Aftalen efter databeskyttelsesforordningens artikel 28, som gælder, når I bruger portalen til jeres egen debitorstyring. Den siger, hvad vi må gøre med jeres data, hvad vi skal gøre, når I beder om noget — og hvad der sker med det hele, hvis I holder op.
§ 1
Parterne
Denne databehandleraftale er indgået mellem klienten som dataansvarlig og Rieck som databehandler. Klienten er den virksomhed, der har oprettet en konto i portalen.
Aftalen indgås, idet klienten opretter en konto eller på anden vis tager portalen i brug, jf. handelsbetingelsernes § 2. Den er et tillæg til handelsbetingelserne og kan ikke opsiges selvstændigt, så længe klienten bruger portalen.
§ 2
Hvornår aftalen gælder — og hvornår den ikke gør
Rieck har to forskellige roller over for de samme oplysninger, og denne aftale dækker kun den ene. Sondringen er afgørende for, hvad klienten kan instruere os i:
Portalen — aftalen gælder
Når klienten bruger portalen til sin egen debitorstyring — fakturaer, påmindelser, rykkere, kundekartotek og rapporter — behandler Rieck personoplysninger på klientens vegne og efter klientens instruks. Her er Rieck databehandler, og denne aftale gælder.
Inkassoydelserne — aftalen gælder ikke
Når en sag overgår til inkasso, bliver Rieck selvstændig dataansvarlig. Som autoriseret inkassovirksomhed træffer vi egne beslutninger om, hvordan sagen føres, og vi er underlagt inkassolovgivningen og Rigspolitiets tilsyn. Klienten kan ikke instruere os i den behandling, og der kræves ikke en databehandleraftale for den.
Behandlingen af oplysninger om debitorer i inkassosager er beskrevet i privatlivspolitikken for inkasso. Klienten skal selv sikre sit grundlag for at videregive personoplysninger til Rieck, når en sag oprettes.
Det samme gælder de brugsdata, Rieck indsamler om selve anvendelsen af portalen, jf. handelsbetingelsernes § 20. Dem er Rieck selvstændig dataansvarlig for.
§ 3
Behandling efter instruks
Rieck behandler kun personoplysninger efter dokumenteret instruks fra klienten. Instruksen er denne aftale, handelsbetingelserne og den brug, klienten selv foretager af portalens funktioner.
Rieck må ikke behandle oplysningerne til egne formål ud over det, aftalen tillader, og videregiver dem ikke til tredjemand uden instruks — medmindre det kræves efter EU-ret eller dansk ret. Sker det, underretter Rieck klienten om kravet, inden behandlingen finder sted, medmindre underretning er forbudt.
Rieck underretter omgående klienten, hvis en instruks efter Riecks opfattelse er i strid med databeskyttelsesreglerne.
§ 4
Fortrolighed
Rieck sikrer, at kun de medarbejdere, der har et arbejdsbetinget behov, har adgang til de personoplysninger, der behandles på klientens vegne. Adgangen fjernes, når behovet ophører.
Medarbejderne er pålagt fortrolighed, enten ved en fortrolighedserklæring eller ved en tilsvarende lovbestemt tavshedspligt. Fortroligheden gælder også efter ansættelsens ophør.
§ 5
Behandlingssikkerhed
Rieck gennemfører passende tekniske og organisatoriske foranstaltninger efter databeskyttelsesforordningens artikel 32, så sikkerhedsniveauet passer til risikoen for de registreredes rettigheder.
Foranstaltningerne er beskrevet i § 16 og på siden om sikkerhed. Rieck kan ændre dem, når teknologien eller trusselsbilledet ændrer sig, men aldrig så beskyttelsesniveauet forringes.
Klienten er selv ansvarlig for de foranstaltninger, klienten råder over: at brugerkonti tildeles de rette rettigheder, at adgange lukkes, når en medarbejder stopper, og at kontooplysninger ikke deles.
§ 6
Brug af underdatabehandlere
Klienten giver Rieck en generel godkendelse til at anvende underdatabehandlere — typisk til hosting, drift, e-mail- og brevforsendelse, betalingsformidling og support.
De aktuelle underdatabehandlere fremgår af den offentlige liste, som er en del af denne aftale. Rieck varsler tilføjelser og udskiftninger på listen med mindst 30 dages varsel, inden den nye underdatabehandler tages i brug.
Klienten kan gøre indsigelse mod en ny underdatabehandler inden fristens udløb. Kan parterne ikke finde en løsning, kan klienten opsige brugen af de berørte dele af portalen uden omkostninger. Indsigelse er ikke en ret til at standse Riecks drift for andre kunder.
