Databehandleraftale

Parterne

Denne databehandleraftale ("Aftalen") indgås mellem:

Den dataansvarlige ("Coachen"):
[Navn / virksomhed] · [CVR-nr.] · [adresse] · [e-mail]

og

Databehandleren ("Scineo"):
Vinther Health & Performance ApS · CVR 42152196 · privacy@scineo.dk

1. Baggrund og formål

Coachen bruger Scineos platform til at programmere, gennemføre og måle neuro-kognitiv træning og hjernerystelses-rehabilitering for sine klienter. Ved denne behandling er Coachen dataansvarlig, og Scineo er databehandler, der alene behandler personoplysninger på Coachens vegne og efter Coachens instruks. Scineo er et redskab til træning og måling — ikke diagnose eller medicinsk behandling.

2. Definitioner

Begreber som "personoplysninger", "behandling", "dataansvarlig", "databehandler", "den registrerede" og "særlige kategorier af personoplysninger" har den betydning, der følger af databeskyttelsesforordningen (GDPR) og databeskyttelsesloven.

3. Behandlingens genstand og varighed

Genstand, varighed, karakter og formål med behandlingen samt typer af personoplysninger og kategorier af registrerede fremgår af Bilag A. Aftalen løber, så længe Scineo behandler personoplysninger på Coachens vegne, og ophører, når kundeforholdet afsluttes, jf. pkt. 9.

4. Instruks

Scineo behandler kun personoplysninger efter dokumenteret instruks fra Coachen, herunder denne Aftale og Coachens brug af platformens funktioner. Scineo underretter Coachen, hvis en instruks efter Scineos vurdering strider mod gældende databeskyttelsesret. Scineo behandler ikke oplysningerne til egne formål.

5. Fortrolighed

Scineo sikrer, at de personer, der er autoriseret til at behandle oplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og at adgang er begrænset til det nødvendige (rollebaseret adgangskontrol).

6. Behandlingssikkerhed (art. 32)

Scineo gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen — særligt fordi behandlingen omfatter helbredsoplysninger (art. 9). Foranstaltningerne er beskrevet i Bilag B.

7. Underdatabehandlere

Coachen giver Scineo generel forhåndsgodkendelse til at anvende de underdatabehandlere, der er anført i Bilag C. Scineo sikrer, at hver underdatabehandler er underlagt databeskyttelsesforpligtelser svarende til denne Aftale.

Scineo underretter Coachen om planlagte ændringer (tilføjelse/udskiftning) med rimeligt varsel, så Coachen kan gøre indsigelse.

8. Bistand til Coachen

Scineo bistår Coachen med, under hensyntagen til behandlingens karakter:

• at besvare anmodninger fra registrerede om at udøve deres rettigheder (indsigt, berigtigelse, sletning, dataportabilitet m.v.) — bl.a. via platformens eksport- og sletnings-funktioner,
• at overholde forpligtelserne til behandlingssikkerhed, anmeldelse af brud og konsekvensanalyser (DPIA), jf. art. 32–36.

9. Overførsel til tredjelande

Personoplysninger opbevares i EU/EØS. Hvis en underdatabehandler behandler oplysninger uden for EU/EØS (fx support), sker det på grundlag af EU-Kommissionens standardkontraktbestemmelser (SCC) eller et andet gyldigt overførselsgrundlag.

10. Brud på persondatasikkerheden

Scineo underretter Coachen uden unødig forsinkelse efter at være blevet opmærksom på et brud, og bistår med de oplysninger, Coachen skal bruge for at kunne anmelde til Datatilsynet (inden 72 timer) og eventuelt underrette de berørte.

11. Sletning eller tilbagelevering ved ophør

Ved Aftalens ophør sletter eller tilbageleverer Scineo efter Coachens valg alle personoplysninger og sletter eksisterende kopier, medmindre lovgivning kræver fortsat opbevaring. Coachen og de registrerede kan desuden til enhver tid selv eksportere eller slette data via platformen.

12. Revision og tilsyn

Scineo stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, og giver mulighed for og bidrager til revision, herunder inspektioner, der gennemføres af Coachen eller en anden revisor bemyndiget af Coachen. Underdatabehandlernes egne revisions-/ sikkerhedsrapporter kan indgå heri.

13. Varighed, ansvar og lovvalg

Aftalen gælder, så længe Scineo behandler personoplysninger for Coachen. Parternes ansvar følger af databeskyttelsesforordningen og den underliggende kundeaftale. Aftalen er underlagt dansk ret med værneting ved Coachens/Scineos hjemting, medmindre andet følger af ufravigelig lovgivning.

14. Indgåelse

Aftalen indgås ved Coachens accept i Scineo-platformen ved onboarding (elektronisk accept med registrering af tidspunkt og version) og/eller ved underskrift nedenfor.

Bilag A — Oplysninger om behandlingen

• Formål: at levere trænings- og måleværktøjer til neuro-kognitiv træning og hjernerystelses-rehabilitering.
• Karakter: indsamling, registrering, opbevaring, visning og analyse af klienters svar og resultater.
• Varighed: så længe kundeforholdet består; sletning/anonymisering senest 12 måneder efter kontolukning/inaktivitet.
• Kategorier af registrerede: Coachens klienter (og Coachen selv).
• Typer af personoplysninger: almindelige (navn, e-mail, telefon, fødselsdato) og særlige kategorier — helbredsoplysninger (art. 9): skadesdato, kliniske noter, symptom- og fatigue-scorer samt trænings- og testresultater.

Bilag B — Tekniske og organisatoriske sikkerhedsforanstaltninger

• Kryptering af data under transport (HTTPS/TLS).
• Kryptering af data ved lagring (database hos Neon).
• Rollebaseret adgangskontrol: en coach kan kun tilgå egne klienter, en klient kun egne data.
• Passwordløst login (engangskode pr. e-mail); ingen adgangskoder opbevares.
• Tidsbegrænsede sessioner.
• Databehandleraftaler med alle underdatabehandlere.
• Data opbevares i EU/EØS.
• Selvbetjent dataeksport (portabilitet) og sletning i platformen.

Bilag C — Godkendte underdatabehandlere