Tillæg om databehandling

Nedenstående vilkår (”DPA”) supplerer og ændrer servicevilkårene (”ToS”) i det omfang, Ideanote behandler personoplysninger, der stammer fra Det Europæiske Økonomiske Samarbejdsområde, Storbritannien og Schweiz, for Dem som kunde.

Udtryk med stort begyndelsesbogstav, som ikke er defineret i DPA'en, har den betydning, der er angivet i ToS'en. Ord og udtryk, der anvendes i denne DPA, men ikke er defineret i DPA'en eller ToS'en, har den betydning, der er tillagt sådanne ord og udtryk i EU-direktiv 95/46/EF eller, fra den 25. maj 2018, den generelle forordning om databeskyttelse (2016/679) (»GDPR«), herunder eventuel underordnet eller gennemførelseslovgivning, og, for overførsler af data til os (»gældende databeskyttelseslovgivning«).

Parterne indgår hermed denne databehandleraftale (DPA) for at overholde forpligtelserne i henhold til gældende databeskyttelseslovgivning. »Gældende databeskyttelseslovgivning« betyder enhver gældende lov, statut eller forordning, som til enhver tid måtte blive ændret, udvidet eller genvedtaget, eller enhver efterfølgende lovgivning vedrørende personoplysninger, herunder: (i) Europa-Parlamentets og Rådets forordning 2016/679 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesforordningen) (»EU GDPR«); (ii) GDPR, som er indarbejdet i britisk lovgivning i medfør af § 3 i Det Forenede Kongeriges lov fra 2018 om Den Europæiske Union (udtræden) og Det Forenede Kongeriges databeskyttelseslov fra 2018 (samlet benævnt »UK GDPR«); (iii) EU's e-databeskyttelsesdirektiv (direktiv 2002/58/EF); og (iv) al gældende national databeskyttelseslovgivning, der er vedtaget i henhold til, som følge af eller finder anvendelse sammen med et eller flere af punkterne (i), (ii) eller (iii); i hvert tilfælde med senere ændringer eller afløserlovgivning;

1. Databehandler

Ideanote skal udelukkende betragtes som databehandler på vegne af sin kunde og sine brugere for så vidt angår kundedata, der indeholder personoplysninger, som er underlagt GDPR's krav. Medmindre andet fremgår af denne DPA, foranlediger Ideanote ikke selv, at kundedata, der indeholder personoplysninger, og som opbevares i forbindelse med tjenesterne, overføres til eller på anden måde stilles til rådighed for tredjeparter, bortset fra underdatabehandlere, der kan behandle sådanne data på vegne af Ideanote i forbindelse med Ideanotes levering af tjenesten til kunderne.

Sådanne handlinger udføres eller godkendes udelukkende af den relevante Kunde. Kunden er dataansvarlig i henhold til Forordningen for alle Kundedata, der indeholder Personoplysninger, hvilket betyder, at denne part bestemmer, hvordan sådanne Personoplysninger indsamles og anvendes, samt fastlægger formålene med og midlerne til behandlingen af sådanne Personoplysninger.

Ideanote er ikke ansvarlig for indholdet af de personoplysninger, der indgår i kundedata eller andre oplysninger, som efter Kundens eget skøn opbevares på Ideanotes servere (eller underdatabehandlernes servere), og Ideanote er heller ikke ansvarlig for den måde, hvorpå Kunden eller Brugeren indsamler, håndterer, videregiver, distribuerer eller på anden måde behandler sådanne oplysninger.

I forbindelse med leveringen af Tjenesterne til Kunden i henhold til Vilkårene kan Ideanote behandle personoplysninger på Kundens vegne. Ideanote forpligter sig til at overholde følgende bestemmelser vedrørende personoplysninger, som Kunden eller andre på Kundens vegne indsender til Tjenesten, eller som Kunden eller andre på Kundens vegne indsamler og behandler gennem Tjenesten.

2. Generelt

1. Du bekræfter, at du accepterer denne DPA i egenskab af enten privatkunde eller erhvervskunde.
2. Hvis du accepterer denne DPA som erhvervskunde, bekræfter du, at du har bemyndigelse til at forpligte den enhed, du repræsenterer som Kunde, til denne DPA.
3. Denne databehandleraftale fastlægger de rettigheder og forpligtelser, der gælder for Ideanotes håndtering af personoplysninger på Kundens vegne.
4. Ideanotes behandling af personoplysninger finder sted med henblik på opfyldelse af Vilkårene og påbegyndes på den dato, hvor Du som Kunde elektronisk accepterer eller på anden måde tiltræder vores Vilkår.
5. Denne ordres eller aftales løbetid svarer til Vilkårenes løbetid. Dette berører ikke retten til at ophæve aftalen uden varsel af væsentlig grund. En sådan grund foreligger navnlig, hvis en forpligtelse i henhold til denne aftale eller bestemmelser i GDPR forsætligt eller groft uagtsomt overtrædes.
6. Denne databehandleraftale har forrang for eventuelle tilsvarende bestemmelser i andre aftaler mellem Parterne, herunder Vilkårene. EU's standardkontraktbestemmelser, hvis de finder anvendelse, har forrang.
7. Denne databehandleraftale har tre bilag. Bilagene udgør en integreret del af denne databehandleraftale.
8. Bilag A til databehandleraftalen indeholder oplysninger om behandlingen samt behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og behandlingens varighed.
9. Bilag B til databehandleraftalen indeholder de vilkår og betingelser, der gælder for Ideanotes brug af underdatabehandlere, samt en liste over godkendte underdatabehandlere.
10. Bilag C til databehandleraftalen indeholder instrukser om den behandling, som Ideanote skal udføre på Kundens vegne (genstanden for behandlingen), de minimale sikkerhedsforanstaltninger samt hvordan inspektion hos Ideanote og eventuelle underdatabehandlere skal gennemføres.
11. Denne databehandleraftale fritager ikke Ideanote for forpligtelser, som Ideanote er underlagt i henhold til den generelle forordning om databeskyttelse eller anden lovgivning.
12. BILAG A, EU's standardkontraktbestemmelser (SCC'er), anses for at være en del af denne databehandleraftale. Hvis Du befinder Dig i et land uden for Den Europæiske Union (EU) og Det Europæiske Økonomiske Samarbejdsområde (EØS), og Din behandling af personoplysninger ikke er omfattet af GDPR, finder standardkontraktbestemmelserne (SCC'erne) anvendelse.
13. BILAG B, det britiske tillæg, anses for at udgøre en del af denne databehandleraftale, hvis du er en erhvervskunde med hjemsted i Storbritannien.

3. Kundens rettigheder og forpligtelser som dataansvarlig

1. Kunden er ansvarlig over for omverdenen (herunder den registrerede) for at sikre, at behandlingen af personoplysninger sker inden for rammerne af den generelle databeskyttelsesforordning og desuden den gældende databeskyttelseslovgivning.
2. Kunden har derfor både ret og pligt til at træffe beslutninger om formålene med og midlerne til behandlingen af personoplysninger.
3. Kunden er ansvarlig for at sikre, at den behandling, som Ideanote instrueres i at udføre, er lovlig.

4. Ideanote handler efter instrukser

1. Ideanote må udelukkende behandle personoplysninger efter dokumenterede instrukser fra Kunden, medmindre behandlingen er påkrævet i henhold til EU-ret eller national ret i en medlemsstat, som Ideanote er underlagt. I så fald skal Ideanote informere Kunden om dette retlige krav inden behandlingen, medmindre lovgivningen forbyder sådanne oplysninger af hensyn til vigtige samfundsinteresser, jf. artikel 28, stk. 3, litra a.
2. Ideanote skal straks informere Kunden, hvis instrukser efter Ideanotes opfattelse er i strid med den generelle forordning om databeskyttelse eller databeskyttelsesbestemmelser i anden EU-ret eller national ret. 
3. Ideanote skal stille alle oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelse af forpligtelserne i dette tillæg og i GDPR artikel 28, og skal tillade og bidrage til revisioner, herunder inspektioner, udført af Kunden eller en anden revisor, som Kunden har udpeget, i overensstemmelse med bilag C, afsnittet "Inspektion og revisionsrapporter".

5. Fortrolighed

1. Ideanote skal sikre, at kun personer, der på det pågældende tidspunkt er bemyndiget hertil, kan få adgang til de personoplysninger, der behandles på Kundens vegne. Adgangen til oplysningerne skal derfor straks nægtes, hvis en sådan bemyndigelse tilbagekaldes eller udløber.   
2. Kun personer, der har behov for adgang til personoplysningerne for at opfylde Ideanotes forpligtelser over for Kunden, skal have adgangstilladelse. For god ordens skyld præciseres det, at adgangen skal være baseret på principperne om »need to know« og »least privileged access«, og at sådanne personer har modtaget passende uddannelse og instruktioner vedrørende behandling af personoplysninger. Ideanote skal efter anmodning fremlægge dokumentation for, at der er indgået fortrolighedsaftaler med de medarbejdere, der kan få adgang til Kundens personoplysninger, samt dokumentation for regelmæssig uddannelse inden for beskyttelse af personoplysninger.
3. Ideanote skal sikre, at personer, der er bemyndiget til at behandle personoplysninger på Kundens vegne, har forpligtet sig til at overholde tavshedspligt eller er underlagt en passende lovbestemt tavshedspligt. 

6. Behandlingssikkerhed

1. Ideanote skal træffe alle de foranstaltninger, der kræves i henhold til artikel 32 i databeskyttelsesforordningen, hvori det fastslås, at kunden og databehandleren under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne samt behandlingens art, omfang, sammenhæng og formål og risikoen for varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der står mål med risikoen.
2. Afhængigt af deres relevans kan foranstaltningerne omfatte følgende:
3. Pseudonymisering og kryptering af personoplysninger
4. Evnen til løbende at sikre fortrolighed, integritet, tilgængelighed og modstandsdygtighed for behandlingssystemer og -tjenester.
5. Evnen til rettidigt at genskabe tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse.
6. En proces til regelmæssigt at teste, vurdere og evaluere effektiviteten af tekniske og organisatoriske foranstaltninger til sikring af behandlingens sikkerhed.
7. Ideanote skal ved sikring af ovenstående – under alle omstændigheder – som minimum implementere det sikkerhedsniveau og de foranstaltninger, der er angivet i bilag C til denne databehandleraftale.

7. Bistand til kunden

1. Ideanote skal, under hensyntagen til behandlingens karakter, yde kunden rimelig bistand med passende tekniske og organisatoriske foranstaltninger med henblik på at opfylde kundens forpligtelser til at besvare anmodninger om udøvelse af de registreredes rettigheder i henhold til kapitel 3 i den generelle forordning om databeskyttelse.   

