Proton
Sidst ændret: 1. september 2026

MSP-databehandlingsaftale

Denne databehandlingsaftale ("aftalen") udgør en del af Managed Services Provider-aftalen ("hovedaftalen") mellem Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz, virksomhedsidentifikationsnummer CHE-354.686.492 (benævnt "databehandleren"), og den MSP, der er identificeret i hovedaftalen (benævnt "virksomheden", og som skal forstås som den administrerede tjenesteudbyder, der anvender tjenesterne til at levere, fakturere for og yde support til sine egne administrerede kunder, uanset dens retlige form).

Denne aftale regulerer de specifikke krav i databeskyttelseslovgivningen i det omfang, virksomhedens brug af tjenesterne, herunder virksomhedens levering af tjenesterne til administrerede kunder, indebærer behandling af personoplysninger, der er underlagt databeskyttelseslovgivningen.

Denne aftales løbetid følger løbetiden for hovedaftalen. Vilkår, der ikke er defineret heri, har den betydning, der er angivet i hovedaftalen.


BAGGRUND

A) Virksomheden optræder som dataansvarlig eller, hvor en administreret kunde selv instruerer behandlingen af sine egne personoplysninger, som databehandler på denne administrerede kundes vegne (i begge tilfælde "den dataansvarlige").

B) Virksomheden ønsker at udlicitere visse tjenester, som indebærer behandling af personoplysninger, til Proton AG, der optræder som databehandler ("databehandleren").

C) Parterne søger at implementere en databehandlingsaftale, der overholder kravene i den gældende lovgivningsmæssige ramme vedrørende databehandling, herunder forordning (EU) 2016/679 ("GDPR") og den schweiziske føderale lov om databeskyttelse ("FADP") samt anden gældende databeskyttelseslovgivning.

D) Parterne ønsker at fastlægge deres respektive rettigheder og forpligtelser.


ER DER TRUFFET FØLGENDE AFTALE:

1. Definitioner, roller og omfang

1.1 Definitioner. Medmindre andet er defineret heri, har udtryk med stort begyndelsesbogstav den betydning, der er angivet i hovedaftalen eller, hvis de ikke er defineret der, følgende betydning:

  • "Virksomhedens personoplysninger" betyder enhver form for personoplysninger vedrørende virksomheden, virksomhedens administrerede kunder eller disses respektive kunder eller medarbejdere, der behandles i forbindelse med hovedaftalen.
  • "Kontraktlig databehandler" betyder en underdatabehandler.
  • "Databeskyttelseslovgivning" betyder GDPR, FADP og, i det omfang det er relevant, databeskyttelses- eller privatlivslovgivningen i ethvert andet land.
  • "Dataoverførsel" betyder (i) en overførsel af virksomhedens personoplysninger fra virksomheden til databehandleren eller en kontraktlig databehandler, eller (ii) en videreoverførsel af virksomhedens personoplysninger fra databehandleren til en underdatabehandler, eller mellem to afdelinger af en underdatabehandler.
  • "Administreret kunde" har den betydning, der er angivet i hovedaftalen: en slutbrugerenhed, som virksomheden klargør og leverer tjenesterne til som en del af virksomhedens eget udbud af administrerede tjenester.
  • “Underdatabehandler” betyder enhver person udpeget af eller på vegne af databehandleren til at behandle personoplysninger i forbindelse med aftalen.
  • Udtrykkene "Kommissionen", "dataansvarlig", "registreret", "medlemsstat", "personoplysninger", "brud på persondatasikkerheden", "behandling" og "tilsynsmyndighed" har samme betydning som i GDPR eller anden gældende databeskyttelseslovgivning.

1.2 Parternes roller. I forholdet mellem Proton og virksomheden er virksomheden den dataansvarlige (eller, hvor relevant, databehandleren, der handler efter en administreret kundes instruktioner), og Proton er databehandleren for så vidt angår alle virksomhedens personoplysninger, der behandles under hovedaftalen, herunder personoplysninger tilhørende eller vedrørende administrerede kunder og deres respektive slutbrugere. Denne aftale udgør den samlede og eksklusive databehandlingsaftale mellem Proton og enhver part i den administrerede kundekæde. Proton har intet direkte kontraktligt forhold, dataansvarlig-databehandler-forhold eller databehandler-underdatabehandler-forhold til nogen administreret kunde, og ingen administreret kunde er part i eller tredjepartsbegunstiget i henhold til denne aftale. Virksomheden er eneansvarlig for sine aftaler med og forpligtelser over for sine administrerede kunder, herunder eventuelle databeskyttelsesvilkår, som virksomheden er forpligtet til over for dem i henhold til gældende lovgivning eller kontrakt.

