Databehandleraftale

Med købet af et GrantOne system følger en Databehandleraftale lavet på vegne af dataansvarlige (fonden). Databehandleraftalen har til formål at sikre, at personoplysninger der behandles på vegne af dataansvarlige overholder den til enhver tid gældende persondataretlige regulering. Systemet skelner mellem ansøgninger, der henholdsvis afvises eller imødekommes.  Persondata er kun tilgængelige, så længe fonden har en legitim interesse eller lovmæssig pligt forbundet til dem. 

Bilag til databehandleraftalen

Baggrund og Formål

  1. Parterne har aftalt levering af visse ydelser fra Databehandleren til den Dataansvarlige, som nærmere beskrevet i Parternes særskilte købsaftale herom samt bilag 1 til denne aftale (”Hovedydelserne”).
  2. I den forbindelse behandler Databehandleren personoplysninger på vegne af den Dataansvarlige, hvorfor Parterne har indgået denne aftale med underliggende bilag (”Databehandleraftalen”)
  3. Databehandleraftalen har til formål at sikre, at Databehandleren overholder den til enhver tid gældende persondataretlige regulering, herunder navnlig:
    • Databeskyttelsesforordningen (Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016/ EU General Data Protection Regulation, GDPR)
    • Lov nr.502 af den 23. maj 2018 vedr. supplerende bestemmelser til Databeskyttelsesforordningen

    Og hermed overholder Databeskyttelsesforordningens seks grundlæggende principper;

    1. Persondata skal behandles lovligt, rimeligt og gennemsigtigt
    2. Indsamling skal ske til udtrykkeligt angivne og saglige formål
    3. Persondata skal være relevante, tilstrækkelige og begrænset til det, som er nødvendigt i forhold til det/de saglige formål
    4. Persondata skal være korrekte og ajourførte
    5. Persondata må ikke behandles i længere tid end nødvendigt af hensyn til det/de saglige formål, som forfølges med behandlingen
    6. Behandlingen skal imødekomme gældende krav om datasikkerhed

Omfang

  1. Databehandleren bemyndiges til at foretage behandling af personoplysninger på den
  2. Dataansvarliges vegne på vilkårene fastsat i Databehandleraftalen.
  3. Databehandleren må alene behandle personoplysninger efter dokumenteret instruks fra den Dataansvarlige (”Instruks”). Denne Databehandleraftale inkl. bilag udgør Instruksen på underskriftstidspunktet.
  4. Instruksen kan til enhver tid ændres eller konkretiseres nærmere af den Dataansvarlige. Uanset foranstående kan denne Databehandleraftale alene ændres efter enighed om vilkår mellem Parterne. Parterne er forpligtede til at foretage de ændringer til Databehandleraftalen som en ændring af lovgivningen på området foreskriver.
  5. Databehandleren må, i det omfang andet ikke følger af Databehandleraftalen, benytte alle relevante hjælpemidler, herunder IT-systemer.

Varighed

  1. Databehandleraftalen gælder indtil enten (a) aftale(r)n(e) om levering af Hovedydelserne ophører eller (b) Databehandleraftalen opsiges eller ophæves.

Databehandlerens forpligtelser

Tekniske og organisatoriske sikkerhedsforanstaltninger

  1. Databehandleren har ansvaret for at gennemføre fornødne (a) tekniske og (b) organisatoriske foranstaltninger for at sikre et passende sikkerhedsniveau. Foranstaltningerne skal gennemføres under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammensætning og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder. Databehandleren skal bl.a. tage kategorien af personoplysninger beskrevet i bilag 1 i betragtning ved fastlæggelsen af disse foranstaltninger.
  2. Databehandleren skal uanset punkt 4.1.1 gennemføre de tekniske og organisatoriske sikkerheds­foranstaltninger som fremgår af (a) bilag 2 til denne Databehandleraftale samt (b) aftale(r)n(e) om levering af Hovedydelserne.
  3. Databehandleren garanterer overfor den Dataansvarlige, at Databehandleren vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at Databehandlerens behandling af personoplysninger opfylder kravene i den til enhver tid gældende persondataretlige regulering.
  4. Parterne er enige om, at de afgivne garantier anført i bilag 2 er tilstrækkelige på tidspunktet for indgåelsen af denne Databehandleraftale.

Medarbejderforhold

  1. Databehandleren skal sikre, at medarbejdere, der behandler personoplysninger for Databehandleren, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
  2. Databehandleren skal sikre, at adgangen til personoplysningerne begrænses til de medarbejdere, for hvem det er nødvendigt at behandle personoplysninger for at kunne opfylde Databehandlerens forpligtelser over for den Dataansvarlige.
  3. Databehandleren skal sikre, at medarbejdere, der behandler personoplysninger for Databehandleren, kun behandler disse i overensstemmelse med Instruksen.

