Databehandlingsavtale

BAKGRUNN

FCM Travel Solutions er del av Flight Centre Travel Group («FCTG»), en av verdens største reiseselskaper.

Kunden og FTCG, (heretter kalt «Partene») har i fellesskap inngått avtale om at FTCG skal tilrettelegge reiser og arrangementer for Kunden og når det er aktuelt, til Kundens tilknyttede selskaper («Reiseledelseavtale»).

I gjennomføringen av sine forpliktelser i henhold reiseledelsesavtalen, vil FTCG behandle personopplysninger på vegne av Kunden som angitt her og i reiseledelsesavtalen («Kontrakt databehandling»).  I henhold til Kontrakt databehandling, har partene kommet til enighet om at FCTG er Processor og Kunden er Controller.

Denne databehandlingsavtalen («DPA») inngår i reiseledelsesavtalen og spesifiserer partenes rettigheter og forpliktelser i forbindelse med Kontrakt databehandling. Denne DPA-en skal ikke erstatte eventuelle sammenlignbare eller tilleggs rettigheter knyttet til behandling av personopplysninger som finnes i evt. annen reiseledelsesavtale (inkludert eventuell eksisterende databehandlingsavtale som kan ha blitt avtalt mellom Kunden og FCTG).

Kunden inngår denne DPA-en på egne vegne ved å godta reiseledelsesavtalen, og i den utstrekning det kreves i henhold til gjeldende databeskyttelseslover, på vegne av sine tilknyttede selskaper, dersom og i den utstrekning FCTG behandler personopplysninger som slike tilknyttede selskaper kvalifiserer som datakontroller.

Av hensyn til partenes gjensidige rettigheter og forpliktelser som er fastsatt i reiseledelsavtalen og denne DPA, er partene enige om følgende:

1 DEFINISJONER

Uthevede vilkår som gjengis her skal ha samme mening som tildelt i reiseledelseavtalen eller i lovparagraf 15 (liste over definisjoner) nedenfor.  Om ikke annet er oppgitt her, så er definisjonene av EUs generelle databeskyttelsesforordning 2016/679 («GDPR»), i særdeleshet vilkårene «Controller», «Datasubjekt», «Medlemsland», «Personopplysninger», «Brudd på personopplysninger», «Processor», «Behandling» og «Tilsynsmyndighet» gjort gjeldende.

2 HENSIKTEN MED DPA

2.1 FCTG skal behandle Kundens personopplysninger med det formål å levere tjenestene som er beskrevet i reiseledelsesavtalen («Kontraktbaserte tjenester») og eventuelle tilleggstjenester som kommer inn under denne DPA-en («Behandlingstjenester») til Kunden («Tillatte formål»).  Partene anerkjenner og er enige om at Kunden er kvalifisert som Controller og FTCG er kvalifisert som Processor ved behandling av kundespesifikke personlige data nedenfor.

2.2 Vedlegg 2.2 gir detaljert informasjon om

(a) formål med behandling;

(b) varighet av behandling

(c) kategorier av kundespesifikke personopplysninger

(d) kategorier av datasubjekter som er inkludert i behandlingen.

2.3 Når du behandler en kundes personopplysninger utenfor EU eller EØS-området eller engasjerer deg i handlinger eller praksis som involverer kundens personopplysninger og der denne handlingen eller praksis er underlagt databeskyttelseslover i jurisdiksjoner utenfor EU eller EØS-området, skal FCTG overholde de gjeldende databeskyttelselovene, og sørge for tilstrekkelig nivå av databeskyttelse i samsvar med Art. 44 et seq GDPR.

2.4 FCTG skal behandle personopplysninger kun på vegne av Kunden og i strengt samsvar med Kundens skriftlige instrukser, inkludert hensyn til overføring av personopplysninger til et tredjeland eller en internasjonal organisasjon, med mindre det kreves av unions- eller medlemsstatsloven som FCTG er underlagt.  I slike tilfeller skal FCTG informere Kunden om det lovlige kravet før videre behandling, med mindre loven forbyr slik informasjon med grunnlag i offentlig interesse.  For å unngå tvil, når denne DPA eller reiseledelsesavtalen inneholder bestemmelser om behandling av personopplysninger (for eksempel en forpliktelse til å anonymisere bestemte personopplysninger), skal slik behandling anses som en instruksjon fra Controlleren i henhold til denne DPA.

2.5 Behandlingen skal til enhver tid gjennomføres på en profesjonell måte og i samsvar med prinsippene for forsvarlig databehandling, bestemmelsene i reiseledelsesavtalen, denne DPA og gjeldende lov.