1.3 Virksomhedens efterfølgende ansvar. Virksomheden skal indgå en skriftlig aftale med hver administreret kunde, der pålægger virksomheden databeskyttelsesforpligtelser, som ikke beskytter denne administrerede kundes personoplysninger i mindre grad end de forpligtelser, Proton har over for virksomheden i henhold til denne aftale, i det omfang det er relevant for arten af de tjenester, virksomheden leverer til den pågældende administrerede kunde. Protons forpligtelser i henhold til denne aftale gælder udelukkende over for virksomheden; virksomheden forbliver eneansvarlig over for sine administrerede kunder for behandlingen af deres personoplysninger, herunder for eventuelle handlinger eller undladelser fra Proton, i forholdet mellem virksomheden og dens administrerede kunder.

2. Behandling af virksomhedens personoplysninger

Databehandleren skal:

  • overholde al gældende databeskyttelseslovgivning i forbindelse med behandlingen af virksomhedens personoplysninger og
  • ikke behandle virksomhedens personoplysninger på anden måde end efter virksomhedens dokumenterede instruktioner, som anført nedenfor.

Virksomheden instruerer databehandleren i at behandle virksomhedens personoplysninger til at:

  • levere tjenesterne og relateret teknisk support til virksomheden og, gennem virksomheden, til administrerede kunder;
  • opfylde juridiske forpligtelser eller løse tvister;
  • udføre enhver intern opgave rettet mod at optimere tjenesternes sikkerhed, privatliv, fortrolighed og funktionalitet; og
  • udføre intern rapportering, økonomisk rapportering og andre lignende interne opgaver.

3. Databehandlerens personale

Databehandleren skal træffe rimelige foranstaltninger for at sikre pålideligheden af enhver medarbejder, repræsentant eller leverandør hos en kontraktlig databehandler, som måtte have adgang til virksomhedens personoplysninger, og i hvert enkelt tilfælde sikre, at adgangen er strengt begrænset til de personer, der har brug for at kende eller få adgang til de relevante personoplysninger fra virksomheden, som strengt nødvendigt med henblik på hovedaftalen og/eller for at overholde databeskyttelseslovgivningen, samt sikre, at alle sådanne personer er underlagt fortrolighedserklæringer eller faglige eller lovbestemte fortrolighedsforpligtelser.

4. Sikkerhed

I overensstemmelse med artikel 32(1) i GDPR skal databehandleren gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne samt behandlingens art, omfang, sammenhæng og formål. Disse foranstaltninger er udformet til at beskytte fysiske personers rettigheder og frihedsrettigheder under hensyntagen til risici af varierende sandsynlighed og alvor, herunder risikoen for brud på persondatasikkerheden. Virksomheden skal gennemføre passende tekniske og organisatoriske foranstaltninger for sin egen behandling af virksomhedens personoplysninger, herunder sin administration af administrerede kundekonti via MSP Admin Licenses, og skal sikre, at adgang til sådanne konti er begrænset til virksomhedens personale, der har brug for det, beskyttet af passende godkendelseskontroller og omgående tilbagekaldt, når det ikke længere er nødvendigt.

5. Underdatabehandling

Underlagt denne aftale giver virksomheden en generel bemyndigelse til databehandleren til at engagere underdatabehandlere og til at videregive eller overføre virksomhedens personoplysninger til dem. Virksomheden anerkender og godkender listen over underdatabehandlere, der er beskrevet i databehandlerens privatlivspolitik, idet det forstås, at denne liste fra tid til anden kan opdateres af databehandleren, i hvilket tilfælde virksomheden vil blive informeret i overensstemmelse med notifikationsprocessen i privatlivspolitikken. Virksomheden bemyndiger desuden databehandleren til at videregive og overføre personoplysninger til enhver virksomhed inden for dens koncern. Databehandleren skal sikre, at underdatabehandlere er underlagt en aftale med databehandleren, der ikke er mindre restriktiv og beskyttende end denne aftale med hensyn til beskyttelse af virksomhedens personoplysninger, i det omfang det er relevant for arten af de tjenester, der leveres af den pågældende underdatabehandler. For at undgå enhver tvivl er virksomheden ikke en underdatabehandler af Proton, og dette afsnit finder ikke anvendelse på virksomhedens eget engagement af en administreret kunde eller tredjepart.

6. De registreredes rettigheder

Under hensyntagen til behandlingens art skal databehandleren i rimeligt omfang bistå virksomheden med at opfylde virksomhedens forpligtelser til at besvare anmodninger om udøvelse af registreredes rettigheder i henhold til databeskyttelseslovgivningen, herunder anmodninger, som virksomheden modtager fra eller på vegne af en administreret kunde eller den pågældende administrerede kundes egne slutbrugere.

