TERMS OF DATA PROCESSING

(ENGLISH)

PARTIES TO THE AGREEMENT

The undersigned parties to the Agreement in which these terms are referenced shall hereinafter be called: “Data controller”

&

DigitalGuest ApS

CVR 38059548

Nørre Allé 32, 3. sal

8000 Aarhus C, Denmark

“The data processor”

1. Content

  1. Data Processing Agreement preamble
  2. The rights and obligations of the Data Controller
  3. The Data Processor acts according to instructions
  4. Confidentiality
  5. Security of processing
  6. Use of Sub-Processors
  7. Transfer of data to third countries or international organisations
  8. Assistance to the Data Controller
  9. Notification of personal data breach
  10. Erasure and return of data
  11. Inspection and audit
    The Parties’ agreement on other terms
  12. Commencement and termination
  13. Data Controller and Data Processor contacts/contact points
  14. Information about the processing
  15. Terms of the Data Processor’s use of sub-processors and list of approved sub-processors
    A. Terms of the Data Processor’s use of sub-processors, if applicable
    B. Approved sub-processors
    b.1. Instruction pertaining to the use of personal data
    b.2. The subject of/instruction for the processing
    C. Security of processing
    c.1. Storage period/erasure procedures
    c.2. Processing location
    c.3. Instruction for or approval of the transfer of personal data to third countries
    c.4. Procedures for the Data Controller’s inspection of the processing being performed by the Data Processor
    c.5. Procedures for the inspection of the processing being performed by sub-processors, if applicable
    c.6. The Parties’ terms of the agreement on other subjects
     

2. Data Processing Agreement preamble

  1. This Data Processing Agreement sets out the rights and obligations that apply to the Data Processor’s handling of personal data on behalf of the Data Controller.
     
  2. This Agreement has been designed to ensure the Parties’ compliance with Article 28, sub-section 3 of Regulation 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data and repealing Directive 95/46/EC (General Data Protection Regulation), which sets out specific requirements for the content of data processing agreements.
     
  3. The Data Processor’s processing of personal data shall take place for the purposes of fulfilment of the Parties’ ‘Master Agreement’. DigitalGuest – Agreement and license terms.

  4. The Data Processing Agreement and the ‘Master Agreement’ shall be interdependent and cannot be terminated separately. The Data Processing Agreement may, however – without termination of the ‘Master Agreement’ – be replaced by an alternative valid data processing agreement.
     
  5. This Data Processing Agreement shall take priority over any similar provisions contained in other agreements between the Parties, including the ‘Master Agreement’.
     
  6. Four appendices are attached to this Data Processing Agreement. The Appendices form an integral part of this Data Processing Agreement.
     
  7. Appendix A of the Data Processing Agreement contains details about the processing as well as the purpose and nature of the processing, type of personal data, categories of data subject and duration of the processing.
     
  8. Appendix B of the Data Processing Agreement contains the Data Controller’s terms and conditions that apply to the Data Processor’s use of Sub-Processors and a list of Sub-Processors approved by the Data Controller.
     
  9. Appendix C of the Data Processing Agreement contains instructions on the processing that the Data Processor is to perform on behalf of the Data Controller (the subject of the processing), the minimum security measures that are to be implemented and how inspection with the Data Processor and any Sub-Processors is to be performed.
     
  10. Appendix D of the Data Processing Agreement contains the Parties’ provisions for activities that are not contained in this Data Processing Agreement or the Parties’ ‘Master Agreement’.
     
  11. The Data Processing Agreement and its associated Appendices shall be retained in writing as well as electronically by both Parties.
     
  12. This Data Processing Agreement shall not exempt the Data Processor from obligations to which the Data Processor is subject pursuant to the General Data Protection Regulation or other legislation.
 

3. The rights and obligations of the Data Controller

  1. The Data Controller shall be responsible to the outside world (including the data subject) for ensuring that the processing of personal data takes place within the framework of the General Data Protection Regulation and the Danish Data Protection Act.
     
  2. The Data Controller shall, therefore, have both the right and obligation to make decisions about the purposes and means of the processing of personal data.
     
  3. The Data Controller shall be responsible for ensuring that the processing that the Data Processor is instructed to perform is authorised in law.
 

4. The Data Processor acts according to instructions

  1. The Data Processor shall solely be permitted to process personal data on documented instructions from the Data Controller unless processing is required under EU or Member State law to which the Data Processor is subject; in this case, the Data Processor shall inform the Data Controller of this legal requirement prior to processing unless that law prohibits such information on important grounds of public interest, cf. Article 28, sub-section 3, para a.
     
  2. The Data Processor shall immediately inform the Data Controller if instructions in the opinion of the Data Processor contravene the General Data Protection Regulation or data protection provisions contained in other EU or Member State law.
 

5. Confidentiality

  1. The Data Processor shall ensure that only those persons who are currently authorised to do so are able to access the personal data being processed on behalf of the Data Controller. Access to the data shall therefore without delay be denied if such authorisation is removed or expires.
     
  2. Only persons who require access to the personal data in order to fulfil the obligations of the Data Processor to the Data Controller shall be provided with authorisation.
     
