Databehandleraftale

Denne DBA omfatter HansaChats behandling af kundens personoplysninger for at kunne levere tjenesten. Genstand, art, formål, datakategorier, registrerede og varighed er angivet i bilag 1.

Kunden fastlægger formål og de væsentligste midler for behandlingen af arbejdsområdets indhold. HansaChat behandler disse oplysninger på kundens vegne. Denne DBA omfatter ikke personoplysninger, som HansaChat behandler som selvstændig dataansvarlig til fakturering, kontoadministration, tjenestens sikkerhed, misbrugsforebyggelse, supportadministration eller overholdelse af lovgivning; den behandling er beskrevet i privatlivspolitikken.

HansaChat må kun behandle kundens personoplysninger efter dokumenterede instrukser fra kunden, herunder serviceaftalen, denne DBA, kundens brug af og konfiguration af tjenesten og senere instrukser sendt i tekstform. HansaChat må behandle data, hvor unionsretten eller medlemsstaternes lovgivning kræver det, og skal underrette kunden inden da, medmindre loven forbuder denne underretning af vigtige hensyn til den offentlige interesse.

HansaChat skal straks underrette kunden, hvis en instruks efter HansaChats vurdering krænker persondataforordningen eller anden tilgældende unions- eller medlemsstatslovgivning om databeskyttelse, og kan suspendere den berørte instruks, indtil den er bekræftet eller ændret.

HansaChat sikrer, at enhver person, der er autoriseret til at behandle kundens personoplysninger, er bundet af fortrolighed eller en passende lovbestemt pligt, og kun får adgang, hvor det er nødvendigt for drift, vedligeholdelse, fejlfinding, sikkerhed, misbrugsforebyggelse, retlig overholdelse eller kundeanmodet support.

Hvor § 3 i den tyske lov om databeskyttelse ved telekommunikation og digitale tjenester (TDDDG) finder anvendelse, beskytter HansaChat også indholdet og omstændighederne omkring kommunikationen som telehemmelighed. HansaChat må ikke opnå kendskab ud over, hvad der er nødvendigt for at levere kommunikationstjenesten eller beskytte dens tekniske systemer, og må kun anvende et sådant kendskab til et andet formål, hvor en lov udtrykkeligt tillader det i relation til telekommunikation.

Fortrolighedsforpligtelsen fortsætter, efter at personens arbejde er ophørt, og efter serviceaftalens udløb.

Under hensyn til den tekniske udvikling, gennemføringsomkostningerne samt behandlingens art, omfang, sammenhæng og formål skal HansaChat vedligeholde passende tekniske og organisatoriske foranstaltninger i henhold til persondataforordningens art. 32. De aktuelle foranstaltninger er beskrevet i bilag 2 og på sikkerhedssiden.

HansaChat kan opdatere disse foranstaltninger, efterhånden som teknologi og risici ændrer sig, forudsat at det samlede beskyttelsesniveau ikke væsentligt reduceres under serviceaftalens løbetid.

Kunden giver HansaChat en generel skriftlig tilladelse til at anvende underdatabehandlerne i bilag 3. HansaChat skal pålægge hver underdatabehandler i det væsentlige samme databeskyttelsesforpligtelser, forblive ansvarlig for dennes opfyldelse af denne DBA og holde listen opdateret.

Inden HansaChat tilføjer eller erstatter en underdatabehandler, der behandler kundens personoplysninger, skal HansaChat give mindst 30 dages varsel på forhånd pr. e-mail til kundens kontopost eller via en tydelig servicebesked. En kortere frist kan anvendes, hvor det er nødvendigt for at imødegå en akut sikkerheds-, juridisk eller tilgængelighedsrisiko; HansaChat giver da besked så hurtigt som rimeligt muligt.

Kunden kan gøre indvendinger i varselperioden af rimelige databeskyttelseshensyn. Parterne skal i god tro arbejde på en kommercielt rimelig løsning. Findes der ingen, kan kunden opsige den berørte tjeneste, inden den nye underdatabehandler påbegynder behandlingen, uden straf for den ubrugte forudbetalte periode af den berørte tjeneste.

Den primære opbevaring af arbejdsområdedata ligger i Tyskland. Krypterede Restic-sikkerhedskopier opbevares i Frankfurt og Stockholm. Netværkslevering og valgfrie understøttende funktioner kan involvere andre placeringer, som angivet i bilag 3.