Dette indebærer, at Ideanote med rimelighed skal bistå Kunden med Kundens overholdelse af:

1. oplysningspligten ved indsamling af personoplysninger fra den registrerede
2. oplysningspligten, hvis personoplysningerne ikke er indhentet fra den registrerede
3. den registreredes ret til indsigt
4. retten til berigtigelse
5. retten til sletning (»retten til at blive glemt«)
6. retten til begrænsning af behandling
7. oplysningspligten vedrørende berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
8. retten til dataportabilitet
9. retten til indsigelse 
10. retten til indsigelse mod resultatet af automatiske individuelle afgørelser, herunder profilering

For god ordens skyld skal Ideanote straks underrette Kunden og efterfølgende give Kunden alle relevante oplysninger herom i tilfælde af: (i) at en tredjepart (herunder organisationer eller foreninger) fremsætter anmodninger eller klager vedrørende Ideanotes behandling af personoplysninger på Kundens vegne; eller (ii) at en tilsynsmyndighed eller offentlig myndighed anmoder om adgang til eller oplysninger om behandling af personoplysninger foretaget af Ideanote i forbindelse med Serviceaftalen, anmoder om en revision heraf eller iværksætter andre regulerende foranstaltninger (herunder alene en meddelelse om, at sådanne foranstaltninger påtænkes). Hvis Ideanote modtager en sådan anmodning eller klage direkte, skal Ideanote straks underrette Kunden og må under ingen omstændigheder selv besvare den, medmindre Kunden på forhånd har givet skriftlig instruks herom.

2. Ideanote skal bistå kunden med at sikre overholdelse af kundens forpligtelser i henhold til artikel 32-36 i den generelle forordning om databeskyttelse under hensyntagen til behandlingens karakter og de data, der er stillet til rådighed for Ideanote, jf. artikel 28, stk. 3, litra f.

Dette indebærer, at Ideanote under hensyntagen til behandlingens karakter med rimelighed skal bistå Kunden med Kundens overholdelse af:

1. forpligtelsen til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der er passende i forhold til den risiko, der er forbundet med behandlingen
2. forpligtelsen til at indberette brud på persondatasikkerheden til tilsynsmyndigheden uden unødig forsinkelse og om muligt inden for 72 timer efter, at kunden har opdaget et sådant brud, medmindre det er usandsynligt, at bruddet på persondatasikkerheden medfører en risiko for fysiske personers rettigheder og frihedsrettigheder
3. forpligtelsen – uden unødig forsinkelse – til at underrette den registrerede om bruddet på persondatasikkerheden, når et sådant brud sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder
4. forpligtelsen til at foretage en konsekvensanalyse vedrørende databeskyttelse, hvis en type behandling sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder
5. forpligtelsen til at høre tilsynsmyndigheden  inden behandlingen, hvis en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil medføre en høj risiko, hvis Kunden ikke træffer foranstaltninger til at begrænse risikoen 

8. Underretning om brud på persondatasikkerheden

Hvis der konstateres et brud på persondatasikkerheden hos Ideanote eller en underdatabehandler, skal Ideanote underrette kunden uden unødig forsinkelse. Ideanotes underretning af kunden skal om muligt ske inden for 48 timer efter, at Ideanote har konstateret bruddet, så kunden kan opfylde sin eventuelle forpligtelse til straks og under alle omstændigheder inden for 72 timer at indberette bruddet til tilsynsmyndigheden.

Dette kan betyde, at Ideanote skal bistå med at indhente nedenstående oplysninger, som i henhold til artikel 33, stk. 3, i den generelle forordning om databeskyttelse skal fremgå af kundens indberetning til tilsynsmyndigheden:

1. Bruddets karakter, herunder om muligt kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte persondataregistre
2. Sandsynlige konsekvenser af et brud på persondatasikkerheden
3. Foranstaltninger, der er truffet eller foreslået for at håndtere bruddet på persondatasikkerheden, herunder, hvis relevant, foranstaltninger til at begrænse de mulige skadevirkninger

9. Sletning og tilbagelevering af data

Når behandlingstjenesterne ophører, er Ideanote forpligtet til efter Kundens valg at slette eller tilbagelevere alle personoplysninger til Kunden og slette eksisterende kopier, medmindre EU-retten eller en medlemsstats nationale ret kræver, at personoplysningerne opbevares.

10. Ikrafttræden og opsigelse

1. Denne databehandleraftale træder i kraft på den dato, hvor Kunden elektronisk accepterer eller på anden måde tiltræder vores ToS. 
2. Denne databehandleraftale kan opsiges i henhold til de opsigelsesvilkår og -betingelser, herunder opsigelsesvarsel, der er angivet i ToS, med forbehold for afsnit 2.6 (se ovenfor).
3. Denne databehandleraftale gælder, så længe behandlingen finder sted. Uanset opsigelsen af ToS og/eller denne databehandleraftale forbliver databehandleraftalen gældende, indtil behandlingen ophører, og Ideanote og eventuelle underdatabehandlere har slettet dataene.
4. Overtrædelser af dette tillæg behandles som overtrædelser af serviceaftalen. Hver part er ansvarlig for egne overtrædelser af gældende databeskyttelseslovgivning og skal holde den anden part skadesløs, hvis denne lider et tab som følge af en sådan overtrædelse. 

11. Kontaktoplysninger for dataansvarlig og databehandler

1. Kunden kan kontakte Ideanote på legal@ideanote.io 
2. Ideanote kan kontakte Kunden ved hjælp af de kontaktoplysninger, der er gemt på Kundens konto.

Bilag A

Bilag A til databehandleraftalen indeholder oplysninger om behandlingen samt behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og behandlingens varighed.

1. Dataansvarlig

Den dataansvarlige er kunde hos Ideanote og bruger Ideanotes kommunikations- og produktivitetssoftware, -tjenester, -systemer og/eller -teknologier.

2. Databehandler

Databehandleren er Ideanote ApS, der leverer kommunikations- og produktivitetssoftware, -tjenester, -systemer og/eller -teknologier.

3. Registrerede

De personoplysninger, der behandles med henblik på opfyldelse af serviceaftalen, vedrører følgende kategorier af registrerede:

Brugere af tjenesten

4. Datakategorier

De overførte personoplysninger vedrører følgende kategorier af data:

For slutbrugere

Vi kan indsamle følgende personoplysninger om kundernes slutbrugere

Slutbrugerens registrerings- og kontaktoplysninger

• Slutbrugerens navn
• Slutbrugerens e-mailadresse

Slutbrugerens servicedata

• Slutbrugerens IP
• Slutbrugerens URL
• Slutbrugerens henviser
• Slutbrugerens browser
• Slutbrugerens enhed
• Slutbrugerens hændelser
• Slutbrugerens indstillinger

Slutbrugerens indhold

Alle data og oplysninger, som slutbrugere indsender til tjenesterne, herunder meddelelsestekst, filer, kommentarer og links, men ikke tredjepartsprodukter eller tjenesten.

For kunder

Vi kan indsamle følgende personoplysninger fra kunder.

Kundens personoplysninger

• Navn på kundens kontaktperson
• E-mailadresse på kundens kontaktperson

Kundens betalingsoplysninger:

• Kreditkortoplysninger
• Kundens kontakt-IP
• Kundens adresse

5. Særlige kategorier af data

De overførte personoplysninger vedrører følgende særlige kategorier af oplysninger:

• ingen

Dataeksportøren kan indsende personoplysninger til dataimportøren gennem tjenesterne. Omfanget heraf fastlægges og kontrolleres af dataeksportøren i overensstemmelse med gældende databeskyttelseslovgivning, og oplysningerne kan, hvis relevant, vedrøre følgende særlige kategorier af oplysninger:

• race eller etnisk oprindelse;
• politiske anskuelser;
• religiøs eller filosofisk overbevisning;
• fagforeningsmæssigt tilhørsforhold;
• genetiske eller biometriske data;
• sundhed; og
• seksualliv

6. Behandlingsaktiviteter

De overførte personoplysninger vil være genstand for følgende grundlæggende behandlingsaktiviteter:

• Efter behov for at opfylde en aftale om tjenesten

7. Behandlingens karakter og formål

Mere detaljeret stiller Ideanote sin tjeneste til rådighed for Kunden og opbevarer og behandler dermed personoplysninger om Kunden på vores tjenesteinfrastruktur for at muliggøre hurtig godkendelse, kommunikation og et vist sikkerhedsniveau for tjenestens brugere.

Ideanote sender e-mails til personer, der inviteres til platformen, giver personer mulighed for efter Kundens skøn at blive medlemmer af arbejdsområdet og giver medlemmer mulighed for at dele indhold i arbejdsområdet med det formål at fremme innovation og idédeling hos Kunden.

Kunden kan bruge vores tjeneste, som ejes, udvikles og administreres af Ideanote, til at fremme idédeling, indsamling, kommentering, evaluering, prioritering, tildeling og sporing. I forbindelse hermed behandler Ideanote personoplysninger og indhold, som Kunden indsender, på Kundens vegne. 

De overførte personoplysninger vil blive behandlet i overensstemmelse med vilkårene for tjenesten (ToS) og kan være genstand for følgende behandlingsaktiviteter:

• opbevaring, kryptering, dekryptering, sikkerhedskopiering, gendannelse og caching, der er nødvendig for at levere, forbedre, vedligeholde og opdatere de tjenester, der leveres til dataeksportøren;
• at yde kundesupport og teknisk support til dataeksportøren; og
• videregivelser i overensstemmelse med aftalen, når dette kræves ved lov
• databehandlingen fortsætter, indtil kunden anmoder om sletning

Kunden giver samtykke til, at Ideanotes medarbejdere kan anvende aggregerede resultater om aktiviteter og indhold på Tjenesten til løbende at optimere Tjenestens ydeevne og præsentation. Vi forbeholder os retten til at offentliggøre vores resultater på et anonymiseret, aggregeret niveau. Et eksempel på et anonymiseret resultat kunne være en undersøgelse af, hvor mange personer der generelt kommenterer på en idé, som de også har syntes godt om. Vi forbeholder os desuden retten, men ikke pligten, til at få direkte adgang til Kundens kontodata eller et workspace efter invitation fra et medlem af et workspace med henblik på teknisk vedligeholdelse, indholdstilsyn eller undersøgelse samt generel kundesupport. Enhver feedback eller indirekte analytisk dokumentation, der bevidst gives eller utilsigtet opstår som følge af brugen af vores Tjeneste, må frit anvendes og deles af os med henblik på at forbedre vores Tjeneste eller teknologi, uden at dette medfører, at Kunden får eller opnår nogen rettigheder til eller ejerskab over dette.

Bilag B

1. Vilkår for Ideanotes brug af underdatabehandlere

Ideanote har Kundens generelle samtykke til anvendelsen af de underdatabehandlere, der allerede er engageret på datoen for dette tillæg, og som er anført i dette bilag B. 

2. Underdatabehandlere

Som databehandler sikrer Ideanote, at underdatabehandlerne er underlagt databeskyttelsesforpligtelser, der ikke yder mindre beskyttelse end dem, der er fastsat i denne databehandleraftale, på grundlag af en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, navnlig ved at stille de nødvendige garantier for, at underdatabehandleren gennemfører passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i den generelle forordning om databeskyttelse. 

