Þessi vinnslusamningur ("Samningurinn") er gerður milli Viðskiptavinarins (ábyrgðaraðila — nafn fyrirtækis og CVR-númer skráð við stofnun) og WEAKESTLINK ApS (CVR 46614011), sem rekur weakestlink ("Þjónustuveitandinn", vinnsluaðili). Samningurinn er samþykktur með rafrænum hætti við stofnun reiknings og gildir um vinnslu Þjónustuveitandans á persónuupplýsingum fyrir hönd Viðskiptavinarins í tengslum við öryggisþjálfun og phishing-hermanir. Í málum er varða vinnslu persónuupplýsinga gengur Samningurinn framar viðskiptaskilmálunum; í öllum öðrum málum gilda viðskiptaskilmálarnir.

1. Efni og fyrirmæli

Þjónustuveitandinn vinnur persónuupplýsingar eingöngu samkvæmt skjalfestum fyrirmælum Viðskiptavinarins — þ.e. þessum Samningi með viðaukum og áframhaldandi notkun þjónustunnar (Viðauki A) — nema EES-réttur eða dönsk löggjöf krefjist annars; í því tilviki tilkynnir Þjónustuveitandinn Viðskiptavininum um kröfuna áður en vinnsla fer fram, nema lög banni það. Fyrirmælin ná einnig til þess að Þjónustuveitandanum er heimilt að útbúa tölfræði á ónafngreindu og samandregnu formi eins og lýst er í viðskiptaskilmálunum; eftir ónafngreiningu teljast upplýsingarnar ekki lengur persónuupplýsingar. Þjónustuveitandinn tilkynnir Viðskiptavininum ef fyrirmæli stangast, að mati Þjónustuveitandans, á við persónuverndarreglur, og flytur ekki upplýsingar til þriðju ríkja umfram það sem tilgreint er í Viðauka B án gilds flutningsgrundvallar.

2. Trúnaður

Þjónustuveitandinn tryggir að þeir sem hafa heimild til að vinna upplýsingarnar hafi skuldbundið sig til trúnaðar eða séu bundnir viðeigandi lögbundinni þagnarskyldu.

3. Öryggi (32. gr.)

Þjónustuveitandinn framkvæmir viðeigandi tæknilegar og skipulagslegar ráðstafanir (Viðauki C). Grundvallarregla er gagnalágmörkun: í phishing-hermunum er einungis skráð að atvik hafi átt sér stað (opnað/smellt/slegið inn), auk heita reita — aldrei þau gildi sem starfsmaður slær inn.

4. Undirvinnsluaðilar

Viðskiptavinurinn veitir almennt fyrirfram samþykki fyrir undirvinnsluaðilum sem taldir eru upp í Viðauka B. Þjónustuveitandinn leggur sömu persónuverndarskyldur á hvern undirvinnsluaðila og felast í þessum Samningi og tilkynnir fyrirhugaðar breytingar með tölvupósti með a.m.k. 30 daga fyrirvara, svo Viðskiptavinurinn geti gert athugasemdir. Sé ekki hægt að leysa athugasemd með sanngjörnum hætti getur Viðskiptavinurinn sagt upp viðskiptasambandinu með gildistöku frá breytingunni. Þjónustuveitandinn ber áfram fulla ábyrgð á að undirvinnsluaðilar fari að reglum.

5. Aðstoð við Viðskiptavininn

Þjónustuveitandinn aðstoðar, með hliðsjón af eðli vinnslunnar og með viðeigandi tæknilegum og skipulagslegum ráðstöfunum, Viðskiptavininn við að svara beiðnum um réttindi skráðra einstaklinga (12.–23. gr.) og við skyldur Viðskiptavinarins samkvæmt 32.–36. gr. (öryggi, tilkynningu um brot, mat á áhrifum og fyrirframsamráð). Þjónustan inniheldur tilbúið hagsmunamat og gagnsæistexta fyrir starfsmenn sem Viðskiptavinurinn getur notað beint. Aðstoð sem gengur verulega lengra en það sem venjulega felst í þjónustunni má rukka fyrir eftir tímanotkun á sanngjörnu verði.

6. Brot á öryggi persónuupplýsinga

Þjónustuveitandinn tilkynnir Viðskiptavininum án ótilhlýðilegrar tafar og eigi síðar en 48 klukkustundum eftir að hafa fengið vitneskju um brot sem varðar upplýsingar Viðskiptavinarins — með lýsingu á eðli brotsins, þeim flokkum og áætluðum fjölda skráðra einstaklinga sem málið varðar, líklegum afleiðingum og gerðum eða fyrirhuguðum ráðstöfunum. Mat á því hvort tilkynna beri brotið til Datatilsynet (72 klukkustunda fresturinn) hvílir á Viðskiptavininum sem ábyrgðaraðila.

