Databehandleraftale

Denne side findes på flere sprog. Oversættelserne er kun vejledende, den danske version er juridisk gældende.

1. Indledning

Aftalen er indgået mellem kunden, som er dataansvarlig, og NC North ApS, CVR 46761065, som er databehandler. Den gælder, når kunden bruger NC North til at behandle personoplysninger om andre, fx medarbejdere, bygherrer og underentreprenører.

Aftalen opfylder databeskyttelsesforordningens artikel 28, stk. 3, og er inspireret af EU-Kommissionens og Datatilsynets standardkontraktbestemmelser. Bilag A til E er en del af aftalen. Siger vilkårene og denne aftale noget forskelligt om behandling af personoplysninger, gælder denne aftale.

2. Den dataansvarliges rettigheder og forpligtelser

Kunden bestemmer, til hvilke formål og med hvilke midler personoplysningerne behandles. Kunden sørger for, at der er et lovligt grundlag for behandlingen, og at de oplysninger, kunden lægger ind, må behandles.

Kundens øvrige forpligtelser står i bilag D.

3. Databehandleren handler efter instruks

Vi behandler kun personoplysninger efter kundens dokumenterede instruks. Instruksen står i bilag C og består desuden af kundens brug af NC North. Kræver EU-retten eller dansk ret, at vi behandler oplysningerne på en anden måde, siger vi det til kunden først, medmindre loven forbyder det.

Vi siger straks til, hvis en instruks efter vores vurdering strider mod databeskyttelsesforordningen eller anden databeskyttelseslovgivning.

4. Fortrolighed

Kun de personer hos os, der har brug for adgang for at levere tjenesten, har adgang til oplysningerne. De har tavshedspligt. Adgangen er personlig og bliver fjernet, når den ikke længere er nødvendig.

5. Behandlingssikkerhed

Vi træffer de tekniske og organisatoriske foranstaltninger, som databeskyttelsesforordningens artikel 32 kræver. De står i bilag C. Vi vurderer løbende risikoen og tilpasser foranstaltningerne, men ingen kan garantere fuldstændig sikkerhed.

Kunden får de oplysninger om vores foranstaltninger, som kunden har brug for til sin egen risikovurdering.

6. Brug af underdatabehandlere

Kunden giver generel godkendelse til, at vi bruger de underdatabehandlere, der står i bilag B.

Vil vi tage en ny underdatabehandler i brug eller udskifte en, varsler vi det pr. mail mindst 2 uger før. Kunden kan gøre indsigelse inden for de 2 uger. Kan vi ikke imødekomme indsigelsen, kan kunden opsige abonnementet uden beregning, inden ændringen træder i kraft.

Alle underdatabehandlere er i en skriftlig aftale, fx deres standardvilkår for databehandling, bundet af de samme databeskyttelsesforpligtelser, som gælder for os efter denne aftale. NC North hæfter over for kunden for, at underdatabehandlerne overholder dem.

Kunden kan få en kopi af de databeskyttelsesvilkår, vi har med en underdatabehandler.

7. Overførsel til tredjelande

Vi overfører kun personoplysninger til lande uden for EU og EØS efter kundens instruks i bilag C og efter databeskyttelsesforordningens kapitel V. Kræver lovgivningen en anden overførsel, siger vi det til kunden først, medmindre loven forbyder det.

8. Bistand til den dataansvarlige

Vi hjælper kunden med at svare på anmodninger fra de registrerede, fx om indsigt, berigtigelse og sletning. Meget af det kan kunden selv gøre direkte i NC North. Vi hjælper også med sikkerhed, underretning ved brud, konsekvensanalyser og forhøring af Datatilsynet, når kunden har brug for det.

9. Underretning om brud på persondatasikkerheden

Bliver vi opmærksomme på et brud på persondatasikkerheden, underretter vi kunden uden unødig forsinkelse og så vidt muligt senest 48 timer efter, at vi er blevet bekendt med bruddet. Så kan kunden nå at anmelde bruddet til Datatilsynet inden for 72 timer.