Kunden anerkender og accepterer, at (i) Ideanotes tilknyttede selskaber kan benyttes som underdatabehandlere, og (ii) Ideanote og Ideanotes tilknyttede selskaber hver især kan benytte tredjepartsunderdatabehandlere i forbindelse med leveringen af tjenesterne. Ideanote eller et tilknyttet selskab til Ideanote har indgået en skriftlig aftale med hver underdatabehandler, som indeholder databeskyttelsesforpligtelser, der ikke yder mindre beskyttelse end dem, der er fastsat i denne aftale og gældende lovgivning vedrørende beskyttelsen af kundedata, i det omfang dette er relevant for arten af de tjenester, som den pågældende underdatabehandler leverer. Hvis Ideanote som led i opfyldelsen af denne DPA overfører personoplysninger til en underdatabehandler, der er beliggende uden for EØS, skal Ideanote inden en sådan overførsel sikre, at der er etableret en retlig mekanisme, som sikrer et tilstrækkeligt beskyttelsesniveau for den pågældende behandling.

3. Liste over underdatabehandlere

Ideanote skal stille den aktuelle liste over underdatabehandlere for Tjenesterne til rådighed for Kunden. Sådanne lister over underdatabehandlere skal angive underdatabehandlernes juridiske enheder og placeringen af Kundedata. Listen er tilgængelig online på https://ideanote.io/legal/sub-processors.

4. Ændringer i underdatabehandlere

Ideanote skal skriftligt underrette kunden om planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere mindst 30 dage i forvejen. 

5. Ret til at gøre indsigelse

Ideanote giver kunden mulighed for at gøre indsigelse mod brugen af de nye underdatabehandlere inden for 30 dage efter at være blevet underrettet. Indsigelsen skal være begrundet i rimelige forhold. Hvis Ideanote og kunden ikke kan løse sådanne indsigelser, kan hver af parterne opsige aftalen ved at give den anden part skriftlig meddelelse. Kunden får krediteret eventuelle forudbetalte, men ubrugte gebyrer for perioden efter opsigelsens ikrafttrædelsesdato. 

Når Ideanote engagerer en underdatabehandler til at udføre specifikke behandlingsaktiviteter på vegne af Kunden, skal Ideanote sikre, at denne underdatabehandler pålægges de samme databeskyttelsesforpligtelser som fastsat i dette Tillæg, herunder navnlig at stille tilstrækkelige garantier for at gennemføre passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i dette Tillæg og den gældende databeskyttelseslovgivning. 

På anmodning skal en kopi af en sådan aftale med en underdatabehandler og efterfølgende ændringer stilles til rådighed for Kunden, dog med undtagelse af klausuler om forretningsmæssige forhold, der ikke påvirker aftalens retlige databeskyttelsesindhold. 

Ideanote skal til enhver tid føre en ajourført liste over alle anvendte underdatabehandlere, herunder i hvert enkelt tilfælde de oplysninger, der kræves i henhold til dette bilag B, og skal efter anmodning stille denne liste til rådighed for Kunden. 

Ideanote hæfter for enhver sådan underdatabehandlers handlinger og undladelser i samme omfang, som hvis handlingerne eller undladelserne var udført af Ideanote. Dette påvirker ikke de registreredes rettigheder i henhold til den gældende databeskyttelseslovgivning. 

6. Internationale overførsler

Ideanote kan overføre og behandle Kundedata hvor som helst i verden, hvor Ideanote, dets tilknyttede selskaber eller dets underdatabehandlere har databehandlingsaktiviteter, efter på forhånd at have informeret Kunden og indhentet Kundens samtykke. Ideanote skal til enhver tid sikre et tilstrækkeligt beskyttelsesniveau for de Kundedata, der behandles, i overensstemmelse med kravene i databeskyttelseslovgivningen. Ideanote skal specifikt sikre, at der foreligger et gyldigt retsgrundlag for enhver sådan overførsel som beskrevet i kapitel 5 i GDPR og artikel 45­49 heri.

Uden at det berører den ovenfor nævnte notifikations- og godkendelsesproces, kan Ideanote indføre overførsel af data til tredjelande, der er beliggende uden for Det Europæiske Økonomiske Samarbejdsområde ("EØS"), hvis Ideanote har implementeret en overførselsløsning, der overholder den gældende databeskyttelseslovgivning.

Hvis en sådan overførselsløsning er baseret på EU-Kommissionens standardkontraktbestemmelser, skal Ideanote give Kunden en konsekvensanalyse af overførslen, herunder oplysninger om behandlingssteder, de behandlingsaktiviteter, der vil blive udført, datatyperne, eventuelle yderligere sikkerhedsforanstaltninger og foranstaltninger (tekniske, organisatoriske og kontraktuelle), der skal implementeres, samt Ideanotes risikovurdering af den påtænkte underdatabehandler og/eller overførsel.

En sådan meddelelse skal gives inden overførslen gennemføres, og Kunden skal have mindst 30 dage til at gennemgå den. Kunden kan afvise overførslen helt eller delvist, og i så fald må Ideanote ikke engagere den påtænkte underdatabehandler eller gennemføre den planlagte overførsel. Hvis de aftalte tjenester ikke kan leveres uden den nævnte overførsel, kan Kunden opsige serviceaftalen og tillægget helt eller delvist, alt efter hvad der er nødvendigt, uden nogen form for sanktion. 

Parterne er enige om, at vilkårene i SCC'erne, som anført i bilag 2 til denne DPA, hermed indarbejdes og finder anvendelse på enhver overførsel af personoplysninger til et tredjeland, enten direkte eller ved videreoverførsel, som ikke på anden måde er omfattet af en passende ordning, der i henhold til gældende databeskyttelseslovgivning anerkendes som tilvejebringende et tilstrækkeligt beskyttelsesniveau for personoplysninger, herunder bindende virksomhedsregler for databehandlere.

Bilag C

Appendiks C til databehandleraftalen indeholder instruktioner om den behandling, som Ideanote skal udføre på vegne af kunden (den registrerede), de tekniske og organisatoriske sikkerhedsforanstaltninger, der er implementeret af dataimportøren i overensstemmelse med klausul 4(d) og 5(c), samt hvordan inspektion hos Ideanote og eventuelle underdatabehandlere skal udføres.

Ideanote har implementeret et internt informationssikkerhedsprogram, der omfatter datasikkerhed og netværkssikkerhed, adgangs- og lokalitetskontrol samt sikkerhed vedrørende personale og underdatabehandlere.

1. Ideanotes sikkerhedsforanstaltninger

• Fysisk sikkerhed – Ideanote benytter fysisk sikrede datacentre. Alle datacentre overholder eller overstiger sikkerhedskravene i SOC2. Alle datacentre er udstyret med CCTV, 24/7 sikkerhedspersonale på stedet og et adgangskortsystem. Ideanote benytter geografisk adskilte datacentre til sikkerhedskopier.
• Redundans – Ideanotes infrastruktur muliggør vedligeholdelse og forbedringer med minimal nedetid.
• Strømforsyning – Ideanotes datacentre er udstyret med nødstrøm og UPS-anlæg, der kan levere strøm i flere dage.
• Sikkerhedsopdateringer – Ideanote har fastlagt en politik for at holde systemerne opdaterede med nødvendige sikkerhedsopdateringer.
• Forretningskontinuitet - data replikeres og sikkerhedskopieres på tværs af flere systemer for at beskytte mod uønsket ødelæggelse eller tab af data. Procedurer for gendannelse af sikkerhedskopier og planer for forretningskontinuitet testes årligt.
• Data under overførsel – Ideanote benytter branchestandarder for krypteringsmetoder og -protokoller til at kryptere dataoverførsler mellem datacentrene.
• Detektion af indtrængen – Ideanote benytter et system til detektion af indtrængen for at give indsigt i igangværende angrebsaktiviteter og bidrage til hurtigere afhjælpning af angreb.
• Håndtering af sikkerhedshændelser – Ideanote har fastlagt protokoller for håndtering af sikkerhedshændelser og databrud og vil underrette de berørte parter.
• Kryptering – Ideanote benytter branchestandarder for krypteringsmetoder til at kryptere data under overførsel og i hvile.
• Adgangskontrol – Ideanotes personale skal godkende deres identitet via et centralt godkendelsessystem eller et system til single sign-on for at kunne administrere tjenesterne.
• Adgangskodesikkerhed – Ideanote kræver brug af entydige ID'er, stærke adgangskoder og tofaktorgodkendelse. 
• Adgangsgennemgang - Adgang styres af en intern politik om mindst mulige privilegier og adgangsgennemgange.
• Revisionsspor – Ideanote logger adgang til sine systemer via et uforanderligt revisionsspor.
• Dataadskillelse – Ideanote adskiller Kundens data i et miljø med flere lejere ved hjælp af separate krypteringsnøgler.
• Sletning af diske - Udtjente diske slettes sikkert efter deres tilsigtede brug eller destrueres forsvarligt i tilfælde af funktionsfejl.
• Personale – Ideanotes personale overholder virksomhedens politikker vedrørende privatliv, sikkerhed, etik og professionel adfærd. 
• Baggrundstjek – Ideanote foretager baggrundstjek af nyansatte.
• Dataadgang – Ideanotes personale vil ikke tilgå eller behandle Kundens indhold uden Kundens udtrykkelige tilladelse, medmindre det kræves ved lov.
• Sikkerhed hos underdatabehandlere – Ideanote gennemgår underdatabehandleres sikkerheds- og privatlivspraksis, inden underdatabehandlerne onboardes, for at sikre et tilstrækkeligt niveau af sikkerhed og beskyttelse af privatlivet for dataene og omfanget af de tjenester, de skal levere. Når gennemgangen af underdatabehandleren er gennemført, og den tilhørende risiko er vurderet, indgår underdatabehandleren passende kontraktvilkår om privatliv, fortrolighed og sikkerhed.

2. Opbevaringsgrænser og sletning

Behandlingen er ikke tidsbegrænset og skal udføres, indtil denne databehandleraftale opsiges eller annulleres af en af parterne.

Personoplysninger opbevares hos Ideanote, indtil Kunden eller et Medlem anmoder om, at oplysningerne slettes eller returneres. Ideanote giver Kunder mulighed for når som helst at eksportere deres rådata i JSON-format, som er branchestandard. Kundedata kan desuden slettes efter anmodning ved aftalens ophør eller slettes i overensstemmelse med Ideanotes interne politikker for dataopbevaring.

3. Inspektion og revisionsrapporter

Kunder med et aktivt årligt Enterprise-abonnement har ret til én gang om året at anmode om en compliance-audit for at bekræfte Ideanotes overholdelse af databeskyttelsesforpligtelserne i denne DPA. Som svar på Kundens anmodning om en audit accepterer Ideanote på fortroligt grundlag at fremlægge nødvendige oplysninger, herunder spørgeskemaer om sikkerhed og audit.

Anmodninger om audit skal indeholde en detaljeret plan og indsendes to måneder i forvejen, undtagen i tilfælde af en sikkerhedshændelse, hvor en audit kan iværksættes uden forsinkelse. Ideanote har ret til at gøre indsigelse mod tredjepartsrevisorer, der er konkurrenter eller på anden måde uegnede.

Eksisterende auditrapporter kan træde i stedet for en ny audit, hvis Ideanotes kontroller i alt væsentligt er uændrede.