Databehandleren skal:

  • omgående underrette virksomheden, hvis den modtager en anmodning fra en registreret i henhold til enhver databeskyttelseslovgivning vedrørende virksomhedens personoplysninger; og
  • sikre, at den ikke besvarer denne anmodning, medmindre det sker efter dokumenteret instruks fra virksomheden eller som påkrævet i henhold til gældende lovgivning, i hvilket tilfælde databehandleren, i det omfang det er lovligt tilladt, skal informere virksomheden om dette lovkrav forud for besvarelsen.

Virksomheden er eneansvarlig for at besvare og koordinere med enhver administreret kunde vedrørende enhver anmodning fra registrerede vedrørende den pågældende administrerede kundes personoplysninger; databehandleren har ingen forpligtelse til at identificere eller kommunikere direkte med nogen administreret kunde.

7. Brud på persondatasikkerheden

Databehandleren skal håndtere ethvert brud på persondatasikkerheden i overensstemmelse med gældende databeskyttelseslovgivning og sine interne procedurer for brud på persondatasikkerheden. I tilfælde af et brud på persondatasikkerheden, der påvirker virksomhedens personoplysninger, skal databehandleren underrette virksomheden uden unødig forsinkelse og give tilstrækkelige oplysninger til, at virksomheden kan opfylde sine egne forpligtelser i henhold til databeskyttelseslovgivningen, herunder, hvor det er relevant, informere berørte administrerede kunder og registrerede. Databehandleren skal samarbejde med virksomheden og træffe rimelige kommercielle foranstaltninger som anvist af virksomheden for at bistå med undersøgelse, afbødning og udbedring af hvert sådant brud på persondatasikkerheden. Hver part skal bære omkostningerne ved undersøgelse, udbedring, afbødning og andre relaterede omkostninger i det omfang, et brud på persondatasikkerheden er forårsaget af den pågældende part. Hver part skal bære omkostningerne ved eventuelle bøder, sanktioner, erstatninger eller andre relaterede beløb pålagt af en kompetent tilsynsmyndighed i det omfang, de skyldes den pågældende parts eget brud på sine forpligtelser i henhold til denne aftale. Virksomheden er eneansvarlig for underretninger om brud til sine administrerede kunder og deres registrerede, samt for tidspunktet og indholdet af disse underretninger.

8. Konsekvensanalyse vedrørende databeskyttelse og forudgående høring

Databehandleren skal yde rimelig bistand til virksomheden i forbindelse med konsekvensanalyser vedrørende databeskyttelse og forudgående høringer af tilsynsmyndigheder, som virksomheden med rimelighed anser for påkrævet i henhold til artikel 35 eller 36 i GDPR eller tilsvarende bestemmelser i enhver anden databeskyttelseslovgivning, i hvert tilfælde udelukkende i forbindelse med behandling af virksomhedens personoplysninger foretaget af de kontraktlige databehandlere og under hensyntagen til behandlingens art samt de oplysninger, der er tilgængelige for disse.

9. Sletning eller returnering af virksomhedens personoplysninger

Ved ophør af enhver tjeneste, der involverer behandling af virksomhedens personoplysninger, skal databehandleren slette alle virksomhedens personoplysninger i det omfang, det er tilladt i henhold til gældende lovgivning, og i overensstemmelse med databehandlerens vilkår og betingelser samt privatlivspolitik. Skulle virksomheden have brug for en kopi af virksomhedens personoplysninger, skal den anmode om det inden sletning; anmodninger fremsat efter sletning kan ikke længere tages i betragtning. Ved ophør af hovedaftalen forbliver virksomheden eneansvarlig for at administrere sletning, returnering eller overførsel af enhver administreret kundes personoplysninger mellem virksomheden og den pågældende administrerede kunde i overensstemmelse med afsnit 5.4 i hovedaftalen (Overgangsbistand).

