Data Processing Agreement

Kunden betyder den person eller organisation, der er identificeret i Aftalen og kontoregistreringen. LensGo betyder Acosh, Sweelinckplantsoen 40, 1323 MT Almere, Holland. Kunden er den dataansvarlige, og LensGo er databehandler for Kundens personoplysninger. Hvis Kunden handler som databehandler for en anden dataansvarlig, bekræfter den sin bemyndigelse til at udpege LensGo som underleverandør og at videregive denne dataansvarliges instruktioner.

Tjenester betyder LensGo’s tjeneste til deling af begivenhedsfotos og -videoer, herunder indsamling, opbevaring, organisering, moderering, visning og download af begivenhedsindhold. Kundens personoplysninger betyder personoplysninger, som LensGo behandler på Kundens vegne for at levere disse tjenester. En underleverandør er en leverandør, som LensGo engagerer til at behandle disse oplysninger på Kundens vegne.

GDPR betyder forordning (EU) 2016/679. Gældende databeskyttelseslov betyder GDPR og de love, der supplerer den. EØS betyder Det Europæiske Økonomiske Samarbejdsområde. Dataansvarlig, databehandler, personoplysninger, behandling, registreret, brud på persondatasikkerheden og tilsynsmyndighed har de betydninger, der følger af GDPR.

Denne DPA regulerer ikke behandling, hvor LensGo selv fastlægger formålet, såsom administration af konti, fakturering, lovmæssige forpligtelser og markedsføring. Denne behandling er beskrevet i Privatlivspolitikken. En leverandørs rolle afhænger af den konkrete behandling; bilag 3 skelner mellem disse aktiviteter.

LensGo skal kun behandle Kundens personoplysninger i overensstemmelse med dokumenterede instruktioner fra Kunden, herunder vedrørende internationale overførsler, medmindre EU-ret eller medlemsstatsret kræver andet. I så fald skal LensGo informere Kunden om det lovmæssige krav, inden behandlingen påbegyndes, medmindre loven forbyder meddelelse af vigtige grunde af hensyn til almene interesser.

Aftalen, denne DPA, Kundens servicemæssige indstillinger og skriftlige anmodninger dokumenterer instruktionerne. Bilag 1 angiver deres emne, varighed, art og formål. Kunden fastlægger det retlige grundlag, giver de nødvendige meddelelser, indhenter eventuelle nødvendige samtykker og kontrollerer, hvem der må uploade, se og downloade begivenhedsindhold. Kunden kan udstede yderligere lovlige instruktioner via kontaktoplysningerne i afsnit 11.

LensGo skal straks informere Kunden, hvis det efter dets opfattelse er en instruktion, der strider mod GDPR eller andre EU-retlige eller medlemsstatslige databeskyttelsesbestemmelser. LensGo skal suspendere den berørte instruktion, indtil parterne har løst spørgsmålet; LensGo må ikke erstatte Kundens instruktioner med egne formål.

LensGo skal begrænse adgangen til Kundens personoplysninger til autoriserede personer, der har behov for det for at levere tjenesterne. Disse personer skal være bundet af tavshedspligt eller en passende lovbestemt tavshedspligt og modtage instruktioner, der er egnede til deres ansvar. Disse forpligtelser fortsætter efter, at deres adgang ophører.

LensGo skal implementere og vedligeholde tekniske og organisatoriske foranstaltninger, der er egnede til risikoen i henhold til artikel 32 i GDPR, under hensyntagen til den nyeste teknologi, implementeringsomkostninger samt art, omfang, kontekst og formål med behandlingen. Bilag 2 angiver anvendte kontroller og de operationelle forpligtelser, der understøtter dem.

Under hensyntagen til behandlingens art og de oplysninger, der er tilgængelige for det, skal LensGo bistå Kunden med overholdelse af artikel 32–36 i GDPR, herunder sikkerhed, vurdering af brud, underretninger, databeskyttelseskonsekvensvurderinger og forudgående konsultation med tilsynsmyndigheder. LensGo skal levere relevante oplysninger og samarbejde med den kompetente tilsynsmyndighed.

