Databehandleraftale

1. Parter

Denne databehandleraftale (aftalen) er indgået mellem den organisation, der har accepteret den ved oprettelsen i PageForge, som registreret sammen med accepten (den dataansvarlige), og den, der driver PageForge, i det følgende kaldet PageForge-udbyderen (databehandleren).

Databehandleren kan kontaktes på [email protected].

Den dataansvarlige er dataansvarlig for de personoplysninger, der findes på de websites, som den bygger og udgiver med PageForge. Databehandleren behandler oplysningerne på den dataansvarliges vegne og er databehandler.

2. Præambel

Denne aftale fastsætter den dataansvarliges og databehandlerens rettigheder og forpligtelser, når databehandleren behandler personoplysninger på den dataansvarliges vegne. Aftalen skal sikre, at parterne overholder artikel 28, stk. 3, i databeskyttelsesforordningen (GDPR). Den følger opbygningen i de standardbestemmelser, som Datatilsynet har udarbejdet til den artikel, tilpasset PageForge.

Databehandleren leverer PageForge, en hostet tjeneste til at bygge og udgive websites (tjenesten), til den dataansvarlige. Den ordning, som det sker under, herunder det abonnement der er registreret i PageForge, er serviceforholdet. Serviceforholdet ophører, når en af parterne giver den anden parts kontaktadresse (punkt 15) skriftlig opsigelse, eller når den dataansvarliges organisation slettes. Ved leveringen af tjenesten behandler databehandleren personoplysninger på den dataansvarliges vegne, som beskrevet i bilag A.

Aftalen omfatter ikke personoplysninger, som databehandleren selv er dataansvarlig for, for eksempel loginkonti til den dataansvarliges medarbejdere. Den behandling er beskrevet i privatlivspolitikken.

Bilag A til D er en del af aftalen. Aftalen frigør ikke nogen af parterne fra forpligtelser, som direkte påhviler dem efter databeskyttelsesforordningen.

3. Den dataansvarliges rettigheder og forpligtelser

Den dataansvarlige er ansvarlig for, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen, anden EU-ret eller medlemsstaternes nationale ret om databeskyttelse og denne aftale.

Den dataansvarlige har ret og pligt til at træffe beslutninger om formålene med og hjælpemidlerne til behandlingen, og er ansvarlig for, at der er et lovligt grundlag for den, for indholdet på sine sites og for de spørgsmål, dens formularer stiller.

Indhold, som den dataansvarlige linker til eller indlejrer fra andre websites, er uden for databehandlerens kontrol. Den dataansvarlige er ansvarlig for det.

Tjenesten er ikke beregnet til følsomme personoplysninger (artikel 9), oplysninger om straffedomme og lovovertrædelser (artikel 10) eller CPR-numre. Den dataansvarlige må ikke indsamle sådanne oplysninger via tjenesten, medmindre parterne forud har aftalt andet skriftligt.

4. Databehandleren handler efter instruks

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret. I så fald underretter databehandleren den dataansvarlige om dette retlige krav, inden behandlingen finder sted, medmindre den pågældende ret forbyder en sådan underretning.

Den dataansvarliges instruks gives ved, at tjenesten bruges i overensstemmelse med serviceforholdet, bilag A og bilag C: oprettelse og udgivelse af indhold, upload af medier samt modtagelse, læsning, eksport og sletning af formularbeskeder i administrationsområdet. Den dataansvarlige kan give yderligere instrukser skriftligt til databehandlerens kontaktadresse.

Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med databeskyttelsesforordningen eller anden databeskyttelsesret.

5. Fortrolighed

Databehandleren giver kun adgang til personoplysningerne til personer, som databehandleren har bemyndiget, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og som har brug for adgangen for at drive og supportere tjenesten.

Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer er underlagt ovennævnte tavshedspligt.

6. Behandlingssikkerhed

Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål samt risiciene for fysiske personers rettigheder og frihedsrettigheder iværksætter databehandleren de foranstaltninger, der er beskrevet i bilag C, med henblik på at sikre et sikkerhedsniveau, der er passende i forhold til risikoen, jf. artikel 32 i databeskyttelsesforordningen.

Den dataansvarlige er ansvarlig for at vurdere, om foranstaltningerne i bilag C er tilstrækkelige i forhold til risikoen ved den behandling, den dataansvarlige foretager gennem tjenesten. Kræver den dataansvarlige yderligere foranstaltninger, aftaler parterne det skriftligt.

Databehandleren bistår den dataansvarlige med at overholde dennes forpligtelser efter artikel 32 ved at give den dataansvarlige de oplysninger om foranstaltningerne, som den dataansvarlige har brug for.