Rieck indgår en skriftlig aftale med hver underdatabehandler, der pålægger samme forpligtelser som denne aftale, og hæfter over for klienten for underdatabehandlerens behandling som for sin egen.
§ 7
Overførsel til tredjelande
Personoplysninger behandles som udgangspunkt inden for EU/EØS.
Overføres oplysninger til et land uden for EU/EØS, sker det kun på et gyldigt overførselsgrundlag: en tilstrækkelighedsafgørelse fra EU-Kommissionen, Kommissionens standardkontraktbestemmelser (SCC) eller et andet grundlag efter forordningens kapitel V, suppleret med de foranstaltninger, en konkret vurdering af modtagerlandet måtte kræve.
Overførselsgrundlaget for hver enkelt underdatabehandler fremgår af listen. Klienten kan altid bede om en kopi af grundlaget.
§ 8
Bistand ved de registreredes rettigheder
Retter en registreret henvendelse direkte til Rieck om oplysninger, der behandles på klientens vegne, videresender Rieck henvendelsen til klienten uden unødigt ophold og svarer ikke selv på den.
Rieck bistår klienten med passende tekniske og organisatoriske foranstaltninger, så klienten kan opfylde sin pligt til at besvare anmodninger om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse.
Bistanden ydes uden særskilt betaling i det omfang, portalens egne funktioner rækker. Kræver en anmodning et ekstraordinært manuelt arbejde, kan Rieck fakturere de direkte omkostninger efter forudgående accept fra klienten.
§ 9
Bistand ved klientens øvrige forpligtelser
Rieck bistår klienten med at overholde forordningens artikel 32-36, i det omfang det er relevant for behandlingen i portalen, og under hensyn til behandlingens karakter og de oplysninger, Rieck råder over. Det omfatter:
Behandlingssikkerheden, jf. artikel 32 — se § 5 og § 16.
Anmeldelse af brud på persondatasikkerheden til Datatilsynet, jf. artikel 33 — se § 10.
Underretning af de registrerede om et brud, jf. artikel 34.
Konsekvensanalyser og forudgående høring, jf. artikel 35 og 36 — Rieck stiller de oplysninger om portalen til rådighed, som analysen kræver.
§ 10
Brud på persondatasikkerheden
Bliver Rieck opmærksom på et brud på persondatasikkerheden, der vedrører oplysninger behandlet på klientens vegne, underretter Rieck klienten uden unødig forsinkelse.
Underretningen indeholder, i det omfang oplysningerne er tilgængelige, karakteren af bruddet, de berørte kategorier og det omtrentlige antal registrerede, de sandsynlige konsekvenser, de foranstaltninger Rieck har truffet eller foreslår, og et kontaktpunkt hos Rieck.
Er alle oplysninger ikke tilgængelige med det samme, gives de i etaper, efterhånden som de foreligger. Rieck anmelder ikke bruddet til Datatilsynet på klientens vegne, medmindre det er særskilt aftalt.
§ 11
Dokumentation og revision
Rieck stiller de oplysninger til rådighed, der er nødvendige for at påvise, at forpligtelserne i denne aftale og i artikel 28 overholdes.
Klienten kan én gang årligt bede om dokumentation for Riecks sikkerhedsforanstaltninger. Rieck opfylder anmodningen ved at fremsende foreliggende erklæringer, revisionsrapporter eller en udfyldt sikkerhedsbesvarelse.
Er dokumentationen ikke tilstrækkelig, kan klienten forlange en inspektion. Den varsles med mindst 30 dage, gennemføres i normal arbejdstid, må ikke forstyrre driften eller give adgang til andre kunders data, og udføres af klienten selv eller af en uafhængig revisor, der er pålagt fortrolighed. Klienten afholder sine egne og Riecks omkostninger ved inspektionen, medmindre den afdækker væsentlig misligholdelse.
Datatilsynet har til enhver tid adgang efter de regler, der følger af lovgivningen.
§ 12
Sletning og tilbagelevering ved ophør
Ved ophør af klientens brug af portalen sletter eller tilbageleverer Rieck efter klientens valg de personoplysninger, der er behandlet på klientens vegne, og sletter eksisterende kopier.
Klienten kan hente sine data efter reglerne om dataportabilitet i handelsbetingelsernes § 21. Anmodningen skal fremsættes, inden sletningen gennemføres.
