Databehandleraftale

Indgåelse af databehandleraftale med Onlime if. persondataforordningen (GDPR)

Vi tilbyder en Hent databehandleraftalen (PDF) til virksomheder eller organisationer, der behandler personoplysninger og hertil bruger en Onlime erhvervskonto. Jvf. persondataforordningens artikel 4 forstås du som dataansvarlig og vi som databehandler, idet vi udelukkende behandler data efter instruks fra dig i kraft af, at du eller erhvervskontoens brugere, benytter tjenesten til at opbevare filer.

Vi tilbyder én generel databehandleraftale, da vores behandling er ens for alle brugere af vores tjeneste. Databehandleraftalen er et bilag til vores brugerbetingelser og udgør en integreret del heraf.

Sådan indgår du aftalen

Databehandleraftalen indgåes af en person (DPO hvis denne er udpeget – læs mere her) på vegne af en organisation eller virksomhed.

1. Underskriv databehandleraftalen
2. Send den til privacy@onlime.dk
3. Vi reviderer aftalen og godkender den endeligt

Har du spørgsmål,  er du velkommen til at kontakte os.

Spørgsmål & svar om databehandleraftale

Hvad er persondataforordningen?

Ifølge EU’s forordning om persondata, skal man som virksomhed pr. 25. Maj 2018 efterleve forskellige krav, når der behandles persondata. Man skal bl.a. forholde sig til:

• Hvilke data der behandles.
• Hvor data behandles - fysisk og af hvilke parter.
• Hvem der har adgang til disse data.
• Hvordan disse data beskyttes

Derudover sikrer forordningen, at almindelige internet-brugere har bedre rettigheder, bl.a. i forhold til at:

• Få indsigt i hvile data en virksomhed/organisation har om en
• Hvordan disse bruges.
• Få slettet eller udleveret data.
• Få kontrol over hvilke data man videregiver.

Læs mere her:  https://www.datatilsynet.dk/hvad-siger-reglerne/vejledning

Hvornår skal man benytte en databehandleraftale?

En databehandleraftale skal indgås mellem organisationer eller virksomheder og de 3. parter eller underdatabehandlere, man måtte bruge til behandling af persondata.

Ejer man eksempelvis en hjemmeside med en kontaktformular, sker der en databehandling, da datasubjektet (eks. en kunde) opgiver sine kontaktoplysninger. Dermed skal der indgås en databehandleraftale med hosting-udbyderen af hjemmesiden da persondata behandles og opbevares på deres servere.

Hvad er persondata

Persondata betegner enhver form for information om en identificeret eller identificerbar person. Dette kan være almindelige kontaktinformationer så som navn, e-mail, adresse, stilling, CV, kontonummer osv.

Særligt følsomme personoplysninger er informationer om eks. en persons helbred og seksuel, politisk og religiøs orientering.

Om den digitale sikkerhed hos Onlime

Læs mere herunder hvordan vi løbende beskytter persondata ifølge de krav og forpligtelser, der fremgår i vores persondatapolitik og databehandleraftale.

Onlime følger principperne for behandling af personoplysninger i GDPR og persondataloven, og har implementeret en databeskyttelsesstrategi for at sikre overholdelse af GDPR.

Al behandling af personoplysninger vurderes og revideres løbende i forhold til disse sikkerhedsprincipper, for at minimere risikoen for de registreredes rettigheder.

Sikkerhedsbrud, der berører registrerede personers persondata, meddeles via e-mail eller Onlimes direkte beskedsystem.

Har du spørgsmål til vores databeskyttelsesansvarlige? Skriv til privacy@onlime.dk

Certificeringer

Onlime anvender datacenter SVG-Rennesøy, drevet af Green Mountain AS, der varetager omfattende fysiske og virtuelle sikkerhedsforanstaltninger for Tjenesten. Green Mountain AS er certificeret under følgende ISO-standarder:

• ISO 9001:2015 – Quality Management System
• ISO 14001:2015 – Environmental Management System
• ISO/IEC 27001:2022 – Information Security Management System
• ISO 45001:2018 – Occupational Health and Safety Management
• ISO 50001:2018 – Energy Management System

Dertil er datacenter SVG-Rennesøy certificeret TIER III datacenter, der stiller højre krav til oppetid, konstruktion, infrastruktur med henblik på modstandsdygtighed over for driftsforstyrrelser.

Incident Response Plan

• Vi har implementeret en formel procedure for sikkerhedshændelser og har uddannet alle vores medarbejdere i vores politikker.
• Når sikkerhedshændelser opdages, eskaleres de til vores nødalias, teams søges, underrettes og samles for hurtigt at håndtere hændelsen.
• Efter at en sikkerhedshændelse er rettet, skriver vi en post mortem analyse.
• Analysen gennemgås personligt, fordelt på tværs af virksomheden og inkluderer handlingspunkter, der vil gøre opdagelsen og forebyggelsen af en lignende begivenhed lettere i fremtiden.

