Databehandleraftale.

1. Parterne og aftalens forhold til hovedaftalen

Denne databehandleraftale indgås mellem kunden (skolen, virksomheden eller den anden organisation, der opretter en konto og inviterer brugere) som DATAANSVARLIG, og Discebo som DATABEHANDLER.

Aftalen er en integreret del af hovedaftalen om brug af Discebo (abonnementet). Ved uoverensstemmelse mellem denne aftale og hovedaftalen har denne aftale forrang for så vidt angår behandling af personoplysninger. Aftalen løber, så længe kunden har en aktiv konto, og ophører samtidig med hovedaftalen — dog forbliver punkt 8 om sletning i kraft, indtil sletningen er gennemført.

Den danske tekst er den gældende version. Oversættelser er en hjælp til læseren og ændrer ikke aftalens indhold.

2. Behandlingens genstand, varighed, karakter og formål

GENSTAND: Discebo stiller en lærings- og arbejdsplatform til rådighed. Databehandlerens behandling af personoplysninger sker udelukkende som led i at levere den funktionalitet, kunden har valgt: undervisning og bedømmelse, timeregistrering, vagt- og fraværsstyring, kørsel og udlæg, løn- og bogføringsudtræk, kundekartotek, sager og byggeplads, dokumenter, formularer, signering, beskeder og notifikationer.

KARAKTER: indsamling, registrering, organisering, opbevaring, ændring, søgning, visning, sammenstilling til rapporter og udtræk, videregivelse til de underdatabehandlere der er nævnt i Bilag B, samt sletning og anonymisering.

FORMÅL: alene at levere platformen efter kundens instruks. Databehandleren behandler ALDRIG kundens personoplysninger til egne formål — hverken til at træne modeller, til markedsføring, til profilering eller til at udvikle nye produkter på kundens data.

VARIGHED: behandlingen løber, indtil hovedaftalen ophører, og den efterfølgende sletning eller tilbagelevering efter punkt 8 er gennemført.

3. Kategorier af berørte personer og typer af personoplysninger

Kategorier af berørte personer: elever og kursister; undervisere og vejledere; ansatte, lærlinge og timelønnede i en virksomhed på platformen; ledere og administratorer; virksomhedens egne kunder og kontaktpersoner (som ofte aldrig selv har brugt platformen); modtagere af henvendelser og af kundeportalens links.

Typer af personoplysninger — almindelige oplysninger (art. 6): navn, e-mailadresse, telefonnummer, adresse, region, rolle, tilknytning til skole, klasse, hold, team eller virksomhed, ansættelsesdato og medarbejdernummer, profilbillede, kort beskrivelse, uddannelse og erfaring, kvalifikationer og certifikater med udløbsdato, jobsøgningsstatus, besvarelser af quizzer og prøver samt bedømmelser og feedback, aktiv læringstid, registrerede arbejdstimer og vagter, kørte kilometer og ruter, udlæg med tilhørende kvitteringsfotos, fravær med art og periode, løngrundlag og lønudtræk, tilbud, fakturaer og kreditnotaer, sager og opgaver med fotos og noter, drev-filer, formularudfyldelser, signaturer med tidsstempel, IP-adresse og enhedsoplysninger til driftssikkerhed, beskeder og opslag samt notifikationer.

Typer af personoplysninger — særlige kategorier (art. 9): platformen indeholder et STRUKTURERET felt for fraværsarten «sygdom», som indgår i lønudtrækket. Oplysning om en persons sygefravær er en helbredsoplysning. Behandlingen sker på kundens instruks som led i kundens arbejdsretlige forpligtelser og hviler for kundens vedkommende på art. 9, stk. 2, litra b, jf. databeskyttelseslovens § 12. Kunden er ansvarlig for at have det nødvendige grundlag; databehandleren behandler oplysningen alene efter instruks. Fritekstfelter (fx en note om arbejdstøj eller en besked) kan desuden i praksis komme til at indeholde helbredsoplysninger, uden at det er hensigten.

Straffedomme og lovovertrædelser (art. 10) behandles ikke, og platformen har ingen felter til det.

4. Instruks — og grænsen for den

Databehandleren må alene behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige. Kundens instruks udgøres af: denne aftale med bilag, hovedaftalen, og de valg kunden foretager i platformens egne indstillinger (herunder hvilke moduler der er slået til, hvilke rettigheder de enkelte roller har, og om AI-funktionerne må bruges).

Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens vurdering strider mod databeskyttelsesforordningen, databeskyttelsesloven eller anden gældende databeskyttelsesret.

