Databehandleraftale
1. Parter, omfang og status
Denne aftale fastlægger vilkår for databehandling mellem den erhvervskunde, der er angivet i en OrsunPay-tjenesteaftale (“Kunden”), og Orsun Tech OÜ, registreringsnummer 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia (“OrsunPay”). Den bliver kun bindende, når den indgår i en aftale accepteret af begge parter, og dens behandlings- og sikkerhedsbilag er udfyldt.
For den behandling, der omfattes her, fastlægger Kunden formålene og de væsentlige hjælpemidler, og OrsunPay behandler personoplysninger på Kundens vegne. Hvis Kunden selv er databehandler, skal Kunden have den dataansvarliges bemyndigelse til at udpege OrsunPay. Behandling til OrsunPays egne formål vedrørende websted, forretningskontakter og kontoadministration er beskrevet i privatlivsmeddelelse.
“Personoplysninger”, “dataansvarlig”, “databehandler” og beslægtede begreber har den betydning, der følger af gældende databeskyttelseslovgivning, herunder GDPR, hvor den finder anvendelse. Denne databehandleraftale har forrang for modstridende tjenestevilkår om den behandling, den omfatter. Obligatoriske overførselsklausuler har forrang, hvor de finder anvendelse.
2. Beskrivelse af behandlingen
| Punkt | Behandlingens omfang |
|---|---|
| Genstand | Personoplysninger, der håndteres via Kundens aftalte betalingsorkestreringstjenester og tilknyttet support. |
| Behandlingens karakter | Modtagelse, registrering, organisering, genfinding, overførsel og visning af registreringer; udførelse af routing- og driftsinstrukser; fejlfinding samt tilbagelevering eller sletning af data. |
| Formål | Drive konfigurerede betalingsforløb, udveksle oplysninger med valgte udbydere, vedligeholde transaktions- og webhookregistreringer, give autoriseret adgang og undersøge tjenesteproblemer. |
| Registrerede personer | Kundens købere og øvrige betalingsdeltagere samt Kundens autoriserede brugere eller repræsentanter, når behandlingen sker efter Kundens instrukser. |
| Datakategorier | Kunde- og transaktionsreferencer, kontaktoplysninger, når de oplyses, beløb og valutaer, betalings- og refusionsstatusser, udbyderreferencer, tokeniserede eller maskerede oplysninger om betalingsmetoder, tekniske forbindelsesdata og relevant supportmateriale. Det endelige bilag skal afspejle den faktiske integration. |
| Varighed og hyppighed | Under brugen af tjenesten og i den aftalte periode for tilbagelevering eller sletning. Løbende eller hændelsesbaseret behandling afhængigt af de anvendte funktioner. |
| Følsomme oplysninger | Særlige kategorier af personoplysninger, oplysninger om strafbare forhold og fulde betalingslegitimationsoplysninger falder uden for denne generelle beskrivelse, medmindre et særskilt skriftligt omfang og passende kontrolforanstaltninger udtrykkeligt omfatter dem. |
3. Instrukser og Kundens ansvar
Tjenesteaftalen, udfyldte bilag, autoriserede indstillinger og dokumenterede API-anmodninger udgør Kundens instrukser. OrsunPay behandler kun omfattede data efter disse instrukser, herunder instrukser om overførsler, medmindre gældende lovgivning kræver andet. OrsunPay informerer Kunden om et lovkrav inden behandlingen, medmindre loven forbyder sådan information.
Kunden skal give lovlige instrukser, nødvendige privatlivsoplysninger og et gyldigt grundlag for den indsamling og behandling, Kunden anmoder om. Kunden skal begrænse de leverede data til det, tjenesten har brug for, og opretholde passende kontorettigheder. OrsunPay informerer Kunden, hvis en instruks efter OrsunPays vurdering strider mod gældende databeskyttelseslovgivning, og kan sætte den berørte behandling på pause, mens problemet løses.
4. Fortrolighed og sikkerhed
OrsunPay begrænser adgang til autoriserede personer, der har behov for den for at levere tjenesten, og sikrer, at de er underlagt fortrolighedsforpligtelser. OrsunPay opretholder tekniske og organisatoriske foranstaltninger, der passer til dataenes karakter og behandlingens risici.
Sikkerhedsbilaget skal dokumentere adgangskontrol, godkendelse, krypteringsordninger, adskillelse af kundemiljøer, logning, hændelseshåndtering, sikkerhedskopiering og gendannelse, sletning og processen for vurdering af disse foranstaltninger. Det skal skelne mellem implementerede og planlagte kontrolforanstaltninger og identificere det relevante tjenesteomfang. Offentliggørelse af denne aftale indebærer ikke i sig selv nogen revisionscertificering eller sikkerhedsattestering.
