Databehandleraftale for virksomheder

1. Parterne og aftalens formål

Denne aftale indgås mellem SoDigital (databehandler) og den virksomhed, der bruger platformen på ugc.sodigital.dk (dataansvarlig for egne oplysninger), og fastlægger rammerne for behandling af personoplysninger efter databeskyttelsesforordningens artikel 28.

Aftalen gælder fra det tidspunkt, virksomheden accepterer den ved første log-ind, og så længe virksomheden har adgang til platformen.

2. Rollefordeling

SoDigital er selvstændigt dataansvarlig for creators' profiloplysninger, honorarer og deres forhold til netværket. Det er ikke omfattet af denne aftale.

SoDigital er databehandler for de oplysninger, virksomheden selv lægger ind i platformen — fx kontaktpersoner, briefs, feedback, beskeder og materiale, som kan indeholde personoplysninger.

3. Instruks

SoDigital behandler kun oplysningerne efter virksomhedens instruks og udelukkende med det formål at drive platformen: oprette og administrere opgaver, formidle dem til creators, modtage leverancer og håndtere godkendelse og afregning.

SoDigital anvender ikke oplysningerne til egne formål, videresælger dem ikke og bruger dem ikke til at træne modeller eller til markedsføring.

4. Fortrolighed

Kun medarbejdere hos SoDigital, der har brug for adgang for at udføre deres arbejde, har adgang til oplysningerne. De er underlagt fortrolighed, og adgang til persondata logges.

5. Sikkerhed

SoDigital træffer passende tekniske og organisatoriske sikkerhedsforanstaltninger, herunder: kryptering af data under transport (HTTPS) og i hvile, rollebaseret adgangsstyring på rækkeniveau i databasen, adskilte adgange for creators, kunder og administratorer, logning af adgang til persondata, backup samt løbende opdatering af platformen.

Filer uploadet til platformen ligger i lukkede lagerområder, der kun kan nås gennem tidsbegrænsede, autoriserede links.

6. Underdatabehandlere

Virksomheden giver SoDigital generel godkendelse til at bruge de underdatabehandlere, der er listet nedenfor. Ændres listen, orienterer vi virksomheden i rimelig tid, så der er mulighed for at gøre indsigelse.

SoDigital indgår skriftlig aftale med hver underdatabehandler med mindst samme forpligtelser som i denne aftale, og hæfter for deres behandling.

7. Overførsel til tredjelande

Behandlingen sker primært inden for EU/EØS. Hvor en underdatabehandler behandler data uden for EU/EØS, sker det på et gyldigt overførselsgrundlag — EU-Kommissionens standardkontraktbestemmelser og, hvor relevant, EU-US Data Privacy Framework.

8. Bistand til den dataansvarlige

SoDigital bistår virksomheden med at opfylde forpligtelserne over for de berørte personer — indsigt, rettelse, sletning, begrænsning, dataportabilitet og indsigelse — samt med sikkerhed, anmeldelse af brud og eventuel konsekvensanalyse.

Anmodninger, som SoDigital modtager direkte fra virksomhedens medarbejdere eller kontakter, videresendes til virksomheden uden unødigt ophold.

9. Brud på persondatasikkerheden

SoDigital underretter virksomheden uden unødig forsinkelse og senest 48 timer efter at have konstateret et brud, der berører virksomhedens oplysninger, og oplyser om bruddets karakter, de berørte oplysninger, sandsynlige konsekvenser og de foranstaltninger, der er truffet.

10. Revision og dokumentation

SoDigital stiller på anmodning dokumentation til rådighed for, at aftalen overholdes, herunder fortegnelse over behandlingsaktiviteter og beskrivelse af sikkerhedsforanstaltninger. Virksomheden kan én gang årligt anmode om en revision, der gennemføres på en måde, som ikke forstyrrer driften unødigt.

11. Opbevaring, sletning og tilbagelevering

Ved aftalens ophør sletter eller tilbageleverer SoDigital efter virksomhedens valg de personoplysninger, der behandles på virksomhedens vegne, medmindre lovgivningen kræver fortsat opbevaring — fx bogføringslovens krav om 5 års opbevaring af regnskabsmateriale.

Platformen håndhæver derudover automatiske opbevaringsfrister, så oplysninger ikke gemmes længere end nødvendigt.

12. Ansvar og gældende ret

Aftalen er underlagt dansk ret. Parternes ansvar følger databeskyttelsesforordningens artikel 82 og den mellem parterne indgåede hovedaftale om levering af ydelser.

Bilag A — godkendte underdatabehandlere