3 NØDVENDIGE TEKNISKE OG ORGANISATORISKE TILTAK

3.1 FCTG skal gjøre alle rimelige anstrengelser for å sikre konfidensialitet, integritet, tilgjengelighet og fleksibilitet i behandlingssystemer- og tjenester, samt muligheten til å gjenopprette tilgjengelighet og tilgang til Kundens personopplysninger på en rask måte hvis det oppstår en fysisk eller teknisk hendelse som er relevant for behandling av Kundens personopplysninger og etter behov i henhold til gjeldende lov. Under henvisning til teknologisk utvikling, kostnaden for å gjennomføre slike tiltak og art, omfang og behandlingsformål med behandlingen, så vel som risiko for varierende sannsynlighet og alvorlighetsgrad for rettighetene og friheten til subjektene, skal FCTG gjennomføre hensiktsmessige tekniske og organisatoriske tiltak for å:

(a) forhindre (i) uautorisert eller ulovlig behandling av Kundens personopplysninger; og (ii) utilsiktet tap eller ødeleggelse av eller skade på Kundens personopplysninger; og

(b) legge til grunn et sikkerhetsnivå som er passende for (i) skadene som kan oppstå som følge av slik uautorisert eller ulovlig behandling eller utilsiktet tap, ødeleggelse eller skade; og (ii) det av Kundens personopplysninger som skal beskyttes,

herunder, når det er hensiktsmessig, tiltakene nevnt i artikkel 32 GDPR («Datasikkerhetsstandarder»).

3.2 Uten å begrense det generelle i det foregående, datasikkerhetsstandardene som FCTG skal implementere og vedlikeholde er definert i Vedlegg3.2.

3.3 Ved å anerkjenne at datasikkerhetsstandarder er underlagt teknisk fremgang og utvikling, er partene enige om at FCTG skal ha tillatelse til å iverksette tilstrekkelige alternative tekniske og organisatoriske tiltak, forutsatt at slike tiltak ikke er underlagt lavere sikkerhetsnivået enn datasikkerhetsstandardene og at de oppfyller kravene i gjeldende lover.

4 DATASUBJEKTRETTIGHETER

4.1 FCTG skal korrigere, slette, blokkere eller behandle Kundens personopplysninger forsvarlig, og foreta nødvendige tiltak i henhold til forespørsler om personopplysninger i samsvar med rettigheter under gjeldende lover («Datasubjektforespørsler») kun i samsvar med og etter Kundens skriftlige instrukser.  FCTG skal så snart det er mulig gi fra seg nødvendige opplysninger og gjøre sitt beste med å bistå Kunden med å håndtere datasubjektforespørsler.

4.2 Kunden vil selv ha eneansvar for behandling av datasubjektforespørsler.  FCTG skal ikke svare på henvendelser om eventuelle datasubjektforespørsler eller henvendelser vedrørende denne DPA, men straks informere Kunden om at en slik henvendelse har kommet, med mindre Kunden uttrykkelig gir instrukser om annet.

5 YTTERLIGERE FORPLIKTELSER FOR FCTG

5.1 FTCG skal skriftlig rapportere alle aktiviteter som er foretatt på vegne av Kunde i samsvar med Art. 30 par. 2 GDPR.

5.2 FTCG skal innenfor rimelighetens grenser assistere Kunden med hensyn til:

(a) utarbeidelse av registre over behandlingsaktiviteter i samsvar med Art. 30 GDPR i forbindelse med Behandlingen i henhold til denne DPA, og skal umiddelbart etter forespørsel gi Kunden all nødvendig informasjon relatert til dette formålet i et format som med rimelighet er forespurt fra Kunden;

(b) datasikkerhetspåvirkning (DPIA) i samsvar med Art. 35 GDPR; og

(c) eventuelle forespørsler eller konsultasjoner fra/med ansvarlig tilsynsmyndighet.

5.3 FCTG skal sørge for at alt personell som tar del av eller er involvert i behandlingen under denne DPA-en er behørig kvalifisert og opplært og har forpliktet seg til å holde Kundens personopplysninger konfidensielt. Eller at han/hun er under en passende lovbestemt taushetsplikt i samsvar med gjeldende lov som gjøres gjeldende selv etter avslutningen av denne DPA-en.

5.5 FCTG har utnevnt en databeskyttelsesansvarlig. Den utnevnte personen kan nås på Data.Protection@uk.fcm.travel.

6 FORBEHANDLING

6.1 FCTG skal ha fullmakt til å engasjere andre Processorer i forbindelse med kontraktdatabehandling («Underprocessor») kun i samsvar med og i den grad det er tillatt i henhold til gjeldende lover.