Dokumentation for overholdelse af forpligtelser

  1. Databehandleren skal på skriftlig anmodning dokumentere overfor den Dataansvarlige, at Databehandleren:
    1. overholder sine forpligtelser efter denne Databehandleraftale og Instruksen.
    2. overholder bestemmelserne i den til enhver tid gældende persondataretlige regulering, for så vidt angår de personoplysninger, som behandles på den Dataansvarliges vegne.
  2. Databehandlerens dokumentation heraf skal ske inden rimelig tid.
  3. Det nærmere indhold af forpligtelserne under punkt 4.3.1 er beskrevet i bilag 3 til denne Databehandleraftale.

Sikkerhedsbrud

  1. Databehandleren skal underrette den Dataansvarlige om brud på persondatasikkerheden, der potentielt kan føre til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysningerne behandlet for den Dataansvarlige (”Sikkerhedsbrud”).
  2. Sikkerhedsbrud skal meddeles til den Dataansvarlige inden for 24 timer.
  3. Databehandleren skal vedligeholde en fortegnelse over alle Sikkerhedsbrud. Fortegnelsen skal som minimum dokumentere følgende:
    1. De faktiske omstændigheder omkring Sikkerhedsbruddet
    2. Sikkerhedsbruddets virkninger
    3. De trufne afhjælpningsforanstaltninger.
  4. Fortegnelsen skal efter skriftlig anmodning stilles til rådighed for den Dataansvarlige eller tilsynsmyndighederne.

Bistand

  1. Databehandleren skal i fornødent og rimeligt omfang bistå ved den Dataansvarliges opfyldelse af dennes forpligtelser ved behandling af personoplysningerne, der er omfattet af denne Databehandleraftale, herunder ved:
    1. besvarelser til registrerede ved udøvelse af disses rettigheder,
    2. Sikkerhedsbrud, konsekvensanalyser, og forudgående høringer fra tilsynsmyndighederne.
  2. Databehandleren skal herunder fremskaffe de oplysninger, der skal indgå i en anmeldelse til tilsynsmyndigheden, i det omfang Databehandleren er den nærmeste hertil.
  3. Databehandleren har krav på betaling efter medgået tid og forbrugte materialer for bistand i medfør af dette punkt 4.5, med mindre bistanden er omfattet af punkt 9.2.

Den Dataansvarliges forpligtelser

  1. Den Dataansvarlige har de forpligtelser, der fremgår af bilag 4.

Underdatabehandlere

  1. Databehandleren må kun gøre brug af en tredjepart til behandlingen af personoplysninger for den Dataansvarlige (”Underdatabehandler”) i det omfang dette fremgår af:
    1. bilag 5 til denne Databehandleraftale, eller
    2. Instruks fra den Dataansvarlige.
  2. Databehandleren og Underdatabehandleren skal indgå en skriftlig aftale, som pålægger Underdatabehandleren de samme databeskyttelsesforpligtelser, som påhviler Databehandleren (herunder i medfør af denne Databehandleraftale).
  3. Den Dataansvarlige skal på skriftlig anmodning have udleveret alle aftaler indgået med eventuelle Underdatabehandlere.
  4. Underdatabehandleren handler herudover ligeledes alene på Instruks fra den Dataansvarlige. Al kommunikation med Underdatabehandleren varetages af Databehandleren, med mindre andet særskilt aftales. Enhver ændret eller konkretiseret Instruks fra den Dataansvarlige skal straks videregives af Databehandleren til Underdatabehandleren.
  5. Databehandleren er direkte ansvarlig for Underdatabehandlerens behandling af personoplysn
    inger på samme vis, som var behandling foretaget af Databehandleren selv.

Overførsel til tredjelande og internationale organisationer

  1. Databehandleren må kun overføre personoplysninger til tredjelande eller internationale organisationer i det omfang dette fremgår af:
    1. bilag 6 til denne Databehandleraftale, eller
    2. Instruks fra den Dataansvarlige.
  2. Overførsel af personoplysninger må i alle tilfælde kun ske i det omfang, det er tilladt ifølge den til enhver tid gældende persondataretlige regulering.

Databehandling udenfor instruksen

  1. Databehandleren kan behandle personoplysninger udenfor Instruksen i tilfælde, hvor det kræves af EU-retten eller national ret, som Databehandleren er underlagt.
  2. Ved behandling af personoplysninger udenfor Instruksen skal Databehandleren underrette den Dataansvarlige om årsagen hertil. Underretningen skal ske, inden behandlingen foretages og skal indeholde en henvisning til de retlige krav, der ligger til grund for behandlingen.
  3. Underretning skal ikke ske, hvis underretning vil være i strid med EU retten eller den nationale ret.

