Nema samhengi krefjist bersýnilega annars skulu eftirfarandi hugtök í þessum gagnavinnslusamningi hafa neðangreinda merkingu:

Hugtök sem ekki eru skilgreind hér að framan hafa sömu merkingu og þeim er gefin í þjónustuskilmálunum, nema samhengi krefjist bersýnilega annars.

Justikal skal veita viðskiptavininum þjónustu í samræmi við þjónustuskilmálana. Við veitingu þjónustunnar skal Justikal vinna viðskiptagögnin fyrir hönd viðskiptavinarins. Viðskipavinagögn geta innifalið persónuupplýsingar. Þess vegna skal viðskiptavinurinn vera:

ábyrgðaraðili gagna vegna viðskiptavinagagnanna; eða 

gagnavinnsluaðili, ef viðskiptavinurinn vinnur persónuupplýsingar fyrir hönd þriðja aðila. 

Að því er varðar þennan gagnavinnslusamning og þjónustuskilmálana er Justikal gagnavinnsluaðili. Justikal mun vinna og vernda viðskiptavinagögn í samræmi við skilmála þessa gagnavinnslusamnings

Þessi gagnavinnslusamningur gildir aðeins um vinnslu viðskiptavinagagna þar sem Justikal vinnur slík gögn fyrir hönd viðskiptavinarins og samkvæmt skjalfestum fyrirmælum hans á meðan það veitir þjónustuna. 

Þessi gagnavinnslusamningur gildir ekki í þeim tilfellum þar sem Justikal vinnur viðskiptavinagögnin sem ábyrgðaraðili gagna. Í staðinn gilda persónuverndarstefnan og önnur skjöl Justikal.

Justikal skal vinna viðskiptavinagögnin í þeim tilgangi að veita þjónustuna.

Justikal skal vinna persónuupplýsingar af því tagi sem viðskiptavinurinn hleður upp eða setur inn þegar hann notar þjónustuna. Þar getur verið um að ræða, án tæmandi talningar, nafn, eftirnafn, fæðingardag, persónulegan kóða, símanúmer, netfang, heimilisfang, vinnustaðaupplýsingar. Vinsamlegast athugið að þessi upptalning er ekki tæmandi og getur verið breytileg í hverju tilviki fyrir sig, meðal annars, án tæmandi talningar, eftir eðli og innihaldi viðskiptavinagagnanna sem viðskiptavinurinn (eða þriðji aðili ef viðskiptavinurinn gegnir hlutverki gagnavinnsluaðila) lætur Justikal í té þegar hann notar þjónustuna. Er þetta einkum vegna þess að um getur verið að ræða margvíslegar tegundir dómsmála sem stjórnað er í gegnum þjónustuna og viðskiptamannagögnin gætu sömuleiðis innihaldið allar gerðir persónuupplýsinga, þar á meðal sérstaka flokka persónuupplýsinga, svo sem persónuupplýsingar sem sýna kynþátta- eða þjóðernisuppruna, stjórnmálaskoðanir, trúarskoðanir eða heimspekilegar skoðanir eða stéttarfélagsaðild, upplýsingar er varða heilsufar, sakavottorð o.fl.

Þeir flokkar skráðra aðila hverra persónuupplýsingar eru unnar af Justikal á meðan það veitir þjónustuna, kunna að vera, án tæmandi talningar, krefjendur, varnaraðilar, saksóknarar, lögfræðingar, opinberir embættismenn, vitni svo og aðrir þriðju aðilar hverra persónuupplýsingar er að finna í skjölunum sem viðskiptavinurinn hleður upp sem hluta af viðskiptavinagögnum.

Justikal mun vinna viðskiptavinagögnin frá þeirri stundu sem viðskiptavinurinn hleður þeim upp eða setur þau inn þegar hann notar þjónustuna og þar til viðskiptavinurinn fjarlægir þau en þó ekki lengur en tilgreint er í grein 13.2 í þessum gagnavinnslusamningi.

Justikal skal tryggja að viðskiptavinagögnin séu unnin innan Evrópska efnahagssvæðisins. Hins vegar, ef nauðsynlegt reynist að flytja einhverjar persónuupplýsingar sem er finna í viðskiptavinagögnunum til landa utan Evrópska efnahagssvæðisins (t.d. ef Justikal ræður undirvinnsluaðila sem staðsettur er utan EES) mun Justikal sjá til þess að slíkir flutningar fari fram í fullu samræmi við GDPR-reglugerðina og að viðeigandi lagalegar verndarráðstafanir verði gerðar til að vernda viðkomandi persónuupplýsingar. Þannig getur flutningur persónuupplýsinga til landa utan EES átt sér stað annað hvort (i) á grundvelli ákvörðunar um fullnægjandi persónuvernd hjá viðkomandi þriðja landi eða alþjóðastofnun, eða (ii) ef aðrar viðeigandi verndarráðstafanir eru fyrir hendi milli Justikal og viðtakanda persónuupplýsinga, t.d. á grundvelli staðlaðra samningsákvæða sem hafa verið samþykkt af framkvæmdastjórn Evrópusambandsins. ß