7. Eyðing og afhending

Við lok Samningsins skal Þjónustuveitandi, að vali Viðskiptavinar, eyða öllum persónuupplýsingum eða skila þeim. Skil fara fram sem skipulagður, algengur og tölvulesanlegur útdráttur (t.d. CSV). Tilkynni Viðskiptavinur ekki um val sitt í síðasta lagi við samningslok er upplýsingunum eytt. Segi Viðskiptavinur upp er persónuupplýsingum eytt 30 dögum eftir uppsögn, eða strax ef Viðskiptavinur óskar þess; fram að því getur Viðskiptavinur dregið uppsögnina til baka og sótt útdráttinn. Eyðing fer í öllum tilvikum fram eigi síðar en 90 dögum eftir samningslok og er endanleg; ljúki viðskiptasambandinu vegna þess að reikningurinn hefur verið í takmörkuðu ástandi (sjá 4. kafla viðskiptaskilmálanna) er eyðingin tilkynnt með tölvupósti a.m.k. 30 dögum fyrir fram og getur Viðskiptavinur allt fram að eyðingu valið skil. Persónuupplýsingum í öryggisafritum er eytt við reglubundna endurnýjun afritanna, eigi síðar en 90 dögum eftir eyðingu í framleiðsluumhverfinu. Upplýsingar sem lög krefjast að séu varðveittar (t.d. bókhaldsgögn) eru aðeins varðveittar meðan sú skylda varir.

8. Endurskoðun og eftirlit

Þjónustuveitandinn gerir Viðskiptavininum aðgengilegar allar upplýsingar sem nauðsynlegar eru til að sýna fram á að farið sé að 28. gr., og gerir Viðskiptavininum eða endurskoðanda á hans vegum kleift að framkvæma úttektir, þ.m.t. vettvangsskoðanir, og aðstoðar við þær. Gildandi öryggislýsingar og skýrslur geta komið í stað eiginlegrar vettvangsskoðunar þar sem það telst sanngjarnt. Vettvangsskoðun fer fram með sanngjörnum fyrirvara, að hámarki einu sinni á ári — nema brot eða krafa frá yfirvöldum gefi sérstakt tilefni til annars — og á kostnað Viðskiptavinarins.

9. Gildistími og lok

Samningurinn gildir svo lengi sem Þjónustuveitandinn vinnur persónuupplýsingar fyrir hönd Viðskiptavinarins og fellur sjálfkrafa úr gildi þegar viðskiptasambandinu lýkur — þar á meðal þegar viðskiptasamband telst hafa runnið sitt skeið vegna langvarandi takmarkaðs ástands, sbr. viðskiptaskilmálana — en þá gildir 7. kafli.

10. Ábyrgð og lagaval

Gagnvart skráðum einstaklingum fer ábyrgð samningsaðila eftir 82. gr. persónuverndarreglugerðarinnar. Í innbyrðis samskiptum aðila gildir ábyrgðarákvæði viðskiptaskilmálanna, að því marki sem gildandi lög leyfa. Um Samninginn gilda dönsk lög og varnarþing er hið sama og tilgreint er í viðskiptaskilmálunum.

Viðauki A — Eðli vinnslunnar

Viðauki B — Undirvinnsluaðilar

Hýsing fer fram á eigin innviðum þjónustuveitanda í Danmörku. Hermunartölvupóstar eru sendir frá eigin kerfum þjónustuveitanda án frekari undirvinnsluaðila.

Til afmörkunar: AI-mótað þjálfunar- og hermunarefni er samið án notkunar persónuupplýsinga — AI-þjónustuveitandinn telst því ekki undirvinnsluaðili. Greiðsluvinnsla er í höndum QuickPay og Clearhaus sem sjálfstæðra ábyrgðaraðila (greiðslugáttar og færsluhirðis) og er lýst í persónuverndarstefnunni.

Viðauki C — Tæknilegar og skipulagslegar öryggisráðstafanir (art. 32)

• Aðgreining eftir viðskiptavinum (multi-tenancy): strangur aðskilnaður í hugbúnaðarlaginu; gögn eins viðskiptavinar eru óaðgengileg öðrum viðskiptavinum.
• Aðgangsstýring: hlutverkabundinn aðgangur (RBAC) samkvæmt reglunni um lágmarksréttindi; einstaklingsbundnir aðgangar; engin sameiginleg innskráning.
• Dulkóðun: TLS í flutningi; dulkóðun öryggisafrita.
• Lágmörkun gagna: hermanir vista aðeins atvik og heiti reita, aldrei innslegin gildi; skýrslur eru samandregnar (lágmarksstærð hóps, k ≥ 5) og einstaklingsniðurstöður eru takmarkaðar eftir hlutverki (aðeins kerfisstjóri; yfirmenn aðeins að vali Viðskiptavinar).
• Skráning og endurskoðun: atburðaskrá fyrir öryggistengdar aðgerðir; óbreytanlegt (append-only) endurskoðunarspor.
• Öryggishausar/CSP: ströng Content-Security-Policy og aðrir öryggishausar á öllum síðum.
• Viðbragðsáætlun: ferli við öryggisbrot með tilkynningu til viðskiptavinar innan 48 klukkustunda (kafli 6).
• Eyðing: sjálfvirkt ferli við samningslok — við uppsögn Viðskiptavinar er eytt 30 dögum eftir uppsögn (eða strax sé þess óskað); eftir takmarkað ástand er tilkynning send eftir 60 daga og eytt eftir 90 daga, aldrei án a.m.k. 30 daga fyrirvara; að öðru leyti eyðing/skil eigi síðar en 90 dögum eftir samningslok (7. kafli).

Ef þig vantar undirritað eintak fyrir þitt eigið skjalasafn, sendu tölvupóst á info@weakestlink.io.