6.2 Eventuelt engasjement av en Underprocessor krever dokumentert samtykke fra Kunden i forkant, og skal ikke nektes uten saklig grunn.  Kunden godtar herved at FCTG fortsetter å bruke noen av FCTGs tilknyttede partnere og alle Underprocessorer som allerede er engasjert av FCTG på tidspunktet for tildeling av denne avtalen (en fullstendig liste er tilgjengelig på forespørsel ved å kontakte FCTGs databeskyttelsesansvarlig).  Kunden skal straks iverksette handlinger som kreves eller er hensiktsmessig for å lette eller støtte eventuell overføring av Kundens personopplysninger til godkjente Underprocessorer (for eksempel oppdatere registreringer hos gjeldende tilsynsmyndigheter). 

6.3 FCTG skal gi en mekanisme til https://www.no.fcm.travel/trust-and-compliance for å abonnere på varslinger av nye Underprocessorer, som Kunden skal abonnere på, og hvis kunden allerede abonnerer, skal FCTG gi varsling om eventuelle nye Underprocessorer.  Dersom Kunden innen to uker etter mottak av slik varsel skriftlig underretter FCTG om eventuelle innvendinger mot den foreslåtte avtalen, med legitime grunner, skal FCTG med tillit samarbeide med Kunden for å treffe rimelige tiltak for å imøtekomme innvendinger fra Kunden, og hvor slike tiltak ikke kan iverksettes innen tre uker fra FCTGs mottak av Kundens varsel, selv om dette er beskrevet i reiseledelseavtalen. I så tilfelle kan Kunden med umiddelbar virkning si opp reiseledelsavtalen via skriftlig varsel til FCTG i den utstrekning det vedrører Kontraktstjenester som krever bruk av den foreslåtte Underprocessoren.   «Legitime grunner» skal anses som lagt til grunn dersom det foreligger en indikasjon basert på objektive fakta som med rimelighet støtter antagelsen om at Underprocessorens forpliktelse ville bryte gjeldende lov eller denne DPA.

6.4 Når FCTG inngår avtale med en Underprocessor for å utføre spesifikke behandlingsaktiviteter på vegne av Kunden, skal FCTG inngå en skriftlig avtale med Underprocessoren som inneholder vilkår for datasikkerhetstiltak på samme sikkerhetsnivå som vises til i denne DPA-en og som imøtekommer kravene til Art. 28 par 3 GDPR.  Avtalen med Underprocessoren skal inneholde en direkte revisjonsrett for Kunden eller andre hensiktsmessige revisjonsmekanismer (for eksempel tredjeparts revisjoner eller revisjoner utført av FCTG på vegne av Kunden).

6.5 FCTG skal gjennomføre regelmessige revisjoner etter behov i henhold til gjeldende lovgivning for å sikre at Underprocessoren overholder datasikkerhetsstandardene, gjeldende lover og andre kontraktsforpliktelser.

6.6 Hvis Underprocessoren ikke overholder sine kontraktfestede forpliktelser knyttet til Kundens personopplysninger, er FCTG underlagt det fulle ansvar for eventuelle skader hos Kunden som skyldes slik manglende overholdelse, og skal erstatte og imøtekomme ethvert krav fra Kunden forbindelse med skader og som følge av engasjementet til Underprocessoren.

7 BEGRENSEDE OVERFØRINGER

7.1 Partene vil umiddelbart etter rimelig anmodning fra en av partene og før ikrafttredelsen av en begrenset overføring (i) sette i kraft standardklausulene fastsatt i Kommisjonens beslutning datert 5. februar 2010 (2010/87/EU) og/eller (ii) inngå eller etablere andre passende instrumenter eller foretak som kreves i henhold til gjeldende lovgivning for å gjennomføre slik begrenset overføring uten brudd på gjeldende lov.  Hvis dette er påkrevet i henhold til gjeldende lov, skal FCTG sørge for at eventuell Underprocessor tar i bruk hensiktsmessige virkemidler eller forpliktelser direkte med kunden eller at Underprocessortar i bruk hensiktsmessige virkemidler eller forpliktelse på vegne av Kunden basert på passende fullmakt som skal utstedes av kunden omgående på forespørsel fra FCTG.

7.2 «Begrenset overføring» betyr enhver overføring av Kundens personopplysninger av eller til noen av partene eller Underprocessor som anses som forbudt i henhold til gjeldende lov hvis virkemidler og forpliktelser referert til i lovparagraf 7.1 ovenfor, ikke er tilstede.

7.3 Når du behandler en kundes personopplysninger utenfor EU eller EØS-området eller engasjerer deg i handlinger eller praksis som involverer Kundens personopplysninger og der denne handlingen eller praksis er underlagt databeskyttelseslover i jurisdiksjoner utenfor EU eller EØS-området, skal FCTG overholde de gjeldende databeskyttelselovene, og sørge for at dataene er beskyttet på forsvarlig nivå i samsvar med Art. 44 et seq GDPR.