  3. The Data Processor shall ensure that persons authorised to process personal data on behalf of the Data Controller have undertaken to observe confidentiality or are subject to a suitable statutory obligation of confidentiality.
     
  4. The Data Processor shall at the request of the Data Controller be able to demonstrate that the employees concerned are subject to the above confidentiality.
 

6. Security of processing

  1. The Data Processor shall take all the measures required pursuant to Article 32 of the General Data Protection Regulation which stipulates that with consideration for the current level, implementation costs and the nature, scope, context and purposes of processing and the risk of varying likelihood and severity for the rights and freedoms of natural persons, the Data Controller and Processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk.
     
  2. The above obligation means that the Data Processor shall perform a risk assessment and thereafter implement measures to counter the identified risk. Depending on their relevance, the measures may include the following:
     
    a. Pseudonymisation and encryption of personal data
    b. The ability to ensure ongoing confidentiality, integrity, availability and resilience of processing systems and services.
    c. The ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident.
    d. A process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing.
     
  3. The Data Processor shall in ensuring the above – in all cases – at a minimum implement the level of security and the measures specified in Appendix C to this Data Processing Agreement.
  4. The Parties’ possible regulation/agreement on remuneration etc. for the Data Controller’s or the Data Processor’s subsequent requirement for establishing additional security measures shall be specified in the Parties’ ‘Master Agreement’ or in Appendix D to this Data Processing Agreement.
 

7. Use of Sub-Processors

  1. The Data Processor shall meet the requirements specified in Article 28, sub-section 2 and 4, of the General Data Protection Regulation in order to engage another processor (Sub-Processor).
     
  2. The Data Processor shall therefore not engage another processor (Sub-Processor) for the fulfilment of this Data Processing Agreement without the prior specific or general written consent of the Data Controller.
     
  3. In the event of general written consent, the Data Processor shall inform the Data Controller of any planned changes with regard to additions to or replacement of other data processors and thereby give the Data Controller the opportunity to object to such changes.
     
  4. The Data Controller’s requirements for the Data Processor’s engagement of other sub-processors shall be specified in Appendix B to this Data Processing Agreement.
     
  5. The Data Controller’s consent to the engagement of specific sub-processors, if applicable, shall be specified in Appendix B to this Data Processing Agreement.
     
  6. When the Data Processor has the Data Controller’s authorisation to use a sub-processor, the Data Processor shall ensure that the Sub-Processor is subject to the same data protection obligations as those specified in this Data Processing Agreement on the basis of a contract or other legal document under EU law or the national law of the Member States, in particular providing the necessary guarantees that the Sub-Processor will implement the appropriate technical and organisational measures in such a way that the processing meets the requirements of the General Data Protection Regulation.
    The Data Processor shall, therefore, be responsible – on the basis of a sub-processor agreement – for requiring that the sub-processor at least comply with the obligations to which the Data Processor is subject pursuant to the requirements of the General Data Protection Regulation and this Data Processing Agreement and its associated Appendices.
     
  7. A copy of such a sub-processor agreement and subsequent amendments shall – at the Data Controller’s request – be submitted to the Data Controller who will thereby have the opportunity to ensure that a valid agreement has been entered into between the Data Processor and the Sub-Processor. Commercial terms and conditions, such as pricing, that do not affect the legal data protection content of the sub-processor agreement, shall not require submission to the Data Controller.
     
  8. The Data Processor shall in his agreement with the Sub-Processor include the Data Controller as a third party in the event of the bankruptcy of the Data Processor to enable the Data Controller to assume the Data Processor’s rights and invoke these as regards the Sub-Processor, e.g. so that the Data Controller is able to instruct the Sub-Processor to perform the erasure or return of data.
     
  9. If the Sub-Processor does not fulfil his data protection obligations, the Data Processor shall remain fully liable to the Data Controller as regards the fulfilment of the obligations of the Sub-Processor.
 

8. Transfer of data to third countries or international organisations

  1. The Data Processor shall solely be permitted to process personal data on documented instructions from the Data Controller, including as regards transfer (assignment, disclosure and internal use) of personal data to third countries or international organisations, unless processing is required under EU or Member State law to which the Data Processor is subject; in such a case, the Data Processor shall inform the Data Controller of that legal requirement prior to processing unless that law prohibits such information on important grounds of public interest, cf. Article 28, sub-section 3, para a.
     
  2. Without the instructions or approval of the Data Controller, the Data Processor, therefore, cannot – within the framework of this Data Processing Agreement:
     

    a. disclose personal data to a data controller in a third country or in an international organisation

    b. assign the processing of personal data to a sub-processor in a third country

    c. have the data processed in another of the Data Processor’s divisions which is located in a third country

     
  3. The Data Controller’s instructions or approval of the transfer of personal data to a third country, if applicable, shall be set out in Appendix C to this Data Processing Agreement.
 

