Databehandleren behandler udelukkende personoplysninger med henblik på at levere de aftalte tjenester til den dataansvarlige. For så vidt angår disse personoplysninger er den dataansvarlige den dataansvarlige, og Nashua er databehandleren. Hver part overholder sine egne forpligtelser i henhold til gældende databeskyttelseslovgivning. Nærmere oplysninger om behandlingen, kategorierne af registrerede og typerne af personoplysninger er anført i bilag A.

Databehandleren behandler kun personoplysninger efter dokumenterede instrukser fra den dataansvarlige, herunder aftalen og denne DPA, og i det omfang det er nødvendigt for at levere tjenesterne, medmindre behandling kræves i henhold til EU-retten eller medlemsstaternes nationale ret, i hvilket tilfælde databehandleren først underretter den dataansvarlige, medmindre denne ret forbyder det. Databehandleren underretter den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med databeskyttelseslovgivningen.

Databehandleren sikrer, at personer, der er bemyndiget til at behandle personoplysningerne, er underlagt en passende fortrolighedsforpligtelse og kun behandler oplysningerne efter instruks. Adgangen er begrænset til medarbejdere, der har behov herfor for at levere tjenesterne.

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen, som krævet i henhold til artikel 32 i GDPR. Disse foranstaltninger er beskrevet i bilag B og afspejler et informationssikkerhedsprogram, der er tilpasset ISO/IEC 27001 og SOC 2 Trust Services Criteria, og tager hensyn til databehandlerens forpligtelser i henhold til DORA og NIS2, som gennemført i nederlandsk ret. Databehandleren kan opdatere foranstaltningerne, forudsat at beskyttelsesniveauet ikke forringes.

Den dataansvarlige giver databehandleren generel bemyndigelse til at anvende underdatabehandlere til at levere tjenesterne, herunder de hosting- og infrastrukturleverandører, der er anført i bilag C. Databehandleren pålægger ved aftale hver underdatabehandler databeskyttelsesforpligtelser svarende til dem, der er fastsat i denne DPA, og forbliver fuldt ud ansvarlig over for den dataansvarlige for hver underdatabehandlers opfyldelse. Databehandleren underretter den dataansvarlige om planlagte ændringer af underdatabehandlere og giver den dataansvarlige en rimelig mulighed for at gøre indsigelse på rimelige databeskyttelsesmæssige grunde.

Databehandleren overfører ikke personoplysninger uden for Det Europæiske Økonomiske Samarbejdsområde uden en afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller passende garantier i henhold til kapitel V i GDPR, navnlig Europa-Kommissionens standardkontraktbestemmelser sammen med eventuelle nødvendige supplerende foranstaltninger. Som standard hostes personoplysningerne inden for Nederlandene og EØS.

Under hensyntagen til behandlingens karakter bistår databehandleren den dataansvarlige med passende tekniske og organisatoriske foranstaltninger, i det omfang det er muligt, med at opfylde den dataansvarliges forpligtelse til at besvare anmodninger fra registrerede, der udøver deres rettigheder, og bistår den dataansvarlige med at sikre overholdelse af sine forpligtelser i henhold til artikel 32 til 36 i GDPR, herunder sikkerhed, anmeldelse af brud, konsekvensanalyser vedrørende databeskyttelse og forudgående høring, under hensyntagen til de oplysninger, der er tilgængelige for databehandleren.

Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører den dataansvarliges personoplysninger, og leverer de oplysninger, som den dataansvarlige med rimelighed har behov for til at opfylde sine egne anmeldelsesforpligtelser over for tilsynsmyndigheder og registrerede. Databehandleren dokumenterer brud og de trufne afhjælpende foranstaltninger.

Ved ophør af tjenesterne, og efter den dataansvarliges valg, sletter eller tilbageleverer databehandleren alle personoplysninger og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret kræver opbevaring. På anmodning bekræfter databehandleren skriftligt, at dette er sket.

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af artikel 28 i GDPR, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en revisor, som denne har bemyndiget. Databehandleren kan imødekomme anmodninger om revision ved at fremlægge aktuelle certificeringer og attestationer, såsom et ISO/IEC 27001-certifikat eller en SOC 2-rapport, og revisioner foretages med rimeligt varsel, i arbejdstiden, under hensyntagen til fortrolighed og uden urimelige forstyrrelser af databehandlerens drift.

Hver parts ansvar i henhold til denne DPA er underlagt de ansvarsbegrænsninger, der er aftalt i hovedaftalen, i det omfang det er tilladt efter ufravigelig lovgivning. Intet i denne DPA begrænser en registrerets rettigheder i henhold til GDPR eller nogen af parternes ansvar over for en tilsynsmyndighed.

Denne DPA træder i kraft sammen med aftalen og forbliver i kraft, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige. Den er underlagt nederlandsk ret, og tvister er underlagt den værneting, der er aftalt i hovedaftalen. I tilfælde af konflikt mellem denne DPA og hovedaftalen vedrørende databeskyttelsesmæssige forhold har denne DPA forrang.

Genstand og varighed: levering af de aftalte tjenester i aftalens løbetid. Karakter og formål: hosting, lagring, behandling, analyse, support og drift af Nashua 360 Enterprise Platform og relaterede tjenester, som instrueret af den dataansvarlige. Kategorier af registrerede: som fastlagt af den dataansvarlige, hvilket kan omfatte den dataansvarliges medarbejdere, kunder, leverandører og kontakter. Typer af personoplysninger: som fastlagt af den dataansvarlige gennem dennes brug af tjenesterne, hvilket kan omfatte identitets-, kontakt-, kontrakt-, finansielle, ansættelses- og transaktionsoplysninger. Den dataansvarlige instruerer ikke behandling af særlige kategorier af personoplysninger, medmindre det udtrykkeligt er aftalt og dækket af passende yderligere foranstaltninger.

Databehandleren opretholder foranstaltninger, der passer til risikoen, herunder: et informationssikkerhedsledelsessystem, der er tilpasset ISO/IEC 27001 og SOC 2 Trust Services Criteria; rollebaseret adgangskontrol og mindst mulige privilegier med multifaktorautentificering; kryptering af personoplysninger under overførsel og i hvile; netværkssegmentering og perimeterkontroller; centraliseret logning, overvågning og alarmering; sikker softwareudvikling, code review og change management; sårbarhedsstyring og penetrationstest; backup og testet disaster recovery, der er tilpasset de aftalte genopretningsmål; risikostyring af leverandører og underdatabehandlere; forretningskontinuitet og operationel modstandsdygtighed i overensstemmelse med DORA; screening af personale, fortrolighedsforpligtelser og sikkerhedsbevidsthedstræning; samt en dokumenteret proces for hændelseshåndtering og anmeldelse af brud. De aktuelle, detaljerede foranstaltninger er tilgængelige for den dataansvarlige på anmodning.

Databehandleren anvender et begrænset udvalg af underdatabehandlere til at levere tjenesterne, primært til hosting og infrastruktur inden for Nederlandene og EØS samt til kommunikations- og supportværktøjer. En aktuel liste over underdatabehandlere, med angivelse af deres rolle og placering, er tilgængelig for den dataansvarlige på anmodning, og databehandleren underretter den dataansvarlige om planlagte tilføjelser eller udskiftninger i overensstemmelse med punkt 5.