8 INSPEKSJONER OG REVISJONER

8.1 På forespørsel fra Kunden skal FCTG stille alle opplysninger som er nødvendige for å påvise overholdelse av denne DPA, og skal tillate og bidra til revisjoner i forbindelse med behandling av Kundens personopplysninger, herunder inspeksjoner av databehandlingsanleggene til FCTG, av Kunde eller en revisor bemyndiget av Kunden, i den utstrekning det kreves av gjeldende lov og i samsvar med denne lovparagrafen 8. 

8.2 FCTG skal på Kundens skriftlige forespørsel gi Kunden en oppsummering av resultatene av dens siste interne datasikkerhetsrevisjon.  I tillegg vil FCTG på Kundens forespørsel og ikke mer enn en gang hvert år, delta i en skriftlig spørreundersøkelse vedrørende informasjonssikkerhet fra Kunden som har til hensikt å kartlegge FCTGs overholdelse av datasikkerhetsstandarder. 

8.3 Kundens informasjons- og revisjonsrettigheter under lovparagraf 8.1 skal bare fremheves i henhold til denne lovparagrafen dersom og i den utstrekning at (i) reiseledelsesavtalen ikke på annen måte gir informasjon og revisjonsrettigheter som oppfyller relevante krav i gjeldende lov (inkludert Art. 28 par. 3 (h) GDPR) og (ii) informasjonen under lovparagraf 8.2 ikke er tilstrekkelig for Kunden å overholde sine inspeksjons- og revisjonsforpliktelser i henhold til gjeldende lov.

8.4 Kunden skal gi FCTG minst tre (3) ukers varsel om revisjon eller inspeksjon som skal gjennomføres, og skal unngå skade eller alternering av FCTGs lokaler, utstyr, personell og virksomhet.  FCTG har ingen forpliktelse til å gi tilgang til sine lokaler med henblikk på slik revisjon eller inspeksjon:

(a) til personer, med mindre han eller hun med rimelighet kan bevise sin identitet eller autorisasjon;

(b) for mer enn én revisjon eller inspeksjon i løpet av et år, med unntak av eventuelle ytterligere revisjoner eller inspeksjoner som Kunden blir bedt om å utføre fra en tilsynsmyndighet eller en tilsvarende myndighet som er ansvarlig for håndhevelsen av gjeldende lover.

8.5 Hvis Kunden identifiserer mangler eller uregelmessigheter knyttet til behandling av Kundens personopplysninger, vil FCTG diskutere slike funn med Kunden, og partene skal samarbeide for å komme frem til en gjensidig tiltaksplan.  Hvis og i den grad gjeldende lov spesifikt krever, eller vil kreve, endringer i forrige eller ytterligere revisjonsrettigheter som skal gis til Kunden, skal denne DPA oppfattes og/eller endres slik at den overholder slike tilleggskrav.  FCTG skal umiddelbart informere Kunden om tiltak i henhold til om denne lovparagrafen er i strid med EUs databeskyttelseslover eller andre EU-medlemsstaters databeskyttelsesbestemmelser (Art.28 nr. 3 GDPR).

8.6 Ingen dokumentasjon eller informasjon kan kopieres, deles, overføres eller fjernes fra FCTGs lokaler, med unntak av gjensidig avtale eller krav i henhold til gjeldende lov.  Enhver ikke-offentlig dokumentasjon og informasjon gitt til Kunden i henhold til denne lovparagrafen, skal anses som fortrolig og konfidensiell informasjon av FCTG.  Kunden skal ikke utlevere slik dokumentasjon eller informasjon til tredjepart eller bruke den til noe annet formål enn å vurdere FCTGs overholdelse av datasikkerhetsstandarder.

9 BRUDD PÅ PERSONOPPLYSNINGER OG HENDELSER

9.1 Partene er klar over at gjeldende lov kan pålegge Kunden å informere tilsynsmyndigheter og datasubjekter om brudd på personopplysninger som påvirker Kundens personopplysninger.  Slik hendelser må derfor rapporteres til Kunden, uavhengig av dens opprinnelse.  FCTG skal straks informere Kunden om eventuelle tekniske, organisatoriske eller andre hendelser (inkludert hendelser hos Underprocessorer) som har resultert i eller kan føre til brudd på personopplysninger i samsvar med Art. 33 par. 1 GDPR og som påvirker Kundens personopplysninger («Datasikkerhetshendelse»).  Datasikkerhetshendelse inkluderer spesielt, men er ikke begrenset til, følgende:

(a) enhver faktisk uautorisert eller mistanke om uautorisert tilgang, opplysning, tap, nedlasting, tyveri, blokkering, kryptering eller sletting fra skadelig programvare eller annen uautorisert handling i forhold til Kundens personopplysninger av uautoriserte tredjeparter;

(b) eventuelle faktiske eller mistenkte operasjonelle hendelser som påvirker behandling av Kundens personopplysninger;

(c) enhver faktiske eller mistanke om brudd på denne DPA eller gjeldende lov fra FCTG, dets ansatte eller agenter i den utstrekning at et slikt brudd påvirker integriteten og sikkerheten til Kundens personopplysninger eller har en negativ innvirkning på FCTGs forpliktelser i henhold til denne DPA; eller

(d) enhver juridisk bindende anmodning om offentliggjøring eller beslagleggelse av Kundens personopplysninger av en politimyndighet eller annen offentlig myndighet med mindre FCTG er forpliktet i henhold til lovfestet rett å informere Kunden om en slik hendelse.