Vederlag og Omkostninger

  1. Parterne har alene krav på betaling for opfyldelse af denne Databehandleraftale, hvis dette konkret er angivet heri eller i aftale(r)n(e) om levering af Hovedydelserne.
  2. En Part har uanset ovenstående ikke krav på betaling for assistance eller implementering af ændringer i det omfang, sådan assistance eller ændring er en direkte følge af Parternes misligholdelse af denne Databehandleraftale.

Ændring af instruksen

  1. Forud for ændringer af Instruksen skal Parterne i videst muligt omfang drøfte, og om muligt aftale, implementeringen af ændringerne, inkl. implementeringstiden og omkostningerne.
  2. I det omfang andet ikke er aftalt, gælder følgende:
    • Databehandleren skal uden ugrundet ophold iværksætte implementering af ændringer af Instruksen og sikre, at sådanne ændringer implementeres uden ugrundet ophold set i forhold til ændringernes karakter og omfang.
    • Databehandleren har krav på betaling af alle omkostninger direkte forbundet med ændringer af Instruksen, herunder implementeringsomkostninger og forøgede omkostninger til levering af Hovedydelserne.
    • Vejledende estimat for implementeringstiden og omkostningerne skal meddeles til den Dataansvarlige uden ugrundet ophold.
    • Ændringerne til Instruksen anses først for gældende, fra ændringerne er implementeret, forudsat at implementeringen heraf gennemføres i overensstemmelse med dette punkt 10.2, og med mindre den Dataansvarlige eksplicit meddeler at fravige dette punkt.
    • Databehandlerne er fritaget for ansvar for manglende levering af Hovedydelserne i det omfang (herunder tidsmæssigt), levering heraf vil være i strid med den ændrede Instruks, eller levering i overensstemmelse med den ændrede Instruks er umulig. Dette kan eksempelvis være tilfældet, (i) hvor ændringerne ikke teknisk, praktisk eller juridisk kan implementeres, (ii) hvor den Dataansvarlige eksplicit meddeler, at ændringerne skal være gældende, før implementeringen er mulig eller (iii) i tidsrummet indtil Parterne får gennemført evt. nødvendige ændringer af aftale(r)n(e) i overensstemmelse med ændringsprocedurerne heri.

Misligholdelse

  1. Reguleringen af misligholdelse i aftale(r)n(e) om levering af Hovedydelserne finder anvendelse også for denne Databehandleraftale, som om denne Databehandleraftale var en integreret del heraf. I tilfælde af at aftale(r)n(e) om levering af Hovedydelserne ikke tager stilling hertil, skal gældende rets almindelige misligholdelsesbeføjelser finde anvendelse på denne Databehandleraftale.

Ansvar og ansvarsbegrænsninger

  1. Reguleringen af ansvar og ansvarsbegrænsninger og i aftale(r)n(e) om levering af Hovedydelserne finder anvendelse også for denne Databehandleraftale, som om denne Databehandleraftale var en integreret del heraf. I tilfælde af, at aftale(r)n(e) om levering af Hovedydelserne ikke tager stilling hertil, skal bestemmelserne i dette punkt 12 finde anvendelse på denne Databehandleraftale.
  2. Parterne er ansvarlige i overensstemmelse med gældende rets almindelige regler, dog med de begrænsninger der følger af dette afsnit.
  3. Parterne fraskriver sig ethvert ansvar for indirekte tab og følgeskader, herunder driftstab, tab af goodwill, tab af besparelser og indtægter, inklusive udgifter til at indvinde mistede indtægter, rentetab og tab af data.
  4. Parternes ansvar for alle kumulerede krav i henhold til denne Databehandleraftale er begrænset til de samlede forfaldne betalinger i henhold til Hovedydelserne for den 12 måneders periode, der går umiddelbart forud for den skadegørende handling. Hvis Databehandleraftalen ikke har været i kraft i 12 måneder, opgøres beløbet som den aftalte betaling ved Hovedydelserne i den periode Databehandleraftalen har været i kraft divideret med antallet af måneder, Databehandleraftalen har været i kraft og derefter multipliceret med 12.
  5. Følgende er ikke omfattet af ansvarsbegrænsningen i dette punkt 12.
    1. Tab som følge af den anden Parts groft uagtsomme eller forsætlige handlinger.
    2. Udgifter og ressourceforbrug ved opfyldelse af en Parts forpligtigelser over for en tilsynsmyndighed eller den registrerede samt bøder pålagt af en tilsynsmyndighed eller en domstol, i det omfang sådanne er forårsaget af den anden Parts misligholdelse.