HansaChat må ikke overføre kundens personoplysninger til et tredjeland eller en international organisation, medmindre kunden har instrueret det, det er nødvendigt for at levere en aktiveret tjenestefunktion, eller loven kræver det, og kun hvor persondataforordningens kapitel V er opfyldt. Tilgældende sikringsforanstaltninger kan omfatte en adegkværdhedsafgørelse, Europa-Kommissionens standardkontraktbestemmelser og supplerende tekniske og organisatoriske foranstaltninger.

Modtager HansaChat en anmodning fra en registreret vedrørende kundens personoplysninger, skal den straks videresende anmodningen til kunden og ikke besvare den, medmindre kunden har givet tilladelse, eller loven kræver det.

Under hensyn til behandlingens art og de tilgængelige oplysninger skal HansaChat i rimeligt omfang bistå kunden med registreredes rettigheder og med kundens forpligtelser i henhold til persondataforordningens art. 32–36, herunder sikkerhed, vurdering af brud på personalsikkerheden, konsekvensvurderinger og forudgående konsultation.

HansaChat skal underrette kuden uden ugrundet forsinkelse, efter at den er blevet klar over et brud på persondatasikkerheden, der berører kundens personoplysninger. Underretningen skal indeholde de oplysninger, der er tilgængelige for HansaChat, og som kunden med rimelighed har brug for til sine forpligtelser i henhold til persondataforordningens art. 33 og 34, og yderligere oplysninger kan gives i etaper, efterhånden som de bliver tilgængelige.

HansaChat skal træffe rimelige foranstaltninger til at inddæmme, undersøge, afhjælpe og begrænse bruddet og skal samarbejde med kunden. En underretning er ikke en anerkendelse af skyld eller ansvar.

Efter kundens valg skal HansaChat returnere eller slette kundens personoplysninger, når behandlingstjenesterne ophører, og slette eksisterende kopier, medmindre unionsretten eller medlemsstaternes lovgivning kræver opbevaring. Kunden skal anmode om returnering, inden arbejdsområdets slettelsesdato; giver kunden ingen instruks, vælges sletning.

Opsagte betalte arbejdsområder og prøvearbejdsområder forbliver anvendelige gennem den aktuelle betalte eller prøveperiode, bliver derefter skrivebeskyttede i 90 dage og slettes. Sletning anmodet af ejeren gør arbejdsområdet skrivebeskyttet straks og sletter det efter en 30 dages frist, medmindre anmodningen annulleres. Prøvearbejdsområder (demo) slettes efter 24 timer. Gratis arbejdsområder forbliver skrivbare og slettes efter 90 dage uden en gemt besked. Arbejdsområdatabaser og uploadede objekter fjernes af den tilgældende sletningsproces; slettede arbejdsområdedata fjernes gradvist fra krypterede sikkerhedskopier efter tidsplanen i bilag 2.

HansaChat skal stille de oplysninger til rådighed, der med rimelighed er nødvendige for at dokumentere overholdelse af persondataforordningens art. 28 og denne DBA. Kunden kan revidere den omfattede behandling selv eller gennem en uafhængig, kvalificeret revisor, der er bundet af fortrolighed.

Revision bør normalt begynde med tilgængelig dokumentation og fjerngennemgang. Fysisk inspektion er mulig, hvor dokumentationen er utilstrækkelig, eller der er rimelige holdepunkter for manglende overholdelse, med rimeligt varsel på forhånd og uden at skade andre kunder, sikkerheden eller forretningshemmeligheder. Kunden bærer de rimelige revisionsomkostninger, medmindre en revision påviser en væsentlig overtrædelse fra HansaChats side. Tilsynsmyndigheders beføjelser begrænses ikke.

Denne DBA træder i kraft, når den bliver bindende i henhold til afsnittet om aftalestatus, og forbliver i kraft, indtil HansaChat har slettet alle kundens personoplysninger. Kan HansaChat ikke overholde denne DBA, skal den straks informere kunden. Kunden kan suspendere behandlingen eller opsige den berørte tjeneste, hvor en væsentlig overtrædelse ikke afhjælpes inden for en rimelig frist.

Ansvar, lovvalg og værneting følger serviceaftalen, medmindre tvingende databeskyttelseslovgivning kræver andet. Intet i denne DBA begrænser registreredes rettigheder eller en kompetent tilsynsmyndigheds beføjelser.