Kunden giver generel skriftlig bemyndigelse til at anvende de underleverandører, der er anført i bilag 3, til den angivne behandling. LensGo skal give Kunden besked pr. e-mail mindst 30 kalenderdage, inden en underleverandør tilføjes eller erstattes, og identificere dens funktion, behandlingssteder og eventuelle sikkerhedsforanstaltninger vedrørende internationale overførsler. Opdatering af denne webside alene udgør ikke meddelelse.

Kunden kan gøre indsigelse af rimelige databeskyttelsesmæssige grunde ved at kontakte LensGo inden for denne meddelelsesperiode. Parterne skal arbejde på at løse indsigelsen, herunder ved at anvende en alternativ løsning eller undgå den berørte behandling. LensGo må ikke give den foreslåede leverandør adgang til Kundens data, mens indsigelsen er uafklaret. Hvis der ikke findes nogen løsning, kan Kunden opsige de berørte tjenester, inden ændringen træder i kraft, og anmode om returnering eller sletning i henhold til afsnit 9.

Før adgang gives, skal LensGo indgå en skriftlig kontrakt, der pålægger de samme databeskyttelsesforpligtelser som denne DPA, herunder tilstrækkelige garantier for passende tekniske og organisatoriske foranstaltninger. LensGo er fortsat fuldt ansvarlig over for Kunden for hver underleverandørs opfyldelse af disse forpligtelser. På anmodning skal LensGo levere relevante oplysninger om overholdelse og kontraktmæssige sikkerhedsforanstaltninger, under forudsætning af nødvendig beskyttelse af fortrolige oplysninger.

Hver part i denne DPA forpligter sig til at holde den anden part skadesløs for tab eller omkostninger, der følger af partens egen ansvarspådragende overtrædelse af denne DPA, herunder enhver ansvarspådragende overtrædelse begået af partens retlige repræsentant, underleverandører, medarbejdere eller andre repræsentanter. Endvidere forpligter hver part sig til at holde den anden part skadesløs for ethvert krav, som tredjeparter måtte rejse som følge af eller i forbindelse med den anden parts ansvarspådragende overtrædelse.

Hver part er ansvarlig for at overholde sine forpligtelser i henhold til denne DPA og gældende databeskyttelseslov. Intet i Aftalen eller denne DPA begrænser registreredes rettigheder, hver parts ansvar i henhold til artikel 82 i GDPR, tilsynsmyndigheders beføjelser eller LensGos ansvar i henhold til afsnit 5.

Under hensyntagen til behandlingens art skal LensGo bistå Kunden ved hjælp af passende tekniske og organisatoriske foranstaltninger, så vidt muligt, med at imødekomme anmodninger i henhold til kapitel III i GDPR. Dette omfatter at hjælpe med at lokalisere, eksportere, berigtige, begrænse eller slette relevante Kundens personoplysninger.

LensGo skal straks videresende anmodninger vedrørende Kundens personoplysninger til Kunden og må ikke besvare dem selvstændigt, medmindre det er i overensstemmelse med dokumenterede instruktioner eller lovmæssigt påkrævet. Hvor lovligt tilladt, skal LensGo informere Kunden, inden det besvarer en anmodning i henhold til et lovmæssigt krav.

LensGo skal underrette Kunden uden unødig forsinkelse, efter at det er blevet bekendt med et brud på persondatasikkerheden, der påvirker Kundens personoplysninger. Meddelelsen skal beskrive bruddet, kategorier og omtrentlige antal berørte personer og poster, hvor det vides, sandsynlige konsekvenser, foranstaltninger, der er truffet eller foreslået, samt en kontaktperson for yderligere oplysninger. Ufuldstændige oplysninger skal leveres i etaper uden yderligere unødig forsinkelse.