Force Majeure

  1. Reguleringen af force majeure i aftale(r)n(e) om levering af Hovedydelserne finder anvendelse også for denne Databehandleraftale, som om denne Databehandleraftale var en integreret del heraf. I tilfælde af, at aftale(r)n(e) om levering af Hovedydelserne ikke tager stilling hertil, skal bestemmelserne i dette punkt 13 finde anvendelse på denne Databehandleraftale.
  2. Databehandleren kan ikke gøres ansvarlig for forhold, der almindeligvis må betegnes som force majeure, herunder, men ikke begrænset til, krig, optøjer, terror, opstand, strejke, ildsvåde, naturkatastrofer, valutarestriktioner, import- eller eksportrestriktioner, afbrydelse af almindelig samfærdsel, afbrydelse af eller svigt i energiforsyningen, offentlige dataanlæg og kommunikationssystemer, virus samt indtrædelse af force majeure hos underleverandører.
  3. Force majeure kan højst gøres gældende med det antal arbejdsdage, som force majeure-situationen varer.

Fortrolighed

  1. Reguleringen af fortrolighed i aftale(r)n(e) om levering af Hovedydelserne finder anvendelse også for denne Databehandleraftale, som om denne Databehandleraftale var en integreret del heraf. I tilfælde af at aftale(r)n(e) om levering af Hovedydelserne ikke tager stilling hertil, skal bestemmelserne i dette punkt 14 finde anvendelse på denne Databehandleraftale.
  2. Information vedrørende indholdet af denne Databehandleraftale, de underliggende Hovedydelser, den anden Parts forretning, der enten i forbindelse med overgivelsen til den modtagende Part er angivet som fortrolig information, eller som efter sin natur eller i øvrigt klart må opfattes som fortrolig, skal behandles fortroligt og med mindst samme omhu og diskretion som partens egne fortrolige informationer. Data, herunder persondata, udgør altid fortrolige informationer.
  3. Fortrolighedsforpligtelsen gælder dog ikke for information, som er eller bliver offentlig tilgængelig, uden dette skyldes brud på en Parts fortrolighedsforpligtelse eller information, som allerede er i den modtagende Parts besiddelse uden tilsvarende fortrolighedsforpligtelse eller information, som selvstændigt er udviklet af den modtagende Part.

Ophør

Opsigelse og ophævelse

  1. Databehandleraftalen kan alene opsiges eller ophæves i overensstemmelse med bestemmelserne om opsigelse og ophævelse i aftale(r)n(e) om levering af Hovedydelserne.
  2. Opsigelse eller ophævelse af denn
    e Databehandleraftale kan alene ske ved – og berettiger til – samtidig opsigelse eller ophævelse af dele af aftale(r)n(e) om levering af Hovedydelserne, der vedrører behandling af personoplysninger i medfør af Databehandleraftalen.

Virkning af ophør

  1. Databehandlerens bemyndigelse til at behandle personoplysninger på vegne af den Dataansvarlige bortfalder ved Databehandleraftalens ophør, uanset årsag.
  2. Databehandleren må fortsat behandle personoplysningerne i op til tre måneder efter Databehandleraftalens ophør, i det omfang dette er nødvendigt for at fortage nødvendige lovpligtige foranstaltninger. I samme periode er Databehandleren berettiget til at lade personoplysningerne indgå i Databehandlerens sædvanlige backupprocedure. Databehandlerens behandling i denne periode anses fortsat for at ske under overholdelse af Instruksen.
  3. Databehandleren og dennes Underdatabehandlere skal tilbagelevere alle personoplysninger, som Databehandleren har behandlet under denne Databehandleraftale, til den Dataansvarlige ved Databehandleraftalens ophør, i det omfang den Dataansvarlige ikke allerede er i besiddelse af personoplysningerne. Databehandleren er herefter forpligtet til at slette alle personoplysninger fra den Dataansvarlige. Den Dataansvarlige kan anmode om fornøden dokumentation for, at dette er sket.

Tvistløsning

  1. Reguleringen af tvistløsning, inkl. lovvalg og værneting, i aftale(r)n(e) om levering af Hovedydelserne finder anvendelse også for denne Databehandleraftale, som om denne Databehandleraftale var en integreret del heraf. I tilfælde af, at aftale(r)n(e) om levering af Hovedydelserne ikke tager stilling hertil, skal bestemmelserne i dette punkt 16 finde anvendelse på denne Databehandleraftale.
  2. Databehandleraftalen er underlagt dansk ret med undtagelse af (a) regler, der fører til anvendelse af anden lov end dansk lov samt (b) FN konventionen om internationale løsørekøb (CISG).
  3. Opstår der uoverensstemmelser i forbindelse med Databehandleraftalen eller dens gennemførelse, skal Parterne med en positiv, samarbejdende og ansvarlig holdning søge at indlede forhandlinger med henblik på at løse tvisten. Om nødvendigt skal forhandlingerne søges løftet op på direktionsniveau i Parternes organisationer.
  4. Kan Parterne ikke opnå en løsning ved forhandling, er Parterne berettiget til at kræve tvisten afgjort endeligt ved retssag ved de almindelige domstole. Byretten i København er valgt som værneting. Retsplejelovens henvisningsregler til Landsret og Sø- og Handelsret skal dog fortsat finde anvendelse.