7. Anvendelse af underdatabehandlere

Databehandleren opfylder betingelserne i artikel 28, stk. 2 og 4, i databeskyttelsesforordningen for at gøre brug af en anden databehandler (en underdatabehandler). Den dataansvarlige giver databehandleren generel tilladelse til at bruge de underdatabehandlere, der er anført i bilag B.

Databehandleren underretter skriftligt den dataansvarlige med mindst 30 dages varsel, før der tilføjes eller udskiftes en underdatabehandler, og opdaterer bilag B på denne offentliggjorte side. Den dataansvarlige kan inden for denne frist gøre indsigelse mod ændringen på rimeligt grundlag, der vedrører databeskyttelse. Underretningen sendes til den dataansvarliges kontaktpersoner (punkt 15).

Gør den dataansvarlige indsigelse, og kan parterne ikke finde en anden løsning, kan den dataansvarlige bringe serviceforholdet til ophør med virkning fra den dato, hvor ændringen ville træde i kraft.

Databehandleren engagerer hver underdatabehandler på vilkår, der giver mindst samme beskyttelsesniveau, som artikel 28, stk. 4, i databeskyttelsesforordningen kræver. Databehandleren er over for den dataansvarlige fuldt ansvarlig for, at underdatabehandleren overholder dem.

8. Overførsel til tredjelande

Databehandleren overfører kun personoplysninger til et tredjeland eller en international organisation efter dokumenteret instruks fra den dataansvarlige og altid i overensstemmelse med kapitel V i databeskyttelsesforordningen.

Den dataansvarlige instruerer databehandleren i at bruge underdatabehandlerne i bilag B, herunder at overføre data til Cloudflare, Inc. i USA på grundlag af EU-US Data Privacy Framework.

Databehandleren foretager ingen andre overførsler til tredjelande, medmindre EU-ret eller medlemsstaternes nationale ret kræver det. I så fald gælder punkt 4, første afsnit.

9. Bistand til den dataansvarlige

Under hensyntagen til behandlingens karakter bistår databehandleren, så vidt det er muligt, ved passende tekniske og organisatoriske foranstaltninger den dataansvarlige med at opfylde dennes pligt til at besvare anmodninger om udøvelse af de registreredes rettigheder efter kapitel III i databeskyttelsesforordningen. Den dataansvarlige kan selv læse, eksportere (som CSV, op til 10.000 rækker pr. eksport) og slette formularbeskeder i administrationsområdet. Kan en anmodning ikke håndteres dér, hjælper databehandleren efter anmodning.

Databehandleren bistår også den dataansvarlige, under hensyntagen til behandlingens karakter og de oplysninger, som databehandleren har adgang til, med den dataansvarliges forpligtelser efter artikel 32 til 36 i databeskyttelsesforordningen: behandlingssikkerhed, anmeldelse af brud på persondatasikkerheden, konsekvensanalyser og forudgående høring af tilsynsmyndigheden.

10. Underretning om brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige om brud på persondatasikkerheden hos databehandleren eller hos en underdatabehandler uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på det, så den dataansvarlige kan nå sin egen frist på 72 timer for at anmelde bruddet til Datatilsynet efter artikel 33.

Underretningen angiver så vidt muligt karakteren af bruddet, herunder kategorierne og det omtrentlige antal berørte registrerede og registreringer, de sandsynlige konsekvenser af bruddet og de foranstaltninger, som databehandleren har truffet eller foreslår for at håndtere det. Databehandleren giver yderligere oplysninger, efterhånden som de foreligger.

Den dataansvarlige afgør, om bruddet skal anmeldes til Datatilsynet og meddeles de registrerede. Databehandleren fører fortegnelse over alle brud på persondatasikkerheden, som artikel 33, stk. 5, kræver.

11. Sletning og returnering af oplysninger

Mens serviceforholdet løber, kan den dataansvarlige selv slette formularbeskeder og sitets indhold. Formularbeskeder slettes desuden automatisk 180 dage efter, at de er indsendt. Den dataansvarlige kan til enhver tid eksportere formularbeskeder som CSV i administrationsområdet (op til 10.000 rækker pr. eksport).

Databehandleren sletter den dataansvarliges personoplysninger inden for 30 dage efter serviceforholdets ophør. En platformsadministrator gør det ved at slette den dataansvarliges organisation i PageForges administrationsområde, hvilket sletter organisationen med alle dens sites og deres indhold, medier og formularbeskeder.

I de 30 dage kan den dataansvarlige skriftligt bede databehandleren om at returnere sine oplysninger. Databehandleren returnerer dem så, før de slettes.