LensGo skal undersøge, begrænse og afhjælpe bruddet, bevare relevante beviser og samarbejde med Kundens vurdering, rapportering og kommunikation. Kunden beslutter om underretninger til tilsynsmyndigheder og registrerede, uden at det berører LensGos egne lovmæssige forpligtelser.

Ved afslutningen af de tjenester, der involverer behandling, skal LensGo, efter Kundens valg, returnere alle Kundens personoplysninger i et almindeligt anvendt elektronisk format og slette eksisterende kopier, eller slette alle Kundens personoplysninger og kopier. Kunden kan meddele sit valg via afsnit 11, herunder inden opsigelse. LensGo skal indhente instruktioner, hvis intet valg er meddelt, og må ikke betragte tavshed som en frafaldelse af retten til returnering.

LensGo skal gennemføre den instruerede returnering eller sletning inden for 30 arbejdsdage efter, at tjenesterne ophører, eller senere, hvis Kundens valg modtages senere. Indtil gennemførelsen skal det beskytte dataene i henhold til denne DPA og kun behandle dem efter behov for returnering, sletning eller lovmæssigt påkrævet opbevaring. Det skal sikre, at underleverandører foretager den samme handling, og bekræfte gennemførelsen skriftligt på anmodning.

Disse forpligtelser omfatter originaler, afledninger, eksport og sikkerhedskopier. Den eneste undtagelse er EU- eller medlemsstatsret, der kræver opbevaring: LensGo skal identificere det lovmæssige krav og opbevaringsperioden for Kunden, medmindre det er forbudt, isolere de opbevarede data, begrænse behandlingen til dette krav og slette dem, når kravet ophører. Sikkerhedskopier må ikke anvendes til andre formål; enhver gendannelse skal genanvende sletningsinstruktionerne.

Opbevaring i EØS udelukker ikke internationale overførsler via supportadgang, diagnostik eller indholdslevering. LensGo må kun overføre Kundens personoplysninger uden for EØS i overensstemmelse med dokumenterede instruktioner og i overensstemmelse med kapitel V i GDPR, herunder eventuelle videre overførsler.

Før en overførsel skal LensGo sikre, at den er omfattet af en gældende afgørelse om tilstrækkelig beskyttelse eller fornødne garantier efter artikel 46 i GDPR. Når der anvendes Kommissionens afgørelse (EU) 2021/914 standardkontraktbestemmelser, skal LensGo udføre den relevante modul med den faktiske modtager, udfylde bilagene, vurdere destinationens love og praksis og implementere nødvendige supplerende foranstaltninger. For en overførsel fra databehandler til underleverandør vil dette almindeligvis være modul tre. LensGo skal på anmodning levere oplysninger om den anvendte mekanisme og sikkerhedsforanstaltninger og suspendere overførsler, hvis tilstrækkelig beskyttelse ikke kan sikres.

Denne DPA er en behandlingsaftale i henhold til artikel 28. Den indarbejder ikke et sæt internationale overførselsstandardkontraktbestemmelser mellem Kunden og LensGo blot fordi LensGo modtager data i Holland. Eventuelle nødvendige standardkontraktbestemmelser gælder for det faktiske overførselsforhold; bilag 3 udgør i sig selv ikke en overførselsmekanisme.

Send instruktioner, indsigelser, anmodninger om rettigheder og compliance-forespørgsler til [email protected], adresseret til Daan de Vos, Acosh / LensGo. LensGo skal sende kontraktmæssige meddelelser og underretninger om brud til Kundens registrerede e-mailadresse på kontoen eller en udpeget kontakt til privatlivspolitik. Kunden skal holde disse oplysninger ajour.

Parterne skal beskytte fortrolige oplysninger, der er indhentet via denne DPA. Dette forhindrer ikke deling af denne aftale eller nødvendige oplysninger om overholdelse med professionelle rådgivere, revisorer, tilsynsmyndigheder eller som krævet ved lov.