Forrang

  1. Såfremt der er modstrid mellem denne Databehandleraftale og aftale(r)n(e) om levering af Hovedydelserne, har denne Databehandleraftale forrang, med mindre andet følger direkte af Databehandleraftalen.

Bilag 1 / Hovedydelsen

Hovedydelsen består af følgende:

Et digitalt fondsadministrationssystem, GrantOne, der varetager arbejdsprocesserne knyttet til modtagelse og behandling af ansøgninger samt afrapportering af udfald ved sagsbehandlingen.

Systemet automatiserer rutineopgaver knyttet til håndtering af ansøgninger – fra kvittering på modtagelse og journalisering af ansøgning, til endeligt svar til ansøger, dannelse af et beslutningsreferat over sagsbehandlingen og afrapportering til administration eller forvalter.

Systemet leveres i varianter med forskelligt antal moduler til håndteringen af ansøgningerne og fondsbestyrelsens arbejdsopgaver. De specifikke moduler er angivet i den til denne databehandler­aftale knyttede købsaftale.

Ved modtagelse af ansøgninger rekvirerer systemet udelukkende personhenførbare data fra ansøger, der tjener dataansvarliges legitime interesse i at kunne identificere ansøgeren og sagsbehandle ansøgningen.

I ansøgningsproceduren angiver ansøger følgende informationer;

  • Ansøgers navn og adresse
  • Navn på ansøgers organisation, forening eller virksomhed
  • Ansøgers CPR eller CVR nummer
  • Telefonnummer
  • E-mail adresse
  • Projekttitel og kort beskrivelse af ansøgningen
  • Projektkategori (tilpasset dataansvarliges fundats)
  • Samlet projektbudget samt ansøgt beløb
  • Bankregistrerings- og kontonummer
  • PDF filer med henholdsvis projektbeskrivelse og budget, samt eventuelle andre ansøgnings­relevante PDF filer – eksempelvis CV eller anbefalinger.

Når sagsbehandlingen er tilendebragt, fjernes personhenførbare data fra ansøgningerne, hvor systemet skelner mellem ansøgninger, der henholdsvis imødekommes eller afvises. Fjernelse af data er nærmere beskrevet i Bilag 2.

For systemløsninger, der muliggør oprettelse af en personlig brugerprofil på ansøgeren, gælder at ansøger til enhver tid kan slette sin brugerprofil. Med mindre brugeren sletter sin profil, opbevares denne, efter indhentelse af brugerens aktive samtykke, i op til 2 år siden sidste brugeraktivitet.

Systemet er udelukkende designet til håndtering af processer knyttet til selve ansøgningshåndteringen samt opbevaring af andre dokumenter knyttet til fondsarbejdet (bestyrelsesreferater etc.). Dvs. systemet håndterer ikke skat, regnskab, revision, jura, investering, daglig økonomi eller lignende for dataansvarlige.

Personoplysninger

  1. I forbindelse med levering af Hovedydelsen behandles personoplysninger som angivet i dette Bilag 1 pkt. 1. Systemet indsamler ikke følsomme personoplysninger, som eksempelvis racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og lysninger om helbredsmæssige og seksuelle forhold eller seksuelle orientering, genetiske data og biometriske data.
  2. Kategorier af registrerede identificerede eller identificerbare fysiske personer omfattet af Databehandleraftalen:
    a) Ansøgere til Dataansvarliges fond
    b) Dataansvarlige brugere af GrantOne (se punkt 3 herunder ”Personoplysninger på GrantOne brugere knyttet til fondens drift”).

Personoplysninger på GrantOne-brugere knyttet til fondens drift

  1. Levering af hovedydelsen som beskrevet i dette bilag 1 pkt. 1 forudsætter, at Databehandleren indhenter kontaktinformationer på Dataansvarliges administrator, med det formål at
    1. kunne kommunikere direkte med Dataansvarlige i forbindelse med drift af systemet,
    2. give Dataansvarliges administrator første adgang til GrantOne via NemID

    Ad a) Ved opsætning af Dataansvarliges administrator som Databehandleren bruger som kontaktperson udveksles en bestillingsformular over en krypteret e-mail-kanal. Bestillingsformularen indeholder følgende personhenførbare kontaktinformation på Dataansvarliges administrator:

    1. Navn
    2. E-mail
    3. Telefonnummer

    Ad b) Første login med Dataansvarliges administrator kræver, at Databehandleren som en del af NemID-verifikationsprocessen, skriver administrators CPR-nummer direkte ind i GrantOne systemet. CPR-nummeret gives enten via telefon eller ved personligt fremmøde og administreres herefter af den Dataansvarlige selv.