Kopier i databehandlerens sikkerhedskopier overskrives efter den faste plan og kan blive liggende i op til 30 dage efter sletningen. Databehandleren bruger dem ikke til andre formål.

Databehandleren sletter ikke oplysninger, som EU-ret eller medlemsstaternes nationale ret pålægger den at opbevare. Efter anmodning bekræfter databehandleren skriftligt, at sletningen har fundet sted.

12. Revision og inspektion

Databehandleren giver den dataansvarlige alle oplysninger, der er nødvendige for at påvise overholdelse af artikel 28 i databeskyttelsesforordningen og denne aftale, og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som den dataansvarlige har bemyndiget.

Den dataansvarlige beder først om skriftlige oplysninger, for eksempel dokumentation for foranstaltningerne i bilag C, databehandlerens fortegnelse over behandlingsaktiviteter og registret over underdatabehandlere. Er det ikke nok, kan den dataansvarlige anmode om en inspektion. Databehandleren aftaler et tidspunkt med rimeligt varsel. Inspektionen foregår i normal arbejdstid, må ikke forstyrre driften af tjenesten, giver ikke adgang til andre kunders oplysninger og foretages for den dataansvarliges egen regning af personer, der er underlagt tavshedspligt.

Tilsynsmyndigheders ret til efter lovgivningen at få adgang til databehandlerens lokaler og systemer berøres ikke af dette punkt.

13. Parternes aftale om andre forhold

Aftalen er underlagt dansk ret.

Aftalen er offentliggjort på dansk og engelsk. Afviger de to versioner fra hinanden, har den danske version forrang.

Er serviceforholdet og denne aftale i strid med hinanden i et databeskyttelsesretligt spørgsmål, har denne aftale forrang. Bilag D indeholder de øvrige vilkår.

14. Ikrafttræden og ophør

Aftalen træder i kraft, når den dataansvarlige accepterer den ved oprettelsen i PageForge. Accepten registreres sammen med den version af aftalen, der er accepteret.

Aftalen gælder, så længe databehandleren behandler personoplysninger på den dataansvarliges vegne, og ophører, når serviceforholdet ophører. Punkt 11 gælder fortsat, indtil alle personoplysninger er slettet.

En væsentlig ændring af aftalens bestemmelser offentliggøres som en ny version. Den træder først i kraft for den dataansvarlige, når den dataansvarlige har accepteret den nye version, og den version, der blev accepteret før, gælder indtil da. Opdateringer af bilag B følger punkt 7 og er ikke en ændring af bestemmelserne.

15. Kontaktpersoner og meddelelser

Den dataansvarliges kontaktpersoner er ejerne af dens organisation i PageForge (ejerne af alle dens sites). Meddelelser til den dataansvarlige sendes til den e-mailadresse, som hver af dem har registreret ved oprettelsen.

Databehandlerens kontaktadresse er [email protected].

Hver part underretter uden unødig forsinkelse den anden part om skift af kontaktperson eller adresse.

Bilag A. Oplysninger om behandlingen

Formål: at hoste, vise og udgive den dataansvarliges websites, at gemme og stille de beskeder til rådighed, som besøgende sender via den dataansvarliges formularer, og at gemme de medier, den dataansvarlige uploader, så den dataansvarlige kan bruge PageForge som aftalt i serviceforholdet.

Behandlingens karakter: lagring, hentning, visning, overførsel over netværk, eksport og sletning. Databehandleren bruger i øvrigt ikke oplysningerne.

Kategorier af registrerede:

• Alle besøgende på den dataansvarliges sites, også dem der indsender en formular.
• Personer, der er nævnt eller afbildet i det indhold og de medier, den dataansvarlige udgiver.
• Den dataansvarliges medarbejdere som forfattere af indhold og uploadere af medier.

Bilag A (fortsat). Typer af personoplysninger

Typer af personoplysninger:

• Formularbeskeder: de feltværdier, den besøgende indtaster, ud fra de formularfelter den dataansvarlige har oprettet, sammen med formularens navn, siden, kildestien og tidspunktet for indsendelsen. Databehandleren gemmer ikke den besøgendes IP-adresse eller browseroplysninger sammen med en formularbesked.
• Sitets indhold: sider, versioner med forfatterens id, menuer, oversættelser og temaer, med de personoplysninger den dataansvarlige selv udgiver i dem.
• Medier: uploadede filer og deres varianter, filnavn, beskrivende tekst og uploaderens id. Mediefiler vises offentligt, så alle med adressen på en fil kan hente den.
• Besøgendes IP-adresser og oplysninger om forespørgslen passerer Cloudflares netværk, mens en side hentes (se bilag B).