10. Revisionsrettigheder

Med forbehold for dette afsnit 10 skal databehandleren efter anmodning stille alle oplysninger til rådighed for virksomheden, som er nødvendige for at påvise overholdelse af denne aftale, og skal give mulighed for og bidrage til revisioner, herunder inspektioner, foretaget af virksomheden eller en revisor bemyndiget af virksomheden, i relation til de kontraktlige databehandleres behandling af virksomhedens personoplysninger. Virksomheden må ikke udøve sine revisionsrettigheder i henhold til dette afsnit mere end én gang pr. kalenderår, undtagen efter et brud på persondatasikkerheden eller efter pålæg fra en tilsynsmyndighed. Virksomheden skal give databehandleren mindst tres (60) dages forudgående skriftligt varsel om sin hensigt om at udføre revision. Revisionen skal udføres i databehandlerens åbningstid, må ikke forstyrre databehandlerens drift og skal sikre beskyttelsen af personoplysninger tilhørende virksomheden, databehandleren og andre registrerede. Parterne skal på forhånd indbyrdes aftale dato, omfang, varighed samt sikkerheds- og fortrolighedskontrol gældende for revisionen; databehandleren kan kræve en fortrolighedsaftale forud for revisionen. Informations- og revisionsrettigheder i henhold til dette afsnit opstår kun i det omfang, denne aftale ikke i øvrigt giver virksomheden informations- og revisionsrettigheder, der opfylder de relevante krav i databeskyttelseslovgivningen. Hvor en administreret kunde anmoder om oplysninger om Protons behandling som led i virksomhedens egne due diligence-forpligtelser over for den pågældende administrerede kunde, kan virksomheden henholde sig til dette afsnit for at indhente de nødvendige oplysninger fra databehandleren og videregive dem, men den administrerede kunde har ikke i sig selv nogen uafhængig revisionsret over for databehandleren.

11. Dataoverførsel

I det omfang det er muligt, overfører eller bemyndiger databehandleren kun overførsel af virksomhedens personoplysninger til lande inden for Schweiz, EU og/eller lande, der er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, som fastsat i artikel 45 i GDPR og artikel 16 i den schweiziske FADP. Hvis virksomhedens personoplysninger, der behandles under denne aftale, overføres fra Schweiz, EU eller et land, der er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, til et land uden for dette anvendelsesområde, skal parterne sikre, at personoplysningerne er tilstrækkeligt beskyttet, idet de, medmindre andet er aftalt, henholder sig til Schweiz-, EU- og/eller UK-godkendte og på det tidspunkt gældende standardkontraktbestemmelser eller andre overførselsmekanismer fastsat i databeskyttelseslovgivningen. Databehandleren bemyndiges til at udføre sådanne overførsler til underdatabehandlere, forudsat at der implementeres passende garantier under hensyntagen til overførslens art.

12. Generelle vilkår

12.1 Overholdelse af gældende lovgivning. Databehandleren behandler virksomhedens personoplysninger i overensstemmelse med denne aftale og den databeskyttelseslovgivning, der finder anvendelse på dens rolle i henhold til denne aftale. Databehandleren er ikke ansvarlig for overholdelse af databeskyttelseslovgivning, der udelukkende gælder for virksomheden eller for en administreret kunde i kraft af deres respektive forretningsområde eller branche.

12.2 Fortrolighed. Hver part skal hemmeligholde alle oplysninger, den modtager om den anden part i forbindelse med denne aftale, og må ikke anvende eller videregive dem uden forudgående skriftligt samtykke fra den anden part, undtagen i det omfang (a) videregivelse er påkrævet ved lov, eller (b) oplysningerne allerede er offentligt tilgængelige uden parternes skyld.

12.3 Meddelelser. Meddelelser i henhold til denne aftale skal gives i overensstemmelse med meddelelsesbestemmelserne i hovedaftalen. Meddelelser til databehandleren vedrørende databeskyttelsesspørgsmål skal desuden sendes i kopi til legal@proton.ch

12.4 Ansvar. Hver parts ansvar, der opstår som følge af eller i forbindelse med denne aftale, er underlagt og begrænset i overensstemmelse med bestemmelserne om ansvarsbegrænsning i hovedaftalen, herunder ethvert specifikt loft fastsat heri for brud på fortroligheds- og databeskyttelsesforpligtelser. Intet i denne aftale begrænser nogen af parternes ansvar for bøder eller sanktioner, der pålægges den direkte af en kompetent tilsynsmyndighed som følge af partens eget brud på gældende databeskyttelseslovgivning. Virksomheden anerkender, at som den eneste part, der vender mod den dataansvarlige i forhold til sine administrerede kunder, bærer virksomheden det fulde ansvar for ethvert ansvar, som virksomheden pådrager sig over for en administreret kunde, og som overstiger, hvad virksomheden er i stand til at inddrive fra databehandleren under hovedaftalens ansvarsloft.

12.5 Lovvalg og værneting. Denne aftale er underlagt schweizisk ret uden hensyntagen til lovvalgsregler i nogen anden jurisdiktion, og tvister, der opstår som følge af eller i forbindelse med denne aftale, er underlagt den eksklusive kompetence hos domstolene i Genève, Schweiz.

12.6 Rangorden. I tilfælde af uoverensstemmelse mellem denne aftale og hovedaftalen med hensyn til behandlingen af personoplysninger, har denne aftale forrang i overensstemmelse med afsnit 10.1 i hovedaftalen. Hvis der er uoverensstemmelser mellem den engelske version af denne aftale og en oversat version, har den engelske version forrang.