Databehandleraftale

Denne databehandleraftale indgås mellem kunden (den dataansvarlige) ogJITS ApS, Odensevej 80, 5471 Søndersø, CVR 37590029 (databehandleren), i forbindelse med levering af backup-tjenesten Zave.

Aftalen opfylder kravene i artikel 28, stk. 3, i databeskyttelsesforordningen (GDPR) og er en integreret del af handelsbetingelserne. Ved uoverensstemmelse mellem denne aftale og handelsbetingelserne går denne aftale forud i spørgsmål om behandling af personoplysninger.

1. Roller og baggrund

Kunden er dataansvarlig. Kunden bestemmer selv, hvilke data der lægges i backup, med hvilke formål og med hvilke midler.

JITS ApS er databehandler og behandler personoplysninger udelukkende efter kundens instruks.

Dansave Backup er underdatabehandler og leverer den platform og det datacenter, hvor kundens krypterede data opbevares.

1.1 Krypteringen er afgørende for aftalens rækkevidde

Kundens data krypteres med AES-256 hos kunden selv, før de forlader kundens netværk. Krypteringsnøglen tilhører kunden alene.Hverken JITS ApS eller nogen underdatabehandler har nøglen.

Behandlingen består derfor reelt i opbevaring, replikering og transport af krypterede datablokke, som databehandleren ikke kan læse eller gøre forståelige. Det er en meget stærk beskyttelse — og det betyder samtidig, at databehandleren ikke kan søge i, udtrække fra, rette i eller slette enkeltoplysninger inde i kundens backup. Alle sådanne opgaver skal kunden udføre selv med sin egen nøgle.

2. Behandlingens genstand og varighed

Genstand og formål: opbevaring af sikkerhedskopier af kundens systemer og data, så kunden kan gendanne dem efter datatab, nedbrud, utilsigtet sletning eller ransomware-angreb.

Varighed: aftalen gælder, så længe kunden har et aktivt abonnement, og indtil sletningen efter afsnit 9 er gennemført.

Behandlingens karakter: indsamling fra kundens systemer, kryptering hos kunden, overførsel, opbevaring, replikering, versionering, sletning og gendannelse efter anmodning.

Typer af personoplysninger: bestemmes fuldstændigt af kunden. Backup kan i princippet indeholde alle kategorier af oplysninger, som kunden har i sine systemer — herunder almindelige oplysninger, CPR-numre og følsomme kategorier efter artikel 9. Databehandleren har ingen viden om, hvad der faktisk ligger i den enkelte backup.

Kategorier af registrerede: bestemmes ligeledes af kunden — typisk medarbejdere, kunder, leverandører, patienter, borgere, medlemmer eller andre, som kunden behandler oplysninger om.

3. Instruks

Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige. Denne aftale, handelsbetingelserne og de indstillinger, kunden foretager i kontrolpanelet, udgør tilsammen den dokumenterede instruks.

Databehandleren behandler ikke oplysningerne til egne formål, videregiver dem ikke til andre end de underdatabehandlere, der er nævnt i afsnit 5, og bruger dem ikke til statistik, produktudvikling eller markedsføring.

Er en instruks efter databehandlerens vurdering i strid med databeskyttelsesreglerne, giver databehandleren straks kunden besked og kan udsætte gennemførelsen, indtil forholdet er afklaret.

Kræver EU-ret eller dansk ret, at databehandleren behandler oplysninger ud over kundens instruks, underretter databehandleren kunden om kravet, før behandlingen sker — medmindre lovgivningen forbyder det af hensyn til vigtige samfundsinteresser.

4. Fortrolighed

Databehandleren sikrer, at kun de medarbejdere, der har et arbejdsbetinget behov, har adgang til de systemer, hvor kundens data behandles. Adgangen er begrænset efter princippet om mindste privilegium og logges.

Alle med adgang er pålagt tavshedspligt — enten ved ansættelseskontrakt eller ved særskilt fortrolighedserklæring. Tavshedspligten gælder også efter ansættelsens ophør.

