges administratorer og medarbejdere; daglige sikkerhedskopier; sletning af oplysningerne efter instruks.

A.3 Behandlingen omfatter følgende typer af personoplysninger om de registrerede: navn, e-mailadresse, rolle (administrator eller medarbejder), virksomhed, startdato, hvem der inviterede personen og hvornår, hvornår de kom med og sidst loggede ind; læringsfremskridt (udførte trin og hvornår, forsøg, brugte hints); prøveforsøg (svar, resultater, bestået eller ikke, tidspunkter); certifikater (navn, kursus, virksomhed, resultat, dato); hashede login-links og sessioner med deres tidspunkter og en ny e-mailadresse, mens den bekræftes; interviewsvar og spørgsmål til assistenten afgivet af administratorer; og de personoplysninger, den dataansvarlige måtte medtage i det materiale, den uploader (som den dataansvarlige bør begrænse til det, uddannelsen kræver). Ingen særlige kategorier af personoplysninger (forordningens artikel 9) er nødvendige for tjenesten; den dataansvarlige må ikke uploade dem.

A.4 Kategorier af registrerede: den dataansvarliges ansatte og andre personer, den inviterer som administratorer eller medarbejdere (konsulenter, vikarer), og enhver person, der er nævnt i det materiale, den uploader.

A.5 Varighed: databehandleren behandler personoplysningerne, så længe vilkårene for brug gælder, og i den 30 dages hentningsperiode og de 14 dages udløb af sikkerhedskopier, efter at de er ophørt, som bestemmelse 10 beskriver.

B.1 Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af følgende underdatabehandlere:

B.2 Varsel om ændringer: 30 dage, som bestemmelse 6 fastsætter. Den aktuelle liste står altid på denne side; datoen øverst ændres, når den gør.

C.1 Behandlingens genstand og instruks. Databehandleren behandler personoplysningerne, som tjenestens funktioner kræver, og som den dataansvarliges administratorer betjener dem: upload, analyse, interview, bygning, tildeling, invitation, fjernelse og sletning. Hvilke funktioner der kalder AI-underdatabehandleren, står i privatlivspolitikkens afsnit 5. Den dataansvarlige kan give yderligere skriftlige instrukser på [email protected].

C.2 Behandlingssikkerhed

Sikkerhedsniveauet tager højde for, at behandlingen omfatter almindelige personoplysninger om ansatte som led i deres arbejde og uddannelse, herunder prøveresultater, og den dataansvarliges interne materiale, der kan være fortroligt. Databehandleren gennemfører og opretholder mindst disse foranstaltninger:

• Adskillelse af kunder i databasen: hver række tilhører én virksomhed; applikationen læser og skriver gennem views, der kun viser og accepterer den aktuelle virksomheds rækker, håndhævet af databasen, ikke af applikationskoden.
• Adgangskontrol: konti kun efter invitation; login med engangslinks gyldige i 15 minutter; sessioner, der slutter efter 7 dage uden brug og senest efter 30 dage; links og sessioner gemt kun som SHA-256-hashes; sessionscookien markeret Secure, HttpOnly og SameSite; hastighedsbegrænsning af login-, invitations-, upload- og AI-forespørgsler.
• Kryptering under overførsel: TLS mellem brugere og netværks-underdatabehandleren, en krypteret tunnel derfra til serveren og TLS til AI- og mail-underdatabehandlerne. Processer på serveren når kun hinanden på interne adresser.
• Mindste privilegium på serveren: hver proces (web, AI, konsol, migrering, sikkerhedskopi, mail) kører som sin egen hærdede systemd-tjeneste med sit eget databaselogin, der kun har adgang til de views, den har brug for; kun AI-processen har AI-leverandørens nøgle, og dens eneste udgående netværksadgang er AI-leverandøren; mailprocessens eneste udgående adgang er mailleverandøren; ingen indgående port er åben bortset fra SSH, som kun tillader nøgler og er hastighedsbegrænset.
• Dataminimering: skjulte metadata fjernes fra uploadede billeder og Word-dokumenter; IP-adresser og e-mailadresser gemmes kun som nøglede hashes til hastighedsbegrænsning; logs indeholder kun interne identifikatorer og passerer et maskeringslag; intet om medarbejdere sendes til AI-underdatabehandleren; registreringen af AI-brug indeholder tal, ikke indhold.
• Hærdning i browseren: en Content-Security-Policy, der kun tillader tjenestens eget domæne, ingen tredjepartsscripts, HSTS, forbud mod indlejring i rammer og kontrol af forespørgslers oprindelse ved enhver forespørgsel, der ændrer noget.
• Sikkerhedskopier og gendannelse: en daglig kopi af hele databasen, de seneste 14 beholdt, med en afprøvet gendannelsesprocedure; sikkerhedskopier tjener kun til gendannelse af tjenesten.
• Organisatoriske foranstaltninger: adgang til serveren, databasen og sikkerhedskopierne er begrænset til databehandlerens driftspersonale, hver med en personlig nøgle, underlagt tavshedspligt; operatørkonsollen viser databehandleren den dataansvarliges administratorer og AI-forbrug, aldrig dens indhold eller medarbejdere; der findes ingen funktion til at logge ind som en bruger; software udrulles fra versionsstyret, gennemgået konfiguration; sikkerhedsopdateringer installeres hurtigt.