9.2 FCTGs varsling av en datasikkerhetshendelse til Kunden må være omfattende og inkludere all informasjon som kreves i henhold til Art. 33 par. 3 GDPR og/eller kreves av gjeldende lover.

9.3 Meldingen må sendes via e-post til kontakten som angitt i reiseledelsesavtalen, og hvor Kunden har gitt FCTG relevante kontaktdetaljer til kundens databeskyttelsesansvarlig.

9.4 I tilfeller der FCTG er påkrevd i henhold til gjeldende lov å varsle en datasikkerhetshendelse til en tilsynsmyndighet eller annen myndighet, berørte datasubjekter eller andre tredjeparter (f.eks. hvis datasikkerhetshendelsen resulterer i brudd på personopplysninger som FCTG er ansvarlig for som Controller), skal FCTG, i den utstrekning det er tillatt og rimelig i henhold til gjeldende lov, samarbeide og koordinere med Kunden før slik varsling settes i kraft.  Partene skal bestrebe seg på å bli enige om en felles tilnærming med sikte på å forebygge eventuelle motstridende eller ufullstendige varslinger.  Dette inkluderer å gi hverandre opplysninger om eventuelle varslinger og dato og klokkeslett for når varslingen skal gjøres gjeldende.

9.5 Ved et datasikkerhetsbrudd, skal FCTG straks igangsette nødvendige og hensiktsmessige tiltak i henhold til gjeldende lov og tekniske standarder for å gjenopprette konfidensialiteten, integriteten og tilgjengeligheten til Kundens personopplysninger og styrken til prosesseringssystemene og -tjenestene for å redusere skaderisiko og/eller skadelige konsekvenser for de datasubjektene som er berørt eller potensielt påvirket av datasikkerhetshendelsen.

9.6 Partene skal bestrebe seg på å støtte hverandre ved eventuelle revisjoner, henvendelser, undersøkelser eller andre prosesser som er initiert av en tilsynsmyndighet eller annen offentlig myndighet i forbindelse med kontraktdatabehandlingen.  I den utstrekning det er tillatt i henhold til gjeldende lov, skal partene straks underrette den annen part om slike saker.

10 BEHANDLINGSTJENESTEKOSTNADER

10.1 Med mindre annet er uttrykkelig angitt herunder eller i reiseledelsesavtalen, skal Kunden umiddelbart etter fakturering kompensere FCTG for eventuelle kostnader og utgifter og som ved gjengivelse av behandlingstjenester herunder (dvs. tjenester ikke er inkludert i kontraktstjenestene og som er ikke basert på lovbestemte forpliktelser fra FCTG).

10.2 Det foregående gjelder ikke for eventuelle immaterielle engangskostnader som partene med rimelighet kan forvente vil dekkes av avgifter og gebyrer som skal betales i henhold til reiseledelsesavtalen.  For å unngå tvil; dette inkluderer ikke behandlingstjenester levert i henhold til lovparagrafene 4 – 8.

11 KUNDENS FORPLIKTELSER

11.1 Kunden skal straks sette i gang nødvendige tiltak for å oppfylle sine egne forpliktelser i henhold til gjeldende lovgivning i forbindelse med behandling av Kundens personopplysninger herunder (f.eks. effektivisere enhver nødvendig varsling til datasubjektene).

11.2Kunden garanterer at (i) er berettiget til å engasjere seg og gi Kundens personopplysninger til FCTG og (ii) behandlingen av kundens personopplysninger, forutsatt at FCTG overholder gjeldende lover og bestemmelsene i denne DPA, og ikke krenker noen tredjeparts rettigheter.

12 RETUR OG SLETTING AV KUNDENS PERSONOPPLYSNINGER

12.1 Ved oppsigelse av reiseledelsesavtalen eller etter Kundens anmodning, skal FCTG straks slette og iverksette sletting av alle kopier av Kundens personopplysninger.  Hvis og i den utstrekning en sletting ikke er rimelig gjennomførbar, skal FCTG sørge for at berørte personopplysninger er anonymisert eller permanent blokkert og beskyttet mot uautorisert tilgang, opplysning eller bruk.  Kunden kan etter eget skjønn, ved skriftlig varsel, kreve at FCTG returnerer en komplett kopi av alle personopplysninger til Kunden ved sikker filoverføring i et format som er rimelig forespurt fra Kunden.  FCTG skal overholde en slik skriftlig forespørsel.

