Databehandleraftale for
Raffle Workplace Search

1. Baggrund

1.1. Kunden ("den dataansvarlige") har accepteret de generelle vilkår og betingelser for raffle.ai ("databehandleren") og dermed indgået en aftale om den dataansvarliges brug af den licenserede software og SaaS-tjenesterne som defineret i aftalen. De specifikke behandlingsaktiviteter er beskrevet i aftalens punkt 12.2.

1.2. Den dataansvarlige har valgt databehandlerens service vedrørende anonymisering af personoplysninger på vegne af den dataansvarlige. Databehandleren vil derfor behandle personoplysninger på vegne af den dataansvarlige i en kort periode forud for databehandlerens anonymisering af personoplysningerne. Derfor indgås denne databehandleraftale (som defineret nedenfor) mellem den dataansvarlige og databehandleren som en obligatorisk aftale i henhold til artikel 28 i GDPR (som defineret nedenfor).

1.3. Gældende databeskyttelseslovgivning (som defineret nedenfor) kræver, at der indgås en skriftlig kontrakt mellem en dataansvarlig og en databehandler, som behandler personoplysninger på vegne af den dataansvarlige, der regulerer genstanden for og varigheden af behandlingen, behandlingens art og formål, typen af personoplysninger og kategorier af registrerede og den dataansvarliges forpligtelser og rettigheder. I overensstemmelse hermed har parterne indgået denne databehandlingsaftale.

1.4. Aftalen og databehandleraftalen er indbyrdes afhængige og kan ikke opsiges separat.

1.5. I tilfælde af uoverensstemmelse mellem indholdet af Aftalen og Databehandleraftalen i forhold til databeskyttelsesforpligtelser, vil Databehandleraftalen have forrang uanset eventuelle tidligere aftaler mellem Parterne.

2. Definitioner

2.1. Udtryk, der er defineret i aftalen, skal have samme betydning, når de anvendes i denne databehandlingsaftale, medmindre andet udtrykkeligt er angivet heri.

2.2. I denne databehandlingsaftale, medmindre sammenhængen kræver andet:

1. "Aftale" har den betydning, der tilskrives den i punkt 1.1.

2. "Databehandleraftale" betyder denne databehandleraftale, herunder bilag 1.

3. "Databeskyttelseslovgivning" betyder alle love i hele Det Europæiske Økonomiske Samarbejdsområde (EØS) og regler om beskyttelse af personoplysninger som ændret fra tid til anden, herunder GDPR (som defineret nedenfor), relevant national lovgivning, herunder den danske databeskyttelseslov, og, hvor det er relevant, de retningslinjer og regler, der er udstedt af kompetente tilsynsmyndigheder.

4. "Generel databeskyttelsesforordning" eller "GDPR" betyder forordning (EU) 2016/679 (generel databeskyttelsesforordning) som ændret fra tid til anden.

5. "Tjenester" betyder de tjenester og leverancer, der leveres af databehandleren som leverandør til den dataansvarlige som kunde i henhold til aftalen, herunder de behandlingsaktiviteter, der er beskrevet i punkt 12.2.

2.3. Udtrykkene "personoplysninger", "særlige kategorier af personoplysninger", "behandling", "dataansvarlig", "databehandler", "registreret", "tilsynsmyndighed", "pseudonymisering", "tekniske og organisatoriske foranstaltninger" og "brud på persondatasikkerheden", som anvendes i denne databehandleraftale, skal forstås i overensstemmelse med databeskyttelseslovgivningen, herunder databeskyttelsesforordningen.

3. Behandling af personoplysninger

3.2. De personoplysninger, der skal behandles af databehandleren, og kategorierne af registrerede er angivet i bilag 1 til denne databehandleraftale.

3.3. Den dataansvarlige skal sikre, at behandlingen af personoplysninger er baseret på et retsgrundlag i henhold til databeskyttelseslovgivningen.

3.4. Databehandleren må kun behandle personoplysningerne efter dokumenteret instruks fra den dataansvarlige, medmindre dette kræves i henhold til ufravigelige EU-regler og -forskrifter eller ufravigelig lovgivning i en medlemsstat, som databehandleren er underlagt. I så fald skal databehandleren underrette den dataansvarlige om et sådant lovkrav inden behandlingen, medmindre den relevante lov forbyder en sådan underretning af hensyn til vigtige samfundsinteresser.

3.5. Databehandleren skal sikre, at de personer, der er involveret i behandlingen af personoplysninger på vegne af den Dataansvarlige i henhold til Databehandleraftalen, enten har forpligtet sig til fortrolighed eller er underlagt en egentlig lovbestemt tavshedspligt, og at de kun behandler personoplysninger i overensstemmelse med Aftalen, Databehandleraftalen og Databeskyttelseslovgivningen.

3.6. Databehandleren skal tage de nødvendige skridt til at sikre, at enhver person, der handler under databehandlerens myndighed, og som har adgang til personoplysningerne, ikke behandler sådanne personoplysninger undtagen efter dokumenterede instruktioner fra den dataansvarlige.

3.7. Databehandleren skal efter anmodning fra den Dataansvarlige give adgang til alle nødvendige oplysninger for, at den Dataansvarlige kan sikre overholdelse af de forpligtelser, der er fastsat i Databeskyttelseslovgivningen. Databehandleren skal endvidere tillade og bidrage til eventuelle revisioner, herunder inspektioner, der udføres af den dataansvarlige eller en revisor, der er autoriseret af den dataansvarlige. Databehandleren er berettiget til at modtage særskilt kompensation i denne forbindelse.

