Databehandleraftale

Indgåelse af databehandleraftale med Onlime if. persondataforordningen (GDPR)

Vi tilbyder en databehandleraftale (åben her) til virksomheder eller organisationer, der behandler personoplysninger og hertil bruger en Onlime erhvervskonto. Jvf. persondataforordningens artikel 4 forstås du som dataansvarlig og vi som databehandler, idet vi udelukkende behandler data efter instruks fra dig i kraft af, at du eller erhvervskontoens brugere, benytter tjenesten til at opbevare filer.

Vi tilbyder én generel databehandleraftale, da vores behandling er ens for alle brugere af vores tjeneste. Databehandleraftalen er et bilag til vores brugerbetingelser og udgør en integreret del heraf.

Databehandleraftalen indgåes af en person (DPO hvis denne er udpeget – læs mere her) på vegne af en organisation eller virksomhed.

  1. Underskriv databehandleraftalen
  2. Send den til privacy@onlime.dk
  3. Vi reviderer aftalen og godkender den endeligt

Har du spørgsmål,  er du velkommen til at kontakte os.

Spørgsmål & svar om databehandleraftale

Hvad er persondataforordningen?
Ifølge EU's forordning om persondata, skal man som virksomhed pr. 25. Maj 2018 efterleve forskellige krav, når der behandles persondata. Man skal bl.a. forholde sig til:

  • Hvilke data der behandles.
  • Hvor data behandles - fysisk og af hvilke parter.
  • Hvem der har adgang til disse data.
  • Hvordan disse data beskyttes

Derudover sikrer forordningen, at almindelige internet-brugere har bedre rettigheder, bl.a. i forhold til at:

  • Få indsigt i hvile data en virksomhed/organisation har om en
  • Hvordan disse bruges.
  • Få slettet eller udleveret data.
  • Få kontrol over hvilke data man videregiver.

Læs mere her:  https://www.datatilsynet.dk/hvad-siger-reglerne/vejledning

Hvornår skal man benytte en databehandleraftale?
En databehandleraftale skal indgås mellem organisationer eller virksomheder og de 3. parter eller underdatabehandlere, man måtte bruge til behandling af persondata.

Ejer man eksempelvis en hjemmeside med en kontaktformular, sker der en databehandling, da datasubjektet (eks. en kunde) opgiver sine kontaktoplysninger. Dermed skal der indgås en databehandleraftale med hosting-udbyderen af hjemmesiden da persondata behandles og opbevares på deres servere.

Hvad er persondata
Persondata betegner enhver form for information om en identificeret eller identificerbar person. Dette kan være almindelige kontaktinformationer så som navn, e-mail, adresse, stilling, CV, kontonummer osv.

Særligt følsomme personoplysninger er informationer om eks. en persons helbred og seksuel, politisk og religiøs orientering.

Om den digitale sikkerhed hos Onlime

Læs mere herunder hvordan vi løbende beskytter persondata ifølge de krav og forpligtelser, der fremgår i vores persondatapolitik og databehandleraftale.

Onlime følger principperne for behandling af personoplysninger i GDPR og persondataloven, og har implementeret en databeskyttelsesstrategi for at sikre overholdelse af GDPR.

Al behandling af personoplysninger vurderes og revideres løbende i forhold til disse sikkerhedsprincipper, for at minimere risikoen for de registreredes rettigheder.

Sikkerhedsbrud, der berører registrerede personers persondata, meddeles via e-mail eller Onlimes direkte beskedsystem.

Har du spørgsmål til vores DPO? Skriv til privacy@onlime.dk

Incident Response Plan

  • Vi har implementeret en formel procedure for sikkerhedshændelser og har uddannet alle vores medarbejdere i vores politikker.
  • Når sikkerhedshændelser opdages, eskaleres de til vores nødalias, teams søges, underrettes og samles for hurtigt at håndtere hændelsen.
  • Efter at en sikkerhedshændelse er rettet, skriver vi en post mortem analyse.
  • Analysen gennemgås personligt, fordelt på tværs af virksomheden og inkluderer handlingspunkter, der vil gøre opdagelsen og forebyggelsen af en lignende begivenhed lettere i fremtiden.