12.2 FCTG kan beholde Kundens personopplysninger i den utstrekning som kreves av gjeldende lov og kun i den grad og for den perioden som kreves av gjeldende lov og forutsatt at FCTG kan forsikre at slike personopplysninger (i) holdes konfidensielt og beskyttet mot uautorisert tilgang, fremlegging eller bruk og (ii) kun behandles som nødvendig for formål(ene) som angitt i gjeldende lov med nødvendig lagring, og ikke for andre formål.

12.3 På skriftlig forespørsel fra Kunden skal FCTG skritflig dokumentere at denne lovparagrafen er fulgt.

13 BRUDD PÅ DENNE DPA

13.1 Ved brudd på denne DPA, er det relevante bestemmelser fra reiseledelsesavtalen som gjøres gjeldende.

14 ENDRING AV DATABESKYTTELSESOVERENSSTEMMELSE

14.1 Begge parter kan med minst to ukers skriftlig varsel til den annen part, med jevne mellomrom foreslå eventuelle endringer i denne DPA der den annen part anser dette som nødvendig for å møte kravene i gjeldende lov. Hvis noen av partene gir et slik varsel, skal partene øyeblikkelig samarbeide (og sørge for at eventuelle berørte Underprocessorer raskt samarbeider) for å sikre at det gjøres riktige endringerfor å håndtere kravene som er identifisert i varselet så snart det er mulig.

14.2 Ved eventuelle endringer i gjeldende lov eller etter veiledning fra en tilsynsmyndighet, etter spesifikke instruksjoner eller oppfordring fra en tilsynsmyndighet i forhold til denne DPA, skal partene straks endre denne DPA som ansett nødvendig og hensiktsmessig for å sikre overholdelse av slike endrede lovkrav.

15 LISTE OVER DEFINISJONER

«Tillatte formål» er forklart i lovparagraf 2.1.

«Tilknyttede selskaper» betyr enhver juridisk enhet direkte eller indirekte kontrollerende eller kontrollert av eller under direkte eller indirekte felles kontroll med den angitte enheten. «Kontroll», med hensyn til denne definisjonen, betyr makt til å direkte eller indirekte styre ledelsen og retningslinjene til en slik enhet, enten gjennom eierskap av stemmeberettigede verdipapirer, etter kontrakt (inkludert franchise- eller varemerkelisensavtale) eller på annen måte.

«Kunde» viser til den enheten som har inngått reiseledelsesavtale med FCTG og, i henhold til denne DPA, med unntak av det som er angitt ellers, også inkluderer Kundens tilknyttede selskaper.

«Kundens personopplysninger» betyr personopplysninger behandlet av FCTG på vegne av Kunden i henhold til eller i forbindelse med reiseledelsesavtalen.

«Kontraktdatabehandling» blir forklart i bakgrunnsparagrafen.

«Kontrakttjenester» blir forklart i lovparagraf 2.1.

«Datasikkerhetshendelse » blir forklart i lovparagraf 9.1.

«Datasikkerhetsstandarder» blir forklart i lovparagraf 3.1.

«Datasubjektsforespørsel» blir forklart i lovparagraf 4.1.

«DPA» blir forklart i bakgrunnsparagrafen.

«EEA» betyr det europeiske økonomiske samarbeidsområdet.

«FCTG» betyr Flight Centre Travel Group-enheten som er part i reiseledelseavtalen og denne DPA, som en eller flere enheter som handler som FCM Travel Solutions; Flight Center Travel Group (Nederland) Limited, Flight Center Travel Group (Irland) Limited, Flight Center Travel Group (Tyskland) GmbH, Flight Center Travel Group (Europe) AB, Flight Center Travel Group (Nederland) BV, og i den utstrekning at noen tilknyttede foretak behandler personopplysninger på vegne av kunden på EØS-territoriums territorium, betyr «FCTG» og inkluderer det tilknyttede selskapet.

«GDPR» blir forklart i lovparagraf 1.

«Behandlingstjenester» blir forklart i lovparagraf 2.1.

«Underprocessor» blir forklart i lovparagraf 6.1.

«Tredjeland» betyr de landene som ikke er medlem av EU eller EØS, og som ikke har blitt anerkjent av EU-kommisjonen til å gi tilstrekkelig personopplysningsvern. Landene som har blitt anerkjent, inkluderer fra og med november 2017 Andorra, Argentina, Canada, Færøyene, Guernsey, Israel, Isle of Man, Jersey, New Zealand, Sveits og Uruguay.

«Reiseledelseavtale» blir forklart i bakgrunnsparagrafen.