  2. Databehandlerens indsamling af personhenførbare data på Dataansvarliges administrator, som beskrevet ovenfor giver Databehandleren status af dataansvarlig for kontaktinformation på den Dataansvarliges administrator. I forbindelse med drift af GrantOne registrerer Databehandleren kontaktinformationen hos følgende underdatabehandlere nærmere beskrevet i Bilag 5:
    • Microsoft
    • Google LLC
    • Zendesk
    • Visma e-conomic A/S
    • The Rocket Science Group LLC

    Når registreringen har fundet sted slettes bestillingsformularen hos Databehandleren.
    Ved udskiftning af Dataansvarliges administrator opdaterer Dataansvarlige selv oplysningerne i GrantOne, hvorefter Databehandleren ajourfører registreringen hos de angivne underleverandører.

    Ved ophør af samarbejdet mellem den Dataansvarlige og Databehandleren slettes kontaktinformationen fra underdatabehandlerne som listet nedenfor under hensyntagen til dokumentation for leverede ydelser og support samt gældende krav til regnskabsloven.

    1. MailChimp inden for 30 dage
    2. Zendesk efter 12 måneder
    3. Google LLC efter 12 måneder
    4. Visma e-conomic A/S efter 5 år
  3. Levering af Hovedydelsen som beskrevet ovenfor i Bilag 1 pkt. 1 forudsætter at Dataansvarliges administrator indhenter følgende personhenførbare information på de øvrige GrantOne-brugere knyttet til den Dataansvarliges drift:
    1. Navn
    2. CPR-nummer
    3. E-mailadresse

    For fonde, der benytter en bank til forvaltning af fondens betalingsinstruktioner, hvor banken har en samarbejdsaftale med Grant ApS, gives banken adgang til de ovenfor beskrevne personhenføre informationer, samt information om den enkelte brugers rettigheder i GrantOne. Disse personhenførebare oplysninger stilles til rådighed for banken, således at denne kan varetage sine forpligtelser. Der henvises endvidere til den Dataansvarliges aftale med banken.

Bilag 2 / Tekniske og organisatoriske sikkerhedskrav og garantier

Specifikke tekniske og organisatoriske sikkerhedskrav

  1. Der stilles følgende specifikke krav til Databehandlerens fysiske sikkerhed:
    1. Grant system løsningen er Cloud baseret. Dataopbevaring ”in rest” såvel som ”in transit” er underlagt kravene i databeskyttelseslovgivningen i Det Europæiske Økonomiske Samarbejdsområde og Schweiz vedrørende opbevaring af data fra Det Europæiske Økonomiske Samarbejdsområde og Schweiz.
    2. Til Cloud løsningen benytter databehandleren en underleverandør som beskrevet i Bilag 5.
  2. Der stilles følgende specifikke krav til Databehandlerens tekniske sikkerhed:
    1. Al datatransport er SSL krypteret.
    2. Tilgang til systemet kræver brugeridentifikation via NemID. Databehandlerens drift team har dog adgang via en krypteret forbindelse med personlige nøgler (SSH).
    3. Ud over godkendt personale hos Databehandleren er det kun brugere registreret i Dataansvarliges systemløsning, der har adgang til brug af systemet.
    4. Ved ændring i Dataansvarliges brugerstatus (eksempelvis tilføjelse eller fjernelse af nye brugere) sendes e-mail med information om ændringens karakter til eksisterende brugere.
    5. Hvis Dataansvarliges løsning inkluderer brug af ekstern administrator til udbetaling af midler til imødekomne ansøgere, foregår hertil knyttede datatransport via SFTP server.
    6. Backup. Databehandleren sikrer, at der tages daglige backup af de indsamlede data. Backup’en replikeres – i krypteret form – til flere forskellige fysiske datacentre for at sikre mod eventuelle nedbrud på en enkelt server eller et enkelt datacenter.
    7. Aktivitetslog. Databehandleren logger brugernes adgang til systemet.
  3. Der stilles følgende specifikke krav til Databehandlerens organisatoriske sikkerhed:
    1. Kun godkendt og registreret databehandlerpersonale har adgang til systemet.
    2. Databehandlerpersonale med systemadgang er underlagt tavshedspligt.
  4. Der stilles følgende specifikke krav til Databehandlerens sletning af personoplysninger:
    Systemet skelner mellem ansøgninger der a) afvises, b) imødekommes eller c) opbevares uden at blive behandlet.