5. Underdatabehandlere

Kunden giver ved indgåelsen af denne aftale generel godkendelse til, at databehandleren anvender følgende underdatabehandlere:

Databehandleren har indgået skriftlig aftale med hver underdatabehandler, som pålægger denne mindst de samme forpligtelser som i nærværende aftale. Databehandleren hæfter for underdatabehandlerens opfyldelse som for sin egen.

5.1 Varsling ved ændringer

Ønsker databehandleren at tilføje eller udskifte en underdatabehandler, varsles kunden skriftligt med mindst 30 dages varsel på den e-mailadresse, kunden har oplyst.

Kunden kan gøre begrundet indsigelse mod ændringen inden for varslet. Kan parterne ikke finde en løsning, kan kunden opsige aftalen med virkning fra den dato, ændringen træder i kraft, og få de 30 dages karensperiode til at hente sine data hjem efter handelsbetingelsernes afsnit 10.

6. Sikkerhed (artikel 32)

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger under hensyn til det aktuelle tekniske niveau, omkostningerne ved gennemførelse og risikoen for de registrerede. Foranstaltningerne omfatter som minimum:

6.1 Kryptering

• AES-256 client-side kryptering med kundens egen nøgle, udført før data forlader kundens netværk.
• TLS på al trafik i transit mellem kundens systemer, kontrolpanelet og lagerplatformen.
• Databehandleren opbevarer ikke kundens krypteringsnøgle og har ingen teknisk mulighed for at dekryptere.

6.2 Adgangsstyring

• Personlige, navngivne administratorkonti — ingen delte logins.
• Totrinsgodkendelse på administrativ adgang.
• Adgang tildeles efter mindste privilegium og fjernes ved fratrædelse eller rolleskift.
• Logning af administrativ adgang og af login til kundens kontrolpanel.

6.3 Integritet og tilgængelighed

• Replikering af data på lagerplatformen samt løbende kontrol af dataintegritet.
• Versionering, så en tidligere version kan gendannes efter utilsigtet ændring eller kryptering ved ransomware.
• Overvågning af drift med alarmering ved unormale hændelser.
• Oppetidsmål på lagerplatformen over 99,7 %.
• Fysisk sikring af datacenteret, herunder adgangskontrol, brandsikring og redundant strøm- og køleforsyning.

6.4 Organisatoriske foranstaltninger

• Skriftlige procedurer for håndtering af sikkerhedshændelser.
• Tavshedspligt og oplæring af medarbejdere med systemadgang.
• Rutinemæssig opdatering og patching af systemer.
• Årlig gennemgang af sikkerhedsforanstaltningerne.

6.5 Kundens del af sikkerheden

Kunden er ansvarlig for at opbevare krypteringsnøglen sikkert og adskilt fra de systemer, der tages backup af, for at styre adgangen til sit eget kontrolpanel, for at kontrollere jobrapporter og for jævnligt at teste, at gendannelse virker.

7. Bistand til den dataansvarlige

7.1 De registreredes rettigheder

Modtager databehandleren en anmodning fra en registreret om indsigt, berigtigelse, sletning, begrænsning, indsigelse eller dataportabilitet, videresender databehandleren anmodningen til kunden uden unødigt ophold og svarer ikke selv på den.

Databehandleren bistår kunden med at besvare anmodningen i det omfang, det er teknisk muligt.Bemærk at databehandleren på grund af krypteringen ikke kan finde, udlevere, rette eller slette enkeltpersoners oplysninger inde i kundens backup. Den type opgaver skal kunden løse i sine egne systemer og med sin egen nøgle.

7.2 Konsekvensanalyser og forudgående høring

Databehandleren bistår kunden med de oplysninger, kunden har brug for til at gennemføre en konsekvensanalyse vedrørende databeskyttelse (artikel 35) og en eventuel forudgående høring af Datatilsynet (artikel 36).

8. Brud på persondatasikkerheden

Databehandleren underretter kunden senest 24 timer efter, at databehandleren er blevet bekendt med et brud på persondatasikkerheden, der berører kundens data. Den korte frist er valgt, så kunden kan nå sin egen frist på 72 timer til at anmelde til Datatilsynet efter artikel 33.

