Databehandleraftale

Denne databehandleraftale (”DPA”) udgør et bilag til den mellem Parterne indgåede aftale om regnskabs- og rådgivningsydelser, i aftalebrevet benævnt ”Aftalen” (herefter ”Hovedaftalen”). DPA'en har til formål at sikre, at Databehandlerens behandling af personoplysninger på vegne af den Dataansvarlige sker i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (databeskyttelsesforordningen).

DPA'en omfatter alene den behandling, Databehandleren foretager på vegne af den Dataansvarlige. Behandler Databehandleren personoplysninger til opfyldelse af egne retlige forpligtelser, herunder efter hvidvaskloven og bogføringsloven, sker dette som selvstændigt dataansvarlig og er ikke omfattet af denne DPA.

DPA'en er et generelt bilag, der gælder for enhver kunde, som Databehandleren leverer ydelser til. Parternes identitet, herunder den Dataansvarliges navn og CVR-nummer, fremgår af Hovedaftalen. DPA'en anses for indgået, når den Dataansvarlige underskriver Hovedaftalen, og kræver ikke særskilt underskrift.

DPA'en er offentliggjort på nivou.dk/databehandleraftale. Den version, der er offentliggjort på tidspunktet for den Dataansvarliges underskrift på Hovedaftalen, udgør aftalegrundlaget mellem Parterne. Ændringer af DPA'en varsles i overensstemmelse med Databehandlerens handelsbetingelser og træder i kraft ved udløbet af varslet, medmindre den Dataansvarlige forinden opsiger Hovedaftalen.

Databehandleren bistår, under hensyn til behandlingens karakter, den Dataansvarlige med at besvare anmodninger fra registrerede om udøvelse af deres rettigheder, herunder indsigt, sletning og berigtigelse.

Databehandleren bistår den Dataansvarlige med at overholde forpligtelserne i databeskyttelsesforordningens artikel 32-36, herunder anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden.

Arbejde forbundet med bistand efter foranstående afsnit honoreres efter medgået tid til Databehandlerens til enhver tid gældende timepris for rådgivning.

Ved Hovedaftalens ophør sletter eller returnerer Databehandleren, efter den Dataansvarliges valg, alle personoplysninger og sletter eksisterende kopier, medmindre EU-retten eller national ret, herunder bogføringsloven, foreskriver fortsat opbevaring.

Den Dataansvarlige giver ved indgåelsen af denne DPA en generel godkendelse til, at Databehandleren gør brug af underdatabehandlere.

Databehandleren anvender pr. denne DPA's ikrafttrædelsesdato de underdatabehandlere, der er anført i Bilag 1.

Databehandleren underretter den Dataansvarlige om planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere, så den Dataansvarlige har mulighed for at gøre indsigelse.

Indsigelse skal fremsættes skriftligt og sagligt begrundet senest 30 dage efter underretningen. Fremsættes indsigelse ikke rettidigt, anses ændringen for godkendt. Fastholder den Dataansvarlige en saglig indsigelse, som Databehandleren ikke kan imødekomme, kan hver af Parterne opsige Hovedaftalen med det heri aftalte varsel.

Databehandleren pålægger enhver underdatabehandler de samme databeskyttelsesforpligtelser, som er fastsat i denne DPA.

Overføres personoplysninger til lande uden for EU/EØS, sikrer Databehandleren, at der foreligger gyldigt overførselsgrundlag, herunder EU-Kommissionens standardkontraktbestemmelser, hvor relevant.

Databehandleren stiller de oplysninger til rådighed for den Dataansvarlige, der er nødvendige for at dokumentere overholdelse af databeskyttelsesforordningens artikel 28.

Databehandleren giver mulighed for og bidrager til revisioner og inspektioner foretaget af den Dataansvarlige eller en revisor bemyndiget af denne. Omkostninger forbundet hermed afholdes af den Dataansvarlige.

Fysisk inspektion kan gennemføres højst én gang årligt og skal varsles skriftligt med mindst 30 dages varsel, medmindre andet følger af et krav fra en tilsynsmyndighed. Databehandleren kan opfylde sine forpligtelser efter dette afsnit ved at fremlægge en uafhængig revisorerklæring eller tilsvarende dokumentation for de iværksatte tekniske og organisatoriske foranstaltninger.

Denne DPA træder i kraft samtidig med Hovedaftalen og gælder, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige.

Parternes ansvar over for registrerede og tilsynsmyndigheder følger databeskyttelsesforordningens artikel 82.

I forholdet mellem Parterne gælder de ansvarsbegrænsninger, der er fastsat i Handelsbetingelserne, tillige for denne DPA, i det omfang begrænsningerne er forenelige med databeskyttelsesforordningen og anden præceptiv lovgivning.

Den Dataansvarlige indestår for, at de personoplysninger, der overlades til Databehandleren, er indsamlet lovligt, og at den Dataansvarlige har det fornødne behandlingsgrundlag, herunder for behandling af CPR-numre i forbindelse med lønadministration.