Underretningen beskriver, så vidt det er muligt, hvad der er sket, hvilke oplysninger og hvor mange personer der er berørt, de sandsynlige konsekvenser, og hvad vi har gjort eller vil gøre ved det.

10. Sletning og tilbagelevering

Når abonnementet ophører, sletter eller tilbageleverer vi alle personoplysninger efter vores vilkår, hvor kunden har 30 dage til at hente alle data. Det gælder ikke oplysninger, som lovgivningen kræver, at vi gemmer, fx NC Norths egne fakturaer til kunden efter bogføringsloven.

11. Revision og inspektion

Vi giver kunden de oplysninger, der er nødvendige for at vise, at vi overholder denne aftale og databeskyttelsesforordningens artikel 28, og vi medvirker til revision og inspektion efter bilag C. Myndigheder som Datatilsynet har altid adgang efter loven.

12. Andre vilkår

Parterne kan aftale andre vilkår, fx om ansvar, så længe de ikke strider mod denne aftale eller forringer de registreredes rettigheder. Ansvarsbegrænsningen står i bilag E.

13. Ikrafttræden og ophør

Aftalen gælder, fra kunden begynder at bruge NC North, og så længe abonnementet løber. Den ophører først, når vi har slettet eller udleveret alle personoplysninger efter punkt 10.

Ændrer lovgivningen sig, kan vi opdatere aftalen. Væsentlige ændringer varsler vi pr. mail mindst 30 dage før, de træder i kraft. Vi kan også ændre aftalen efter vilkårenes punkt 9.

14. Kontakt

NC North ApS · CVR 46761065 · +45 42 74 26 35 ·

Aftalen er underlagt dansk ret. Skriv til os gennem kontaktformularen, eller skriv til .

Vi skriver til kunden på den mail, firmaet har oplyst. Begge parter giver besked, hvis kontaktoplysningerne ændrer sig.

Bilag A. Oplysninger om behandlingen

• Formål: at levere NC North til kunden, dvs. dokumentation af byggesager, tilsyn, mangler, tekniske spørgsmål, KS og kontrolplaner, fotos, tegninger, BIM-modeller og faktura.
• Behandlingens art: opbevaring, visning, deling inden for kundens firma og sager, afsendelse af beskeder og mails, eksport og sletning.
• Typer af personoplysninger: kontaktoplysninger som navn, mail og telefonnummer, firma, rolle og fag samt det indhold, kunden lægger ind, fx noter, kommentarer, fotos, der kan vise personer, tegninger, adresser på byggesager, GPS-positioner, underskrifter på kontrolplaner, fakturaoplysninger, nødkontakter og certifikater samt filhistorik, dvs. hvem der har lagt en fil op, åbnet, hentet, ændret eller slettet den. Kunden bør ikke lægge følsomme oplysninger ind.
• De registrerede: kundens medarbejdere og brugere, bygherrer og deres rådgivere, underentreprenører og deres medarbejdere, gæster som kunden inviterer til aftaler i kalenderen, samt andre personer, der fremgår af dokumentationen, fx på fotos eller i noter.
• Adgang: kundens egne brugere med de rettigheder, kunden giver dem, de personer hos os, der har brug for det for at levere tjenesten, og underdatabehandlerne.
• Varighed: så længe abonnementet løber, og indtil oplysningerne er slettet efter punkt 10.

Bilag B. Underdatabehandlere

Vores underdatabehandlere, hvad de gør, og hvor de behandler oplysningerne, står på siden Underdatabehandlere. Ændringer varsler vi efter punkt 6.

Bilag C. Instruks og sikkerhed

C.1 Instruks

Vi behandler oplysningerne for at levere NC North, som kunden bruger det, så kundens brugere kan dokumentere, dele og arbejde med sagerne.