9. Assistance to the Data Controller

  1. The Data Processor, taking into account the nature of the processing, shall, as far as possible, assist the Data Controller with appropriate technical and organisational measures, in the fulfilment of the Data Controller’s obligations to respond to requests for the exercise of the data subjects’ rights pursuant to Chapter 3 of the General Data Protection Regulation.
    This entails that the Data Processor should as far as possible assist the Data Controller in the Data Controller’s compliance with:
     
    a. notification obligation when collecting personal data from the data subject
    b. notification obligation if personal data have not been obtained from the data subject
    c. right of access by the data subject
    d. the right to rectification
    e. the right to erasure (‘the right to be forgotten’)
    f. the right to restrict processing
    g. notification obligation regarding rectification or erasure of personal data or restriction of processing
    h. the right to data portability
    i. the right to object
    j. the right to object to the result of automated individual decision-making, including profiling
 
  1. The Data Processor shall assist the Data Controller in ensuring compliance with the Data Controller’s obligations pursuant to Articles 32-36 of the General Data Protection Regulation taking into account the nature of the processing and the data made available to the Data Processor, cf. Article 28, sub-section 3, para f.
    This entails that the Data Processor should, taking into account the nature of the processing, as far as possible assist the Data Controller in the Data Controller’s compliance with:
    a. the obligation to implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk associated with the processing
    b. the obligation to report personal data breaches to the supervisory authority (Danish Data Protection Agency) without undue delay and, if possible, within 72 hours of the Data Controller discovering such breach unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons
    c. the obligation – without undue delay – to communicate the personal data breach to the data subject when such breach is likely to result in a high risk to the rights and freedoms of natural persons
    d. the obligation to carry out a data protection impact assessment if a type of processing is likely to result in a high risk to the rights and freedoms of natural persons
    e. the obligation to consult with the supervisory authority (Danish Data Protection Agency) prior to processing if a data protection impact assessment shows that the processing will lead to high risk in the lack of measures taken by the Data Controller to limit the risk
  2. The Parties’ possible regulation/agreement on remuneration etc. for the Data Processor’s assistance to the Data Controller shall be specified in the Parties’ ‘Master Agreement’ or in Appendix D to this Data Processing Agreement.
 

10. Notification of personal data breach

  1. On discovery of personal data breach at the Data Processor’s facilities or a sub-processor’s facilities, the Data Processor shall without undue delay notify the Data Controller.
     

    The Data Processor’s notification to the Data Controller shall, if possible, take place within 48 hours after the Data Processor has discovered the breach to enable the Data Controller to comply with his obligation, if applicable, to report the breach to the supervisory authority within 72 hours. 

  2. According to Clause 9.2., para b, of this Data Processing Agreement, the Data Processor shall – taking into account the nature of the processing and the data available – assist the Data Controller in the reporting of the breach to the supervisory authority.
    This may mean that the Data Processor is required to assist in obtaining the information listed below which, pursuant to Article 33, sub-section 3, of the General Data Protection Regulation, shall be stated in the Data Controller’s report to the supervisory authority:
     
    a. The nature of the personal data breach, including, if possible, the categories and the approximate number of affected data subjects and the categories and the approximate number of affected personal data records
    b. Probable consequences of a personal data breach
    c. Measures which have been taken or are proposed to manage the personal data breach, including, if applicable, measures to limit its possible damage
 

11. Erasure and return of data

  1. On termination of the processing services, the Data Processor shall be under obligation, at the Data Controller’s discretion, to erase or return all the personal data to the Data Controller and to erase existing copies unless EU law or Member State law requires storage of the personal data.
 

12. Inspection and audit

  1. The Data Processor shall make available to the Data Controller all information necessary to demonstrate compliance with Article 28 of the General Data Protection Regulation and this Data Processing Agreement, and allow for and contribute to audits, including inspections performed by the Data Controller or another auditor mandated by the Data Controller.
     
  2. The procedures applicable to the Data Controller’s inspection of the Data Processor are specified in Appendix C to this Data Processing Agreement.
     
  3. The Data Controller’s inspection of sub-processors, if applicable, shall, as a rule, be performed through the Data Processor. The procedures for such inspection are specified in Appendix C to this Data Processing Agreement.
     
  4. The Data Processor shall be required to provide the supervisory authorities, which pursuant to applicable legislation have access to the Data Controller’s and Data Processor’s facilities, or representatives acting on behalf of such supervisory authorities, with access to the Data Processor’s physical facilities on presentation of appropriate identification.
 

13. The Parties’ agreement on other terms

  1. (Separate) terms relating to the consequences of the Parties’ breach of this Data Processing Agreement, if applicable, shall be specified in the Parties’ ‘Master Agreement’ or in Appendix D to this Data Processing Agreement.
     
  2. Regulation of other terms between the Parties shall be specified in the Parties’ ‘Master Agreement’ or in Appendix D to this Data Processing Agreement.
 

14. Commencement and termination

  1. This Data Processing Agreement shall become effective on the date of both Parties’ signature to the Agreement.
     
  2. Both Parties shall be entitled to require this Data Processing Agreement renegotiated if changes to the law or inexpediency of the provisions contained herein should give rise to such renegotiation.
     