Kunder med et aktivt årligt Enterprise-abonnement har ret til én gang om året at udføre fjern- eller stedbaserede audits af Ideanotes behandlingsaktiviteter vedrørende Kundens personoplysninger. Kunden afholder omkostningerne ved auditen, herunder eventuel bistand fra Ideanote, i henhold til Ideanotes standardtakster for tjenester.

Inden en audit på stedet skal begge parter blive enige om omfang, tidspunkt og varighed. Hver audit er begrænset til én gang om året med 2 måneders varsel til Ideanote, medmindre en sikkerhedshændelse nødvendiggør en hurtigere audit. Resultater af manglende overholdelse skal straks indberettes til Ideanote.

4. Kryptering af kundeindhold

Når en bruger benytter Ideanote-tjenesten, registreres oplysninger om vedkommendes interaktioner og sendes til Ideanote via API-kald over HTTPS. Alle vores øvrige API'er og websites benytter også udelukkende HTTPS. Alt, hvad kunden og brugeren sender til Ideanote, og alt, hvad Ideanote sender til kunden og brugeren, overføres via fuldt krypterede kanaler. Ideanote anvender protokollen Transport Layer Security (TLS 1.2) med RSA-2048-kryptering for at holde vores kommunikation privat.

Google Cloud Platform krypterer som standard kundedata, der er lagret i hvile. Data i Google Cloud Platform opdeles i underfilsegmenter til lagring, og hvert segment krypteres på lagerniveau med en individuel krypteringsnøgle. Nøglen, der bruges til at kryptere dataene i et segment, kaldes en datakrypteringsnøgle (DEK). På grund af det store antal nøgler hos Google og behovet for lav latenstid og høj tilgængelighed lagres disse nøgler tæt på de data, de krypterer. DEK'erne krypteres med (eller »indpakkes« af) en nøglekrypteringsnøgle (KEK). Du kan få flere oplysninger på https://cloud.google.com/security/#dataencryption.

5. Adskillelse af kundedata

Adgang gives ved at sende et godkendelsestoken med i anmodninger. Tokenet indeholder derefter et sæt tilladelser baseret på brugerens rang og de(n) Space(s), Missions og alt andet indhold, som brugeren har adgang til.

Dette giver en logisk adskillelse mellem data, der tilhører flere brugere. Ideanote er den eneste lejer på vores infrastruktur. En kundes data kan være placeret på databasesystemer, der også indeholder data, som tilhører andre kunder, men vores logiske kontroller (token, nøgle og hemmelighed) adskiller én brugers data fra en anden brugers data.

6. Single sign-on og multifaktorgodkendelse

Ideanote understøtter SAML-single sign-on. Afhængigt af hvilken single sign-on-udbyder Kunden benytter, kan Kunden aktivere multifaktorgodkendelse hos sin single sign-on-udbyder. Oplysninger om, hvordan single sign-on aktiveres, findes under adgangsindstillinger.

7. Placering og opbevaring af kundedata

GDPR kræver ikke, at personoplysninger skal forblive i EU, så længe der findes en juridisk ramme, der sikrer, at dataoverførslen er gyldig. GDPR anerkender flere sådanne rammer, herunder EU's standardkontraktbestemmelser.

Ideanotes applikations- og databaseservere er placeret i EU. Det betyder, at Kundens indhold aldrig forlader EU, når det er lagret.

Selve tjenesten kan leveres ved hjælp af udstyr eller faciliteter, der er placeret i EU eller USA. De amerikanske underdatabehandlere har indgået standardkontraktbestemmelser (som godkendt af Europa-Kommissionen), der udgør et retsgrundlag for at sikre, at EU-borgeres personoplysninger, som behandles i forbindelse med brugen af tjenesten, får et tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 46 i forordning (EU) 2016/679 (databeskyttelsesforordningen), når de behandles i USA. Personoplysninger opbevares og behandles delvist af disse underdatabehandlere.

Google er vores hostingudbyder til produktionsmiljøet. Googles harddiske anvender teknologier som FDE (fuld diskkryptering) og drevlåsning for at beskytte data i hvile. Når en harddisk tages ud af drift, kontrollerer autoriserede personer, at disken er slettet, ved at skrive nuller til drevet og udføre en flertrinsverifikationsproces for at sikre, at drevet ikke indeholder data. Hvis drevet af en eller anden grund ikke kan slettes, opbevares det sikkert, indtil det kan destrueres fysisk. Fysisk destruktion af diske er en flertrinsproces, der begynder med en knuser, som deformerer drevet, efterfulgt af en makulator, der nedbryder drevet i små stykker, som derefter genanvendes på et sikkert anlæg. Hvert datacenter følger en streng politik for bortskaffelse, og eventuelle afvigelser håndteres omgående.

8. Sikkerhedskontroller og scanninger

Ideanote udfører regelmæssige sikkerhedsscanninger via en tredjepartstjeneste, og vores kildekode kontrolleres automatisk, når den committes. Hver gang Ideanote opdaterer eksterne kodeafhængigheder, udfører Ideanote en fuld sikkerhedsrevision for at kontrollere, at der ikke er kommet sårbarheder ind i Ideanotes kodebase. Ideanote abonnerer også på forskellige sikkerhedsmailinglister for den software, Ideanote bruger. Dette sikrer, at Ideanote altid er bekendt med nyligt opdagede sårbarheder og kan iværksætte løsninger eller implementere tilgængelige programrettelser.

9. Personalets håndtering af kundedata

Adgangen til datalageret er begrænset til et meget lille antal personer, og Ideanote har ingen mulighed for at »udgive sig for« at være en anden eller se indhold via en grænseflade til kontoskift eller se det via administratorens brugergrænseflade. 

I tilfælde, hvor Ideanote har behov for at fejlfinde, vil Ideanote enten teste det i et udviklingsmiljø eller indhente Kundens udtrykkelige tilladelse til adgang til kontoen (som regel ved at Kunden manuelt inviterer vores supportkonto som bruger af Kundens workspace, hvilket til enhver tid kan fjernes) eller anmode om skærmdeling. Adgang til og anmodninger om adgang til Ideanotes databaser og serverinfrastruktur samt alle commits med kodeændringer logføres af sikkerhedshensyn.

Som beskrevet i vores servicevilkår har supportpersonale som standard adgang til visse kontaktoplysninger og aktivitetslogge for at kunne yde Kunden den bedst mulige service. Adgangen til denne type data er til enhver tid begrænset med tofaktorgodkendelse, og personoplysninger sælges ikke til tredjeparter.

10. Replikering af kundedata

Ideanote tager sikkerhedskopier af Kundedata tre gange om dagen og opbevarer disse sikkerhedskopier i op til en måned. I tilfælde af en sikkerhedsmæssig, teknisk eller fysisk hændelse eller et datatab kan Kundedata gendannes rettidigt.

BILAG 2 – Standardkontraktbestemmelser (SCC'er)

Bestemmelse 1

Formål og anvendelsesområde

(a) Formålet med disse standardkontraktbestemmelser er at sikre overholdelse af kravene i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesforordningen) ved overførsel af personoplysninger til et tredjeland.

(b) Parterne:

i. den eller de fysiske eller juridiske personer, offentlige myndigheder, agenturer eller andre organer (i det følgende »enhed/enheder«), der overfører personoplysningerne, som anført i bilag I.A (i det følgende hver især »dataeksportør«), og

ii. den eller de enheder i et tredjeland, der modtager personoplysningerne fra dataeksportøren, direkte eller indirekte via en anden enhed, der også er part i disse klausuler, som anført i bilag I.A (i det følgende hver især »dataimportør«).

har indgået disse standardkontraktbestemmelser (i det følgende »klausulerne«).

(c) Disse klausuler gælder for overførsel af personoplysninger som specificeret i bilag I.B.

(d) Appendikset til disse klausuler, der indeholder de deri omtalte bilag, udgør en integreret del af disse klausuler.

Bestemmelse 2

Klausulernes virkning og uforanderlighed

(a) Disse klausuler fastsætter passende garantier, herunder rettigheder for registrerede, der kan håndhæves, og effektive retsmidler, i henhold til artikel 46, stk. 1, og artikel 46, stk. 2, litra c), i forordning (EU) 2016/679 og, for så vidt angår overførsler af oplysninger fra dataansvarlige til databehandlere og/eller fra databehandlere til databehandlere, standardkontraktbestemmelser i henhold til artikel 28, stk. 7, i forordning (EU) 2016/679, forudsat at de ikke ændres, bortset fra valg af relevante modul(er) eller tilføjelse eller opdatering af oplysninger i bilaget. Dette forhindrer ikke parterne i at medtage standardkontraktbestemmelserne i disse klausuler i en bredere kontrakt og/eller tilføje andre klausuler eller yderligere garantier, forudsat at disse ikke direkte eller indirekte er i modstrid med disse klausuler eller krænker de registreredes grundlæggende rettigheder eller frihedsrettigheder.

(b) Disse klausuler berører ikke de forpligtelser, som dataeksportøren er underlagt i henhold til forordning (EU) 2016/679.

Klausul 3

Tredjemandsbegunstigede

(a) De registrerede kan påberåbe sig og håndhæve disse klausuler som tredjemandsbegunstigede over for dataeksportøren og/eller dataimportøren med følgende undtagelser:

i. Klausul 1, Klausul 2, Klausul 3, Klausul 6, Klausul 7;

ii. Klausul 8.1(b), 8.9(a), (c), (d) og (e);

iii. Klausul 9(a), (c), (d) og (e)

iv. Klausul 12(a), (d) og (f);

v. Klausul 13;

vi. Klausul 15.1(c), (d) og (e);

vii. Klausul 16(e); og

viii. Klausul 18(a) og (b).

(b) Stk. (a) berører ikke de registreredes rettigheder i henhold til forordning (EU) 2016/679.

Klausul 4

Fortolkning

(a) Når disse klausuler anvender termer, der er defineret i forordning (EU) 2016/679, har disse termer samme betydning som i forordningen.

(b) Disse klausuler skal læses og fortolkes i lyset af bestemmelserne i forordning (EU) 2016/679.

(c) Disse klausuler må ikke fortolkes på en måde, der er i strid med de rettigheder og forpligtelser, der er fastsat i forordning (EU) 2016/679.

Klausul 5

Rangorden

I tilfælde af uoverensstemmelse mellem disse klausuler og bestemmelserne i relaterede aftaler mellem parterne, som eksisterer på det tidspunkt, hvor disse klausuler aftales, eller som indgås derefter, har disse klausuler forrang.

Klausul 6

Beskrivelse af overførslen/overførslerne

Oplysningerne om overførslen/overførslerne, navnlig kategorierne af personoplysninger, der overføres, og formålet/formålene med overførslen/overførslerne, er angivet i bilag I.B.

Klausul 7

Tiltrædelsesklausul

(a) En enhed, der ikke er part i disse klausuler, kan med parternes samtykke tiltræde disse klausuler når som helst, enten som dataeksportør eller dataimportør, ved at udfylde bilaget og underskrive bilag I.A.

(b) Når den tiltrædende enhed har udfyldt bilaget og underskrevet bilag I.A, bliver den part i disse klausuler og får de rettigheder og forpligtelser, der gælder for en dataeksportør eller dataimportør, i overensstemmelse med dens angivelse i bilag I.A.