5. Underdatabehandlere
OrsunPay må kun udpege underdatabehandlere med Kundens forudgående specifikke eller generelle skriftlige godkendelse. Det endelige godkendte bilag identificerer den juridiske enhed, funktionen og relevante behandlingssteder. Vores leverandørregister er supplerende information og omfatter webstedsleverandører og ordninger under vurdering. Optagelse er ikke i sig selv en kundegodkendelse.
Ved generel godkendelse giver OrsunPay forudgående skriftlig meddelelse om påtænkte tilføjelser eller udskiftninger og giver Kunden en reel mulighed for at gøre indsigelse af databeskyttelsesgrunde, før den nye behandling starter. Det underskrevne bilag skal angive varslingsperiode, leveringskanal og løsningsprocedure. Hvis en indsigelse ikke kan løses, aftaler parterne et lovligt alternativ eller afslutter den berørte tjeneste i henhold til deres kontrakt.
OrsunPay pålægger hver underdatabehandler de gældende databeskyttelsesforpligtelser ved kontrakt og forbliver ansvarlig for underdatabehandlerens opfyldelse af disse forpligtelser som krævet ved lov.
6. Bistand og brud på persondatasikkerheden
Under hensyntagen til behandlingen og de oplysninger, OrsunPay har til rådighed, bistår OrsunPay Kunden med anmodninger om registreredes rettigheder, sikkerhedsforpligtelser, konsekvensanalyser og høring af kompetente myndigheder. Modtager OrsunPay en anmodning vedrørende Kundens data, underrettes Kunden, og OrsunPay besvarer den ikke indholdsmæssigt, medmindre det sker efter instruks eller er påkrævet ved lov.
OrsunPay underretter Kunden uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører omfattede data. Tilgængelige oplysninger beskriver hændelsen, berørte data og personer, sandsynlige konsekvenser, afhjælpning og en kontakt til opfølgning. Oplysninger kan leveres i etaper, efterhånden som undersøgelsen skrider frem. OrsunPay samarbejder om Kundens reaktion. Kunden er fortsat ansvarlig for de underretninger, Kunden er retligt ansvarlig for.
7. Internationale overførsler
Før behandlingen indebærer en overførsel, der er underlagt begrænsninger, skal parterne identificere eksportør, importør, destinationer og en passende overførselsmekanisme. Hvor relevant omfatter dette en gældende tilstrækkelighedsafgørelse eller udfyldte standardkontraktbestemmelser med det korrekte modul, bilag og supplerende foranstaltninger. Krav fra Storbritannien eller Schweiz skal håndteres, når de finder anvendelse.
Et link til en leverandørs databehandleraftale færdiggør ikke i sig selv Kundens overførselsdokumentation. Det underskrevne bilag skal omfatte de faktiske ordninger, herunder fjernadgang og videreoverførsler.
8. Tilbagelevering, sletning og opbevaring
Ved behandlingens ophør tilbageleverer eller sletter OrsunPay efter Kundens valg de omfattede personoplysninger og sletter resterende kopier, medmindre gældende lov kræver opbevaring. Parterne skal aftale eksportformat, anmodningsproces, gennemførelsesfrist og sikkerhedskopiers udløb i behandlingsbilaget.
Hvor opbevaring er lovpligtig, identificerer OrsunPay kravet, hvor det er tilladt, begrænser de opbevarede data til dette formål og sletter dem, når forpligtelsen ophører. Sikkerhedskopier, der afventer planlagt udløb, skal forblive beskyttede og utilgængelige til almindelig brug. OrsunPay bekræfter gennemførelsen efter anmodning.
9. Oplysninger og revisioner
OrsunPay stiller de oplysninger til rådighed, der er nødvendige for at dokumentere overholdelse af sine databehandlerforpligtelser, og tillader og bidrager til revisioner, herunder inspektioner foretaget af Kunden eller dennes bemyndigede revisor. Parterne koordinerer rimeligt varsel, fortrolighed og foranstaltninger til beskyttelse af andre kunders oplysninger. Praktiske ordninger må ikke forhindre en revision, der kræves ved lov eller af en kompetent myndighed.
10. Færdiggørelse af aftalen
Før underskrift skal parterne færdiggøre tjenestespecifikke datakategorier, behandlingssteder, godkendte underdatabehandlere, overførselsdokumenter, sikkerhedsforanstaltninger, opbevarings- og tilbageleveringsordninger, underretningskontakter og proceduren for leverandørændringer. Bestemmelser om ansvar og lovvalg følger den underskrevne tjenesteaftale i det omfang, det er lovligt. Intet her fjerner en persons lovbestemte rettigheder. Henvendelser om kontrakt og databehandleraftale kan indsendes via Kontakt.