Standard-databehandleraftale for MCL ApS
Denne databehandleraftale (herefter ”Aftalen”) er et tillæg til de gældende handelsbetingelser mellem kunden (herefter ”Den Dataansvarlige”) og MCL ApS, CVR 46110684, Edisonsvej 1, 5000 Odense C (herefter ”Databehandleren”).
Ved accept af MCL ApS’ handelsbetingelser og fortsat brug af MCL ApS’ ydelser, accepteres denne aftale automatisk.
1. Formål og instruks 1.1. Denne Aftale regulerer Databehandlerens behandling af personoplysninger på vegne af Den Dataansvarlige i forbindelse med levering af ydelser, herunder udvikling, hosting, drift og support af WordPress-hjemmesider og webshops. 1.2. Databehandleren må udelukkende behandle personoplysninger efter dokumenteret instruks fra Den Dataansvarlige, medmindre andet er påkrævet i henhold til EU-ret eller national ret. Hovedinstruksen er at levere de ydelser, der er beskrevet i den til enhver tid gældende kundeaftale.
2. Typer af personoplysninger og kategorier af registrerede 2.1. Behandlingen omfatter de personoplysninger, som Den Dataansvarlige indsamler via sin hjemmeside/webshop og opbevarer på Databehandlerens eller dennes underleverandørers servere. 2.2. Dette omfatter typisk: Navn, adresse, e-mail, telefonnummer, IP-adresser samt eventuelle oplysninger indtastet i kontaktformularer, brugerprofiler eller ved varekøb. 2.3. De registrerede omfatter Den Dataansvarliges kunder, brugere, medarbejdere og besøgende på hjemmesiden. 2.4. Det er Den Dataansvarliges ansvar at sikre, at der ikke systematisk indsamles eller opbevares følsomme personoplysninger (f.eks. helbredsoplysninger, fagforeningsforhold eller CPR-numre) via løsningen, medmindre dette er udtrykkeligt aftalt og systemet er teknisk sikret hertil.
3. Databehandlerens forpligtelser og fortrolighed 3.1. Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. 3.2. Databehandleren bistår Den Dataansvarlige med at opfylde dennes forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder (f.eks. anmodning om indsigt eller sletning af data). Databehandleren forbeholder sig retten til at fakturere for medgået tid ved anmodninger om bistand, der ligger ud over almindelig support.
4. Sikkerhed 4.1. Databehandleren iværksætter alle nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er forbundet med behandlingen. 4.2. Dette inkluderer, men er ikke begrænset til, løbende opdatering af WordPress-kerne og plugins, anvendelse af stærke adgangskoder, SSL-kryptering af datatrafik samt etablering af faste rutiner for backup i henhold til kundeaftalen.
5. Underdatabehandlere 5.1. Den Dataansvarlige giver hermed en generel og forudgående godkendelse til, at Databehandleren kan gøre brug af de underdatabehandlere, der fremgår af Bilag A, til opfyldelse af aftalen. 5.2. Databehandleren skal sikre, at underdatabehandlere pålægges de samme databeskyttelsesforpligtelser som fastsat i denne Aftale, herunder at der ydes tilstrækkelige garantier for lovlig behandling. 5.3. Databehandleren er forpligtet til at informere Den Dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af underdatabehandlere. Dette sker via opdatering af Bilag A på Databehandlerens hjemmeside. Hvis Den Dataansvarlige gør berettiget og saglig indsigelse, og en løsning ikke kan findes, kan aftalen opsiges.
6. Overførsel til tredjelande 6.1. Overførsel af personoplysninger til tredjelande (lande uden for EU/EØS) må kun ske, hvis der foreligger et lovligt overførselsgrundlag i henhold til Databeskyttelsesforordningen (GDPR), eksempelvis via EU-Kommissionens standardkontrakter (SCC).
7. Anmeldelse af brud på persondatasikkerheden 7.1. Databehandleren skal uden unødig forsinkelse underrette Den Dataansvarlige efter at være blevet opmærksom på et brud på persondatasikkerheden (f.eks. ved hackerangreb eller datalæk). Underretningen skal indeholde de oplysninger, der er nødvendige for, at Den Dataansvarlige kan overholde sine forpligtelser over for Datatilsynet og de registrerede.
8. Sletning og tilbagelevering af data 8.2. Ved kundeaftalens endelige ophør skal Databehandleren, efter Den Dataansvarliges valg, enten slette eller tilbagelevere alle personoplysninger til Den Dataansvarlige, medmindre EU-ret eller national ret foreskriver fortsat opbevaring af oplysningerne. 8.3. Såfremt Den Dataansvarlige ikke udtrykkeligt anmoder om tilbagelevering, sletter Databehandleren automatisk og uden yderligere varsel data senest 30 dage efter aftalens endelige udløb.
9. Revision og dokumentation 9.1. Databehandleren stiller alle nødvendige oplysninger til rådighed for Den Dataansvarlige for at påvise overholdelse af kravene i denne Aftale. 9.2. Den Dataansvarlige har ret til at iværksætte en årlig revision, herunder fysisk inspektion, af Databehandlerens procedurer. Dette udføres af Den Dataansvarlige eller en uafhængig tredjepart. Eventuelle omkostninger forbundet med revisionen, herunder fuld betaling for Databehandlerens medgåede tid og ressourcer, afholdes udelukkende af Den Dataansvarlige.
Bilag A: Fortegnelse over Underdatabehandlere
For at kunne levere en stabil og sikker digital infrastruktur benytter MCL ApS udvalgte underdatabehandlere til f.eks. serverdrift, backup og kommunikation. Ved accept af vores handelsbetingelser og denne databehandleraftale godkendes brugen af følgende leverandører:
- team.blue Denmark A/S (Curanet)
- Formål: Hosting, serverdrift, infrastruktur, afsendelse af transaktionsmails (SMTP) for hjemmesider og webshops.
- Lokation for data: Danmark (EU).
- Microsoft Ireland Operations Limited (Office 365)
- Formål: Håndtering af e-mails og intern kommunikation, herunder opbevaring af persondata i forbindelse med support- og servicehenvendelser fra kunder.
- Lokation for data: EU.
- WP Remote (BlogVault)
- Formål: Ekstern backup af hjemmesider og databaser (inkl. kundedata og ordrer) for at sikre mod datatab, samt overvågning og opdatering af systemer.
- Lokation for data: EU / Tredjeland. Overførsler er sikret og lovliggjort via EU-Kommissionens standardkontrakter (SCC).
MCL ApS forbeholder sig retten til at udskifte eller tilføje underdatabehandlere for løbende at sikre den bedste drift. Den til enhver tid gældende liste vil altid fremgå her på siden.