Justikal skal aðeins nota viðskiptavinagögnin til að veita þjónustuna og framfylgja réttindum sínum samkvæmt þjónustuskilmálunum. Justikal skal ekki undir neinum kringumstæðum flytja eða miðla á annan hátt persónuupplýsingum eða öðrum upplýsingum sem varða vinnslu persónuupplýsinga til þriðju aðila nema að fengnum fyrirmælum viðskiptavinarins, að undanskildum þeim flokkum viðtakenda persónuupplýsinga sem tilgreindir eru í grein 4.3 í þessum gagnavinnslusamningi og þeim aðilum sem hafa lagalegan rétt til að taka við persónuupplýsingum frá Justikal.

Justikal skal tryggja að aðgangur að viðskiptavinagögnum verði aðeins veittur þeim starfsmönnum eða birgjum Justikal sem þurfa slík gögn til að framkvæma vinnu eða veita Justikal þjónustu. 

Justikal skal tryggja að þeir starfsmenn eða birgjar Justikal sem vinna viðskiptavinagögn hlíti þessum gagnavinnslusamningi og skuldbindi sig til að virða trúnaðarákvæðið eða lúta viðeigandi trúnaðarskyldu sem gildir samkvæmt lögum. Þetta gildir einnig um þá undirvinnsluaðila sem Justikal kann að ráða eins og nánar greinir í 9. grein þessa gagnavinnslusamnings.

Ef Justikal er skylt samkvæmt lögum að miðla viðskiptavinagögnum til þriðja aðila (t.d. löggæsluyfirvalda) skal Justikal þegar í stað tilkynna viðskiptavininum um slíka skyldu til að miðla gögnum viðskiptavinarins, nema á annan veg sé mælt í lögum.

Slíkar trúnaðarskyldur skulu haldast í gildi um óákveðinn tíma og eftir að þessi gagnavinnslusamningur fellur úr gildi.

Justikal skal aðeins vinna viðskiptavinagögn í samræmi við skjalfest fyrirmæli frá viðskiptavininum. Viðskiptavinurinn skal tryggja að viðeigandi lagagrundvöllur fyrir vinnslu viðskiptavinagagna af hálfu Justikal sé fyrir hendi. Justikal skal einnig uppfylla þeir skyldur sem lagðar eru á gagnavinnsluaðila samkvæmt GDPR-reglugerðinni, íslenskum lögum um persónuvernd eða öðrum lögum.

Aðilar eru sammála um að líta á þennan gagnavinnslusamning, þjónustuskilmálana og þær þjónustustillingar sem viðskiptavinur kann að velja þegar hann notar þjónustuna sem skjalfest fyrirmæli viðskiptavinarins. Aðilar kunna að semja um framkvæmd frekari fyrirmæla viðskiptavinar og verð fyrir hana

Frekari fyrirmæli viðskiptavinar sem eru utan gildissviðs skjalfestu fyrirmælanna (ef einhver eru) krefjast fyrirfram skriflegs samkomulags milli Justikal og viðskiptavinarins, þar með talið samkomulags um öll viðbótargjöld sem viðskiptavinurinn greiðir til Justikal fyrir framkvæmd slíkra fyrirmæla, þar á meðal en ekki einskorðað við:

assistance with the data controller’s obligation to respond to data subject requests;

aðstoð við skyldu ábyrgðaraðila gagna til að svara beiðnum skráðs aðila;

framkvæmd frekari tæknilegra og skipulagslegra ráðstafana sem ekki er lýst í þessum gagnavinnslusamningi;

Justikal skal þegar í stað láta viðskiptavininn vita ef Justikal telur að fyrirmæli viðskiptavinarins stangist á við GDPR-reglugerðina, íslensk lög um persónuvernd eða aðra gildandi löggjöf um vernd persónuupplýsinga. Þetta ákvæði leggur á engan hátt þá skyldu á Justikal að fylgjast með viðskiptavinagögnum og/eða gera frekari ráðstafanir og/eða afla viðbótarupplýsinga til að meta lögmæti fyrirmæla viðskiptavinarins

Við vinnslu viðskiptavinagagna skal Justikal innleiða viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vernda viðskiptavinagögnin. Justikal skal velja tæknilegar og skipulagslegar ráðstafanir með hliðsjón af þróunarstigi tæknimöguleika, kostnaði við framkvæmd og eðli, umfangi, samhengi og tilgangi gagnavinnslu, svo og áhættu af ýmsum líkindum og alvarleika með tilliti til réttinda og frelsis einstaklinga sem tengjast gagnavinnslu. 

