Databehandleraftale

1. Parter, genstand og instruks

Denne aftale indgås mellem klinikken, hvis juridiske navn, CVR, adresse og kontakt er registreret under Klinikoplysninger (dataansvarlig), og Grip & Co ApS, CVR 45146219, Lone Kellermanns Vej 7, 3. mf., 2450 København SV (databehandler). Aftalen gælder fra klinikkens dokumenterede accept og så længe Grip & Co behandler oplysninger på dens vegne. Den går ved modstrid forud for almindelige handelsvilkår om persondatabehandling.

Instruksen omfatter drift af klinikkens PetChipJournal-adgang: indsamling, strukturering, opbevaring, visning, rettelse, udsendelse af ejerinformation, rettighedshåndtering, dokumenteret udlevering og sletning. Formålet er klinikkens kontakt, administration og lovlige journalarbejde. Klinikken bestemmer formål og lovligt grundlag. Grip & Co bruger ikke klinikkens oplysninger til reklame, produkttræning eller egne nye formål.

2. Oplysninger og registrerede

Registrerede er dyreejere, deres bemyndigede kontaktpersoner og klinikkens brugere. Oplysninger omfatter navn, e-mail, telefon, tilknytning til dyr, chipnummer og relevante journaloplysninger, forfatter, tidsstempler, brugeradgang, forespørgsler, valg ved ophør og afgørelser. CPR-numre og oplysninger om menneskers helbred skal ikke registreres i tjenesten. Klinikken sikrer, at nødvendige oplysninger holdes adskilt fra unødig fritekst.

Klinikken instruerer i adgang for sine godkendte brugere og i lovlig deling af relevant journalmateriale i kliniknetværket. Ejerens kontaktfelter forbliver afgrænset til klinikken. Modtagende klinikker er ansvarlige for egne opslag og egen viderebehandling. Hvis de faktiske formål eller beslutninger medfører fælles dataansvar, skal parterne etablere den nødvendige artikel 26-ordning før den pågældende behandling; denne aftale kan ikke ændre de faktiske roller.

3. Databehandlerens forpligtelser

Grip & Co handler kun efter dokumenterede instrukser, også om overførsel til tredjelande, medmindre lovgivning kræver andet; klinikken informeres i så fald forud, medmindre loven forbyder det. Grip & Co underretter straks klinikken, hvis en instruks efter virksomhedens vurdering strider mod databeskyttelsesreglerne, og afklarer forholdet før udførelse.

Personer med adgang skal være underlagt fortrolighed. Adgang begrænses efter arbejdsopgave og fjernes ved bortfald af behov. Grip & Co bistår under hensyn til behandlingens art og tilgængelige oplysninger klinikken med registreredes rettigheder, sikkerhed, vurderinger efter artikel 32–36, konsekvensanalyse og forudgående høring.

4. Sikkerhed

Foranstaltningerne omfatter HTTPS, hashning af adgangskoder og personlige tokens, tidsbegrænsede links, serverbaseret adgangskontrol, adskillelse af ejeroplysninger mellem klinikker, begrænset adgang til drift, revisionslog, beskyttelse mod gentagne forespørgsler, backup før ændringer og test med fiktive data. Testkonti har et særskilt demoområde. Udviklingsmiljøet må ikke indeholde rigtige ejer- eller journaldata.

Parterne vedligeholder passende procedurer for sikkerhedskopiering, gendannelse, rettighedskontrol, opdatering og hændelser efter risikoen. Databehandleren må ikke forringe beskyttelsen væsentligt uden forudgående afklaring med klinikken. Disse foranstaltninger erstatter ikke klinikkens egen risikovurdering og sikre brug af konti.

5. Underdatabehandlere og behandlingssteder

Klinikken giver generel skriftlig godkendelse til brug af underdatabehandlere til de beskrevne formål. Den nuværende direkte leverandør til hosting, database og mail er AzeHosting ApS, se leverandørens vilkår og databehandlerbestemmelser. Grip & Co skal føre en ajourført oversigt over de konkrete behandlingssteder og relevante underleverandører og stille den til rådighed for klinikken. Replit bruges alene til kode og fiktive udviklingsdata i denne ordning.

Grip & Co skal varsle planlagte tilføjelser eller udskiftninger mindst 30 dage forud og give klinikken mulighed for saglig indsigelse. En uløst indsigelse skal håndteres før den berørte behandling påbegyndes. Underdatabehandleren skal skriftligt pålægges mindst samme databeskyttelsesforpligtelser. Grip & Co forbliver ansvarlig over for klinikken for underdatabehandlerens opfyldelse.

Overførsler uden for EU/EØS må kun ske efter en specifik, dokumenteret og lovlig instruks med angivelse af modtager, sted og overførselsgrundlag. En generel henvisning til internationale leverandører er ikke en sådan instruks. Modtagerens egen e-mailudbyder vælges af modtageren; begræns følsomme detaljer i mail og anvend det personlige link.

6. Brud, dokumentation og kontrol

Grip & Co underretter klinikken uden unødig forsinkelse efter at have fået kendskab til et brud på persondatasikkerheden. Underretningen beskriver kendte forhold, berørte data og personer, kontakt, sandsynlige konsekvenser og iværksatte eller foreslåede tiltag. Supplerende oplysninger gives løbende. Klinikken træffer beslutning om eventuel anmeldelse og information til registrerede; Grip & Co bistår.

Grip & Co stiller nødvendige oplysninger til rådighed for dokumentation af aftalens efterlevelse og tillader og bidrager til revision og inspektion ved klinikken eller en bemyndiget revisor. Praktisk planlægning og fortrolighed må ikke udhule kontrollen. Konstaterede mangler håndteres og følges op.

7. Tilbagelevering og sletning

Ved ophør vælger klinikken sikker tilbagelevering eller sletning af personoplysninger og eksisterende kopier, medmindre EU-ret eller national ret kræver fortsat opbevaring. Grip & Co dokumenterer udførelsen. Eksport leveres i et almindeligt læsbart format efter kontrol af modtagerens ret til oplysningerne. Parterne fastlægger ophørsdato, sikker aflevering og konkret slettefrist ved opsigelsen, så oplysninger ikke opbevares unødigt.

Sikkerhedskopier, logs og eventuelle lovlige begrænsninger indgår i den dokumenterede procedure. Ved gendannelse skal tidligere gennemførte sletninger gentages, før oplysninger anvendes normalt. Retention må ikke forlænges til nye egne formål. Andre selvstændige klinikkers materiale omfattes kun i det omfang, den udtrædende klinik lovligt kan instruere om det.

Ejerens ønske om bevaring registreres som en anmodning. Ingen automatisk overførsel eller dataansvarsovertagelse sker. En konkret fortsættelse kræver afgrænsning, lovligt grundlag og særskilt information eller aftale før udførelse.

8. Klinikoplysninger som bilag

Klinikkens registrerede juridiske oplysninger, behandlingsgrundlag, vurderingsfrist for kontaktoplysninger, accepttidspunkt og denne versionsbetegnelse indgår som dokumenteret bilag. Klinikken skal ajourføre oplysningerne og indhente nødvendige supplerende instrukser. Betaling eller offentliggørelse alene regnes ikke som klinikkens accept af databehandleraftalen.