  3. The Parties’ agreement on remuneration, terms etc. in connection with amendments to this Data Processing Agreement, if applicable, shall be specified in the Parties’ ‘Master Agreement’ or in Appendix D to this Data Processing Agreement.
     
  4. This Data Processing Agreement may be terminated according to the terms and conditions of termination, incl. notice of termination, specified in the ‘Master Agreement’.
     
  5. This Data Processing Agreement shall apply as long as the processing is performed. Irrespective of the termination of the ‘Master Agreement’ and/or this Data Processing Agreement, the Data Processing Agreement shall remain in force until the termination of the processing and the erasure of the data by the Data Processor and any sub-processors.
 

 
15.Data Controller and Data Processor contacts/contact points

  1. The Parties may contact each other using the following contacts/contact points:
     
  2. The Parties shall be under obligation continuously to inform each other of changes to contacts/contact points.
     
Name:
Christian Markedal
 
Position:
CEO
 
Telephone number:
+45 60534616
 
E-mail:
christian@digitalguest.com

 

A. Information about the processing

The purpose of the Data Processor’s processing of personal data on behalf of the Data Controller is:
The Data Controller wants to share data between their Booking System and the Data Processor in relation to the use of DigitalGuest towards the data controller’s guests.
The Data Processor’s processing of personal data on behalf of the Data Controller shall mainly pertain to (the nature of the processing):
The Data Processor makes the DigitalGuest system available to the data controller and thereby stores personal data of the data controller’s guests on the data processor’s servers
The processing includes the following types of personal data about data subjects:
Guest name, mobile number, email address, house number, arrival and departure information. Additional data can be agreed upon between the Data Controller, their booking system and the Data Processor.
Processing includes the following categories of data subject:
People who have made a booking with the Data Controller.
The Data Processor’s processing of personal data on behalf of the Data Controller may be performed when this Data Processing Agreement commences. Processing has the following duration:
The data processor deletes all data in DigitalGuest the moment the guest checks out in connection with departure from their stay. Data is not stored with the Data Processor thereafter.

B. Terms of the Data Processor’s use of sub-processors and list of approved sub-processors

b.1. Terms of the Data Processor’s use of sub-processors, if applicable
The data processor has the general authorization of the data controller to make use of sub-data processors. However, the data processor must notify the data controller of any planned changes regarding the addition or replacement of other data processors, thereby allowing the data controller to object to such changes. Such notification must be in the hands of the data controller at least 3 months before the application or change is to take effect. If the data controller objects to the changes, the data controller must notify the data processor before 48 hours upon receipt of the notification. The data controller can only object if the data controller has reasonable, concrete reasons for this.
b.2. Approved sub-processors

The Data Controller shall on commencement of this Data Processing Agreement approve the engagement of the following sub-processors:

Navn
Adresse
Description of treatment
Google Ireland Limited
Gordon House Barrow Street Dublin 4 Ireland
Storing of data
Compaya SMS
Palægade 4 2 tv, 1261 København K
Distribution of SMS/Text messages
Mailgun Technologies, Inc
21750 Hardy Oak Blvd Ste 104 #43099 San Antonio, TX 78258
Distribution of Emails
The Data Controller shall on the commencement of this Data Processing Agreement specifically approve the use of the above sub-processors for the processing described for that party. The Data Processor shall not be entitled – without the Data Controller’s explicit written consent – to engage a sub-processor for ‘different’ processing than the one that has been agreed or have another sub-processor perform the described processing.
 

C. Instruction pertaining to the use of personal data

c.1. The subject of/instruction for the processing
The Data Processor’s processing of personal data on behalf of the Data Controller shall be carried out by the Data Processor performing the following:
The organization receives data in several different ways, including:
– Manually enter the Data by the Data Controllers staff directly into the DigitalGuest system.
– The Data Controller stores the data on own web server. The data processor simply queries for data when to use it. 
DigitalGuest dataflow: Email and / or sms are sent to the data controller’s guests in connection to arrival and departure.
 
c.2. Security of processing
The level of security must reflect:
That there is a processing of a small amount of ordinary personal data (non-sensitive personal data) including: – Name – Telephone number – Email address – House number etc.
The data processor is then justified and obliged to make decisions about the technical and organizational security measures to be used to create the necessary (and agreed upon) level of security around the information.
However, the data processor must – in all cases and at least handle data properly and in accordance with current legislation.
c.3. Storage period/erasure procedures
The personal data is stored in the full length of the respective guest’s stay at the Data Controller, and then deleted by the data processor.
c.4. Processing location
Processing of the personal data under this Data Processing Agreement cannot be performed at other locations than the following without the Data 
Controller’s prior written consent:
 
  • Mailgun Technologies Inc – Location of data: USA
  • Google Ireland Limited – Location of data: USA
  • Compaya SMS – Location of data: EU
c.5. Instruction for or approval of the transfer of personal data to third countries
If the Data Controller does not in this clause or by subsequent written notification provide instructions or consent pertaining to the transfer of personal data to a third country, the Data Processor shall not be entitled within the framework of this Data Processing Agreement to perform such transfer.
 
c.6. Procedures for the Data Controller’s inspection of the processing being performed by the Data Processor
The Data Controller’s costs, if applicable, relating to physical inspection shall be defrayed by the Data Controller. The Data Processor shall, however, be under obligation to set aside the resources (mainly time) required for the Data Controller to be able to perform the inspection.
c.7. Procedures for the inspection of the processing being performed by sub-processors, if applicable
Any expenses incurred by the data processor and sub-data processing in connection with a physical supervision / inspection by the sub-data processor are the data controllers expense – if the data controller wishes to perform such supervision.