    1. For ansøgninger der afvises slettes alle data vedr. ansøgningen straks ansøgningen er færdigbehandlet, undtaget følgende ikke-personhenførbare data:
      • Journal nummer
      • Registreringsdato
      • Ansøgt beløb
      • Projektoverskrift
      • Kort beskrivelse af ansøgningen.
      • Kommentarer knyttet til ansøgningen i forbindelse med sagsbehandlingen
      • CVR nummer (såfremt angivet)
      • Navn på virksomhed/organisation (såfremt angivet).
    2. For ansøgninger der imødekommes, opbevares ansøgningen i 5 år efter udbetaling har fundet sted. Hvis et CV på ansøger indgår i ansøgningen, slettes dette dog straks efter endt sagsbehandling. 5 år efter endt sagsbehandling slettes alle data vedr. ansøgningen undtaget;
      • Journal nummer
      • Registreringsdato
      • Ansøgt beløb
      • Tildelt beløb
      • Projektoverskrift
      • Kort beskrivelse af ansøgningen.
      • Kommentarer knyttet til ansøgningen i forbindelse med sagsbehandlingen
      • CVR nummer (såfremt angivet)
      • Navn på virksomhed/organisation (såfremt angivet).
    3. Hvis en ansøgning ikke er blevet behandlet og afgjort 15 måneder efter modtagelsen, fjernes den automatisk fra systemet.

Afgivne garantier for den fornødne behandlingssikkerhed

  1. Databehandleren har stillet følgende specifikke garantier:
    1. Databehandleren garanterer overfor den Dataansvarlige, at Databehandleren til hver en tid leverer tekniske og organisatoriske foranstaltninger på en sådan måde, at Databehandlerens behandling af personoplysninger opfylder kravene i den til enhver tid gældende persondataretlige regulering.
    2. At den til enhver tid valgte Cloud leverandør lever op til højeste internationale standarder for sikkerhed og beskyttelse af privatliv, herunder ISO/IEC 27018 Code of the Practice for Protecting Personal Data in the Cloud og ISO/IEC 27001:2013 Information Security Management Standards.

Bilag 3 / Dokumentation for overholdelse af forpligtelser

Som led i Databehandlerens demonstrering overfor den Dataansvarlige af overholdelse af sine forpligtelser efter punkt 4.3 i Databehandleraftalen skal nedenstående punkter udføres og overholdes.

Generel Dokumentation til den Dataansvarlige

  1. Databehandleren er på skriftlig anmodning forpligtet til at fremsende en erklæring fra Databehandlerens ledelse om, at Databehandleren under sin behandling af personoplysninger på den Dataansvarliges vegne løbende sikrer overholdelse af sine forpligtelser efter denne Databehandleraftale.

Fysisk møde hos Databehandleren

  1. Databehandleren skal på skriftlig anmodning deltage i et fysisk møde hos Databehandleren eller den Dataansvarlige, hvorpå Databehandleren nærmere skal kunne redegøre for overholdelsen, samt hvordan overholdelsen sikres. Anmodning om møde skal ske med mindst 21 dages varsel.

Audit

  1. Databehandleren skal på skriftlig anmodning bidrage til og give adgang til audit.
  2. Audit skal foretages af en uafhængig tredjepart valgt af den Dataansvarlige og godkendt af Databehandleren. Databehandleren kan ikke afvise en foreslået tredjepart uden rimelig begrundelse. Den uafhængige tredjepart skal tiltræde en sædvanlig fortrolighedserklæring overfor Databehandleren. Anmodning om audit skal ske med mindst 7 dages varsel.
  3. Databehandleren har krav på betaling efter medgået tid og forbrugte materialer for bistand i medfør af dette punkt 3, med mindre andet følger af bilag 4 eller punkt 9.2 i Databehandleraftalen.

Øvrigt

  1. Ovenstående punkter skal ikke anses for udtømmende, og Databehandleren er derfor forpligtet til at foretage sådanne yderligere handlinger og tiltag, som er nødvendige for demonstration af Databehandlerens forpligtelse efter punkt 4 i Databehandleraftalen.
  2. Databehandleren er ikke forpligtet til at følge en anmodning fra den Dataansvarlige i henhold til dette bilag 3 hvis anmodningen strider mod den persondataretlige regulering. Databehandleren skal underrette den Dataansvarlige i det omfang, det er Databehandlerens vurdering, at dette er tilfældet.

Bilag 4 / Den Dataansvarliges forpligtelser

1 Forpligtelser

  1. Den Dataansvarlige har følgende forpligtelser
    1. At sikre sig, at Instruksen er lovlig set i forhold til den til enhver tid gældende persondataretlige regulering
    2. At sikre sig, at instruksen er hensigtsmæssig set i forhold til denne Databehandleraftale og Hovedydelsen.
    3. At foretage mindst én årlig manuel kontrol af Grant systemets automatiske fjernelse af personhenførbare data i ansøgerhistorikken jævnfor beskrivelsen heraf i Bilag 2, pkt.1.4 a) og b).