16 SLUTTBESTEMMELSER

16.1 Rekkefølge. Denne DPA gir variasjon til vilkårene i reiseledelsesavtalen og bestemmelsene i denne DPA er implementert og inngår i reiseledelsesavtalen som om de er angitt i reiseledelsesavtalen i sin helhet.  I tilfelle konflikt eller inkonsekvens skal bestemmelsene i denne DPA ha forrang i forhold til bestemmelsene i reiseledelsesavtalen.  I motsatt fall, vil bestemmelsene i reiseledelsesavtalen være gjeldende.

16.2 Skiftlig form. Ingen endring eller tilføying av denne DPA og dens vilkår skal være gyldig og bindende, med mindre det gjøres skriftlig, og med mindre de uttrykkelig refererer til å være en endring eller tilføying til denne DPA.  Det foregående gjelder også for frafall av denne obligatoriske skriftlige formen.

16.3 Sluttvederlag. Skulle enhver bestemmelse i denne DPA være ugyldig eller uhåndterlig, skal resten av denne DPA forbli gyldig og gjeldende. Den ugyldige eller uhåndterlige bestemmelsen skal enten (i) endres som nødvendig for å sikre sin gyldighet og håndhevelse, samtidig som partenes intensjoner opprettholdes så nært som mulig, eller, hvis dette ikke er mulig, (ii) fortolkes på en måte som om den ugyldige eller ikke-håndhevbare delen aldri hadde vært nedtegnet.  Dette gjelder tilsvarende i tilfelle eventuelle utilsiktede hull.

Vedlegg 2.2

Formål med behandling, varighet av behandlingen, kategorier av klients personopplysninger og datasubjekter som er berørt av behandlingen

1 FORMÅL MED BEHANDLING

Eventuell behandling herunder vil utelukkende bli utført med det formål å gjennomføre reiseledelsesavtalen (begrensning av tillatte formål).

2 VARIGHET AV BEHANDLING

Varigheten (terminen) for denne DPA-en er i samsvar med reiseledelsestavtalen og denne DPA skal opphøre automatisk når reiseledelsesavtalen avsluttes, med unntak av eventuelle bestemmelser som har som formål å opprettholde reiseledelsesavtalen.  Enhver rett til å si opp denne DPA hver for seg før slik sluttdato, skal utelukkes i den utstrekning det er tillatt i henhold til gjeldende lov.

3 KATEGORIER AV KLIENTSPESIFIKKE PERSONOPPLYSNINGER
  • Reisendes profildata Navn, boligadresse, telefonnummer, e-post, jobbtittel, kontorlokasjon, ansattes nummer, pass og visuminformasjon (inkludert fødselsdato, nasjonalitet, fødested, passnummer og utløpsdato), kjørerkortnummer og informasjon, kjørelengde og fast flypassasjer / gjestekortnummer.
  • Passasjernavn («PNR») Data. Reiseprofildata behandlet i PNR-format knyttet til reservasjonsdata, inkludert flyreisedatoer og ruteflyvninger, flynummer, hotellreservasjoner, leiebilbestillinger, togbillettbestilling, billettinformasjon, autorisasjonsløsninger og reiserisikohåndtering.
  • Betalingsdata. Kreditt- og debetkortdetaljer og bankdetaljer (hvis nødvendig under betalingsløsninger i reiseledelsesavtalen).
  • Kost- og spesialhjelpsinformasjon.   Gitt i forbindelse med reisearrangementer (for eksempel måltidsforepørsler eller spesialkrav) som potensielt angår helse eller indikerer religiøs tro.
  • Kontaktinformasjon for nødhjelp. Navn og telefonnummer til reisendes partner/nødhjelpskontakt.
4 KATEGORIER AV GJELDENDE DATASUBJEKTER
  • Kundens eller kundens tilknyttede selskapers ansatte, agenter eller entreprenører («Ansatte»).
  • Nødkontakter og/eller partnere av Kundens ansatte eller Kundens tilknyttede selskaper ansatte.

Vedlegg 3.2

1 DATASIKKERHETSSTYRING

FCTG opprettholder interne organisasjons- og styringsrutiner for administrasjon av informasjon på riktig måte gjennom hele livssyklusen. FCTG foretar regelmessige tester samt vurderer og evaluerer effektiviteten av sine datasikkerhetsstandarder.