(c) Den tiltrædende enhed har ingen rettigheder eller forpligtelser i henhold til disse klausuler for perioden, før den bliver part.

AFSNIT II – PARTERNES FORPLIGTELSER

Klausul 8

Databeskyttelsesforanstaltninger

Dataeksportøren garanterer, at denne har gjort en rimelig indsats for at fastslå, at dataimportøren ved at gennemføre passende tekniske og organisatoriske foranstaltninger er i stand til at opfylde sine forpligtelser i henhold til disse klausuler.

8.1 Instrukser

(a) Dataimportøren må kun behandle personoplysningerne efter dokumenterede instrukser fra dataeksportøren. Dataeksportøren kan give sådanne instrukser i hele kontraktens løbetid.

(b) Dataimportøren skal straks underrette dataeksportøren, hvis den ikke er i stand til at følge disse instrukser

8.2 Formålsbegrænsning

Dataimportøren må kun behandle personoplysningerne til det eller de specifikke formål med overførslen, som angivet i bilag I.B, medmindre dataeksportøren giver yderligere instrukser.

8.3 Gennemsigtighed

På anmodning skal dataeksportøren vederlagsfrit stille en kopi af disse klausuler, herunder bilaget, som parterne har udfyldt, til rådighed for den registrerede. I det omfang det er nødvendigt for at beskytte forretningshemmeligheder eller andre fortrolige oplysninger, herunder de foranstaltninger, der er beskrevet i bilag II, og personoplysninger, kan dataeksportøren udelade dele af teksten i bilaget til disse klausuler, før en kopi deles. Dataeksportøren skal dog give et fyldestgørende sammendrag, hvis den registrerede ellers ikke ville kunne forstå indholdet eller udøve sine rettigheder. På anmodning skal parterne oplyse den registrerede om begrundelsen for udeladelserne, i det omfang det er muligt uden at afsløre de udeladte oplysninger. Denne klausul berører ikke dataeksportørens forpligtelser i henhold til artikel 13 og 14 i forordning (EU) 2016/679.

8.4 Nøjagtighed

Hvis dataimportøren bliver bekendt med, at de personoplysninger, som vedkommende har modtaget, er unøjagtige eller er blevet forældede, skal dataimportøren uden unødig forsinkelse underrette dataeksportøren herom. I så fald skal dataimportøren samarbejde med dataeksportøren om at slette eller berigtige oplysningerne.

8.5 Behandlingens varighed samt sletning eller returnering af data

Databehandleren må kun behandle personoplysninger i den periode, der er angivet i bilag I.B. Når behandlingsydelserne ikke længere leveres, skal databehandleren efter den dataansvarliges valg slette alle personoplysninger, der er behandlet på vegne af den dataansvarlige, og bekræfte over for den dataansvarlige, at dette er sket, eller returnere alle personoplysninger, der er behandlet på den dataansvarliges vegne, og slette eksisterende kopier. Indtil oplysningerne er slettet eller returneret, skal databehandleren fortsat sikre, at disse klausuler overholdes. Hvis lokal lovgivning, der gælder for databehandleren, forbyder returnering eller sletning af personoplysningerne, garanterer databehandleren, at den fortsat vil sikre, at disse klausuler overholdes, og kun vil behandle oplysningerne i det omfang og så længe, det kræves i henhold til den lokale lovgivning. Dette berører ikke klausul 14, navnlig databehandlerens forpligtelse i henhold til klausul 14(e) til at underrette den dataansvarlige i hele aftalens løbetid, hvis databehandleren har grund til at tro, at den er eller er blevet underlagt lovgivning eller praksis, der ikke er i overensstemmelse med kravene i klausul 14(a).

8.6 Sikkerhed ved behandling

(a) Dataimportøren og, under overførslen, også dataeksportøren skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre datasikkerheden, herunder beskyttelse mod et brud på sikkerheden, der fører til utilsigtet eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til disse data (i det følgende »brud på persondatasikkerheden«). Ved vurderingen af det passende sikkerhedsniveau skal Parterne tage behørigt hensyn til den teknologiske udvikling, omkostningerne ved gennemførelsen, behandlingens art, omfang, sammenhæng og formål samt de risici, som behandlingen indebærer for de registrerede. Parterne skal navnlig overveje at anvende kryptering eller pseudonymisering, også under overførslen, hvis formålet med behandlingen kan opfyldes på denne måde. Ved pseudonymisering skal de yderligere oplysninger, der gør det muligt at henføre personoplysningerne til en bestemt registreret, så vidt muligt forblive under dataeksportørens eksklusive kontrol. For at opfylde sine forpligtelser i henhold til dette stykke skal dataimportøren som minimum gennemføre de tekniske og organisatoriske foranstaltninger, der er specificeret i bilag II. Dataimportøren skal regelmæssigt kontrollere, at disse foranstaltninger fortsat sikrer et passende sikkerhedsniveau.

(b) Dataimportøren må kun give medlemmer af sit personale adgang til personoplysningerne i det omfang, det er strengt nødvendigt for gennemførelsen, administrationen og overvågningen af kontrakten. Dataimportøren skal sikre, at personer, der er bemyndiget til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

(c) I tilfælde af et brud på persondatasikkerheden vedrørende personoplysninger, som dataimportøren behandler i henhold til disse klausuler, skal dataimportøren træffe passende foranstaltninger til at håndtere bruddet, herunder foranstaltninger til at begrænse dets negative virkninger. Dataimportøren skal desuden underrette dataeksportøren uden unødig forsinkelse efter at være blevet bekendt med bruddet. En sådan underretning skal indeholde oplysninger om et kontaktpunkt, hvor yderligere oplysninger kan indhentes, en beskrivelse af bruddets karakter (herunder, hvor det er muligt, kategorierne af og det omtrentlige antal berørte registrerede og berørte optegnelser over personoplysninger), dets sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslået for at håndtere bruddet, herunder, hvor det er relevant, foranstaltninger til at begrænse dets mulige negative virkninger. Hvor og i det omfang det ikke er muligt at give alle oplysninger samtidig, skal den indledende underretning indeholde de oplysninger, der er tilgængelige på det pågældende tidspunkt, og yderligere oplysninger skal efterfølgende gives uden unødig forsinkelse, efterhånden som de bliver tilgængelige.

(d) Dataimportøren skal samarbejde med og bistå dataeksportøren, så dataeksportøren kan opfylde sine forpligtelser i henhold til forordning (EU) 2016/679, navnlig ved at underrette den kompetente tilsynsmyndighed og de berørte registrerede, idet der tages hensyn til behandlingens art og de oplysninger, som dataimportøren har til rådighed.

8.7 Følsomme data

Ideanote tillader ikke behandling af følsomme data.

8.8 Videreoverførsler

Dataimportøren må kun videregive personoplysningerne til en tredjepart efter dokumenterede instrukser fra dataeksportøren. Derudover må oplysningerne kun videregives til en tredjepart, der befinder sig uden for Den Europæiske Union (i samme land som dataimportøren eller i et andet tredjeland, i det følgende benævnt »videreoverførsel«), hvis tredjeparten er eller indvilliger i at blive bundet af disse klausuler, eller hvis:

i. videreoverførslen sker til et land, der er omfattet af en tilstrækkelighedsafgørelse i henhold til artikel 45 i forordning (EU) 2016/679, som omfatter videreoverførslen;

ii. tredjeparten sikrer på anden vis passende garantier i henhold til artikel 46 eller 47 i forordning (EU) 2016/679 for den pågældende behandling;

iii. videreoverførslen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares i forbindelse med konkrete administrative, lovgivningsmæssige eller retlige procedurer; eller

iv. videreoverførslen er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.

Enhver videreoverførsel er betinget af, at dataimportøren overholder alle øvrige garantier i disse klausuler, navnlig formålsbegrænsning.

8.9 Dokumentation og overholdelse

(a) Dataimportøren skal straks og på passende vis behandle forespørgsler fra dataeksportøren, der vedrører behandlingen i henhold til disse klausuler.

(b) Parterne skal kunne påvise, at disse klausuler overholdes. Dataimportøren skal navnlig føre passende dokumentation for de behandlingsaktiviteter, der udføres på dataeksportørens vegne.

(c) Dataimportøren skal stille alle oplysninger, der er nødvendige for at påvise overholdelse af forpligtelserne i disse klausuler, til rådighed for dataeksportøren og skal efter dataeksportørens anmodning tillade og bidrage til revisioner af de behandlingsaktiviteter, der er omfattet af disse klausuler, med rimelige intervaller eller hvis der er tegn på manglende overholdelse, som beskrevet i bilag C, afsnittet »Inspektion og revisionsrapporter« i databehandleraftalen. Når dataeksportøren træffer beslutning om en gennemgang eller revision, kan dataeksportøren tage hensyn til relevante certificeringer, som dataimportøren er i besiddelse af.

(d) Dataeksportøren kan vælge selv at gennemføre revisionen eller udpege en uafhængig revisor. Revisioner kan omfatte inspektioner på dataimportørens lokaler eller fysiske faciliteter og skal, hvor det er relevant, gennemføres med et rimeligt varsel.

(e) Parterne skal efter anmodning stille de oplysninger, der er omhandlet i litra (b) og (c), herunder resultaterne af eventuelle revisioner, til rådighed for den kompetente tilsynsmyndighed.

Klausul 9

Anvendelse af underdatabehandlere

(a) Dataimportøren har dataeksportørens generelle bemyndigelse til at engagere underdatabehandler(e) fra en aftalt liste. Dataimportøren skal skriftligt underrette dataeksportøren specifikt om eventuelle påtænkte ændringer af denne liste gennem tilføjelse eller udskiftning af underdatabehandlere mindst tredive (30) dage i forvejen, så dataeksportøren får tilstrækkelig tid til at kunne gøre indsigelse mod sådanne ændringer, inden underdatabehandler(e) engageres. Dataimportøren skal give dataeksportøren de oplysninger, der er nødvendige for, at dataeksportøren kan udøve sin ret til at gøre indsigelse.

(b) Når dataimportøren engagerer en underdatabehandler til at udføre specifikke behandlingsaktiviteter (på vegne af dataeksportøren), skal dette ske i henhold til en skriftlig kontrakt, der i det væsentlige fastsætter de samme databeskyttelsesforpligtelser som dem, der er bindende for dataimportøren i henhold til disse klausuler, herunder hvad angår tredjepartsbegunstigedes rettigheder for de registrerede.8 Parterne er enige om, at dataimportøren ved at overholde denne klausul opfylder sine forpligtelser i henhold til klausul 8.8. Dataimportøren skal sikre, at underdatabehandleren overholder de forpligtelser, som dataimportøren er underlagt i henhold til disse klausuler.

(c) Dataimportøren skal efter dataeksportørens anmodning give dataeksportøren en kopi af en sådan databehandleraftale og eventuelle efterfølgende ændringer heraf. I det omfang det er nødvendigt for at beskytte forretningshemmeligheder eller andre fortrolige oplysninger, herunder personoplysninger, kan dataimportøren redigere aftaleteksten, inden en kopi deles.