3.8. Databehandleren skal straks underrette den Dataansvarlige, hvis en instruks fra den Dataansvarlige efter Databehandlerens opfattelse er i strid med Databeskyttelseslovgivningen.

4. Sikkerhedsforanstaltninger

4.1. Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens art, omfang, sammenhæng og formål samt risikoen for varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal databehandleren gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der er passende i forhold til risikoen.

4.2. Databehandleren skal ved hjælp af passende tekniske og organisatoriske foranstaltninger bistå den dataansvarlige med opfyldelsen af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af den registreredes rettigheder som fastsat i databeskyttelseslovgivningen. Databehandleren skal kompenseres for den tid, der er afsat i forbindelse med assistance med svar på anmodninger vedrørende den registreredes rettigheder. Den specifikke kompensation vil blive aftalt separat.

4.3. Databehandleren skal underrette den Dataansvarlige uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden. Endvidere skal databehandleren bistå den dataansvarlige med at sikre overholdelse af den dataansvarliges forpligtelser til (i) at dokumentere ethvert brud på persondatasikkerheden, (ii) at underrette de(n) relevante tilsynsmyndighed(er) om ethvert brud på persondatasikkerheden og (iii) at meddele sådanne brud på persondatasikkerheden til de relevante registrerede i overensstemmelse med artikel 33 og 34 i databeskyttelsesforordningen.

5. Underbehandling

5.1. Ved at underskrive denne databehandleraftale accepterer den dataansvarlige, at databehandleren kan engagere underleverandører til at hjælpe med at levere tjenesterne. Listen over underleverandører, der i øjeblikket beskæftiger sig med behandling af personoplysninger (i det følgende benævnt "underbehandlere"), og de lande og faciliteter, hvor personoplysningerne behandles, er angivet nedenfor:

‍5.2. Eventuelle tilføjelser og/eller ændringer til listen vil blive meddelt den dataansvarlige via e-mail til vores registrerede e-mailadresse for kundekontakt. Hvis den dataansvarlige ønsker at gøre indsigelse mod underbehandlingen, skal den dataansvarlige angive dette skriftligt, så snart den førnævnte meddelelse er modtaget. Den dataansvarliges indsigelse skal være specifik og berettiget. Manglende indsigelser fra den dataansvarlige betragtes som et samtykke til underbehandlingen.

5.3. Databehandleren skal sikre, at underbehandlingen er lovlig, og at alle underbehandlere påtager sig og er underlagt de samme vilkår og forpligtelser som databehandleren som beskrevet heri.

5.4. Databehandleren indestår for lovligheden af sine underdatabehandleres behandling af personoplysninger. Databehandleren forbliver ansvarlig for alle handlinger og undladelser hos sine underdatabehandlere og handlinger og undladelser hos dem, der er ansat eller engageret af underdatabehandlere, som om sådanne handlinger og undladelser blev udført af databehandleren selv.

6. Overførsel af personoplysninger til et tredjeland

Ved at underskrive denne databehandleraftale accepterer den dataansvarlige, at databehandleren kan overføre personoplysninger til et tredjeland, dvs. et land uden for EØS. Databehandleren vil være forpligtet til at sikre, at en sådan overførsel til enhver tid er lovlig, herunder at der er et tilstrækkeligt beskyttelsesniveau for overførslen af personoplysningerne.

7. Databehandlerens generelle forpligtelser

Databehandleren skal bistå den dataansvarlige med at sikre overholdelse af enhver af den dataansvarliges forpligtelser i henhold til databeskyttelseslovgivningen, herunder f.eks. forpligtelser i henhold til artikel 35 (konsekvensanalyse vedrørende databeskyttelse) og artikel 36 (forudgående høring) i GDPR. Databehandleren er berettiget til at modtage særskilt kompensation for sådan bistand, og den konkrete kompensation aftales særskilt.

8. Ansvarlighed

Databehandleren er kun ansvarlig for skader forårsaget af behandling af personoplysninger, hvor databehandleren ikke har overholdt forpligtelserne i databeskyttelseslovgivningen, der specifikt er rettet mod databehandlere, eller hvor databehandleren har handlet uden for eller i strid med lovlige instruktioner fra den dataansvarlige. Databehandlerens samlede ansvar over for den dataansvarlige som følge af misligholdelse af denne databehandleraftale kan ikke overstige det samlede beløb, som den dataansvarlige har betalt til databehandleren i henhold til aftalen for de seneste tolv (12) måneder.

9. Opsigelse

9.1. Denne databehandlingsaftale ophører automatisk ved enhver opsigelse eller udløb af aftalen.

9.2. Parterne er enige om, at databehandleren ved opsigelse eller udløb af aftalen og/eller databehandlingsaftalen efter den dataansvarliges valg skal (i) returnere alle data, der behandles i henhold til aftalen og/eller databehandlingsaftalen, og eventuelle kopier heraf til den dataansvarlige, eller (ii) slette alle data, der behandles i henhold til aftalen og databehandlingsaftalen, og attestere over for den dataansvarlige, at dette er sket, herunder for at undgå tvivl slette sådanne data fra enhver computer, server og/eller enhver anden lagerenhed eller ethvert andet medie, medmindre EU's og/eller medlemslandenes lovgivning kræver opbevaring af sådanne persondata.

10. Tillæg