Bilag C  – Instruks vedrørende behandling af personoplysninger

C.1. Behandlingens genstand/instruks

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige sker ved, at databehandleren udfører følgende:

Databehandleren leverer en digital platform ”Frame” til håndtering af data i forbindelse med Dataansvarliges byggeprojekter. Platformen er udviklet til effektiv håndtering af processer, kommunikation, vurderinger, beregninger, dokumentation mv. på baggrund af de data, som brugerne i hvert projekt uploader og inddaterer.

Dataansvarlige inviterer selv brugere fra egen og andre organisationer til hvert projekt, og opfordrer hver bruger til at arbejde med de aftalte data. Den dataansvarlige er i den forbindelse ansvarlig for at instruere alle brugere i forhold til, hvordan data skal behandles, hvilke data der må uploades og bearbejdes samt med hvem de må deles.

Den dataansvarliges brugere tilgår selv platformen via en browser og egne brugernavne og adgangskoder, hvorfor databehandler ikke egenhændigt tilgår projektdata medmindre den dataansvarlige eller den dataansvarliges inviterede brugere anmoder herom via Openframe ApS’ supportfunktion.

Personoplysninger

Data kan være i form af profiloplysninger for hver bruger, uploadede dokumenter og filer samt inddateringer i fritekstfelter.

Profiloplysninger

For hver bruger registreres som minimum e-mailadresse, der anvendes som brugernavn. Dette brugernavn må ikke ændres, da det er den dataansvarliges ønske at kunne identificere en brugers handlinger i hvert projekt. Derudover kan en bruger på frivillig basis oplyse navn, telefonnummer, adresse, titel og organisation/virksomhed.

Det er den dataansvarlige, der instruerer brugerne i korrekt håndtering af disse

personoplysninger. I rapporter og i logfiler skal brugeren kunne identificeres ved mailadresse (eller ved navn hvis indtastet), således det registreres, hvem der har foretaget den konkrete inddatering eller handling.

Øvrige profiloplysninger skal være tilgængelige for andre brugere i et konkret projekt eller for

Den dataansvarliges ansatte med rettigheder hertil, men skal kunne slettes eller ændres, hvis brugeren måtte ønske dette.

En brugers oplysninger skal slettes sammen med øvrige data, når et projekt afsluttes af den dataansvarlige. Et projekt skal automatisk slettes, når den dataansvarlige ikke har betalt for platformen/servicen i 3 sammenhængende måneder.

Uploadede dokumenter og filer

Brugerne kan frit uploade dokumenter og filer, og det er den dataansvarlige, der instruerer brugerne i korrekt håndtering af personoplysninger i den forbindelse. Brugerne må ikke selv kunne slette uploadede dokumenter og filer, da disse af dokumentationshensyn skal være tilgængelige i projektet, men den dataansvarlige kan instruere databehandler om sletning af specifikke dokumenter og filer.

Uploadede dokumenter og filer skal slettes sammen med øvrige data, når et projekt afsluttes af den dataansvarlige. Et projekt skal automatisk slettes, når den dataansvarlige ikke har betalt for platformen/servicen i 3 sammenhængende måneder.

Inddatering i fritekstfelter

Brugerne kan frit indskrive personoplysninger i fritekstfelter i platformen. Det er den dataansvarlige, der instruerer brugerne i korrekt håndtering af personoplysninger i den forbindelse. Brugerne skal via projektets udpegede Bæredygtighedsleder selv kunne slette og ændre tekst i fritekstfelter, således den nye/rettede tekst vises i rapporterne fremadrettet fra rettelsestidspunktet. Inddateringer skal fortsat kunne ses af logfiler.

Input i fritekstfelter skal slettes sammen med øvrige data, når et projekt afsluttes af den dataansvarlige. Et projekt skal automatisk slettes, når Kunden ikke har betalt for platformen/servicen i 3 sammenhængende måneder.

Særlige kategorier af personoplysninger

Openframe ApS skal ikke håndtere særlige kategorier af personoplysninger for den dataansvarlige. Den dataansvarlige er ansvarlig for at instruere inviterede brugere i korrekt håndtering af personoplysninger.

Opdateringer til platformen

Databehandleren instrueres i at oplyse den dataansvarlige og brugerne om nye features/opdateringer af platformen, der kan have betydning for, hvilke data der behandles og hvordan data behandles. Denne orientering skal ske gennem fx mails til brugerne. Alle brugere skal oplyses om dette forhold via en brugeraftale, når de opretter deres profil på platformen.

Databehandleren skal have formelle procedurer til sikring af, at opdateringer bliver vurderet og implementeret inden for rimelig tid.

For kritiske sikkerhedsopdateringer skal databehandleren have procedurer, der sikrer at disse – så vidt muligt – kan gennemføres inden for 48 timer.

C.2. Behandlingssikkerhed

Sikkerhedsniveauet skal afspejle:

At tjenesten behandler personoplysninger. Tjenesten skal leveres med et sikkerhedsniveau som minimerer risici for at personoplysninger kan misbruges eller at de registrerede på anden vis får krænket deres rettigheder. Behandlingen vedrører dog kun få personoplysninger om de registrerede, og den samlede mængde af personoplysninger er begrænset. Der indsamles ikke oplysninger i særlige kategorier, oplysninger om strafferetsdomme eller oplysninger som f.eks. CPR-numre. Endvidere vurderes det at de indsamlede oplysninger kun i meget begrænset grad vil kunne misbruges. Det er vigtigt at personoplysninger ikke er frit tilgængelige og at adgangen til platformen er beskyttet imod uvedkommende adgang samt at oplysninger der transmitteres så vidt det er muligt beskyttes.