Denne DPA er underlagt hollandsk lov. Tvister mellem parterne skal indbringes for de kompetente domstole i Holland, uden at det berører lovbestemt lov, registreredes ret til at indbringe sager eller de kompetente tilsynsmyndigheders beføjelser.

LensGo skal stille alle nødvendige oplysninger til rådighed for at dokumentere overholdelse af artikel 28 i GDPR og denne DPA og tillade og bidrage til revisioner, herunder inspektioner, udført af Kunden eller en revisor, der er udpeget af det.

Parterne skal koordinere rimelig varsling, fortrolighed og foranstaltninger til beskyttelse af andre kunders data. Dokumenter eller uafhængige rapporter kan hjælpe med at opfylde en forespørgsel, men erstatter ikke retten til en revision, hvor yderligere verifikation er nødvendig. Disse arrangementer må ikke forhindre eller unødigt forsinke en revision, især efter en hændelse eller på anmodning fra en tilsynsmyndighed. LensGo skal håndtere identificerede mangler uden unødig forsinkelse.

Parter og kontakter: Kunden identificeret i Aftalen og dens registrerede eller udpegede kontakt; databehandler Acosh, der driver forretning under navnet LensGo, Sweelinckplantsoen 40, 1323 MT Almere, Holland, kontakt Daan de Vos på [email protected]. Deres roller og ansvar er beskrevet i afsnit 1 og 2.

Emne og formål: Drift af begivenhedsalbums og indsamling, organisering, deling, visning og eksport af begivenhedsfotos, -videoer og relaterede indsendelser efter Kundens anvisning.

Art og hyppighed: løbende indsamling og modtagelse af uploads og indsendelser, opbevaring, hentning, formatkonvertering og generering af miniaturebilleder, organisering, moderering, visning, transmission, download, adgangsstyring og sletning, mens tjenesterne anvendes.

Registrerede: arrangører og kontohavere, deres medarbejdere og samarbejdspartnere, gæster og uploadere, personer, der er synlige eller hørbare i medierne, og andre deltagere eller personer, der er identificeret i indsendelser.

Personoplysninger: navne og e-mailadresser, hvor de er angivet; fotos, ansigter, video og stemmer; billedtekster, kommentarer og formularsvar; filnavne og filmetadata (herunder optagelsestidspunkt og placering, hvis til stede); begivenheds- og uploaderidentifikatorer; IP-adresser, browser-/enhedsinformation, tidsstempler og registreringer af serviceadgang eller aktivitet, hvor disse indsamles for at levere tjenesterne.

Følsomme oplysninger: medier og frit tekst kan utilsigtet afsløre oplysninger om helbred, religion, politiske holdninger, seksuel orientering eller andre oplysninger om særlige kategorier, og kan omfatte børn. Kunden fastlægger eventuelle gældende artikel 9-betingelser og yderligere sikkerhedsforanstaltninger, begrænser indsamling og adgang og udsteder sletningsinstruktioner efter behov. LensGo anvender ikke begivenhedsmedier til biometrisk identifikation.

Varighed: for tjenesterne og opbevaringsperioden i henhold til Aftalen, den valgte plan og dokumenterede instruktioner fra Kunden, efterfulgt af returnering eller sletning i henhold til afsnit 9. Afslutning af en begivenhed eller betalingsperiode er ikke i sig selv en erklæring om, at alle medier allerede er slettet.

Adgangskontrol: autentificerede arrangørkonti, hashede adgangskoder, valgfri tofaktorautentifikation og autorisationskontroller for begivenhedsstyring. Begivenhedsindstillinger understøtter albumadgangskoder og moderering. Kunder kontrollerer delingslinks og tilladelser; modtagere kan bevare downloadede kopier.

Applikationssikkerhed: inputvalidering, anmodningsbegrænsning på beskyttede slutpunkter, CSRF-beskyttelse for browsertilstandsændringer og begrænset adgang til upublicerede medier. Ændringer i applikationen er underlagt automatiseret test af relevante autentifikationer, tilladelser og medieoperationer.