Bilag A (fortsat). Varighed

Behandlingen varer, så længe serviceforholdet løber, og slutter med sletning som beskrevet i punkt 11.

Bilag B. Godkendte underdatabehandlere

På datoen for denne version godkender den dataansvarlige disse underdatabehandlere. Ændringer følger varslet på 30 dage i punkt 7.

• Cloudflare, Inc. (USA): netværk og tunnel foran tjenesten. Cloudflare kan se besøgendes IP-adresser, adressen og headerne på hver forespørgsel og indholdet af trafikken undervejs (TLS afsluttes hos Cloudflare). Cloudflare modtager også de netværksfejlrapporter, som besøgendes browsere sender til Cloudflare. Overførslen til USA sker på grundlag af EU-US Data Privacy Framework.
• Brevo (Sendinblue SAS): sender tjenestens invitations- og nulstillingsmails til den dataansvarliges medarbejdere på den dataansvarliges vegne og modtager derfor modtagerens e-mailadresse, emnet og linket i mailen. Efter sine egne offentlige oplysninger opererer Brevo i EU (Frankrig).

Bilag C. Instruks og sikkerhedsforanstaltninger

Genstand for behandlingen: databehandlerens levering af tjenesten til den dataansvarlige, som beskrevet i bilag A.

Tekniske og organisatoriske foranstaltninger på datoen for denne version:

• Adskillelse af kunder: data filtreres som udgangspunkt på site i alle databaseforespørgsler, og data på et site kan ikke gemmes, hvis intet site er fastlagt. Baggrundsjob og jobs på tværs af sites skifter udtrykkeligt site.
• Adgangsstyring: adgangskoder gemmes kun som BCrypt-hash med en minimumslængde på 8 tegn. Adgangstokenet er signeret og gælder i 8 timer. Adgang følger roller pr. site, og platformsadministration er forbeholdt platformsadministratorer.
• Beskyttelse mod misbrug: der er grænser for antal forespørgsler på login, nulstilling af adgangskode, invitationer, skrivning i administrationsområdet og offentlige formularer. De IP-adresser, der bruges til grænserne, findes kun i hukommelsen, højst i 15 minutter.
• Transport: trafik fra besøgende og brugere er krypteret med TLS til Cloudflare, som afslutter forbindelsen og sender den videre gennem en tunnel til tjenesten. Mail sendes til Brevo med STARTTLS. API-svar har sikkerhedsheadere, og offentlige sites leveres med en content security policy.
• Håndtering af input: input til formularer valideres mod formularens angivne felter, før det gemmes, links med usikre skemaer blokeres, og uploads er begrænset til 10 MB.
• Logning: logs indeholder ikke IP-adresser eller browseroplysninger, invitationsnøgler fjernes, og e-mailadresser maskeres i applikationens loglinjer. Der er konfigureret en størrelsesgrænse for loggen (3 filer på 10 MB pr. tjeneste), og logs kasseres ved ny udrulning.
• Hemmeligheder: signeringsnøgle, databaseforbindelse og mailadgangskode leveres via miljøvariabler og ligger ikke i kildekoden.
• Tilgængelighed: databasen og de uploadede filer sikkerhedskopieres hver nat. Én kopi gemmes i 7 dage på serveren, og en anden kopi på en separat computer, som databehandleren kontrollerer, gemmes i 30 dage. Tjenesten har helbredstjek og genstarter automatisk.
• Dataminimering: formularbeskeder indeholder ingen IP-adresse eller browseroplysninger og slettes automatisk efter 180 dage.
• Begrænsninger: databehandleren krypterer ikke i øjeblikket sikkerhedskopierne i hvile. At kryptere dem er en planlagt forbedring.

Bilag C (fortsat). Opbevaring, placering og revision

Opbevaringsperiode: formularbeskeder slettes 180 dage efter indsendelsen. Sitets indhold og medier gemmes, indtil den dataansvarlige sletter dem, eller serviceforholdet ophører. Efter serviceforholdets ophør slettes oplysningerne som beskrevet i punkt 11.

Placering af behandlingen: tjenesten kører på servere i Danmark. Trafikken passerer Cloudflares globale netværk (bilag B).

Overførsler: kun de overførsler, der er beskrevet i bilag B og punkt 8, er omfattet af instruksen.

Procedure for revision og inspektion: som beskrevet i punkt 12.

Bilag D. Øvrige vilkår

Lovvalg: aftalen er underlagt dansk ret.

Sprog: den danske version af aftalen har forrang over den engelske version.

Accept: den dataansvarlige accepterer aftalen ved oprettelsen i PageForge. Accepten registreres sammen med aftalens version, som står øverst på denne side.