VILKÅR FOR DATABEHANDLING

(DANSK)

PARTER

Omtalte hotel i nærværende kontrakt hvor disse vilkår omtales. ”Dataansvarlig”

&

DigitalGuest ApS

CVR 38059548

Nørre Allé 32, 3. sal

8000 Aarhus C, Denmark

”Databehandler”

1 Indhold

2 Baggrund for databehandleraftalen

3 Den dataansvarliges forpligtelser og rettigheder

4 Databehandleren handler efter instruks

5 Fortrolighed

6 Behandlingssikkerhed

7 Anvendelse af underdatabehandlere

8 Overførsel af oplysninger til tredjelande eller internationale organisationer

9 Bistand til den dataansvarlige

10 Underretning om brud på persondatasikkerheden

11 Sletning og tilbagelevering af oplysninger

12 Tilsyn og revision

13 Parternes aftaler om andre forhold

14 Ikrafttræden og ophør

15 Kontaktpersoner/kontaktpunkter hos den dataansvarlige og databehandleren

Bilag A: Oplysninger om behandlingen

Bilag B: Betingelser for databehandlerens brug af underdatabehandlere og liste over godkendte underdatabehandlere

Bilag C: Instruks vedrørende behandling af personoplysninger

Bilag D: Parternes regulering af andre forhold

2 Baggrund for databehandleraftalen

  1. Denne aftale fastsætter de rettigheder og forpligtelser, som finder anvendelse, når databehandleren foretager behandling af personoplysninger på vegne af den dataansvarlige.
  2. Aftalen er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (Databeskyttelsesforordningen), som stiller specifikke krav til indholdet af en databehandleraftale.
  3. Databehandlerens behandling af personoplysninger sker med henblik på opfyldelse af parternes ”hovedaftale”: ”DigitalGuest – Aftale og licensbetingelser”
  4. Databehandleraftalen og ”hovedaftalen” er indbyrdes afhængige, og kan ikke opsiges særskilt. Databehandleraftalen kan dog – uden at opsige ”hovedaftalen” – erstattes af en anden gyldig databehandleraftale.
  5. Denne databehandleraftale har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne, herunder i ”hovedaftalen”.
  6. Til denne aftale hører fire bilag. Bilagene fungerer som en integreret del af databehandleraftalen.
  7. Databehandleraftalens Bilag A indeholder nærmere oplysninger om behandlingen, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.
  8. Databehandleraftalens Bilag B indeholder den dataansvarliges betingelser for, at databehandleren kan gøre brug af eventuelle underdatabehandlere, samt en liste over de eventuelle underdatabehandlere, som den dataansvarlige har godkendt.
  9. Databehandleraftalens Bilag C indeholder en nærmere instruks om, hvilken behandling databehandleren skal foretage på vegne af den dataansvarlige (behandlingens genstand), hvilke sikkerhedsforanstaltninger, der som minimum skal iagttages, samt hvordan der føres tilsyn med databehandleren og eventuelle underdatabehandlere.
  10. Databehandleraftalens Bilag D indeholder parternes eventuelle regulering af forhold, som ikke ellers fremgår af databehandleraftalen eller parternes ”hovedaftale”.
  11. Databehandleraftalen med tilhørende bilag opbevares skriftligt, herunder elektronisk af begge parter.
  12. Denne databehandleraftale frigør ikke databehandleren for forpligtelser, som efter databeskyttelsesforordningen eller enhver anden lovgivning direkte er pålagt databehandleren.

3 Den dataansvarliges forpligtelser og rettigheder

  1. Den dataansvarlige har overfor omverdenen (herunder den registrerede) som udgangs-punkt ansvaret for, at behandlingen af personoplysninger sker indenfor rammerne af databeskyttelsesforordningen og databeskyttelsesloven.
  2. Den dataansvarlige har derfor både rettighederne og forpligtelserne til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må foretages behandling.
  3. Den dataansvarlige er blandt andet ansvarlig for, at der foreligger hjemmel til den behandling, som databehandleren instrueres i at foretage.

4 Databehandleren handler efter instruks

  1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. art 28, stk. 3, litra a.
  2. Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

5 Fortrolighed

  1. Databehandleren sikrer, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den dataansvarlige. Adgangen til oplysningerne skal derfor straks lukkes ned, hvis autorisationen fratages eller udløber.
  2. Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang til personoplysningerne for at kunne opfylde databehandlerens forpligtelser overfor den dataansvarlige.
  3. Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
  4. Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de relevante medarbejdere er underlagt ovennævnte tavshedspligt.