C.3 Bistand til den dataansvarlige. Databehandleren bistår ved: at besvare anmodninger om de registreredes rettigheder, som administratorerne ikke selv kan håndtere, inden 10 arbejdsdage; at give oplysningerne i denne aftale og privatlivspolitikken til den dataansvarliges fortegnelser over behandlingsaktiviteter og konsekvensanalyser; at underrette om brud, som bestemmelse 9 siger, og hjælpe med anmeldelsen til Datatilsynet og underretningen af de registrerede; og at give oplysningerne i C.2 til den dataansvarliges sikkerhedsvurdering.

C.4 Opbevaringsperiode og sletning. Personoplysninger opbevares, som privatlivspolitikkens afsnit 7 angiver: mens kontoen er aktiv, og indtil en administrator sletter personen eller projektet, og virksomhedens egne indstillinger, mens kontoen er aktiv; brugte links, afsluttede sessioner og tællere til hastighedsbegrænsning i timer; cachede AI-resultater, indtil et projekt, de har tjent, slettes, eller efter 90 dage uden brug; logs i 30 dage; sikkerhedskopier i 14 dage. Efter vilkårenes ophør: hentning i 30 dage, derefter sletning, som bestemmelse 10 siger.

C.5 Behandlingssted. Databehandlerens opbevaring og behandling sker på dens server hos Hetzner Online GmbH i EU, fra databehandlerens lokaler i Danmark. AI-underdatabehandleren behandler i USA, mail-underdatabehandleren opbevarer sine kontodata i USA, og netværks-underdatabehandleren behandler trafikmetadata i EU og USA, hver som angivet i bilag B.

C.6 Instruks om overførsel af personoplysninger til tredjelande. Den dataansvarlige instruerer og godkender, at databehandleren overfører personoplysninger til de underdatabehandlere i bilag B, der er placeret i USA, på de grundlag, der er angivet dér (afgørelsen om tilstrækkelighed for EU-USA-databeskyttelsesrammen for certificerede modtagere; EU's standardkontraktbestemmelser i øvrigt). Ingen anden overførsel er godkendt.

C.7 Procedurer for den dataansvarliges revisioner. Én gang om året kan den dataansvarlige bede databehandleren om en skriftlig erklæring om dens overholdelse af disse Bestemmelser og foranstaltningerne i C.2 og kan stille skriftlige spørgsmål, som databehandleren besvarer inden 20 arbejdsdage uden beregning. En inspektion i databehandlerens lokaler eller af dens systemer kan finde sted med 30 dages skriftligt varsel, i arbejdstiden, én gang om året eller efter et brud på persondatasikkerheden eller et krav fra en tilsynsmyndighed, for den dataansvarliges regning, af den dataansvarlige eller en uafhængig revisor underlagt tavshedspligt; databehandleren kan kræve, at inspektionen ikke når andre kunders data. Tilsynsmyndigheder har den adgang, bestemmelse 11 giver.

C.8 Procedurer for revisioner af underdatabehandlere. Databehandleren fører tilsyn med sine underdatabehandlere gennem de uafhængige rapporter og certificeringer, de offentliggør (ISO 27001- og SOC 2-rapporter, optagelsen under EU-USA-databeskyttelsesrammen, Hetzners årligt gennemgåede tekniske og organisatoriske foranstaltninger), gennemgår dem mindst én gang om året og når en underdatabehandler ændres, og giver den dataansvarlige resultaterne efter anmodning. Den dataansvarlige kan bede databehandleren om at stille konkrete spørgsmål til en underdatabehandler.

Ansvar. Ansvarsbegrænsningen i vilkårene for brug gælder for parternes ansvar efter disse Bestemmelser, dog uden at begrænse nogen parts ansvar for administrative bøder, for erstatning til registrerede efter forordningens artikel 82 eller for et brud på disse Bestemmelser forårsaget af grov uagtsomhed eller forsæt.

Lovvalg og værneting. Disse Bestemmelser er underlagt dansk ret med det værneting, der gælder for vilkårene for brug.

Sprog. Disse Bestemmelser er offentliggjort på dansk og engelsk; for dataansvarlige i Danmark er den danske version den gældende. En underskrevet kopi kan fås efter anmodning på [email protected].