Underretningen indeholder så vidt muligt:

• En beskrivelse af bruddets karakter og hvornår det er konstateret.
• Hvilke systemer og hvilke kategorier af data der er berørt, og i hvilket omfang.
• De sandsynlige konsekvenser af bruddet.
• De foranstaltninger, der er truffet eller foreslås truffet for at begrænse skaden.
• Kontaktoplysninger på den, der kan give yderligere information.

Er oplysningerne ikke tilgængelige på én gang, gives de i etaper, efterhånden som forholdet afdækkes. Databehandleren dokumenterer alle brud og bistår kunden med anmeldelse og eventuel underretning af de registrerede.

9. Sletning eller tilbagelevering ved ophør

Ved aftalens ophør gælder følgende, jf. handelsbetingelsernes afsnit 10:

• 30 dages karensperiode. Kundens data holdes intakte, så kunden kan hente dem hjem. Databehandleren bistår gerne med udtrækket. Kunden skal selv bruge sin krypteringsnøgle til at gøre data læsbare.
• Endelig sletning. Efter karensperioden slettes alle kundens data fra produktionsmiljø og fra platformens interne kopier.
• Skriftlig bekræftelse. Kunden modtager skriftlig bekræftelse på, at sletningen er gennemført — også hos underdatabehandleren.

Ønsker kunden sletning før karensperiodens udløb, sker det på skriftlig anmodning og kan ikke fortrydes.

Kræver EU-ret eller dansk ret fortsat opbevaring af bestemte oplysninger, opbevares alene det nødvendige og udelukkende til det lovbestemte formål.

10. Revision og dokumentation

Databehandleren stiller alle oplysninger til rådighed, som er nødvendige for at påvise overholdelsen af artikel 28, herunder beskrivelse af de tekniske og organisatoriske foranstaltninger og dokumentation fra underdatabehandlere.

Kunden kan én gang årligt anmode om en revision eller inspektion. Revisionen gennemføres som udgangspunkt ved, at databehandleren fremsender foreliggende dokumentation, herunder eventuelle revisionserklæringer fra underdatabehandleren.

Er dokumentationen ikke tilstrækkelig til kundens tilsynsforpligtelse, kan kunden gennemføre en fysisk inspektion. Inspektionen varsles med mindst 30 dage, gennemføres i normal arbejdstid og må ikke forstyrre driften eller give adgang til andre kunders data. Kunden afholder egne omkostninger; databehandlerens dokumenterede timeforbrug faktureres til gældende timepris.

Datatilsynet har til enhver tid adgang efter forordningens regler, og databehandleren samarbejder med tilsynet.

11. Overførsel til tredjelande

Alle data behandles og opbevares inden for EU/EØS. Der sker ingen overførsel til tredjelande.

Bliver en overførsel til tredjeland på et tidspunkt nødvendig, sker den ikke uden kundens forudgående skriftlige godkendelse og kun på et gyldigt overførselsgrundlag efter forordningens kapitel V.

12. Ansvar og ikrafttræden

Parternes ansvar følger forordningens artikel 82. I forholdet mellem parterne gælder desuden ansvarsbegrænsningen i handelsbetingelsernes afsnit 9, i det omfang den ikke strider mod ufravigelige regler.

Aftalen træder i kraft ved abonnementets oprettelse og løber, indtil sletningen efter afsnit 9 er gennemført. Ændringer aftales skriftligt. Databehandleren kan opdatere aftalen med 60 dages varsel, når det er nødvendigt for at afspejle ændret lovgivning, praksis fra tilsynsmyndigheder eller ændrede tekniske forhold.

Aftalen er underlagt dansk ret med værneting ved retten i Odense.

13. Kontakt

JITS ApS
Odensevej 80
5471 Søndersø
CVR 37590029

Telefon: +45 63 13 14 13
E-mail: support@zave.dk

En underskrevet udgave af databehandleraftalen udleveres på anmodning tilsalg@zave.dk.