6 Behandlingssikkerhed

  1. Databehandleren iværksætter alle foranstaltninger, som kræves i henhold til databeskyttelsesforordningens artikel 32, hvoraf det bl.a. fremgår, at der under hensyntagen til det aktuelle niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføres passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.
  2. Ovenstående forpligtelse indebærer, at databehandleren skal foretage en risikovurdering, og herefter gennemføre foranstaltninger for at imødegå identificerede risici. Der kan herunder bl.a., alt efter hvad der er relevant, være tale om følgende foranstaltninger:
    • Pseudonymisering og kryptering af personoplysninger
    • Evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og – tjenester
    • Evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
    • En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed
  3. Databehandleren skal i forbindelse med ovenstående – i alle tilfælde – som minimum iværksætte det sikkerhedsniveau og de foranstaltninger, som er specificeret nærmere i denne aftales Bilag C.
  4. Parternes eventuelle regulering/aftale om vederlæggelse eller lign. i forbindelse med den dataansvarliges eller databehandlerens efterfølgende krav om etablering af yderligere sikkerhedsforanstaltninger vil fremgå af parternes ”hovedaftale” eller af denne aftales bilag D.

7 Anvendelse af underdatabehandlere

  1. Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler (underdatabehandler).
  2. Databehandleren må således ikke gøre brug af en anden databehandler (underdatabehandler) til opfyldelse af databehandleraftalen uden forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige.
  3. I tilfælde af generel skriftlig godkendelse skal databehandleren underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.
  4. Den dataansvarliges nærmere betingelser for databehandlerens brug af eventuelle underdatabehandlere fremgår af denne aftales Bilag B.
  5. Den dataansvarliges eventuelle godkendelse af specifikke underdatabehandlere er anført i denne aftales Bilag B.
  6. Når databehandleren har den dataansvarliges godkendelse til at gøre brug af en underdatabehandler, sørger databehandleren for at pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der er fastsat i denne databehandleraftale, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i databeskyttelsesforordningen.

Databehandleren er således ansvarlig for – igennem indgåelsen af en underdatabehandleraftale – at pålægge en eventuel underdatabehandler mindst de forpligtelser, som databehandleren selv er underlagt efter databeskyttelsesreglerne og denne databehandleraftale med tilhørende bilag.

  1. Underdatabehandleraftalen og eventuelle senere ændringer hertil sendes – efter den dataansvarliges anmodning herom – i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at der er indgået en gyldig aftale mellem databehandleren og underdatabehandleren. Eventuelle kommercielle vilkår, eksempelvis priser, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.
  2. Databehandleren skal i sin aftale med underdatabehandleren indføje den dataansvarlige som begunstiget tredjemand i tilfælde af databehandlerens konkurs, således at den dataansvarlige kan indtræde i databehandlerens rettigheder og gøre dem gældende over for underdatabehandleren, f.eks. så den dataansvarlige kan instruere underdatabehandleren om at foretage sletning eller tilbagelevering af oplysninger.
  3. Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

8 Overførsel af oplysninger til tredjelande eller internationale organisationer

  1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder for så vidt angår overførsel (overladelse, videregivelse samt intern anvendelse)af personoplysninger til tredjelande eller internationale organisationer, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. art 28, stk. 3, litra a.
  2. Uden den dataansvarliges instruks eller godkendelse kan databehandleren – indenfor rammerne af databehandleraftalen – derfor bl.a. ikke;
    • videregive personoplysningerne til en dataansvarlig i et tredjeland eller i en international organisation,
    • overlade behandlingen af personoplysninger til en underdatabehandler i et tredjeland,
    • lade oplysningerne behandle i en anden af databehandlerens afdelinger, som er placeret i et tredjeland.
  3. Den dataansvarliges eventuelle instruks eller godkendelse af, at der foretages overførsel af personoplysninger til et tredjeland, vil fremgå af denne aftales Bilag C.

9 Bistand til den dataansvarlige

  1. Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel 3.

Dette indebærer, at databehandleren så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:

  • oplysningspligten ved indsamling af personoplysninger hos den registrerede
  • oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede
  • den registreredes indsigtsret
  • retten til berigtigelse
  • retten til sletning (»retten til at blive glemt«)
  • retten til begrænsning af behandling
  • underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
  • retten til dataportabilitet
  • retten til indsigelse
  • retten til at gøre indsigelse mod resultatet af automatiske individuelle afgørelser, herunder profilering
  1. Databehandleren bistår den dataansvarlige med at sikre overholdelse af den dataansvarliges forpligtelser i medfør af databeskyttelsesforordningens artikel 32-36 under hensynstagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, jf. art 28, stk. 3, litra f.

Dette indebærer, at databehandleren under hensynstagen til behandlingens karakter skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:

  • forpligtelsen til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er forbundet med behandlingen
  • forpligtelsen til at anmelde brud på persondatasikkerheden til tilsynsmyndigheden (Datatilsynet) uden unødig forsinkelse og om muligt senest 72 timer, efter at den dataansvarlige er blevet bekendt med bruddet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder.
  • forpligtelsen til – uden unødig forsinkelse – at underrette den/de registrerede om brud på persondatasikkerheden, når et sådant brud sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder
  • forpligtelsen til at gennemføre en konsekvensanalyse vedrørende databeskyttelse, hvis en type behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder
  • forpligtelsen til at høre tilsynsmyndigheden (Datatilsynet) inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen
  1. Parternes eventuelle regulering/aftale om vederlæggelse eller lignende i forbindelse med databehandlerens bistand til den dataansvarlige vil fremgå af parternes ”hovedaftale” eller af denne aftales bilag D.

