GDPR og databehandling for eID Lås

Databeskyttelsesbilag

Bilag til handelsbetingelserne for VerifyID IDLock

§ 1 Formål og anvendelsesområde

1.1 Dette bilag fastlægger fordelingen af ansvaret efter databeskyttelsesforordningen mellem VerifyID ApS, CVR-nr. 46325176, Kochsgade 31D, 5000 Odense C (herefter »VerifyID«) og den erhvervsdrivende, der anvender VerifyID's låseløsning (herefter »Kunden«).

1.2 Bilaget udgør en integreret del af handelsbetingelserne for VerifyID IDLock og accepteres af Kunden ved indgåelse af aftalen.

1.3 Bilaget omfatter behandlingen af personoplysninger om de personer, der identificerer sig og opnår adgang gennem løsningen, herefter benævnt slutbrugere.

§ 2 Rollefordeling

2.1 VerifyID er dataansvarlig for identifikationen af slutbrugeren, for oplukningen og for den registrering, der sker i den forbindelse, herunder behandlingen af personnummer, navn, fødselsdato, referencenummer, tidspunkt og lokation.

2.2 Kunden er selvstændig dataansvarlig for sin egen anvendelse af de oplysninger, Kunden modtager fra VerifyID, herunder navn og fødselsdato på de personer, der har låst op.

2.3 Der er ikke tale om fælles dataansvar for den behandling, der er omfattet af § 2.1 og § 2.2. Kunden har ingen instruksbeføjelse over for VerifyID vedrørende denne behandling, og Kunden fastlægger hverken formål eller midler for den.

2.4 Bortset fra det modul, der er beskrevet i § 4, behandler VerifyID ikke personoplysninger på Kundens vegne.

§ 3 Kundens anvendelse af modtagne oplysninger

3.1 Kunden må alene anvende de oplysninger, Kunden modtager gennem portalen, til at sikre lokalet, til at dokumentere adgang og til at forfølge eller forsvare et retskrav, herunder ved mistanke om tyveri, hærværk eller anden strafbar handling.

3.2 Kunden må ikke anvende oplysningerne til markedsføring, profilering, videresalg eller til at kontakte slutbrugeren om andre forhold.

3.3 Kunden skal begrænse adgangen til portalen til de medarbejdere, der har et arbejdsbetinget behov, og skal sikre, at disse er underlagt tavshedspligt.

3.4 Kunden må ikke videregive oplysningerne til tredjemand, medmindre videregivelsen er nødvendig for at forfølge et retskrav eller følger af lovgivningen.

3.5 Er en slutbruger omfattet af navne- og adressebeskyttelse, vises navnet som beskyttet. Kunden må ikke forsøge at identificere den pågældende ad anden vej.

§ 4 Formularmodulet før oplukning

4.1 Dette afsnit gælder alene for Kunder, der har tilvalgt et modul, hvor slutbrugeren inden oplukningen afgiver navn, e-mailadresse og telefonnummer.

4.2 Kunden er dataansvarlig for denne indsamling og fastlægger formålet med den. VerifyID er databehandler og behandler alene oplysningerne efter Kundens dokumenterede instruks, som er at indsamle oplysningerne og stille dem til rådighed for eller overføre dem til Kundens eget system.

4.3 VerifyID sikrer, at de personer, der har adgang til oplysningerne, er underlagt tavshedspligt, og gennemfører passende tekniske og organisatoriske foranstaltninger efter forordningens artikel 32.

4.4 VerifyID kan anvende underdatabehandlere til denne behandling. Kunden giver hermed en generel godkendelse hertil. VerifyID underretter Kunden om planlagte ændringer med mindst 30 dages varsel, og Kunden kan i den periode gøre indsigelse. Gør Kunden indsigelse, kan hver part opsige modulet.

4.5 VerifyID bistår Kunden med at besvare anmodninger fra slutbrugere om udøvelse af rettigheder vedrørende disse oplysninger og med Kundens forpligtelser efter forordningens artikel 32 til 36, mod betaling af den tid, der medgår, hvis bistanden er af væsentligt omfang.

4.6 Ved ophør af modulet sletter VerifyID oplysningerne eller tilbageleverer dem efter Kundens valg, medmindre lovgivningen kræver fortsat opbevaring.

4.7 VerifyID stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelsen af dette afsnit, og giver mulighed for revision efter aftale og mod betaling af de omkostninger, revisionen medfører.

4.8 Oplysningerne fra formularen kobles ikke sammen med oplysningerne om oplukningen i det, Kunden modtager.

§ 5 Samtykke og markedsføring

5.1 VerifyID indhenter slutbrugerens samtykke til behandlingen af personnummer i forbindelse med oplukningen. Kunden må ikke ændre, supplere eller erstatte den samtykketekst, VerifyID anvender.