Bedste praksis

• Vi udvikler Onlime med fokus på at minimere personhenførbar dataindsamling
• Vi udvikler funktioner, der så fremt det er muligt, benytter maskinelæring på fysiske enheder fremfor på vore servere.
• Vi benytter ikke personhenførbar brugerdata til at udvikle funktioner i tjenesten eller til andre formål, end dem brugeren giver eksplicit samtykke til.

Build Process Automation

• Vi har en fungerende, hyppigt brugt automatisering på plads, så vi sikkert og pålideligt kan implementere ændringer til både vores applikation og driftsplatform inden for få minutter.
• Vi implementerer typisk kode flere gange om dagen, så vi har stor tillid til, at vi hurtigt kan få en sikkerhedsrettelse ud, når det er nødvendigt.

Infrastruktur

• Dine filer og de systemer, der opbevarer dem, driftes på dedikeret infrastruktur i et norsk datacenter. Der indgår hverken public cloud eller amerikanske underleverandører i selve fillagringen.
• Ud over selve fillagringen indgår der tjenester med amerikansk ejerskab i dele af Tjenesten, blandt andet vores support-chat. Du kan få oplyst den aktuelle liste ved at skrive til kundeservice@onlime.dk; de tjenester, der sætter noget i din browser, er beskrevet i vores persondata- og cookiepolitik.
• Vi bruger både vores egne interne DNS-servere og eksterne DNS-servere.
• Vores datacentre er placeret i Norge hos Green Mountain SVG1 - Rennesøy der er certificeret med i.a. ISO/IEC 27001:2022 – Information Security Management System. Onlime-tjenester bliver bygget med afsæt i katastrofegendannelse.
• Alle vores servere er inden for vores eget private netværk med netværksadgangskontrollister (ACL’er), der forhindrer uautoriserede anmodninger i at komme til vores interne netværk.

Serviceniveauer

• Vores oppetid er 99,9 % eller højere.
• Alle filer overført til tjenesten opbevares i Norge.
• Vi har ikke individuelt datalager for hver kunde. Der findes dog strenge fortrolighedskontroller i vores applikationskode for at sikre databeskyttelse og forhindre en kunde i at få adgang til en anden kundes data.
• Alle data er krypteret i hvile på serveren

Dataoverførsel

• Alle data, der sendes til eller fra Onlime, krypteres under transit ved hjælp af 256 bit kryptering.
• Vores API- og applikationsendepunkter er kun TLS/SSL og får en “A+“-bedømmelse på SSL Labs’ test. Det betyder, at vi kun bruger stærke krypteringspakker og har funktioner som HSTS og Perfect Forward Secrecy fuldt aktiveret.

Godkendelse

• Onlime tjenesten leveres 100 % over https.
• Vi har to-faktor autentificering (2FA) og stærke adgangskodepolitikker for at sikre, at adgangen til skytjenester er beskyttet.

Tilladelser og adgangsstyring

• Onlime gør det muligt at indstille tilladelsesniveauer for alle kundens slutbrugere med adgang til Onlime-administrationsværktøjer.
• Vi begrænser adgangen til personoplysningerne til kun de medarbejdere, der har et tjenstligt behov for det, og som har underskrevet fortrolighedserklæringer.

Applikationsovervågning

• På applikationsniveau producerer vi revisionslogs for al aktivitet
• Al adgang til Onlime-applikationer logges og revideres

Overholdelse

• Vi har et skriftligt aftalegrundlag med den leverandør, der driver fillagringen. Vi er i gang med at indgå formelle databehandleraftaler med vores øvrige underdatabehandlere. Du kan få oplyst status for en konkret underdatabehandler ved at skrive til kundeservice@onlime.dk.
• Vi sikrer os, at eventuelle overførsler af personoplysninger til tredjelande sker i overensstemmelse med de gældende regler om beskyttelse af personoplysninger, enten ved at anvende standardkontraktbestemmelser eller ved at vælge modtagere, der er certificeret under EU-US Data Privacy Framework.
• Vi uddanner løbende vores medarbejdere i de gældende regler om beskyttelse af personoplysninger og i vores interne politikker og procedurer.
• Vi gennemfører regelmæssige revisioner af vores systemer og processer for at sikre deres effektivitet og konformitet.

PCI-forpligtelser

Onlime er ikke underlagt PCI-forpligtelser. Al behandling af betalingsinstrumenter er håndteres af vores eksterne betalingsindløser.