Databehandleraftale

1. Baggrund og formål

Aftalen fastsætter rettigheder og forpligtelser, når databehandleren behandler personoplysninger på vegne af den dataansvarlige, jf. databeskyttelsesforordningens (GDPR) artikel 28, stk. 3. Behandlingen sker med henblik på levering af Verkta-platformen: digital arbejdspladsvurdering (APV) og whistleblowerordning.

2. Instruks

Databehandleren behandler alene personoplysninger efter dokumenteret instruks fra den dataansvarlige. Brugen af platformen udgør den samlede instruks. Databehandleren underretter den dataansvarlige, hvis en instruks efter databehandlerens opfattelse strider mod GDPR eller anden databeskyttelsesret.

3. Behandlingens karakter og kategorier af oplysninger

• Registrerede: den dataansvarliges medarbejdere, ledere og eventuelle eksterne indberettere.
• Almindelige oplysninger: navn og e-mail for platformens brugere; indhold i handlingsplaner.
• APV-besvarelser: indsamles og opbevares anonymt uden navn, e-mail eller IP-adresse og kan ikke henføres til enkeltpersoner.
• Whistleblower-indberetninger: kan indeholde følsomme oplysninger og oplysninger om strafbare forhold. Indberetterens identitet behandles kun, hvis den frivilligt afgives, og adgangen er begrænset til den dataansvarliges udpegede whistleblowerenhed.

4. Fortrolighed

Databehandleren sikrer, at kun personer med arbejdsbetinget behov har adgang til personoplysningerne, og at disse er underlagt fortrolighedsforpligtelse. Adgang til whistleblowersager er teknisk afgrænset til de brugere, den dataansvarlige selv har udpeget som whistleblower-ansvarlige.

5. Behandlingssikkerhed

• Al trafik krypteres med TLS; data krypteres i hvile hos hostingleverandøren.
• Kodeord hashes med bcrypt; adgangsnøgler og tokens opbevares kun som SHA-256-hashværdier.
• Rollebaseret adgangsstyring og revisionssikker aktivitetslog på whistleblowersager.
• Løbende sikkerhedsopdatering af platformens komponenter og afhængigheder.

6. Underdatabehandlere

Den dataansvarlige giver generel godkendelse til brug af underdatabehandlere. Ved planlagte ændringer varsles den dataansvarlige mindst 30 dage forud pr. e-mail. Aktuelle underdatabehandlere:

7. Bistand til den dataansvarlige

Databehandleren bistår i rimeligt omfang den dataansvarlige med at opfylde forpligtelserne vedrørende de registreredes rettigheder (GDPR kap. III) samt artikel 32-36, herunder ved anmodninger om indsigt, sletning og dataportabilitet.

8. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse — og senest 48 timer — efter at være blevet bekendt med et brud på persondatasikkerheden, med de oplysninger der er nødvendige for den dataansvarliges anmeldelse til Datatilsynet.

9. Sletning og tilbagelevering

Ved abonnementets ophør kan den dataansvarlige eksportere sine data i 90 dage, hvorefter alle personoplysninger slettes eller anonymiseres, medmindre lovgivning kræver fortsat opbevaring.

10. Tilsyn og revision

Databehandleren stiller efter anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28, og muliggør og bidrager til revisioner udført af den dataansvarlige eller en af denne bemyndiget revisor — mod rimeligt varsel og maksimalt én gang årligt, medmindre der foreligger konkret anledning.

11. Varighed

Aftalen gælder, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige, og erstattes eller bortfalder sammen med hovedaftalen (handelsbetingelserne).