Tæknilegar og skipulagslegar ráðstafanir sem Justikal innleiðir eru meðal annars, en ekki einskorðaðar við, eftirfarandi:

aJustikal hefur skipað persónuverndarfulltrúa (dpo@justikal.com) sem starfar án þess að vera bundinn af fyrirmælum;

Öllum starfsmönnum sem vinna persónuupplýsingar er skylt að gæta trúnaðar við störf sín. Þessi skylda helst í gildi eftir að starfstíma þeirra lýkur;

Stjórnendur og verkefnastjórar bera ábyrgð á því að starfsmenn þeirra fái reglulega þjálfun í meðferð persónuupplýsinga og persónuvernd;

Aðgangsrétti að persónuupplýsingum er stjórnað í miðlægu kerfi og er veittur af starfandi ábyrgðaraðila á grundvelli reglunnar um lágmarksaðgang. Ábyrgðaraðilanum er skylt að halda þessum upplýsingum uppfærðum;

Viðskiptavinurinn sjálfur getur einnig stjórnað aðgangsrétti að viðskiptavinagögnum fyrir hvern notanda. Eftir að dómstóll hefur samþykkt mál fær dómstóllinn stjórn yfir gögnum málsins. Viðskiptavinurinn getur einnig fengið takmarkaðan aðgang;

Valmöguleiki til að fá takmarkaðan aðgang er virkjaður sem gerir viðskiptavininum kleift að setja inn viðskiptavinagögn, t.d. ákveðin viðkvæm sönnunargögn sem aðeins dómstóllinn getur séð án þess að aðrar aðilar hafi aðgang;

Kyrrleg prófun á forritsöryggi (static application security testing, SAST) og kvikleg prófun á forritsöryggi (dynamic application security testing, DAST) eru framkvæmdar reglulega.

Undirvinnsluaðilar sem bera ábyrgð á söfnun og vistun persónugreinanlegra upplýsinga skulu innleiða viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vernda persónuupplýsingarnar gegn óleyfilegri eða ólöglegri vinnslu, þar með talið en ekki einskorðað við notkun AES 256 (Advanced Encryption Standard) dulkóðunar fyrir persónulega kóða notandans.

Aðilar eru sammála um að Justikal hafi innleitt viðeigandi tæknilegar og skipulagslegar ráðstafanir (tilgreindar í grein 6.2) vegna vinnslu viðskiptavinagagna samkvæmt þessum gagnavinnslusamningi og er Justikal ekki skylt að taka tillit til ósanngjarnra fyrirmæla viðskiptavinar um frekari tæknilegar og skipulagslegar ráðstafanir.

Til að sannreyna hvort Justikal vinni viðskiptavinagögnin á réttan hátt skal viðskiptavinurinn hafa rétt til að framkvæma skoðanir á slíkri vinnslu samkvæmt ferlinu sem kveðið er á um í 8. grein.

Justikal skal skoða, að minnsta kosti einu sinni á ári að eigin frumkvæði og á eigin kostnað, hvort viðeigandi tæknilegar og skipulagslegar ráðstafanir séu til staðar sem eru í samræmi við eðli, umfang, samhengi og tilgang gagnavinnslu, svo og áhættu sem tengist gagnavinnslu með tilliti til réttinda og frelsis einstaklinga. Justikal skal ráða óháðan skoðunaraðila til að framkvæma skoðunina með fyrirmælum um að útbúa skoðunarskýrslu (héðan í frá kölluð „skýrslan“).

Að beiðni viðskiptavinarins og samkvæmt viðbótarsamningi aðila um vernd trúnaðarupplýsinga skal Justikal láta viðskiptavininum í té skýrsluna. Þegar Justikal uppfyllir þessa skyldu skal litið svo á að viðskiptavinurinn hafi nýtt sér rétt sinn sem kveðið er á um í grein 8.1 í þessum gagnavinnslusamningi og í grein 28(3)(h) GDPR-reglugerðarinnar.

Samkvæmt gildandi lögum gæti Justikal verið skylt að veita upplýsingar sem tengjast þessum gagnavinnslusamningi til þar til bærra eftirlitsstofnana eða ríkisstofnana, en aðeins samkvæmt lögmætri og réttmætri beiðni.