Har klienten ikke haft sager hos Rieck i mere end 3 måneder, kan Rieck lukke kontoen og slette oplysningerne, jf. handelsbetingelsernes § 15. Klienten er selv ansvarlig for at sikre en kopi.
§ 13
Ansvar og ikrafttræden
Parterne hæfter efter databeskyttelsesforordningens artikel 82 for skade forvoldt ved behandling, der ikke overholder forordningen. I forholdet mellem parterne gælder de ansvarsbegrænsninger, der følger af handelsbetingelsernes § 13.
Aftalen træder i kraft ved klientens oprettelse af en konto og gælder, så længe klienten bruger portalen. Bestemmelserne om fortrolighed, sletning og dokumentation gælder også efter ophør.
Er der modstrid mellem denne aftale og handelsbetingelserne om behandlingen af personoplysninger i portalen, går denne aftale forud. Aftalen er undergivet dansk ret, og tvister afgøres som fastlagt i handelsbetingelsernes § 22.
§ 14
Bilag A — Behandlingens karakter og formål
Formål
At stille portalen til rådighed for klientens egen debitorstyring: udstedelse og udsendelse af fakturaer, påmindelser og rykkere, registrering af betalinger, kundekartotek, afstemning og rapportering.
Behandlingens karakter
Indsamling, registrering, opbevaring, brug, ændring, samkøring, videregivelse efter instruks og sletning — udført automatiseret i portalen og manuelt, når klienten selv indtaster eller supporten bistår.
Kategorier af registrerede
Klientens egne kunder (debitorer) — både virksomheder og privatpersoner.
Kontaktpersoner hos klientens kunder.
Klientens egne brugere af portalen.
Kategorier af personoplysninger
Almindelige oplysninger
Navn, adresse, e-mail, telefonnummer, virksomhed og stilling.
Økonomiske oplysninger
Fakturaer, beløb, forfaldsdatoer, betalingshistorik, saldi, rykkerforløb og bankoplysninger.
CPR-nummer
Kun hvor klienten selv registrerer det, eller hvor det er nødvendigt for at identificere en privat debitor.
Brugeroplysninger
Login, rolle, rettigheder og aktivitetslog for klientens egne brugere.
Klienten må ikke registrere særlige kategorier af personoplysninger efter artikel 9 i portalens fritekstfelter. Gør klienten det alligevel, sker det uden for instruksen og på klientens eget ansvar.
Varighed
Behandlingen løber, så længe klienten har en konto, og ophører efter § 12.
§ 15
Bilag B — Underdatabehandlere
De godkendte underdatabehandlere fremgår af den offentlige liste, der opdateres løbende og udgør bilag B til denne aftale. Listen angiver for hver leverandør, hvad den bruges til, hvor behandlingen finder sted, og på hvilket grundlag oplysninger eventuelt overføres uden for EU/EØS.
Ændringer varsles efter § 6.
§ 16
Bilag C — Tekniske og organisatoriske foranstaltninger
Rieck har som minimum gennemført følgende foranstaltninger. De uddybes på siden om sikkerhed.
Adgangsstyring
Rolle- og behovsbaseret adgang, personlige konti, obligatorisk to-faktor på administrative adgange og logning af adgang til kundedata.
Kryptering
Trafik krypteres under transport (TLS). Data krypteres, når de ligger lagret, herunder sikkerhedskopier.
Adskillelse
Klienternes data er logisk adskilt, så en klient aldrig kan tilgå en anden klients oplysninger. Udviklings- og testmiljøer bruger ikke produktionsdata.
Sikkerhedskopiering
Regelmæssig sikkerhedskopiering med afprøvet gendannelse og dokumenteret beredskab ved nedbrud.
Logning og overvågning
Drifts- og sikkerhedslogning med overvågning for unormal adfærd og fastlagt procedure for håndtering af sikkerhedshændelser.
Leverandørstyring
Databehandleraftaler med alle underdatabehandlere og løbende kontrol af deres sikkerhedsniveau.
Medarbejdere
Tavshedspligt, oplæring i databeskyttelse og øjeblikkelig lukning af adgange ved fratræden.
Fysisk sikkerhed
Driften ligger i datacentre med adgangskontrol, overvågning og redundant strøm- og netforsyning.
Spørgsmål til vilkårene
Skal vi gennemgå dem med jer, før I skriver under?
Ring, så tager en rådgiver dem igennem med jer — også dem, der ikke er i jeres favør. Det er bedre, I ved det nu end i den første sag.
Tal med en rådgiver
Ring på hverdage eller skriv — vi svarer inden for 2 timer på alle hverdage.