5.2 Ønsker Kunden at anvende slutbrugerens oplysninger til markedsføring, skal der indhentes et særskilt samtykke hertil. Et sådant samtykke skal være frivilligt, informeret, utvetydigt og specificeret, skal navngive den virksomhed der må rette henvendelse, skal angive de kanaler der må anvendes, og må ikke være en betingelse for at opnå adgang til lokalet.

5.3 Kunden er ansvarlig for gyldigheden af ethvert markedsføringssamtykke, som Kunden anvender, og for at overholde markedsføringsloven og forbrugeraftaleloven ved sin markedsføring. Kunden holder VerifyID skadesløs for krav, der udspringer af Kundens markedsføring.

§ 6 Kundens øvrige forpligtelser

6.1 Kunden skal i sin egen privatlivspolitik oplyse, at identifikationen foretages af VerifyID, at VerifyID er dataansvarlig for denne behandling, og henvise til VerifyID's privatlivspolitik for slutbrugere.

6.2 Modtager Kunden en henvendelse fra en slutbruger om rettigheder vedrørende oplukningen, skal Kunden videresende den til VerifyID uden ugrundet ophold og senest 5 arbejdsdage efter modtagelsen.

§ 7 Udlevering til politiet

7.1 Ved mistanke om tyveri, hærværk eller anden strafbar handling kan Kunden oprette en sag i portalen og modtager et sagsnummer, som Kunden oplyser til politiet.

7.2 VerifyID udleverer herefter de nødvendige oplysninger, herunder personnummer i klar form, direkte til politiet gennem sikker digital kommunikation. Oplysningerne udleveres ikke til Kunden.

7.3 Kunden er ansvarlig for indholdet af sin egen anmeldelse og for, at der er et sagligt grundlag for den.

§ 8 Sikkerhed og brud

8.1 Hver part gennemfører passende tekniske og organisatoriske foranstaltninger efter forordningens artikel 32 for den del af behandlingen, parten er ansvarlig for. VerifyID opbevarer personnumre krypteret og tildeler adgang efter et behovsprincip.

8.2 Konstaterer en part et brud på persondatasikkerheden, der berører den anden part, underrettes den anden part senest 48 timer efter, at bruddet er konstateret.

8.3 Hver part foretager selv anmeldelse til tilsynsmyndigheden efter forordningens artikel 33 for den del af behandlingen, parten er ansvarlig for, og parterne bistår hinanden med de nødvendige oplysninger.

§ 9 Leverandører og overførsel til tredjelande

9.1 VerifyID kan anvende eksterne leverandører til at levere løsningen. Kategorierne af modtagere fremgår af VerifyID's privatlivspolitik for slutbrugere.

9.2 Enkelte leverandører kan tilgå personoplysninger fra lande uden for EU og EØS. Sådanne overførsler sker på grundlag af EU-Kommissionens standardkontraktbestemmelser suppleret med tekniske og organisatoriske sikkerhedsforanstaltninger. Kunden kan få en kopi ved henvendelse til kontakt@verifyid.dk.

§ 10 Opbevaring og sletning

10.1 Oplysningerne om oplukninger opbevares i 5 år fra oplukningstidspunktet, idet tyveri og hærværk efter straffeloven først forældes efter 5 år.

10.2 Oplysninger, der indgår i regnskabsmateriale, opbevares i 5 år fra udgangen af det regnskabsår, materialet vedrører.

10.3 Ophører aftaleforholdet mellem parterne, ændrer det ikke opbevaringsperioden for de oplysninger, VerifyID behandler som dataansvarlig. Kundens adgang til portalen lukkes, og det er Kundens eget ansvar at hente nødvendig dokumentation inden ophøret.

§ 11 Ansvar

11.1 Hver part er ansvarlig for sin egen overtrædelse af databeskyttelsesreglerne, herunder for bøder og påbud rettet mod parten selv.

11.2 Betaler en part erstatning efter forordningens artikel 82 for en skade, som helt eller delvist skyldes den anden part, kan den betalende part kræve den forholdsmæssige del tilbage.

11.3 I det indbyrdes forhold mellem parterne gælder ansvarsbegrænsningerne i handelsbetingelserne.

§ 12 Varighed, ændringer og lovvalg

12.1 Bilaget gælder, så længe Kunden anvender løsningen, og derefter for de bestemmelser, der efter deres indhold skal gælde efter ophør.

12.2 VerifyID kan ændre bilaget, blandt andet hvis lovgivning, tilsynspraksis eller løsningens indretning ændrer sig. Den til enhver tid gældende version offentliggøres på verifyid.dk, og væsentlige ændringer til ugunst for Kunden varsles med 30 dage.

12.3 Bilaget er undergivet dansk ret, og enhver tvist afgøres ved Retten i Odense som aftalt værneting i første instans.