Databehandleraftale for Tavlen

Denne aftale indgås mellem Kunden som dataansvarlig og Prozanta Operations, CVR 40306285, Tangevej 5, 6690 Gørding, som databehandler. Aftalen regulerer Prozantas behandling af personoplysninger på Kundens vegne, når Tavlen drives af Prozanta. Den opfylder kravet om en skriftlig aftale i artikel 28, stk. 3, i databeskyttelsesforordningen. Kører Tavlen på Kundens egen server, behandler Prozanta ingen personoplysninger for Kunden, og denne aftale er ikke relevant.

Formålet er at stille Tavlen til rådighed for Kunden: at gemme det, Kundens hold registrerer ved det daglige driftsmøde, at vise historikken tilbage til dem og til deres leder, og at sende den daglige besked til de adresser, Kunden har angivet. Behandlingen består i opbevaring, visning, beregning af de nøgletal, der kan udledes af registreringerne, samt udsendelse af mail. Har Kunden samtidig en rådgivningsaftale med Prozanta, ser Prozanta også på Kundens tavler for at kunne rådgive om driften — for eksempel når mødefrekvensen falder, eller handlinger ikke lukkes. Det sker efter Kundens instruks som en del af den aftalte ydelse, og Kunden kan når som helst skriftligt bede om, at det ophører, uden at det ændrer noget andet i aftalen. Har Kunden ikke en rådgivningsaftale, ser Prozanta kun på Kundens data, når Kunden beder om hjælp. Behandlingen løber, så længe aftalen om Tavlen består, og ophører efter reglerne i punkt 9.

Registrerede: Kundens medarbejdere og ledere, der deltager i tavlemødet eller er ansvarlige for en handling, samt de personer, der modtager den daglige besked. Oplysninger: • Navn eller initialer på den, der er ansvarlig for en handling • E-mailadresser, som Kunden selv har indtastet som modtagere af den daglige besked • Fritekst om afvigelser og handlinger, skrevet af Kundens medarbejdere, som kan indeholde oplysninger om personer • Fotos af afvigelser, taget af Kundens medarbejdere, som kan vise personer • Tidspunkter for, hvornår tavlen er åbnet, og hvornår handlinger er lukket Tavlen er ikke bygget til følsomme oplysninger efter artikel 9 eller til oplysninger om strafbare forhold, og Kunden må ikke registrere dem i programmet. Kunden er ansvarlig for at instruere sine medarbejdere i det. Prozanta måler ikke, hvem der har skrevet hvad. Der er ingen personlige logins, og programmet knytter ikke registreringer til en person.

Prozanta behandler kun personoplysninger efter dokumenteret instruks fra Kunden. Denne aftale, vilkårene for Tavlen og den skriftlige aftale mellem parterne udgør tilsammen instruksen. Prozanta underretter Kunden, hvis en instruks efter Prozantas opfattelse strider mod databeskyttelsesreglerne. Prozanta overfører ikke personoplysninger til et tredjeland ud over det, der følger af underdatabehandlerne i punkt 6, og gør det ikke uden Kundens instruks eller et krav i EU-retten eller dansk ret. Er behandlingen krævet ved lov, underretter Prozanta Kunden, medmindre loven forbyder det. Prozanta bruger ikke Kundens personoplysninger til egne formål, herunder ikke til statistik, produktudvikling på identificerbare data, markedsføring eller oplæring af modeller.

Kun de personer hos Prozanta, der har brug for adgang for at kunne levere og drive Tavlen, har adgang til Kundens data. De er pålagt tavshedspligt. Prozanta har truffet foranstaltninger efter artikel 32. De væsentligste er: • Al trafik til og fra Tavlen er krypteret (TLS) • Data ligger krypteret på lagringsmediet hos hostingleverandøren • Adgangskoder til hold og ledere opbevares kun som en kryptografisk aftrykskode, aldrig i klar tekst • Adgangen til et hold er adskilt fra andre holds ved en signeret session, og antallet af loginforsøg er begrænset • Der tages dagligt et fuldt udtræk af databasen, som opbevares krypteret og adskilt fra driften i mindst 30 dage, og gendannelsen afprøves hvert kvartal • Adgang til driftsmiljøet kræver to faktorer • Ændringer i programmet gennemgås og testes, før de sættes i drift Niveauet vurderes løbende. Prozanta kan ændre en foranstaltning til en, der beskytter mindst lige så godt.