Operationelle forpligtelser: LensGo skal begrænse medarbejderes og servicens legitimationsoplysninger efter behov, opretholde tavshedspligt, gennemgå adgang og fjerne den, når den ikke længere er nødvendig. Det skal opretholde sikker transport, rettidig sikkerhedsmæssig vedligeholdelse og håndtering af hændelser i henhold til afsnit 3, 4 og 8.

Tilgængelighed og gendannelse: LensGo skal opretholde gendannelsesforanstaltninger, der er egnede til risikovurderingen i henhold til artikel 32, regelmæssigt vurdere og teste sikkerheds- og gendannelsesforanstaltninger og anvende opbevarings- og sletningsinstruktioner på gendannelseskopier. Oplysninger om det aktuelle omfang af sikkerhedskopier, placeringer, opbevaring og gendannelsesforanstaltninger skal stilles til rådighed i henhold til afsnit 13.

Omfang af forsikringer: EU-medielagring er forskellig fra levering og anden behandling. Dette bilag gør ikke krav på ende-til-ende-kryptering, universel kryptering i hvile, uafhængig certificering eller en bestemt gendannelsestid. LensGo skal levere aktuelle oplysninger om infrastruktur og sikkerhedsbeviser på anmodning i henhold til afsnit 13 og må ikke reducere beskyttelsen, der kræves af denne DPA, væsentligt.

Følgende leverandører behandler Kundens personoplysninger, når de leverer de angivne dele af tjenesterne. Ændringer er underlagt afsnit 5, og overførsler er underlagt afsnit 10. En leverandørs placering garanterer ikke, at al behandling finder sted der.

Hetzner — applikationshosting og databaseinfrastruktur i Tyskland; begivenhedsregistreringer, kontoud identificatorer og data, der behandles af applikationen.

Bunny.net (Bunny Edge Storage) — opbevaring og levering af uploadede fotos, videoer, afledninger og downloadbare arkiver; tilknyttede filnavne, metadata og leveringsanmodningsdata. Medielagring er i Den Europæiske Union; levering og fjernadgang er også underlagt afsnit 10.

Scaleway Transactional Email — transaktionel levering i Frankrig; modtageradresser og indhold af service- eller begivenhedsmeddelelser.

Cloudflare — omvendt proxy, indholdslevering og trafikbeskyttelse; anmodnings-IP-adresser, overskrifter og indhold, der passerer gennem tjenesten. Amerikansk leverandør med et globalt netværk; international behandling er underlagt afsnit 10.

Bugsink – Anvendes til fejlovervågning; fejlrapporter kan indeholde tekniske data såsom IP-adresser, bruger-id'er og forespørgselsdetaljer (EU - FI/DE).

Crisp — support, hvor Kunden leverer begivenheds- eller gæstedata til assistance; kontaktoplysninger, meddelelser og vedhæftede filer. Fransk leverandør. Dens håndtering af LensGos egne kundeoplysninger falder under den separate rolle nedenfor.

Disse aktiviteter er uden for Kundens behandlingsinstruktioner og er omfattet af Privatlivspolitikken og leverandørernes gældende vilkår. De gør ikke alle listede leverandører til underleverandører i henhold til denne DPA; leverandører kan handle for LensGo som dataansvarlig eller som uafhængige dataansvarlige for specifikke aktiviteter.

Mollie: betalinger, abonnementer og fakturering. Google Sign-In og Sign in with Apple: valgfri kontovalidering. Google Ads: LensGos egen annoncering og konverteringsmåling. Crisp: LensGos egen salgs- og kontostøtte.

Hvis en af disse leverandører skal behandle Kundens personoplysninger på Kundens vegne ud over de ovenfor anførte aktiviteter, skal LensGo først overholde afsnit 5 og 10. Begivenhedsmedier er ikke godkendt til LensGos egen annoncering i henhold til denne DPA.