Aftalen følger opbygningen i Datatilsynets standardkontraktbestemmelser efter GDPR art. 28(3). Den er en del af aftalen om brug af BackPack-platformen.
1. Parter og formål
Kunden er dataansvarlig. BackPack Systems ApS, CVR 46452720, Engsøvej 21, 8240 Risskov (“BackPack”) er databehandler. Aftalen fastlægger BackPacks behandling af personoplysninger på vegne af Kunden, jf. GDPR art. 28.
2. Behandlingen
- Formål: at levere rejseinformation, kommunikation og administration via platformen.
- Oplysninger: navn, kontaktoplysninger, rejsedokumenter, pakkelister, nødkontakter og andre oplysninger, Kunden selv registrerer. Kunden kan vælge at registrere følsomme oplysninger, fx helbredsoplysninger, og er ansvarlig for at have et grundlag for det.
- Registrerede: rejsende, deltagere, guider, pårørende og Kundens medarbejdere.
- Varighed: i aftalens løbetid, og indtil data er slettet eller tilbageleveret.
3. Instruks
BackPack behandler kun personoplysninger efter dokumenteret instruks fra Kunden, medmindre EU-ret eller dansk ret kræver andet. Denne aftale og Kundens brug af platformen udgør instruksen. BackPack underretter Kunden, hvis en instruks efter BackPacks vurdering strider mod databeskyttelsesreglerne.
4. Fortrolighed
BackPack sikrer, at personer med adgang til oplysningerne er underlagt tavshedspligt, og at adgang kun gives til dem, der har brug for den.
5. Sikkerhed
BackPack gennemfører passende tekniske og organisatoriske foranstaltninger efter GDPR art. 32. De er beskrevet i bilag B.
6. Underdatabehandlere
Kunden giver generel godkendelse til at bruge underdatabehandlere. De aktuelle er listet i bilag A og på sikkerhedssiden. BackPack varsler ændringer skriftligt mindst 30 dage i forvejen, og Kunden kan gøre indsigelse inden for varslet. Hvis parterne ikke kan blive enige, kan Kunden opsige den berørte del af aftalen. BackPack pålægger underdatabehandlere samme forpligtelser og hæfter for deres opfyldelse.
7. Overførsel til tredjelande
Overførsel til lande uden for EU/EØS sker kun efter Kundens instruks og med et gyldigt grundlag efter GDPR kapitel V, fx en afgørelse om tilstrækkeligt beskyttelsesniveau eller standardkontraktbestemmelser. Grundlaget for hver underdatabehandler fremgår af bilag A.
8. Bistand
BackPack bistår Kunden med at besvare anmodninger fra registrerede og med at overholde GDPR art. 32-36, herunder konsekvensanalyser og forudgående høring, i det omfang det er rimeligt ud fra behandlingens art.
9. Brud på persondatasikkerheden
BackPack underretter Kunden uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud. Underretningen indeholder de oplysninger, BackPack har, så Kunden kan opfylde sin pligt til at anmelde bruddet til tilsynsmyndigheden.
10. Sletning og tilbagelevering
Ved aftalens ophør sletter eller tilbageleverer BackPack personoplysningerne efter Kundens valg inden for 30 dage, medmindre lovgivning kræver opbevaring.
11. Audit og dokumentation
BackPack stiller de oplysninger til rådighed, der er nødvendige for at vise, at forpligtelserne er overholdt, og giver mulighed for revision, herunder inspektion, med rimeligt varsel. Kunden afholder egne omkostninger og BackPacks rimelige omkostninger ved revision, medmindre den viser en væsentlig overtrædelse.
12. Ikrafttræden og ansvar
Aftalen gælder, så længe BackPack behandler personoplysninger for Kunden. Ansvar følger hovedaftalen, medmindre GDPR kræver andet. Aftalen har forrang for andre aftaler, når det gælder behandling af personoplysninger.
Bilag A: Underdatabehandlere
| Navn | Ydelse | Lokation | Overførselsgrundlag |
|---|---|---|---|
| Google Ireland Ltd. / Google LLC | Firebase, Cloud Functions, datalagring og notifikationer | EU (europe-west1) | EU-US Data Privacy Framework og SCC ved eventuel overførsel |
| Google Ireland Ltd. / Google LLC | Vertex AI (Gemini) til Trip Builder | EU (europe-west4, Holland) | EU-US Data Privacy Framework og SCC ved eventuel overførsel |
| Resend, Inc. | Afsendelse af systemmails | USA | Standardkontraktbestemmelser (SCC) |
| one.com (Group.one) | Domænemail til kundedialog | EU | Ingen tredjelandsoverførsel |
Bilag B: Tekniske og organisatoriske foranstaltninger
- Kryptering under transport (HTTPS/TLS) og kryptering af lagrede data hos Google Cloud.
- Adgangsstyring med login, roller og sikkerhedsregler, så brugere kun tilgår de data, de har brug for.
- Serverfunktioner i EU-regioner (europe-west1 og, til Trip Builder, europe-west4).
- Hemmeligheder opbevares i et adskilt secrets-system og ikke i kildekoden.
- Trip Builder (AI-funktionen) får kun det materiale, der er givet til opgaven, og resultatet godkendes af en medarbejder.
- Adgang for BackPacks medarbejdere gives efter behov, og de er underlagt tavshedspligt.
- Procedure for håndtering og underretning ved brud på persondatasikkerheden.