C.2 Sikkerhed

Vi vælger selv de tekniske og organisatoriske foranstaltninger, der passer til risikoen. Som minimum:

• Kryptering, når data sendes, og når de ligger på disken, også i sikkerhedskopierne.
• Hvert firmas data er adskilt i selve databasen (row-level security), og adgangen styres pr. firma, pr. sag og pr. person.
• Personligt login med adgangskode eller engangskode på mail. Vores egne administrationsværktøjer kræver totrinsbekræftelse.
• Adgangskoder gemmes kun som et fingeraftryk (hash) og sendes aldrig i klar tekst.
• Databasen og alle filer sikkerhedskopieres hver dag til et separat lager, og vi kan gendanne data fra kopierne.
• Hvad der sker på sager og filer, logges i sagens log og filhistorikken.
• Appen kan låses med kode og Face ID.
• Vi holder systemerne opdaterede og vurderer løbende vores foranstaltninger.

C.3 Opbevaring og sletning

Opbevaring og sletning følger vilkårene og punkt 10, medmindre kunden giver en anden skriftlig instruks.

C.4 Behandlingssted

Oplysningerne behandles hos NC North og hos underdatabehandlerne de steder, der står i bilag B. Nye steder følger punkt 6 og 7.

C.5 Overførsel til tredjelande

Behandler en underdatabehandler oplysninger uden for EU og EØS, sker det kun i lande, som EU-Kommissionen har godkendt, eller i USA efter EU-US Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser. Kunden instruerer os også i at gøre NC North tilgængeligt for kundens brugere, uanset hvor de logger ind fra.

C.6 Revision hos NC North

Kunden eller en revisor med tavshedspligt, som kunden udpeger, kan højst én gang om året revidere eller inspicere vores behandling, medmindre der har været et brud, der er konkret mistanke om, at aftalen ikke overholdes, eller Datatilsynet kræver det. Kunden varsler skriftligt mindst 30 dage før. Revisionen kan ske digitalt, fx ved at vi besvarer et spørgeskema. Kunden betaler sine egne omkostninger, og vi afsætter den tid, revisionen kræver.

C.7 Revision hos underdatabehandlere

Er vores tilsyn og underdatabehandlerens egen dokumentation ikke nok, kan kunden deltage i en fysisk inspektion hos underdatabehandleren, i det omfang underdatabehandlerens vilkår tillader det. Kunden betaler vores og underdatabehandlerens omkostninger.

Bilag D. Den dataansvarliges forpligtelser

• Kunden må ikke lægge følsomme oplysninger, oplysninger om strafbare forhold, oplysninger om børn eller andre oplysninger, der kræver særlig beskyttelse, ind i NC North.
• Kunden sørger for, at brugerne kun lægger personoplysninger i felter, der er beregnet til det, og begrænser personoplysninger i fritekst, fotos og filer til det, sagen kræver.
• Kunden sørger for, at de registrerede er oplyst om behandlingen.

Bilag E. Ansvarsbegrænsning

NC North er ikke ansvarlig for brud på databeskyttelsesforordningen eller denne aftale, der skyldes kundens instruks eller kundens egne handlinger eller undladelser, medmindre vi burde have sagt til efter punkt 3.

Overtræder NC North sine forpligtelser efter aftalen, er NC Norths samlede ansvar for alle krav begrænset til det beløb, kunden har betalt for NC North i de seneste 3 måneder før kravet, som i vilkårenes punkt 7. Bruger kunden NC North uden at betale, er NC North ikke ansvarlig. Er andet aftalt skriftligt, fx i en Project License Agreement (Supernova), gælder den aftale.

Hver part er ansvarlig for sine egne handlinger og undladelser, herunder bøder, når de skyldes, at parten ikke har overholdt aftalen eller databeskyttelsesforordningen. Begrænsningen gælder ikke ansvar, der ikke kan fraskrives efter ufravigelig lovgivning, fx ved forsæt eller grov uagtsomhed.