    Anbefalede praksis: 6 tilfældigt udvalgte journal numre fra hver af kategorierne;

    1. afviste ansøgninger der blev sagsbehandlet i perioden fra det valgte kontroltidspunkt og op til 12 mdr. før kontrol tidspunktet (0 – 12 mdr. gamle afviste ansøgninger)
    2. imødekomne ansøgninger der har passeret 5 års opbevaringstid og op til 12 mdr. herefter (ansøgninger der blev imødekommet i en periode på 5-6 år før det valgte kontroltidspunkt)

    kontrolleres for fjernelse af alle personhenførbare data jævnfør beskrivelsen heraf i Bilag 2, pkt.1.4 a) og b).
    Fjernelse af ubehandlede ansøgninger 15 mdr. efter modtagelse (bilag 2 pkt. 1.4 c) kontrolleres ved 1 gang årligt at sætte systemets visning af ansøgninger til intervallet 15-27 mdr. før kontroltidspunktet. Herefter kontrolleres på alle ansøgningers statusikon, at afsluttende behandling har fundet sted.

Øvrige forhold

  1. Overholdelse af den til enhver tid gældende persondataretlige regulering forudsætter at ansøgerinformation der tilgår systemet bliver i systemet. Det er derfor afgørende, at brugere (dataansvarlige) undlader at gemme ansøgerdata fra systemet, eksempelvis PDF fil med projektbeskrivelse, på eksterne medier, herunder at videresende ansøgerdata, eksempelvis som e-mails, uagtet om modtager er en anden bruger af systemet.
  2. Såfremt dataansvarlige benytter systemets mulighed for at generere PDF oversigter, er det dataansvarliges pligt at slette oversigterne fra systemet, såfremt a) de indeholder personhenførbare data og b) når dataansvarliges legitime interesse i at beholde data ikke længere er gældende (efter 5 år for imødekomne ansøgninger).
    Forslag til praksis: Hvis dataansvarlige eksempelvis genererer beslutningsoversigter over tildelinger efter afholdte bestyrelsesmøder, placeres PDF filerne i systemets dokumentarkiv i mapper angivet årstal. Derved er det nemt at holde overblik og slette sådanne PDF filer rettidigt.
  3. Grant fondsadministrationssystemets produktvarianter der inkluderer kommentar- eller dialog felt (fremgår af købsaftalen), forudsætter overholdelse af den til enhver tid gældende persondataretlige regulering, at brugerne undlader at skrive personhenførbare informationer i kommentarfeltet, da kommentarer bevares i ansøgerhistorikken jævnfør Bilag 2 pkt. 1.4.

Bilag 5 / Underdatabehandlere

Generelt

  1. Den Dataansvarlige giver hermed sin godkendelse til, at Databehandleren anvender følgende Underdatabehandlere:

    Hosting af cloud-løsning:
    Microsoft Corporation
    One Microsoft Way
    Redmond, WA 98052-7329
    USA

    Bruger identifikation via NemID:
    Nets Danmark A/S
    Lautrupbjerg 10
    2750 Ballerup

    Håndtering af e-mails til ansøgere og mellem fondens administratorer og Grant ApS:
    Google LLC
    1600 Amphittheatre Parkway
    Mountain View, CA 94043
    USA

    Håndtering af kundehenvendelser via e-mail til support@grantone.dk:
    Zendesk
    1019 Market St
    San Francisco, CA 94103
    USA

    Fakturering af fonden:
    Visma e-conomic A/S
    Langebrogade 1
    1411 København K
    Danmark

    Håndtering af e-mails til fondens ansøgere samt fondens administratorer angående systemopdateringer og -udbygninger:
    The Rocket Science Group LLC
    75 Ponce de Leon Ave NE
    Suite 5000
    Atlanta, GA 30308
    USA

    For fonde som har indgået aftale med Danske Bank A/S, om at afgive betalingsinstrukser gennem GrantOne, videregives betalingsrelevante data til:
    Danske Bank A/S
    Holmens Kanal 2-12
    1092 København K
    Danmark

  1. Den Dataansvarlige meddeler med Databehandleraftalen sin forudgående generelle skriftlige godkendelse til, at Databehandleren kan gøre brug af andre Underdatabehandlere, forudsat at disse lever op til samme sikkerheds og privacy standarder, herunder Databeskyttelsesforordningen og hvor relevant, US-EU Privacy Shield Framework.

Bilag 6 / Dataopbevaring

Generelt

  1. Databehandleren er underlagt kravene i databeskyttelseslovgivningen i Det Europæiske Økonomiske Samarbejdsområde og Schweiz vedrørende opbevaring af data fra Det Europæiske Økonomiske Samarbejdsområde og Schweiz.
  2. Ovenstående pkt.1.1 gælder dataopbevaring ”in rest” såvel som ”in transit”
  3. Grants aftale med Microsoft Azure sikrer, at data udelukkende opbevares på servere i EU.