(d) Dataimportøren forbliver fuldt ansvarlig over for dataeksportøren for databehandlerens opfyldelse af sine forpligtelser i henhold til kontrakten med dataimportøren. Dataimportøren skal underrette dataeksportøren om enhver manglende opfyldelse fra databehandlerens side af sine forpligtelser i henhold til denne kontrakt.

(e) Dataimportøren skal aftale en bestemmelse om tredjemandsbegunstigelse med databehandleren, hvorefter dataeksportøren – hvis dataimportøren faktisk er forsvundet, retligt er ophørt med at eksistere eller er blevet insolvent – har ret til at opsige databehandleraftalen og instruere databehandleren om at slette eller tilbagelevere personoplysningerne.

Klausul 10

Den registreredes rettigheder

(a) Dataimportøren skal uden unødig forsinkelse underrette dataeksportøren om enhver anmodning, som den har modtaget fra en registreret. Den må ikke selv besvare anmodningen, medmindre dataeksportøren har bemyndiget den hertil.

(b) Dataimportøren skal bistå dataeksportøren med at opfylde sine forpligtelser til at besvare anmodninger fra registrerede om udøvelse af deres rettigheder i henhold til forordning (EU) 2016/679. I denne forbindelse skal parterne i bilag II fastlægge de passende tekniske og organisatoriske foranstaltninger, der under hensyntagen til behandlingens art skal yde bistanden, samt omfanget og udstrækningen af den bistand, der kræves.

(c) Ved opfyldelsen af sine forpligtelser i henhold til litra a) og b) skal dataimportøren følge dataeksportørens instrukser.

Klausul 11

Klageadgang

(a) Dataimportøren skal på en gennemsigtig og let tilgængelig måde, enten ved individuel meddelelse eller på sit websted, oplyse de registrerede om et kontaktpunkt, der er bemyndiget til at behandle klager. Den skal straks behandle enhver klage, som den modtager fra en registreret.

(b) I tilfælde af en tvist mellem en registreret og en af parterne vedrørende overholdelsen af disse klausuler skal den pågældende part gøre sit bedste for at løse sagen i mindelighed og rettidigt. Parterne skal holde hinanden orienteret om sådanne tvister og, hvor det er relevant, samarbejde om at løse dem.

(c) Når den registrerede gør en tredjepartsbegunstigelsesret gældende i henhold til klausul 3, skal dataimportøren acceptere den registreredes beslutning om at:

i. indgive en klage til tilsynsmyndigheden i den medlemsstat, hvor den registrerede har sit sædvanlige opholdssted eller sin arbejdsplads, eller til den kompetente tilsynsmyndighed i henhold til klausul 13;

ii. indbringe tvisten for de kompetente domstole som defineret i klausul 18.

(d) Parterne accepterer, at den registrerede kan repræsenteres af et organ, en organisation eller en sammenslutning, der ikke arbejder med gevinst for øje, på de betingelser, der er fastsat i artikel 80, stk. 1, i forordning (EU) 2016/679.

(e) Dataimportøren skal efterkomme en afgørelse, der er bindende i henhold til gældende EU-ret eller national ret i en medlemsstat.

(f) Dataimportøren accepterer, at den registreredes valg ikke berører vedkommendes materielle eller processuelle ret til at søge retsmidler i overensstemmelse med gældende lovgivning.

Klausul 12

Ansvar

(a) Hver part er ansvarlig over for den eller de øvrige parter for enhver skade, som parten forvolder den eller de øvrige parter ved overtrædelse af disse klausuler.

(b) Dataimportøren er ansvarlig over for den registrerede, og den registrerede har ret til at modtage erstatning for enhver materiel eller immateriel skade, som dataimportøren eller dennes databehandler forvolder den registrerede ved at krænke den registreredes rettigheder som tredjemandsbegunstiget i henhold til disse klausuler.

(c) Uanset stk. (b) hæfter dataeksportøren over for den registrerede, og den registrerede har ret til at modtage erstatning for enhver økonomisk eller ikke-økonomisk skade, som dataeksportøren eller dataimportøren (eller dennes underdatabehandler) påfører den registrerede ved at krænke tredjemandsbegunstigedes rettigheder i henhold til disse klausuler. Dette berører ikke dataeksportørens ansvar og, hvis dataeksportøren er databehandler, der handler på vegne af en dataansvarlig, heller ikke den dataansvarliges ansvar i henhold til forordning (EU) 2016/679 eller forordning (EU) 2018/1725, alt efter hvad der er relevant.

(d) Parterne er enige om, at hvis dataeksportøren i henhold til stk. (c) holdes ansvarlig for skader forårsaget af dataimportøren (eller dennes underdatabehandler), er dataeksportøren berettiget til at kræve den del af erstatningen, der svarer til dataimportørens ansvar for skaden, tilbagebetalt af dataimportøren.

(e) Hvis mere end én part er ansvarlig for skade, der er påført den registrerede som følge af en overtrædelse af disse klausuler, hæfter alle ansvarlige parter solidarisk, og den registrerede er berettiget til at anlægge sag ved domstolene mod enhver af disse parter.

(f) Parterne er enige om, at hvis en part holdes ansvarlig i henhold til stk. (e), er parten berettiget til at kræve den del af erstatningen, der svarer til dens/disses ansvar for skaden, tilbagebetalt af den/de anden/andre part(er).

(g) Dataimportøren kan ikke påberåbe sig en underdatabehandlers adfærd for at undgå sit eget ansvar.

Klausul 13

Tilsyn

(a) Hvis dataeksportøren er etableret i en EU-medlemsstat: Den tilsynsmyndighed, der har ansvaret for at sikre dataeksportørens overholdelse af forordning (EU) 2016/679 med hensyn til dataoverførslen, som angivet i bilag I.C, fungerer som kompetent tilsynsmyndighed.

Hvis dataeksportøren ikke er etableret i en EU-medlemsstat, men er omfattet af det territoriale anvendelsesområde for forordning (EU) 2016/679 i henhold til artikel 3, stk. 2, og har udpeget en repræsentant i henhold til artikel 27, stk. 1, i forordning (EU) 2016/679:] Tilsynsmyndigheden i den medlemsstat, hvor repræsentanten som omhandlet i artikel 27, stk. 1, i forordning (EU) 2016/679 er etableret, som angivet i bilag I.C, fungerer som kompetent tilsynsmyndighed.

Hvis dataeksportøren ikke er etableret i en EU-medlemsstat, men er omfattet af det territoriale anvendelsesområde for forordning (EU) 2016/679 i henhold til artikel 3, stk. 2, uden dog at være forpligtet til at udpege en repræsentant i henhold til artikel 27, stk. 2, i forordning (EU) 2016/679:] Tilsynsmyndigheden i en af de medlemsstater, hvor de registrerede, hvis personoplysninger overføres i henhold til disse klausuler i forbindelse med udbud af varer eller tjenesteydelser til dem, eller hvis adfærd overvåges, befinder sig, som angivet i bilag I.C, fungerer som kompetent tilsynsmyndighed.

(b) Dataimportøren accepterer at underkaste sig den kompetente tilsynsmyndigheds jurisdiktion og samarbejde med denne i forbindelse med enhver procedure, der har til formål at sikre overholdelse af disse klausuler. Dataimportøren accepterer navnlig at besvare henvendelser, underkaste sig revisioner og efterleve de foranstaltninger, som tilsynsmyndigheden vedtager, herunder afhjælpende foranstaltninger og kompensationsforanstaltninger. Dataimportøren skal give tilsynsmyndigheden skriftlig bekræftelse på, at de nødvendige handlinger er truffet.

AFSNIT III – LOKALE LOVE og FORPLIGTELSER i TILFÆLDE af ADGANG for OFFENTLIGE MYNDIGHEDER

Klausul 14

Lokale love, der påvirker overholdelsen af klausulerne.

(a) Parterne garanterer, at de ikke har grund til at tro, at lovgivningen og praksis i det tredjeland, hvortil dataene overføres, og som finder anvendelse på databehandlerens behandling af personoplysningerne, herunder eventuelle krav om videregivelse af personoplysninger eller foranstaltninger, der giver offentlige myndigheder adgang, forhindrer dataimportøren i at opfylde sine forpligtelser i henhold til disse klausuler. Dette bygger på den forståelse, at lovgivning og praksis, der respekterer de grundlæggende rettigheders og friheders væsen og ikke går videre end nødvendigt og forholdsmæssigt i et demokratisk samfund for at beskytte et af de mål, der er anført i artikel 23, stk. 1, i forordning (EU) 2016/679, ikke er i strid med disse klausuler.

(b) Parterne erklærer, at de ved afgivelsen af garantien i litra (a) navnlig har taget behørigt hensyn til følgende elementer:

i. de specifikke omstændigheder ved overførslen, herunder behandlingskædens længde, antallet af involverede aktører og de anvendte transmissionskanaler; tilsigtede videreoverførsler; modtagerens type; formålet med behandlingen; kategorierne af og formatet for de overførte personoplysninger; den økonomiske sektor, hvor overførslen finder sted; opbevaringsstedet for de overførte data;

ii. lovgivningen og praksis i det tredjeland, hvortil dataene overføres – herunder krav om videregivelse af data til offentlige myndigheder eller tilladelse til sådanne myndigheders adgang – som er relevante i lyset af overførslens specifikke omstændigheder, samt de gældende begrænsninger og garantier;

iii. eventuelle relevante kontraktmæssige, tekniske eller organisatoriske garantier, der er indført som supplement til garantierne i disse klausuler, herunder foranstaltninger, der anvendes under overførslen og i forbindelse med behandlingen af personoplysningerne i bestemmelseslandet.

(c) Dataimportøren garanterer, at den i forbindelse med vurderingen i henhold til litra (b) har gjort sit yderste for at give dataeksportøren relevante oplysninger, og accepterer fortsat at samarbejde med dataeksportøren for at sikre overholdelse af disse klausuler.

(d) Parterne er enige om at dokumentere vurderingen i henhold til litra (b) og efter anmodning stille den til rådighed for den kompetente tilsynsmyndighed.

(e) Dataimportøren accepterer straks at underrette dataeksportøren, hvis dataimportøren efter at have accepteret disse klausuler og i kontraktens løbetid har grund til at tro, at dataimportøren er eller er blevet underlagt love eller praksis, der ikke er i overensstemmelse med kravene i stk. (a), herunder efter en ændring af lovgivningen i tredjelandet eller en foranstaltning (såsom en anmodning om videregivelse), der indikerer, at sådanne love anvendes i praksis på en måde, der ikke er i overensstemmelse med kravene i stk. (a).

(f) Efter en notifikation i henhold til litra (e), eller hvis dataeksportøren på anden måde har grund til at tro, at dataimportøren ikke længere kan opfylde sine forpligtelser i henhold til disse klausuler, skal dataeksportøren straks identificere passende foranstaltninger (f.eks. tekniske eller organisatoriske foranstaltninger til at sikre sikkerhed og fortrolighed), som dataeksportøren og/eller dataimportøren skal træffe for at afhjælpe situationen. Dataeksportøren skal suspendere dataoverførslen, hvis dataeksportøren vurderer, at der ikke kan sikres passende garantier for en sådan overførsel, eller hvis den kompetente tilsynsmyndighed pålægger det. I så fald er dataeksportøren berettiget til at opsige aftalen, for så vidt angår behandling af personoplysninger i henhold til disse klausuler. Hvis aftalen omfatter mere end to parter, kan dataeksportøren kun gøre denne opsigelsesret gældende over for den relevante part, medmindre parterne har aftalt andet. Hvis aftalen opsiges i henhold til denne klausul, finder klausul 16, litra (d) og (e), anvendelse.