10 Underretning om brud på persondatasikkerheden

  1. Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden hos databehandleren eller en eventuel underdatabehandler.

Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 

48 timer

 efter at denne er blevet bekendt med bruddet, sådan at den dataansvarlige har mulighed for at efterleve sin eventuelle forpligtelse til at anmelde bruddet til tilsynsmyndigheden indenfor 72 timer.

  1. I overensstemmelse med denne aftales afsnit 10.2., litra b, skal databehandleren – under hensynstagen til behandlingens karakter og de oplysninger, der er tilgængelige for denne – bistå den dataansvarlige med at foretage anmeldelse af bruddet til tilsynsmyndigheden.

Det kan betyde, at databehandleren bl.a. skal hjælpe med at tilvejebringe nedenstående oplysninger, som efter databeskyttelsesforordningens artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse til tilsynsmyndigheden:

  • Karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger
  • Sandsynlige konsekvenser af bruddet på persondatasikkerheden
  • Foranstaltninger, som er truffet eller foreslås truffet for at håndtere bruddet på persondatasikkerheden, herunder hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger

11 Sletning og tilbagelevering af oplysninger

  1. Ved ophør af tjenesterne vedrørende behandling forpligtes databehandleren til, efter den dataansvarliges valg, at slette eller tilbagelevere alle personoplysninger til den dataansvarlige, samt at slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring af personoplysningerne.

12 Tilsyn og revision

  1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise databehandlerens overholdelse af databeskyttelsesforordningens artikel 28 og denne aftale, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.
  2. Den nærmere procedure for den dataansvarliges tilsyn med databehandleren fremgår af denne aftales Bilag C.
  3. Den dataansvarliges tilsyn med eventuelle underdatabehandlere sker som udgangspunkt gennem databehandleren. Den nærmere procedure herfor fremgår af denne aftales Bilag C.
  4. Databehandleren er forpligtet til at give myndigheder, der efter den til enhver tid gældende lovgivning har adgang til den dataansvarliges og databehandlerens faciliteter, eller repræsentanter, der optræder på myndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

13 Parternes aftaler om andre forhold

  1. En eventuel (særlig) regulering af konsekvenserne af parternes misligholdelse af databehandleraftalen vil fremgår af parternes ”hovedaftale” eller af denne aftales Bilag D.
  2. En eventuel regulering af andre forhold mellem parterne vil fremgå af parternes ”hovedaftale” eller af denne aftales Bilag D.

14 Ikrafttræden og ophør

  1. Denne aftale træder i kraft ved begge parters underskrift heraf.
  2. Aftalen kan af begge parter kræves genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i aftalen giver anledning hertil.
  3. Parternes eventuelle regulering/aftale om vederlæggelse, betingelser eller lignende i forbindelse med ændringer af denne aftale vil fremgå af parternes ”hovedaftale” eller af denne aftales bilag D.
  4. Opsigelse af databehandleraftalen kan ske i henhold til de opsigelsesvilkår, inkl. opsigelsesvarsel, som fremgår af ”hovedaftalen”.
  5. Aftalen er gældende, så længe behandlingen består. Uanset ”hovedaftalens” og/eller databehandleraftalens opsigelse, vil databehandleraftalen forblive i kraft frem til behandlingens ophør og oplysningernes sletning hos databehandleren og eventuelle underdatabehandlere.

15 Kontaktpersoner/kontaktpunkter hos den dataansvarlige og databehandleren

  • Parterne kan kontakte hinanden via nedenstående kontaktpersoner/kontaktpunkter:
  • Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende kontaktpersonen/kontaktpunktet.

Bilag A: Oplysninger om behandlingen

Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige er:

Den Dataansvarlige ønsker at dele data mellem deres booking system og Databehandleren i forhold til anvendelse af DigitalGuest overfor den Dataansvarliges gæster.

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige drejer sig primært om (karakteren af behandlingen):

At Databehandleren stiller systemet DigitalGuest til rådighed for den dataansvarlige og herigennem opbevarer personoplysninger om den dataansvarliges gæster på databehandlerens servere

Behandlingen omfatter følgende typer af personoplysninger om de registrerede:

Gæstens navn, mobiltelefonnummer, email adresse, husnummer, informationer om ankomst- og afrejsetidspunkt. Evt. yderligere data kan aftales indbyrdes mellem den Dataansvarlige, deres booking system og Databehandleren.

Behandlingen omfatter følgende kategorier af registrerede:

Personer, som lejet sig ind hos den data-ansvarlige.