2 FYSISK TILGANGSKONTROLL

FCTG tar i bruk en rekke tiltak, hensiktsmessige for funksjonene på stedet, for å forhindre uautorisert tilgang til de fysiske lokalene der personopplysninger behandles. Disse tiltakene inkluderer:

  • Sentralisert nøkkel- og kodehåndtering, kortnøkkelprosedyrer
  • Batch-kortsystemer inkludert hensiktsmessige loggings- og varslingsmekanismer
  • Overvåkningssystemer inkludert alarmer og, etter behov, CCTV-overvåking
  • Resepsjon og besøksprosedyrer
  • Låsing av serverstativ og sikret utstyrsrom på datasentrene
3 VIRTUELL TILGANGSKONTROLL

FCTG gjennomfører hensiktsmessige tiltak for å forhindre at systemene brukes av uautoriserte personer. Dette oppnås ved:

  • Individuell, identifiserbar og rollebasert brukeroppgave – Rollebasert og passordbeskyttet tilgang og autorisasjonsprosedyrer
  • Sentralisert, standardisert passordhåndtering og passordregler (minimum lengde/tegn, endring av passord)
  • Brukerkontoer deaktiveres etter gjentatte mislykkede innloggingsforsøk
  • Automatisk avlogging ved inaktivitet
  • Antivirusadministrasjon
4 DATA TILGANGSKONTROLL

Personer som får tilgang til FCTG-systemer, har kun tilgang til dataene som kreves for å få tilgang til dem innenfor deres ansvarsområde og i den utstrekning de er omfattet av deres respektive tilgangstillatelse (autorisasjon). Slike data kan ikke leses, kopieres, endres eller fjernes uten spesialtillatelser. Dette oppnås ved:

  • Autentisering på operativsystemnivå
  • Separat autentisering på applikasjonsnivå
  • Autentisering mot sentralt administrert autentiseringssystem
  • Endre kontrollprosedyrer som styrer håndtering av endringer (program eller operativsystem) i miljøet
  • Fjerntilgang har passende autorisasjon og godkjenning
  • Logging av system- og nettverksaktiviteter for å opprette et revisjonsspor i tilfelle systemmisbruk
  • Implementering av hensiktsmessige sikkerhetstiltak for lagrede data i samsvar med risiko, deriblant kryptering, pseudonymisering og passordkontroll.
5 AVSLØRINGSKONTROLL

FCTG implementerer hensiktsmessige tiltak for å forhindre at data leses, kopieres, endres eller slettes av uautoriserte personer under elektronisk overføring og under transport av datalagringsmedier. FCTG implementerer også hensiktsmessige tiltak for å verifisere til hvilke enheter data overføres. Dette oppnås ved:

  • Dataoverføringsprotokoller inkludert kryptering av datatransportør/media
  • Profiloppsett dataoverføring via Secure File Transfer-metoder
  • Kryptert VPN
  • Ingen fysiske overføringer av sikkerhetskopier
6 DATAREGISTRERINGSKONTROLL

FCTG implementerer hensiktsmessige tiltak for å overvåke om data er overført, endret eller fjernet (slettet), og av hvem. Dette oppnås ved:

  • Dokumentasjon av administrasjonsaktiviteter (oppsett av brukerkonto, endringshåndtering, tilgang og autorisasjonsprosedyrer)
  • Arkivering av tilbakestillingsanmodninger og tilgangsforespørsler
  • Systemloggfiler aktivert som standard
  • Lagring av revisjonslogger for revisjonssporanalyse
7 INSTRUKSJONSKONTROLL

FCTG gjennomfører hensiktsmessige tiltak for å sikre at data kun behandles i samsvar med Kundens instrukser. Disse tiltakene inkluderer:

  • Bindende retningslinjer og prosedyrer for FCTG-ansatte
  • Hvor Underprosessorer er engasjert i behandling av data, inkludert passende kontraktsbestemmelser til avtalene med Underprosessorer for å opprettholde instruksjonsstyringsrettigheter
8 TILGJENGELIGHETSKONTROLL

FCTG opprettholder passende nivåer av redundans og feiltoleranse for utilsiktet ødeleggelse eller tap av data, inkludert:

  • Omfattende rutiner for sikkerhetskopiering og styringssystemer for gjenoppretting
  • Dokumentert katastrofeoppretting og forretningskontinuitetsplaner og -systemer
  • Lagrings- og arkivretningslinjer
  • Antivirus, antispam og brannmursystemer samt styring inkludert retningslinjer
  • Datasentre er hensiktsmessig utstyrt etter risiko, inkludert fysisk separerte sikkerhetskopierte datasentre, avbruddsfri strømforsyning (inkludert reservegeneratorer), feilredundante maskinvare- og nettverkssystemer og alarm- og sikkerhetssystemer (røyk, brann, vann)
  • Egnet redundant teknologi på datalagringssystemer
  • Alle kritiske systemer har sikkerhetskopiering og redundans bygget inn i miljøet.
9 SEPARASJONSKONTROLL

FCTG gjennomfører hensiktsmessige tiltak for å sikre at data som er beregnet til forskjellige formål behandles separat. Dette oppnås ved:

  • Tilgangsforespørsel og autorisasjonsprosesser foretar logisk dataseparasjon
  • Deling av funksjoner (produksjon/testing)
  • Oppdeling av plikter og autorisasjoner mellom brukere, administratorer og systemutvikler.