Kunden giver ved indgåelsen af aftalen generel godkendelse til, at Prozanta bruger de underdatabehandlere, der står nedenfor. Prozanta har indgået aftaler med hver af dem, der pålægger dem de samme forpligtelser, som følger af denne aftale, og Prozanta hæfter over for Kunden for deres behandling. Skifter Prozanta underdatabehandler eller tilføjer en ny, varsles Kunden skriftligt mindst 30 dage i forvejen. Kunden kan gøre indsigelse inden for varslet. Fastholder Prozanta ændringen, kan Kunden opsige aftalen om Tavlen til den dag, ændringen træder i kraft, uden betaling for den resterende periode.

Prozanta bistår Kunden med at opfylde sine forpligtelser: • Ved anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet eller indsigelse. Kunden kan selv trække alle data ud af Tavlen og selv rette og slette; rækker det ikke, hjælper Prozanta inden for fem hverdage • Ved sikkerhed, anmeldelse af brud, underretning af registrerede og konsekvensanalyser, jf. artikel 32 til 36 Bistand ud over det sædvanlige kan afregnes efter medgået tid, når omfanget er varslet på forhånd.

Opdager Prozanta et brud på persondatasikkerheden, underrettes Kunden uden unødig forsinkelse og senest 24 timer efter, at Prozanta er blevet opmærksom på det. Underretningen beskriver bruddets karakter, hvilke kategorier og hvor mange registrerede og oplysninger det vedrører, de sandsynlige konsekvenser og de foranstaltninger, Prozanta har truffet eller foreslår. Er alt ikke kendt på én gang, gives oplysningerne løbende. Det er Kunden, der anmelder til Datatilsynet og underretter de registrerede. Prozanta anmelder ikke på Kundens vegne, medmindre det aftales skriftligt.

Kunden kan til enhver tid selv hente alle sine data ud af Tavlen. Ophører aftalen om Tavlen, har Kunden 30 dage til at hente sine data. Prozanta hjælper med udtrækket, hvis Kunden beder om det. Senest 60 dage efter ophør sletter Prozanta alle personoplysninger, Kunden har overladt, herunder kopier i backup i takt med, at den rulles. Prozanta bekræfter sletningen skriftligt. Kunden kan bede om, at sletningen sker tidligere. Prozanta opbevarer ikke Kundens data efter dette tidspunkt, medmindre EU-retten eller dansk ret kræver det. Er det tilfældet, oplyses hjemlen.

Prozanta stiller de oplysninger til rådighed, der er nødvendige for, at Kunden kan påvise, at kravene i artikel 28 er opfyldt. Kunden kan én gang årligt, og derudover ved et konstateret brud, føre tilsyn med Prozantas behandling. Tilsynet kan ske som en skriftlig gennemgang, som et møde eller ved en revisor, Kunden udpeger. Prozanta varsles mindst 14 dage i forvejen, og tilsynet lægges, så det ikke forstyrrer driften for andre kunder. Kunden bærer sine egne omkostninger ved tilsynet. Prozantas medgåede tid ud over en arbejdsdag om året kan afregnes efter aftale.

Aftalen træder i kraft ved underskrift og gælder, så længe Prozanta behandler personoplysninger for Kunden. Aftalen er underlagt dansk ret. Tvister afgøres efter handelsbetingelsernes punkt 11. Ved modstrid går denne aftale forud for handelsbetingelserne og vilkårene for Tavlen, for så vidt angår behandling af personoplysninger.