Databehandleren overfører ikke personoplysninger til et tredjeland eller en international organisation uden dokumenteret instruks, medmindre EU-retten eller dansk ret kræver det. De overførsler kunden hermed instruerer i, er udtømmende beskrevet i Bilag B.

5. Confidentiality

Databehandleren sikrer, at kun de personer, der aktuelt har behov for adgang for at kunne opfylde aftalen, får adgang til personoplysningerne — og alene til de oplysninger, deres opgave kræver. Adgangen fjernes, så snart behovet ophører.

Disse personer er pålagt fortrolighed. Fortrolighedsforpligtelsen består også efter, at ansættelsen eller samarbejdet er ophørt. Databehandleren kan på anmodning dokumentere, hvem der har eller har haft en sådan adgang.

Al administrativ adgang til en kundes data — herunder når en supportmedarbejder ser platformen som en bruger for at kunne hjælpe — logges med angivelse af hvem, hvornår og hvorfor. Loggen kan udleveres til den dataansvarlige.

6. Sikkerhed (art. 32)

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger under hensyn til risikoen for de berørte personer. De foranstaltninger, der er gennemført på aftaletidspunktet, er beskrevet i Bilag C. Foranstaltningerne kan ændres, men aldrig til et lavere beskyttelsesniveau uden forudgående skriftlig underretning til den dataansvarlige.

Den dataansvarlige er selv ansvarlig for de valg, der træffes i platformens rettighedsopsætning: hvilke roller der kan se hvad, hvem der kan godkende, og hvem der får administratoradgang. Databehandleren stiller mekanismen til rådighed og lukker som udgangspunkt en ny funktion for de roller, der ikke udtrykkeligt har fået adgang.

7. Bistand til den dataansvarlige

Databehandleren bistår den dataansvarlige med at opfylde de berørte personers rettigheder efter art. 12-23: indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse. Platformen indeholder selvbetjening til indsigt og sletning, og databehandleren bistår desuden manuelt inden for 10 arbejdsdage, hvis en anmodning ikke kan opfyldes via selvbetjeningen.

Indsigt gives i den anmodendes egne oplysninger. Hvor en oplysning nødvendigvis rummer en tredjepart — for eksempel at en anden bruger har blokeret den pågældende — udleveres alene den anmodendes egne oplysninger, jf. art. 15, stk. 4, om at indsigtsretten ikke må krænke andres rettigheder.

Databehandleren bistår endvidere den dataansvarlige med at overholde art. 32-36: sikkerhed, anmeldelse af brud, underretning af de berørte, konsekvensanalyser og forudgående høring — i det omfang oplysningerne alene er tilgængelige hos databehandleren.

Retter en berørt person sin anmodning direkte til databehandleren, videresender databehandleren den til den dataansvarlige uden unødig forsinkelse og besvarer den ikke selv på den dataansvarliges vegne.

8. Sletning og tilbagelevering ved ophør

Ved aftalens ophør vælger den dataansvarlige, om personoplysningerne skal SLETTES eller TILBAGELEVERES. Vælges tilbagelevering, sker det i et almindeligt anvendt, maskinlæsbart format. Foretager den dataansvarlige ikke et valg, sletter databehandleren oplysningerne efter en frist på 30 dage regnet fra ophøret, efter forudgående skriftlig påmindelse.

Sletningen omfatter også eksisterende sikkerhedskopier, i takt med at disse udløber efter den almindelige opbevaringsrutine. Databehandleren bekræfter skriftligt, når sletningen er gennemført.

UNDTAGELSE — lovpligtig opbevaring: hvor EU-retten eller dansk ret kræver fortsat opbevaring, opbevares alene det nødvendige, alene så længe det er påkrævet, og alene til det formål. Det gælder navnlig bogføringsmateriale, herunder fakturaer og kreditnotaer, der efter bogføringsloven skal opbevares i 5 år fra udløbet af det regnskabsår, materialet vedrører.

Vær opmærksom på forholdet mellem en PERSONS sletning og VIRKSOMHEDENS data: sletter en enkelt bruger sin personlige konto, slettes virksomhedens forretningsdata ikke med den, fordi virksomheden er dataansvarlig for dem. Skal de slettes, sker det efter denne aftale — ikke ved at brugeren sletter sin konto.

9. Underdatabehandlere

Den dataansvarlige giver hermed generel godkendelse til, at databehandleren anvender de underdatabehandlere, der er anført i Bilag B. Godkendelsen omfatter alene de anførte og alene til de anførte formål.