Klausul 15

Dataimportørens forpligtelser i tilfælde af offentlige myndigheders adgang

15.1 Notifikation

(a) Dataimportøren accepterer straks at underrette dataeksportøren og, hvor det er muligt, den registrerede (om nødvendigt med bistand fra dataeksportøren), hvis den:

i. modtager en juridisk bindende anmodning fra en offentlig myndighed, herunder retslige myndigheder, i henhold til lovgivningen i bestemmelseslandet om videregivelse af personoplysninger, der er overført i henhold til disse klausuler; en sådan underretning skal indeholde oplysninger om de ønskede personoplysninger, den anmodende myndighed, retsgrundlaget for anmodningen og det afgivne svar; eller

ii. bliver bekendt med offentlig myndigheds direkte adgang til personoplysninger, der er overført i henhold til disse klausuler, i overensstemmelse med lovgivningen i bestemmelseslandet; en sådan underretning skal indeholde alle oplysninger, der er tilgængelige for importøren.

(b) Hvis dataimportøren i henhold til lovgivningen i bestemmelseslandet er forhindret i at underrette dataeksportøren og/eller den registrerede, accepterer dataimportøren at gøre sit bedste for at opnå en dispensation fra forbuddet med henblik på at videregive så mange oplysninger som muligt så hurtigt som muligt. Dataimportøren accepterer at dokumentere sine bestræbelser for at kunne godtgøre dem efter anmodning fra dataeksportøren.

(c) I det omfang det er tilladt i henhold til lovgivningen i bestemmelseslandet, accepterer dataimportøren med regelmæssige mellemrum i hele kontraktens løbetid at give dataeksportøren så mange relevante oplysninger som muligt om de modtagne anmodninger (navnlig antallet af anmodninger, typen af ønskede oplysninger, den eller de anmodende myndigheder, hvorvidt anmodninger er blevet anfægtet, og udfaldet af sådanne anfægtelser osv.).

(d) Dataimportøren accepterer at opbevare oplysningerne i henhold til punkt (a) til (c) i hele kontraktens løbetid og efter anmodning stille dem til rådighed for den kompetente tilsynsmyndighed.

(e) Stk. (a) til (c) berører ikke dataimportørens forpligtelse i henhold til klausul 14(e) og klausul 16 til straks at informere dataeksportøren, hvis dataimportøren ikke er i stand til at overholde disse klausuler.

15.2 Vurdering af lovlighed og dataminimering

(a) Dataimportøren indvilliger i at undersøge, om anmodningen om udlevering er lovlig, navnlig om den ligger inden for de beføjelser, der er tillagt den anmodende offentlige myndighed, og i at anfægte anmodningen, hvis dataimportøren efter en grundig vurdering konkluderer, at der er rimelig grund til at antage, at anmodningen er ulovlig i henhold til destinationslandets lovgivning, gældende forpligtelser i henhold til folkeretten og principperne om international retslig hensyntagen. Dataimportøren skal under samme betingelser forfølge mulighederne for at appellere. Når dataimportøren anfægter en anmodning, skal denne søge om foreløbige foranstaltninger med henblik på at suspendere anmodningens virkninger, indtil den kompetente retsmyndighed har truffet afgørelse om sagens realitet. Dataimportøren må ikke videregive de ønskede personoplysninger, før det kræves i henhold til de gældende processuelle regler. Disse krav berører ikke dataimportørens forpligtelser i henhold til klausul 14(e).

(b) Dataimportøren indvilliger i at dokumentere sin juridiske vurdering og enhver indsigelse mod anmodningen om videregivelse og, i det omfang det er tilladt i henhold til destinationslandets lovgivning, stille dokumentationen til rådighed for dataeksportøren. Dataimportøren skal ligeledes stille den til rådighed for den kompetente tilsynsmyndighed efter anmodning.

(c) Dataimportøren indvilliger i kun at videregive den mindst mulige mængde oplysninger som tilladt, når den besvarer en anmodning om videregivelse, baseret på en rimelig fortolkning af anmodningen.

AFSNIT IV – AFSLUTTENDE BESTEMMELSE

Klausul 16

Manglende overholdelse af klausulerne og ophør

(a) Dataimportøren skal straks underrette dataeksportøren, hvis den af en hvilken som helst grund ikke er i stand til at overholde disse klausuler.

(b) Hvis dataimportøren overtræder disse klausuler eller ikke er i stand til at overholde dem, skal dataeksportøren suspendere overførslen af personoplysninger til dataimportøren, indtil overholdelsen igen er sikret, eller kontrakten opsiges. Dette berører ikke klausul 14(f).

(c) Dataeksportøren er berettiget til at opsige kontrakten, for så vidt den vedrører behandling af personoplysninger i henhold til disse klausuler, hvis:

i. dataeksportøren har suspenderet overførslen af personoplysninger til dataimportøren i henhold til litra (b), og overholdelsen af disse klausuler ikke genoprettes inden for en rimelig frist og under alle omstændigheder inden for en måned efter suspensionen;

ii. dataimportøren i væsentlig grad eller gentagne gange overtræder disse klausuler; eller

iii. dataimportøren undlader at efterkomme en bindende afgørelse fra en kompetent domstol eller tilsynsmyndighed vedrørende sine forpligtelser i henhold til disse klausuler.

I sådanne tilfælde skal dataeksportøren underrette den kompetente tilsynsmyndighed om den manglende overholdelse. Hvis kontrakten omfatter mere end to parter, kan dataeksportøren kun gøre denne opsigelsesret gældende over for den relevante part, medmindre parterne har aftalt andet.

(d) Personoplysninger, der er blevet overført inden kontraktens ophør i henhold til litra (c), skal efter dataeksportørens valg straks returneres til dataeksportøren eller slettes fuldstændigt. Det samme gælder for eventuelle kopier af oplysningerne. Dataimportøren skal attestere over for dataeksportøren, at oplysningerne er slettet. Indtil oplysningerne er slettet eller returneret, skal dataimportøren fortsat sikre overholdelse af disse klausuler. Hvis lokal lovgivning, der gælder for dataimportøren, forbyder returnering eller sletning af de overførte personoplysninger, garanterer dataimportøren, at vedkommende fortsat vil sikre overholdelse af disse klausuler og kun vil behandle oplysningerne i det omfang og så længe, det kræves i henhold til den lokale lovgivning.

(e) Hver af parterne kan tilbagekalde sit samtykke til at være bundet af disse klausuler, hvis (i) Europa-Kommissionen vedtager en afgørelse i henhold til artikel 45, stk. 3, i forordning (EU) 2016/679, som omfatter overførsel af personoplysninger, der er omfattet af disse klausuler, eller (ii) forordning (EU) 2016/679 bliver en del af den retlige ramme i det land, hvortil personoplysningerne overføres. Dette berører ikke andre forpligtelser, der gælder for den pågældende behandling i henhold til forordning (EU) 2016/679.

Klausul 17

Lovvalg

Disse klausuler er underlagt lovgivningen i den EU-medlemsstat, hvor dataeksportøren er etableret. Hvis denne lovgivning ikke tillader tredjepartsbegunstigede rettigheder, er de underlagt lovgivningen i en anden EU-medlemsstat, der tillader tredjepartsbegunstigede rettigheder. Parterne er enige om, at lovgivningen i Danmark finder anvendelse.

Klausul 18

Valg af værneting og jurisdiktion

(a) Enhver tvist, der opstår som følge af disse klausuler, afgøres af domstolene i en EU-medlemsstat.

(b) Parterne er enige om, at dette skal være domstolene i Danmark.

(c) En registreret kan også anlægge sag mod dataeksportøren og/eller dataimportøren ved domstolene i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted.

(d) Parterne accepterer at være underlagt disse domstoles jurisdiktion.

BILAG I

A. PARTSLISTE

Dataeksportør. Dataeksportøren er Kunden, som defineret i aftalen og/eller ordren(e).

Dataimportør. Dataimportøren er Ideanote, som defineret i aftalen og/eller ordre(rne).

B. BESKRIVELSE AF OVERFØRSELEN

1. Kategorier af registrerede, hvis personoplysninger overføres:

De registrerede omfatter dataeksportørens kundes repræsentanter og slutbrugere, hvilket afhængigt af anvendelsen kan omfatte dataeksportørens medarbejdere, kontrahenter, leverandører og kunder.

2. Kategorier af overførte personoplysninger:

De overførte personoplysninger omfatter navne og e-mailadresser i elektronisk form, alt sammen i forbindelse med Tjenesterne.

3. Følsomme oplysninger, der overføres (hvis relevant), samt anvendte begrænsninger eller sikkerhedsforanstaltninger, der fuldt ud tager hensyn til oplysningernes art og de involverede risici, såsom eksempelvis streng begrænsning af formålet, adgangsbegrænsninger (herunder adgang alene for personale, der har gennemført specialiseret uddannelse), registrering af adgang til oplysningerne, begrænsninger af videreoverførsler eller yderligere sikkerhedsforanstaltninger:

Ingen.

4. Hyppigheden af overførslen (f.eks. om data overføres én gang eller løbende):

Løbende.

5. Behandlingens art:

Cloudbaseret API-adgang fra server til server.

6. Formål med dataoverførslen og den videre behandling:

Fremme deling af ideer og innovation.

7. Den periode, hvor personoplysningerne opbevares, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge denne periode:

I Ideanotes ToS' løbetid.

8. Ved overførsler til (under)databehandlere skal behandlingens genstand, art og varighed også angives:

Formålet med enhver behandling foretaget af underdatabehandlere er at muliggøre levering af tjenesterne. Behandlingen varer i den periode, hvor Ideanotes ToS mellem kunden og Ideanote er gældende.

‍

C. KOMPETENT TILSYNSMYNDIGHED

Datatilsynet

BILAG II 

TEKNISKE OG ORGANISATORISKE FORANSTALTNINGER, HERUNDER TEKNISKE OG ORGANISATORISKE FORANSTALTNINGER TIL AT SIKRE DATASIKKERHEDEN

Oplysninger om de tekniske og organisatoriske foranstaltninger, der gælder for de softwaretjenester, som Ideanote leverer til kunden, findes i bilag C til Ideanotes DPA

BILAG III

LISTE OVER UNDERDATABEHANDLERE

Kunden har godkendt Ideanotes brug af de underdatabehandlere, der er angivet på https://ideanote.io/legal/sub-processors, og som er relevante for de softwaretjenester, Ideanote leverer til kunden.

BILAG 3 – Tillæg for Storbritannien

I tilfælde af dataoverførsel til og fra Storbritannien gælder følgende bestemmelser i dette bilag 3 ud over standardkontraktbestemmelserne i bilag 2 til Ideanotes databehandlertillæg.