Bedste praksis

  • Vi udvikler Onlime med fokus på at minimere personhenførbar dataindsamling
  • Vi udvikler funktioner, der så fremt det er muligt, benytter maskinelæring på fysiske enheder fremfor på vore servere.
  • Vi benytter ikke personhenførbar brugerdata til at udvikle funktioner i tjenesten eller til andre formål, end dem brugeren giver eksplicit samtykke til.

Build Process Automation

  • Vi har en fungerende, hyppigt brugt automatisering på plads, så vi sikkert og pålideligt kan implementere ændringer til både vores applikation og driftsplatform inden for få minutter.
  • Vi implementerer typisk kode flere gange om dagen, så vi har stor tillid til, at vi hurtigt kan få en sikkerhedsrettelse ud, når det er nødvendigt.

Infrastruktur

  • Alle vores tjenester kører i eget datacenter. Vi benytter egne routere, load balancere og fysiske servere.
  • Vi bruger både vores egne interne DNS-servere og eksterne DNS-servere.
  • Vores datacentre er placeret i Norge hos Green Mountain SVG1 - Rennesøy der er certificeret med i.a. ISO/IEC 27001:2013 – Information Security Management System. Onlime-tjenester bliver bygget med afsæt i katastrofegendannelse.
  • Alle vores servere er inden for vores eget private netværk med netværksadgangskontrollister (ACL'er), der forhindrer uautoriserede anmodninger i at komme til vores interne netværk.

Serviceniveauer

  • Vores oppetid er 99,9 % eller højere.
  • Alle filer overført til tjenesten opbevares i Norge.
  • Vi har ikke individuelt datalager for hver kunde. Der findes dog strenge fortrolighedskontroller i vores applikationskode for at sikre databeskyttelse og forhindre en kunde i at få adgang til en anden kundes data.
  • Alle data er krypteret i hvile på serveren

Dataoverførsel

  • Alle data, der sendes til eller fra Onlime, krypteres under transit ved hjælp af 256 bit kryptering.
  • Vores API- og applikationsendepunkter er kun TLS/SSL og får en "A+"-bedømmelse på SSL Labs' test. Det betyder, at vi kun bruger stærke krypteringspakker og har funktioner som HSTS og Perfect Forward Secrecy fuldt aktiveret.

Godkendelse

  • Onlime tjenesten leveres 100 % over https.
  • Vi har to-faktor autentificering (2FA) og stærke adgangskodepolitikker for at sikre, at adgangen til skytjenester er beskyttet.

Tilladelser og adgangsstyring

  • Onlime gør det muligt at indstille tilladelsesniveauer for alle kundens slutbrugere med adgang til Onlime-administrationsværktøjer.
  • Vi begrænser adgangen til personoplysningerne til kun de medarbejdere, der har et tjenstligt behov for det, og som har underskrevet fortrolighedserklæringer.

Applikationsovervågning

  • På applikationsniveau producerer vi revisionslogs for al aktivitet
  • Al adgang til Onlime-applikationer logges og revideres

Overholdelse

  • Vi indgår skriftlige underdatabehandleraftaler med alle vores underdatabehandlere.
  • Vi sikrer os, at eventuelle overførsler af personoplysninger til tredjelande sker i overensstemmelse med de gældende regler om beskyttelse af personoplysninger, enten ved at anvende standardkontraktbestemmelser eller ved at vælge modtagere, der er certificeret under EU-US Data Privacy Framework.
  • Vi uddanner løbende vores medarbejdere i de gældende regler om beskyttelse af personoplysninger og i vores interne politikker og procedurer.
  • Vi gennemfører regelmæssige revisioner af vores systemer og processer for at sikre deres effektivitet og konformitet.

PCI-forpligtelser

Onlime er ikke underlagt PCI-forpligtelser. Al behandling af betalingsinstrumenter er håndteres af vores eksterne betalingsindløser.