Databehandleren pålægger hver underdatabehandler de samme databeskyttelsesforpligtelser som i denne aftale ved en skriftlig aftale og forbliver fuldt ansvarlig over for den dataansvarlige for underdatabehandlerens opfyldelse.

Ved påtænkt tilføjelse eller udskiftning af en underdatabehandler underretter databehandleren den dataansvarlige skriftligt mindst 30 dage før ændringen får virkning. Den dataansvarlige kan inden for 14 dage fra underretningen gøre begrundet indsigelse. Kan parterne ikke finde en løsning, kan den dataansvarlige opsige aftalen med virkning fra det tidspunkt, hvor ændringen skulle have virkning, mod forholdsmæssig tilbagebetaling af forudbetalt abonnement.

Den dataansvarlige kan til enhver tid få en ajourført liste. Bilag B nedenfor ER den liste: den genereres af den samme kilde i koden, som platformens persondatapolitik viser, netop for at der ikke kan opstå to lister der siger noget forskelligt.

10. Overførsel til tredjelande

Databehandleren tilstræber at behandle personoplysninger inden for EU/EØS. Hvor en underdatabehandler behandler oplysninger uden for EU/EØS, fremgår det udtrykkeligt af Bilag B sammen med det konkrete overførselsgrundlag efter art. 44-49 for netop den underdatabehandler.

Bilag B angiver for hver enkelt, om grundlaget er EU-Kommissionens standardkontraktbestemmelser (SCC), en certificering under EU-U.S. Data Privacy Framework, eller en afgørelse om et tilstrækkeligt beskyttelsesniveau. Grundlaget er efterprøvet hos leverandøren selv, og kilden er anført med dato. Hvor grundlaget IKKE har kunnet bekræftes, står det som en udestående mangel frem for som en formodning.

Særligt om AI-funktionerne: de sender kun data ud, når en bruger selv aktiverer funktionen, og de indgår ikke i nogen automatisk baggrundsbehandling. Ønsker den dataansvarlige slet ingen overførsel til det pågældende tredjeland, kan AI-funktionerne slås fra for organisationen, hvorefter ingen data sendes dertil.

11. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, jf. art. 33, stk. 2. Fristen er sat kortere end den dataansvarliges egen 72-timers frist over for Datatilsynet, så den dataansvarlige har reel tid til at anmelde.

Underretningen indeholder, i det omfang oplysningerne er tilgængelige: bruddets karakter, hvilke kategorier og hvor mange berørte personer og oplysninger der er tale om, de sandsynlige konsekvenser, de foranstaltninger der er truffet eller foreslås, samt et kontaktpunkt. Er oplysningerne ikke tilgængelige på én gang, gives de gradvist uden yderligere unødig forsinkelse.

Databehandleren anmelder ALDRIG et brud til Datatilsynet på den dataansvarliges vegne, medmindre det er udtrykkeligt aftalt skriftligt i det konkrete tilfælde, og underretter heller ikke selv de berørte personer uden aftale.

12. Dokumentation og revision

Databehandleren stiller på anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelsen af art. 28, og giver mulighed for og bidrager til revision og inspektion, jf. art. 28, stk. 3, litra h.

Den dataansvarlige kan én gang årligt — og derudover efter et brud der berører den dataansvarlige — gennemføre en revision, selv eller ved en uafhængig tredjepart der ikke er en konkurrent til databehandleren, og som underskriver en fortrolighedserklæring. Revision varsles skriftligt mindst 30 dage før, gennemføres i almindelig arbejdstid og må ikke forstyrre driften unødigt.

Den dataansvarlige afholder egne omkostninger ved revisionen. Databehandlerens medvirken er vederlagsfri ved den årlige revision og ved revision efter et brud; herudover kan der aftales vederlag efter medgået tid.

Databehandleren fører en fortegnelse over de kategorier af behandlinger, der udføres på den dataansvarliges vegne, jf. art. 30, stk. 2, og udleverer den på anmodning.

13. Ansvar, ændringer og lovvalg

Parternes ansvar følger art. 82 og hovedaftalen. Ansvarsbegrænsninger i hovedaftalen kan ikke begrænse en berørt persons rettigheder efter forordningen eller en parts ansvar over for en tilsynsmyndighed.

Ændringer i aftalen aftales skriftligt. Databehandleren kan dog ensidigt ændre Bilag B efter proceduren i punkt 9 og Bilag C, hvis ændringen ikke sænker beskyttelsesniveauet.

Aftalen er underlagt dansk ret, og tvister afgøres ved de danske domstole med databehandlerens hjemting som første instans, medmindre andet følger af ufravigelige regler.