Vurdering af konsekvenser ved dataoverførsel til USA

I lyset af EU-Domstolens afgørelse i sagen »Schrems II« og anbefalingerne fra Det Europæiske Databeskyttelsesråd gennemfører Ideanote konsekvensanalyser af dataoverførsler, der indgår i Ideanote-tjenesten.

Denne konsekvensanalyse vedrørende dataoverførsler (»DTIA«) identificerer og beskriver risikoen samt de sikkerhedsforanstaltninger, Ideanote har indført i forbindelse med overførsler af kunders personoplysninger fra Det Europæiske Økonomiske Samarbejdsområde, Det Forenede Kongerige eller Schweiz (»Europa«) til USA samt Ideanotes evne til at overholde sine forpligtelser som »dataeksportør«.

I sin afgørelse i Schrems II-sagen præciserede EU-Domstolen, at anvendelsen af standardkontraktbestemmelser (»SCC’er«) kræver, at dataansvarlige foretager en konkret vurdering af det databeskyttelsesniveau, som SCC’er kan sikre, under hensyntagen til arten af overførslerne af personoplysninger og destinationslandet.

Se Ideanotes databeskyttelsestillæg (»DPA«) for en beskrivelse af arten af databehandlingen. Ideanote har indført supplerende foranstaltninger til beskyttelse af personoplysninger ved overførsler til tredjeparter i USA. Se voresliste over underdatabehandlere for at se, hvor vi overfører data til vores leverandører uden for serverens placering.

Vurdering af bestemmelseslandet

Følgendeamerikanske love, der er relevante for dataoverførsler mellem EU og USA,blev i Schrems II af EU-Domstolen identificeret som potentielle hindringer for at sikre en i det væsentlige tilsvarende beskyttelse af personoplysninger i USA:

FISA 702
Executive Order 12333
Cloud Act

Da USA ikke sikrer personoplysninger et beskyttelsesniveau, der i det væsentlige svarer til det, som GDPR fastsætter, er det nødvendigt med yderligere tekniske, organisatoriske eller kontraktmæssige foranstaltninger.

Formål med overførslen og eventuel viderebehandling:

Ideanote benytter flere underdatabehandlere, som opbevarer data i USA, og hvis medarbejdere kan få adgang til personoplysninger i USA. Se voresliste over underdatabehandlere for specifikke oplysninger og dataflow.

Hyppighed

Ideanote overfører data løbende, efterhånden som tjenesten anvendes.

Kategorier af personoplysninger

Slutbrugerens e-mailadresser
Slutbrugernes navne
IP-adresser for slutbrugere
Kundens kreditkortoplysninger
IP-adresser for kundekontakter
Kundens adresse
Kundens kreditkortoplysninger
Kundens kontaktnavn
Kundens kontakt-e-mail

Se vores liste over underdatabehandlere for specifikke oplysninger om den databehandler, der behandler kategorierne af personoplysninger, som sendes til eller behandles i USA.

Følsomme data

Vi overfører ikke bevidst følsomme data til USA. Når kunder betaler med kreditkort, gennemfører de transaktionen via vores betalingsbehandler (Stripe Inc.), som håndterer følsomme kreditkortoplysninger i USA, men vi er ikke involveret i denne overførsel.

Anmodninger fra retshåndhævende myndigheder

Hver af Ideanotes underdatabehandlere har en politik for anmodninger fra retshåndhævende myndigheder og vil, hvor loven tillader det, underrette Ideanote, inden oplysninger videregives som svar på en anmodning.

Længde af behandlingskæden

Data overføres eksternt til vores underdatabehandlere.

Relevant overførselsmekanisme

Når Ideanote overfører kunders personoplysninger med oprindelse i Europa til underdatabehandlere, der er tredjeparter i USA, har Ideanote indgået databehandleraftaler (DPA’er) med SCC’er med disse parter.

Supplerende leverandørforanstaltninger

Hver af Ideanotes underdatabehandlere har accepteret kontraktmæssige foranstaltninger, der er mindst lige så restriktive som dem, Ideanote har accepteret over for kunderne. Se vores liste over underdatabehandlere for specifikke oplysninger om certificeringer og overholdelse samt den enkelte underdatabehandlers tekniske og organisatoriske sikkerhedsforanstaltninger.

Yderligere foranstaltninger

Anvendte begrænsninger eller sikkerhedsforanstaltninger, der fuldt ud tager hensyn til dataenes karakter og de involverede risici:

Hver af Ideanotes underdatabehandlere, der behandler personoplysninger i USA, har en politik for anmodninger fra retshåndhævende myndigheder og vil, hvor loven tillader det, underrette Ideanote, inden oplysninger videregives som svar på en anmodning.
Hver enkelt underdatabehandler hos Ideanote, der behandler personoplysninger i USA, er certificeret til at overholde standarder, der svarer til eller er højere end Ideanotes, for eksempel SOC2 Type 2.
Hver af Ideanotes underdatabehandlere, der behandler personoplysninger i USA, har en begrænset opbevaringsperiode for disse data.
Kategorierne af personoplysninger er adskilt, og ikke alle er tilgængelige for den samme underdatabehandler. Nogle behandler slutbrugeres e-mailadresser, men ikke IP-adresser. En anden behandler IP-adresser. En tredje behandler kunders kreditkortoplysninger.
Hvor det er muligt, krypteres og anonymiseres data, og opbevaringsperioderne begrænses mest muligt.
Ideanote tilbyder databeskyttelseskurser til alle Ideanotes medarbejdere.

Se vores liste over underdatabehandlere for specifikke oplysninger om leverandørforanstaltninger og yderligere foranstaltninger vedrørende data, der sendes til USA.

Selvom love som ”FISA 702” kan bruges til at indhente oplysninger om personer, der ikke er amerikanske statsborgere, er mængden af personoplysninger, der sendes til USA, minimal, og oplysningerne knyttes ikke til yderligere datapunkter. Et navn kan muligvis forbindes med en e-mailadresse, men ikke med en IP-adresse eller med oplysninger om adfærd eller indhold.

Ideanote (som »dataeksportør«) vurderer, at risikoen for enkeltpersoners rettigheder ved overførsel og behandling af det begrænsede sæt kategorier af europæiske personoplysninger i/til USA er lav.

På baggrund af arten af de dataoverførsler, der er beskrevet i dette dokument, og de yderligere foranstaltninger, som Ideanote og tredjepartsleverandørerne har truffet, vurderer Ideanote ikke, at der på nuværende tidspunkt er behov for yderligere supplerende foranstaltninger.

Revurdering

Ideanote vil med jævne mellemrum, mindst én gang om året, gennemgå og om nødvendigt revurdere de risici, der er forbundet med virksomhedens underdatabehandlere, samt de foranstaltninger, som virksomheden selv og tredjeparter har gennemført.