Handelsbetingelser

Denne sektion udgør den lovpligtige databehandleraftale mellem kunden (dataansvarlig) og RM Marketing Limited, Hongkong, BR 80873465 (databehandler), jf. databeskyttelsesforordningens (GDPR) art. 28, stk. 3. Aftalen er udarbejdet med inspiration i Datatilsynets standardkontrakt.

10.1 Formål, karakter og varighed

RM Marketing behandler persondata på vegne af kunden med det formål at levere Google Ads-administration, performance-analyse og dertilhørende rådgivning. Behandlingens karakter omfatter indsamling, lagring, analyse, strukturering og sletning af data fra annonce-, analytics- og e-mailplatforme. Behandlingen sker i den periode samarbejdet er i kraft samt i en afviklingsperiode på op til 90 dage efter ophør.

10.2 Typer af persondata

Behandlingen kan typisk omfatte:

• Kontakt- og identifikationsoplysninger på kundens medarbejdere
• Adfærds- og hændelsesdata fra annonce- og analyseplatforme (klik, visninger, konverteringer, sessions, device-data, geografi)
• Konto- og loginreferencer til kundens reklame- og analyseplatforme
• Korrespondance og dokumentation udvekslet i samarbejdet

RM Marketing behandler som udgangspunkt ikke følsomme persondata (GDPR art. 9) eller oplysninger om strafbare forhold (art. 10). Behandling af sådanne data forudsætter særskilt skriftlig aftale.

10.3 Kategorier af registrerede

• Kundens slutbrugere og besøgende på kundens digitale flader
• Kundens medarbejdere, kontaktpersoner og leverandørkontakter
• Tredjeparter hvis personoplysninger fremgår af materiale leveret af kunden

10.4 Instruktion

RM Marketing behandler alene persondata efter dokumenterede instruktioner fra kunden. Denne aftale, det fremsendte tilbud, ordrebekræftelser samt efterfølgende skriftlige aftaler og rimelige løbende instruktioner udgør sådanne instruktioner. Skriftlige instruktioner sendes til hej@rmmarketing.dk. Kunden instruerer hermed RM Marketing til at foretage tredjelandsoverførsler til de underdatabehandlere, der fremgår af §10.7, på det overførselsgrundlag der er anført. Såfremt RM Marketing vurderer, at en instruktion strider mod GDPR eller anden gældende databeskyttelseslovgivning, underrettes kunden omgående.

Kunden er alene ansvarlig for, at alt materiale og data, der overdrages til RM Marketing, overholder gældende lovgivning, herunder GDPR, persondata- og varemærkeregler. Kunden skal holde RM Marketing skadesløs for omkostninger, bøder, erstatning eller kompensationskrav, der måtte opstå som følge af manglende overholdelse af kundens side.

10.5 Fortrolighed

RM Marketing sikrer, at personer der får adgang til kundens persondata er underlagt fortrolighedsforpligtelse, enten ved ansættelsesaftale eller særskilt NDA, og at de er instrueret i forsvarlig behandling af persondata.

10.6 Sikkerhed (art. 32)

RM Marketing implementerer passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der svarer til risikoen, herunder bl.a.:

• Kryptering af lokale data og enheder (FileVault fuldskivekryptering)
• Stærk adgangskontrol med to-faktor-autentificering på relevante systemer
• Adgangskodehåndtering via dedikeret password manager
• Begrænsning af adgang til persondata efter need-to-know-princip
• Automatiserede backup- og synkroniseringsoperationer med tidsstempler
• Sikker krypteret backup af forretningskritisk konfiguration
• Biometrisk godkendelse påkrævet ved skrivehandlinger til eksterne systemer

Risikovurdering og fortegnelse over behandlingsaktiviteter (art. 30) opdateres årligt og udleveres på begrundet forespørgsel. Konkrete foranstaltninger kan ændres uden varsel, så længe niveauet ikke forringes.

10.7 Underdatabehandlere

Kunden giver RM Marketing godkendelse til at anvende følgende navngivne underdatabehandlere og generel forudgående godkendelse til fremtidige ændringer med 30 dages varsel:

RM Marketing underretter kunden mindst 30 dage forud for tilføjelse eller udskiftning af underdatabehandlere via e-mail til den primære kontaktperson registreret hos RM Marketing. Kunden kan inden for fristen gøre saglig indsigelse. Kan parterne ikke nå til enighed, har kunden ret til at opsige samarbejdet med rimeligt varsel uden yderligere omkostninger.

RM Marketing pålægger underdatabehandlere databeskyttelsesforpligtelser, der ikke er mindre byrdefulde end nærværende aftale, jf. art. 28, stk. 4.