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige kan påbegyndes efter denne aftales ikrafttræden. Behandlingen har følgende varighed:

Databehandleren sletter alt data i DigitalGuest i det øjeblik gæsten checker ud i forbindelse med afrejse fra den data-ansvarliges virksomhed. Data lagres ikke hos Databehandleren herefter.

Bilag B: Betingelser for databehandlerens brug af underdatabehandlere og liste over godkendte underdatabehandlere

B.1 Betingelser for databehandlerens brug af eventuelle underdatabehandlere

Databehandleren har den dataansvarliges generelle godkendelse til at gøre brug af underdatabehandlere. Databehandleren skal dog underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer. En sådan underretning skal være den dataansvarlige i hænde minimum 

3 måneder

 før anvendelsen eller ændringen skal træde i kraft. Såfremt den dataansvarlige har indsigelser mod ændringerne, skal den dataansvarlige give meddelelse herom til databehandleren inden 

48 timer

 efter modtagelsen af underretningen. Den dataansvarlige kan alene gøre indsigelse, såfremt den dataansvarlige har rimelige, konkrete årsager hertil.

B.2 Godkendte underdatabehandlere

Den dataansvarlige har ved databehandleraftalens ikrafttræden godkendt anvendelsen af følgende underdatabehandlere:

Navn

Adresse

Beskrivelse af behandling

Google Ireland Limited

Gordon House Barrow Street Dublin 4 Ireland

Opbevaring af data

Compaya SMS

Palægade 4 2 tv, 1261 København K

Udsendelse af SMS beskeder

Mailgun Technologies, Inc

21750 Hardy Oak Blvd Ste 104 #43099 San Antonio, TX 78258

Udsendelse af Email beskeder

Den dataansvarlige har ved databehandleraftalens ikrafttræden specifikt godkendt anvendelsen af ovennævnte underdatabehandlere til netop den behandling, som er beskrevet ud for parten. Databehandleren kan ikke – uden den dataansvarliges specifikke og skriftlige godkendelse – anvende den enkelte underdatabehandler til en ”anden” behandling and aftalt eller lade en anden underdatabehandler foretage den beskrevne behandling.

Bilag C: Instruks vedrørende behandling af personoplysninger

C.1 Behandlingens genstand/instruks

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige sker ved, at databehandleren udfører følgende:

Organisationen modtager data på flere forskellig måder, herunder:  – Manuel indtastning af den Dataansvarlige af den Dataansvarliges personale direkte i DigitalGuest systemet.  – Den Dataansvarlige opbevarer selv dataen på egen webserver. Databehandleren forespørger blot på data når dette skal bruges.  DigitalGuest dataflow:  – Email og/eller sms sendes til den Dataansvarliges gæster i forbindelse med ankomst og afrejse.

C.2 Behandlingssikkerhed

Sikkerhedsniveauet skal afspejle:

At der er tale om behandling af en lille mængde almindelige personoplysninger (ikke-følsomme personoplysninger) herunder: – Navn – Telefonnummer – Emailadresse – Husnummer

Databehandleren er herefter berettiget og forpligtet til at træffe beslutninger om, hvilke tekniske og organisatoriske sikkerhedsforanstaltninger, der skal anvendes for at skabe det nødvendige (og aftalte) sikkerhedsniveau omkring oplysningerne.

Databehandleren skal dog – i alle tilfælde og som minimum behandle data forsvarligt og efter til en hver tid gældende lovgivning.

C.3 Opbevaringsperiode/sletterutine

Personoplysningerne opbevares i den fulde længe for den respektive gæsts ophold, hvorefter de slettes hos databehandleren.

C.4 Lokalitet for behandling

Behandling af de i aftalen omfattede personoplysninger kan ikke uden den dataansvarliges forudgående skriftlige godkendelse ske på andre lokaliteter end de følgende:

  • Mailgun Technologies Inc – Lokation af data: USA
  • Google Ireland Limited – Lokation af data: USA
  • Compaya SMS – Lokation af Data: EU

C.5 Instruks eller godkendelse vedrørende overførsel af personoplysninger til tredjelande

Hvis den dataansvarlige ikke i dette afsnit eller ved en efterfølgende skriftlig meddelelse har angivet en instruks eller godkendelse vedrørende overførsel af personoplysninger til et tredjeland, må databehandleren ikke indenfor rammerne af databehandleraftalen foretage en sådan overførsel.

C.6 Nærmere procedurer for den dataansvarliges tilsyn med den behandling, som foretages hos databehandleren

Den dataansvarliges eventuelle udgifter i forbindelse med et fysisk tilsyn afholdes af den dataansvarlige selv. Databehandleren er dog forpligtet til at afsætte de ressourcer (hovedsagligt den tid), der er nødvendig for, at den dataansvarlige kan gennemføre sit tilsyn.

C.7 Nærmere procedurer for tilsynet med den behandling, som foretages hos eventuelle underdatabehandlere

Databehandlerens og underdatabehandleres eventuelle udgifter i forbindelse med afholdes af et fysisk tilsyn/en inspektion hos underdatabehandleren er den dataansvarlige udgift – hvis den Dataansvarlige ønsker at foretage et sådant tilsyn.