DEL 1: TABELLER

Tabel 1: Parter

Ikrafttrædelsesdato

­­­Ikrafttrædelsesdato (Denne databehandleraftale træder i kraft på den dato, hvor Kunden elektronisk accepterer eller på anden måde tiltræder vores ToS. )

Parterne

Eksportør (den, der foretager den begrænsede overførsel)

Importør (den, der modtager den begrænsede overførsel)

Parternes oplysninger

Det fulde juridiske navn fremgår af ordrebekræftelsen eller workspaceejerens konto

Handelsnavn (hvis forskelligt) fremgår af ordreformularen eller workspaceets faktureringsindstillinger.

Hovedadresse (hvis det er virksomhedens registrerede adresse) fremgår af ordreformularen eller workspaceets faktureringsindstillinger.

Officielt registreringsnummer samt eventuelt virksomhedsnummer eller lignende identifikator fremgår af ordreformularen eller workspaceejerens konto

Fuldt juridisk navn: Ideanote ApS

Handelsnavn (hvis forskelligt): Ideanote

Hovedadresse: Soengen 1, 2840, Holte

Officielt registreringsnummer: TIN:DK37118796

Primær kontaktperson

Stilling og kontaktoplysninger, herunder e-mailadresse, fremgår af ordreformularen eller workspaceejerens konto

Stilling: Databehandlingsansvarlig

Kontaktoplysninger, herunder e-mailadresse: DPO@ideanote.io

Tabel 2: Valgte SCC'er, moduler og klausuler

EU-SCC-tillæg

Den version af de godkendte EU-SCC'er, der er inkluderet ovenfor, og som dette tillæg er føjet til.

Tabel 3: Oplysninger til bilaget

”Bilagsoplysninger” betyder de oplysninger, der skal angives for de valgte moduler som fastsat i bilaget til de godkendte EU-SCC'er (bortset fra parterne), og som for dette tillægs vedkommende fremgår af databehandlingsaftalen ovenfor.

Tabel 4: Ophør af dette tillæg ved ændringer af det godkendte tillæg

Opsigelse af dette tillæg, hvis det godkendte tillæg ændres

Hvilke parter kan opsige dette tillæg:

Importør og eksportør

DEL 2: OBLIGATORISKE KLAUSULER

Indgåelse af dette tillæg

(a.) Hver part accepterer at være bundet af de vilkår og betingelser, der er fastsat i dette tillæg, mod at den anden part ligeledes accepterer at være bundet af dette tillæg.

(b.) Selvom bilag 1A og klausul 7 i de godkendte EU-SCC'er kræver, at parterne underskriver, kan parterne med henblik på begrænsede overførsler indgå dette tillæg på enhver måde, der gør det juridisk bindende for parterne og giver de registrerede mulighed for at håndhæve deres rettigheder som fastsat i dette tillæg. Indgåelsen af dette tillæg har samme virkning som underskrivelse af de godkendte EU-SCC'er og enhver del af de godkendte EU-SCC'er.

Fortolkning af dette tillæg

(a.) Når dette tillæg anvender udtryk, der er defineret i de godkendte EU-SCC'er, har disse udtryk samme betydning som i de godkendte EU-SCC'er. Derudover har følgende udtryk følgende betydning:

Tillæg

Dette internationale tillæg om dataoverførsel, der består af dette tillæg, hvori EU-SCC-tillægget indgår.

EU-SCC-tillæg

Den/de version(er) af de godkendte EU-SCC'er, som dette tillæg er knyttet til, som angivet i tabel 2, herunder oplysningerne til bilaget.

Oplysninger i appendikset

Som angivet i tabel 3.

Passende garantier

Det beskyttelsesniveau for personoplysninger og registreredes rettigheder, som kræves i henhold til britisk databeskyttelseslovgivning ved en begrænset overførsel, der baseres på standardbestemmelser om databeskyttelse i henhold til artikel 46, stk. 2, litra d, i den britiske GDPR.

Godkendt tillæg

Det standardskabelonstillæg, som ICO har udstedt og fremlagt for Parlamentet i overensstemmelse med § 119A i Data Protection Act 2018 den 2. februar 2022, med de ændringer, der foretages i henhold til afsnit 18

Godkendte EU-SCC'er

Standardkontraktbestemmelserne i bilaget til Kommissionens gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021.

ICO

Information Commissioner.

Begrænset overførsel

En overførsel, der er omfattet af kapitel V i UK GDPR.

Storbritannien

Det Forenede Kongerige Storbritannien og Nordirland.

Britisk databeskyttelseslovgivning

Al lovgivning, der til enhver tid er gældende i Storbritannien om databeskyttelse, behandling af personoplysninger, privatliv og/eller elektronisk kommunikation, herunder den britiske GDPR og Data Protection Act 2018.

UK GDPR

Som defineret i § 3 i Data Protection Act 2018.

(b.) Dette tillæg skal altid fortolkes på en måde, der er i overensstemmelse med britisk databeskyttelseslovgivning, således at det opfylder Parternes forpligtelse til at stille passende garantier.

(c.) Hvis bestemmelserne i EU-SCC-tillægget på nogen måde ændrer de godkendte SCC'er på en måde, der ikke er tilladt i henhold til de godkendte EU-SCC'er eller det godkendte tillæg, indarbejdes sådanne ændringer ikke i dette tillæg, og den tilsvarende bestemmelse i de godkendte EU-SCC'er træder i stedet.

(d.) Hvis der er uoverensstemmelse eller konflikt mellem UK Data Protection Laws og dette Tillæg, har UK Data Protection Laws forrang.

(e.) Hvis betydningen af dette Tillæg er uklar, eller hvis det kan fortolkes på flere måder, gælder den betydning, der er mest i overensstemmelse med UK Data Protection Laws.

(f.) Enhver henvisning til lovgivning (eller specifikke bestemmelser i lovgivningen) skal forstås som en henvisning til denne lovgivning (eller bestemmelse), som den til enhver tid måtte være ændret. Dette omfatter tilfælde, hvor lovgivningen (eller bestemmelsen) er blevet konsolideret, genvedtaget og/eller erstattet, efter at dette Tillæg er indgået.

Rækkefølge

(a.) Selvom klausul 5 i de godkendte EU-SCC'er fastslår, at de godkendte EU-SCC'er har forrang frem for alle relaterede aftaler mellem parterne, er parterne enige om, at hierarkiet i afsnit 10 har forrang for begrænsede overførsler.

(b.) Hvis der er uoverensstemmelse eller konflikt mellem det godkendte tillæg og EU-SCC-tillægget (alt efter hvad der er relevant), har det godkendte tillæg forrang frem for EU-SCC-tillægget, undtagen hvor (og i det omfang) de uoverensstemmende eller modstridende vilkår i EU-SCC-tillægget giver de registrerede en større beskyttelse; i så fald har disse vilkår forrang frem for det godkendte tillæg.

(c.) Hvis dette tillæg inkorporerer EU-SCC-tillæg, der er indgået for at beskytte overførsler, som er omfattet af den generelle forordning om databeskyttelse (EU) 2016/679, anerkender parterne, at intet i dette tillæg påvirker disse EU-SCC-tillæg.

Inkorporering af og ændringer til EU-SCC'erne

Dette tillæg inkorporerer EU-SCC-tillæg, som ændres i det omfang, det er nødvendigt, således at:

(a.) de tilsammen finder anvendelse på dataoverførsler fra dataeksportøren til dataimportøren, i det omfang UK Data Protection Laws finder anvendelse på dataeksportørens behandling i forbindelse med denne dataoverførsel, og de udgør passende garantier for disse dataoverførsler;

(b.) Afsnit 9 til 11 har forrang frem for klausul 5 (Hierarki) i EU-SCC-tillægget; og

(c.) dette tillæg (herunder de EU-SCC-tillæg, der er inkorporeret i det) er (1) underlagt lovgivningen i England og Wales, og (2) enhver tvist, der udspringer af det, afgøres af domstolene i England og Wales, medmindre parterne udtrykkeligt har valgt lovgivningen og/eller domstolene i Skotland eller Nordirland.

Medmindre parterne har aftalt alternative ændringer, der opfylder kravene i afsnit 12, gælder bestemmelserne i afsnit 15.

Der må ikke foretages ændringer i de godkendte EU-standardkontraktbestemmelser, bortset fra ændringer, der er nødvendige for at opfylde kravene i afsnit 12.

Følgende ændringer foretages i tillæggets EU-standardkontraktbestemmelser (med henblik på afsnit 12):

(a.) Henvisninger til »klausulerne« betyder dette tillæg, som inkorporerer EU-SCC-tillægget;

(b.) I klausul 2 slettes ordene:

»og for så vidt angår dataoverførsler fra dataansvarlige til databehandlere og/eller fra databehandlere til databehandlere, standardkontraktbestemmelser i henhold til artikel 28, stk. 7, i forordning (EU) 2016/679«;

(c.) Klausul 6 (Beskrivelse af overførslen/overførslerne) erstattes med:

»Oplysningerne om overførslen/overførslerne, og navnlig kategorierne af personoplysninger, der overføres, og formålet/formålene med overførslerne, er de oplysninger, der er angivet i bilag I.B, når UK Data Protection Laws finder anvendelse på dataeksportørens behandling i forbindelse med den pågældende overførsel.«;

(d.) Klausul 8.7(i) i modul 1 erstattes med:

»den sker til et land, der er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til afsnit 17A i UK GDPR, som dækker den videreoverførsel«;

(e.) Klausul 8.8(i) i modul 2 og 3 erstattes med:

»den videre overførsel sker til et land, der er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til afsnit 17A i UK GDPR, som dækker den videre overførsel;«

(f.) Henvisninger til »Regulation (EU) 2016/679«, »Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation)« og »that Regulation« erstattes alle af »UK Data Protection Laws«. Henvisninger til specifikke artikler i »Regulation (EU) 2016/679« erstattes med den tilsvarende artikel eller paragraf i UK Data Protection Laws;

(g.) Henvisninger til forordning (EU) 2018/1725 er fjernet;

(h.) Henvisninger til “Den Europæiske Union”, “Unionen”, “EU”, “EU-medlemsstat”, “medlemsstat” og “EU eller medlemsstat” erstattes alle med “UK”;

(i.) Henvisningen til »klausul 12(c)(i)« i klausul 10(b)(i) i modul ét erstattes med »klausul 11(c)(i)«;

(j.) Klausul 13(a) og del C i bilag I anvendes ikke;

(k.) »Den kompetente tilsynsmyndighed« og »tilsynsmyndigheden« erstattes begge med »Information Commissioner«;

(l.) I klausul 16(e) erstattes underafsnit (i) med:

»statssekretæren udsteder bestemmelser i henhold til Section 17A i Data Protection Act 2018, som omfatter overførsel af personoplysninger, der er omfattet af disse klausuler;«;

(m.) Klausul 17 erstattes med:

»Disse klausuler er underlagt lovgivningen i England og Wales.«;

(n.) Klausul 18 erstattes med:

»Enhver tvist, der udspringer af disse klausuler, skal afgøres af domstolene i England og Wales. En registreret kan også anlægge sag mod dataeksportøren og/eller dataimportøren ved domstolene i et hvilket som helst land i UK. Parterne accepterer at være underlagt disse domstoles jurisdiktion.«