10.8 De registreredes rettigheder

RM Marketing bistår, i det omfang det er muligt og under hensyn til behandlingens karakter, kunden med passende tekniske og organisatoriske foranstaltninger til at besvare anmodninger om udøvelse af de registreredes rettigheder (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse), jf. art. 28, stk. 3, litra e.

10.9 Bistand til den dataansvarlige

RM Marketing bistår kunden med at sikre overholdelse af art. 32-36, herunder sikkerhed, anmeldelse af brud, konsekvensanalyser (DPIA) og forudgående høring, under hensyn til behandlingens karakter og de oplysninger, der er tilgængelige for RM Marketing.

10.10 Sikkerhedsbrud

RM Marketing underretter kunden uden unødigt ophold og senest 72 timer efter, RM Marketing er blevet bekendt med et brud på persondatasikkerheden, så kunden kan overholde sin egen 72-timers anmeldelsesfrist til Datatilsynet jf. art. 33. Underretningen indeholder, så vidt det er muligt på tidspunktet:

• Art af bruddet, kategorier og omtrentligt antal berørte registrerede
• Kategorier og omtrentligt antal berørte registreringer af persondata
• Kontaktoplysninger på RM Marketings databeskyttelseskontakt
• Sandsynlige konsekvenser af bruddet
• Foranstaltninger der er truffet eller foreslås truffet for at håndtere bruddet

Underretningen suppleres løbende efterhånden som flere oplysninger bliver tilgængelige.

10.11 Sletning eller tilbagelevering

Ved samarbejdets ophør sletter eller tilbageleverer RM Marketing efter kundens valg alle persondata fra RM Marketings egne systemer (e-mailarkiv, projektværktøjer, intern konfiguration) inden 90 dage. Tilbagelevering sker i standardformater (CSV, JSON) eller andet skriftligt aftalt format. Arkivkopier i krypterede backup-systemer slettes ved deres normale rotationscyklus, dog senest 12 måneder efter samarbejdsophør. Bogføringsmateriale opbevares i 5 år fra udløbet af det regnskabsår, materialet vedrører, jf. bogføringsloven.

Kundens egne systemer (annoncekonti, analyseplatforme, e-mailkonti mv.) afregistreres og oprydes af kunden selv. RM Marketing bistår med fjernelse af MCC-link, brugeradgang og lignende tekniske koblinger på kundens forespørgsel uden ekstra omkostning. Sletning bekræftes skriftligt inden 30 dage efter forespørgsel.

10.12 Audit og dokumentation

RM Marketing stiller alle oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, og giver mulighed for og bidrager til revisioner, herunder inspektioner, som foretages af kunden eller en af kunden bemyndiget revisor. Inspektion udføres enten som skriftlig audit-rapport (default) eller fysisk besøg efter parternes aftale. Revision kan udføres maksimalt én gang årligt mod rimeligt varsel (minimum 30 dage), medmindre der foreligger konkret mistanke om brud. Kundens omkostninger ved audit afholdes af kunden selv, og RM Marketings rimelige tidsforbrug faktureres efter gældende timesats.

10.14 Meddelelse til tilsynsmyndighed

RM Marketing skal efter anmodning meddele kompetent tilsynsmyndighed relevante oplysninger og samarbejde, jf. art. 28, stk. 3, litra h.

10.15 Ansvar og begrænsning

RM Marketings samlede erstatningsansvar for direkte skade som følge af misligholdelse af denne databehandleraftale er begrænset til 50.000 kr. eller 6 måneders honorar betalt af kunden, hvilket beløb er højest. RM Marketing er ikke ansvarlig for indirekte tab, herunder driftstab, tabt fortjeneste, bøder fra tilsynsmyndigheder pålagt kunden eller erstatningskrav fra registrerede, medmindre tabet skyldes RM Marketings grov uagtsomhed eller forsætlige handling.

Begrænsningen finder ikke anvendelse på bøder pålagt RM Marketing direkte af kompetent tilsynsmyndighed, der efter præceptiv lovgivning ikke kan kontraktuelt begrænses.

10.16 Kontakt og databeskyttelsesansvarlig

RM Marketing er ikke omfattet af pligten til at udpege en databeskyttelsesrådgiver (DPO) jf. art. 37, da virksomhedens hovedaktivitet hverken er systematisk overvågning i stort omfang eller behandling af særlige kategorier af persondata. Funktionen som databeskyttelseskontakt varetages af direktør Rasmus Madsen.

Henvendelser vedrørende databehandling rettes til hej@rmmarketing.dk. Fortegnelse over behandlingsaktiviteter jf. art. 30 udleveres på begrundet forespørgsel.