Databehandleren er herefter berettiget og forpligtet til at træffe beslutninger om, hvilke tekniske og organisatoriske sikkerhedsforanstaltninger, der skal gennemføres for at etableret det nødvendige (og aftalte) sikkerhedsniveau.

Databehandleren skal dog – under alle omstændigheder og som minimum – gennemføre følgende foranstaltninger, som er aftalt med den dataansvarlige:

• • Brugere af Openframe platformen har kun adgang egne data og data nødvendige for udførelse af deres opgaver.
  • Alle passwords der registreres i platformen lagres og transmitteres i enten krypteret form eller ved erstatning med en hash-kode.
  • Al kommunikation mellem brugere og Openframes system krypteres via. https-protokollen.
  • Openframes platform anvender et verificeret certifikat.
  • Adgangen til persondata begrænses til kun at være mulig for nødvendigt personale hos databehandleren.
  • Databehandlerens eget personale får kun adgang til persondata via personlige adgangskoder eller nøgler.
  • Data opbevares på Amazon Web Services (AWS) sikrede cloud-platforme i EU.

C.3 Bistand til den dataansvarlige

Databehandleren skal så vidt muligt – inden for det nedenstående omfang og udstrækning – bistå den dataansvarlige i overensstemmelse med Bestemmelse 9.1 og 9.2 ved at gennemføre følgende tekniske og organisatoriske foranstaltninger:

I forbindelse med den dataansvarliges oplysningspligt vil systemet have mulighed for at vise en tekst til nye brugere. Denne tekst udarbejdes af den dataansvarlige og det er den dataansvarliges ansvar selv at sørge for at denne er korrekt.

Såfremt databehandleren modtager anmodninger fra de registrerede om f.eks. indsigt, berigtigelse, sletning eller andre anmodninger sendes disse videre til den dataansvarlige. Den dataansvarlige vil i mange tilfælde derefter selv kunne behandle anmodningen. Hvis det er nødvendigt, vil databehandleren på instruks assistere den dataansvarlige med behandlingen af anmodninger såfremt den dataansvarlige beder om dette skriftligt.

C.4 Opbevaringsperiode/sletterutine

Personoplysninger opbevares indtil den dataansvarlige anmoder om sletning af individuelle data eller indtil aftalen om levering af tjenesten opsiges.

Ved ophør af tjenesten vedrørende behandling af personoplysninger, skal databehandleren slette personoplysningerne i overensstemmelse med bestemmelse 11.1, medmindre den dataansvarlige – efter underskriften af disse bestemmelser – har ændret den dataansvarlige oprindelige valg. Sådanne ændringer skal være dokumenteret og opbevares skriftligt, herunder elektronisk, i tilknytning til bestemmelserne.

Personoplysninger i CRM-, abonnementsstyrings- og regnskabssystemer slettes på forlangende, såfremt aftaleforholdet er afsluttet.

 C.5 Lokalitet for behandling

Behandling af de af Bestemmelserne omfattede personoplysninger kan ikke uden den dataansvarliges forudgående skriftlige godkendelse ske på andre lokaliteter end følgende:

• • Indenfor EU

C.6 Instruks vedrørende overførsel af personoplysninger til tredjelande

C.7 Procedurer for den dataansvarliges revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til databehandleren

Der er enighed mellem parterne om, at der ikke er behov for eksterne revisionserklæringer. Den dataansvarlige kan dog en gang årligt bede databehandleren om en erklæring om vedrørende databehandlerens overholdelse af databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.

Den dataansvarlige eller en repræsentant for den dataansvarlige har herudover adgang til at foretage inspektioner, herunder fysiske inspektioner, med lokaliteterne hvorfra databehandleren foretager behandling af personoplysninger, herunder fysiske lokaliteter og systemer, der benyttes til eller i forbindelse med behandlingen. Sådanne inspektioner kan gennemføres, når den dataansvarlige finder det nødvendigt.

Den dataansvarliges eventuelle udgifter i forbindelse med en fysisk inspektion afholdes af den dataansvarlige selv. Databehandleren er dog forpligtet til at afsætte de ressourcer (hovedsageligt den tid), der er nødvendig(e) for, at den dataansvarlige kan gennemføre sin inspektion.

C.8 Procedurer for revisioner, herunder inspektioner, med behandling af personoplysninger, som er overladt til underdatabehandlere

Databehandleren skal 1 gang årligt for egen regning indhente dokumentation for underdatabehandlerens overholdelse af databeskyttelsesforordningen, databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.

Der er enighed mellem parterne om, at følgende typer af dokumentation, erklæringer eller rapporter kan anvendes i overensstemmelse med disse bestemmelser:

• • Underdatabehandlers egne erklæringer vedrørende overholdelse af databeskyttelsesforordningen og informationssikkerhed.
  • Auditrapporter eller revisionserklæring vedrørende overholdelse af databeskyttelsesforordningen og informationssikkerhed udført af uafhængig tredjepart.