Ef viðskiptavinurinn vill til viðbótar og/eða með öðrum hætti en tilgreint er í 8. grein skoða hvernig Justikal vinnur persónuupplýsingar og/eða framkvæmir skyldur sínar samkvæmt þessum gagnavinnslusamningi má slík skoðun fara fram með samþykki Justikal og samkomulagi aðila um umfang, aðferð, tíma og verð skoðunarinnar. Í öllu falli, ef aðilar ná samkomulagi um slíka viðbótarskoðun, verður hún að uppfylla eftirfarandi kröfur: (i) skoðunin má aðeins tengjast vinnslu viðskiptavinagagna; (ii) viðskiptavinurinn verður að upplýsa Justikal um ósk sína um að framkvæma viðbótarskoðun innan hæfilegs tíma  sem verður að vera að minnsta kosti 4 vikur; (iii) viðbótarskoðun verður að fara fram á þann hátt að hún trufli ekki daglega starfsemi Justikal; (iv) viðbótarskoðun verður að fara fram á kostnað viðskiptavinarins; (v) viðbótarskoðun verður að vera framkvæmd af óháðum aðila og verður skipun hans að vera samþykkt fyrirfram af Justikal og slíkur aðili verður að skuldbinda sig til að vernda trúnaðarupplýsingar Justikal.

Justikal á rétt á þóknun fyrir aðstoð við framkvæmd viðbótarskoðunar. Fjárhæð slíkrar þóknunar verður ákvörðuð af Justikal að teknu tilliti til kostnaðar sem Justikal verður fyrir vegna viðbótarskoðunar. Justikal skal veita viðskiptavininum upplýsingar um fjárhæð þóknunar áður en skoðun fer fram.

Ef viðskiptavinurinn er ekki ánægður með upplýsingarnar sem eru veittar í skýrslunni og/eða aðilar ná ekki samkomulagi um viðbótarskoðun eins og kveðið er á um í greinum 8.5–8.6 í þessum gagnavinnslusamningi á viðskiptavinurinn rétt á því að segja þessum gagnavinnslusamningi og þjónustuskilmálunum einhliða upp án aðkomu dómstóla. Í slíku tilfelli verður uppsögn samninganna eina ráðstöfunin sem viðskiptavinurinn getur beitt og Justikal er ekki skylt að bæta  viðskiptavininum nokkurt tjón.

Viðskiptavinurinn veitir Justikal hér með almennt fyrirfram samþykki til að ráða undirvinnsluaðila sem munu vinna viðskiptavinagögn fyrir hönd Justikal í samræmi við umfangið og tilganginn sem lýst er í þessum gagnavinnslusamningi. Justikal skal aðeins ráða undirvinnsluaðila sem tryggja eftirfarandi: 

innleiðingu viðeigandi tæknilegra og skipulagslegra ráðstafana; 

gagnavinnslu í samræmi við kröfur GDPR-reglugerðarinnar og íslenskra laga um persónuvernd; og

vernd réttinda skráðra aðila.

1. Justikal skal tryggja að gerður hafi verið skriflegur samningur við undirvinnsluaðila þar sem undirvinnsluaðilar skuldbinda sig til að uppfylla skyldur gagnavinnsluaðila sem kveðið er á um í þessum gagnavinnslusamningi að minnsta kosti að því marki sem við á um Justikal. Justikal er ábyrgt gagnvart viðskiptavininum fyrir efndum skyldna ráðinna undirvinnsluaðila.

Justikal mun birta uppfærðan lista yfir undirvinnsluaðila sem ráðnir hafa verið á vefsvæðinu. Justikal skal tilkynna viðskiptavininum um áform sín um að skipta um eða ráða nýjan undirvinnsluaðila með því að gera slíkar upplýsingar aðgengilegar á vefsvæðinu eigi síðar en 14 dögum fyrir fyrirhugaðan atburð.

Ef viðskiptavinurinn heldur áfram að nota þjónustuna í kjölfar þess að undirvinnsluaðila hefur verið skipt út eða nýr undirvinnsluaðili hefur verið ráðinn og viðskiptavininum hefur verið tilkynnt um það eins og kveðið er á um í grein 9.3 þessa gagnavinnslusamnings verður litið svo á að viðskiptavinurinn hafi samþykkt slíkar aðgerðir Justikal. Ef viðskiptavinurinn er ósammála slíkri útskiptingu eða ráðningu undirvinnsluaðila skal viðskiptavinurinn eiga rétt á að segja þessum gagnavinnslusamningi og þjónustuskilmálunum einhliða upp án aðkomu dómstóla. Í slíku tilfelli verður uppsögn samninganna eina ráðstöfunin sem viðskiptavinurinn getur beitt og Justikal er ekki skylt að bæta viðskiptavininum nokkurt tjón.

Ef viðskiptavinurinn dregur almennt samþykki sitt til að ráða undirvinnsluaðila til baka á Justikal rétt á því að segja þjónustuskilmálunum einhliða upp án aðkomu dómstóla og telst slík uppsögn hafa verið gerð af mikilvægum ástæðum og viðskiptavinurinn telst ekki hafa orðið fyrir tjóni vegna slíkrar uppsagnar.

Viðskiptavinurinn skal, að eigin ákvörðun og á eigin ábyrgð, ákvarða þá flokka skráðra aðila hverra persónuupplýsingar verða veittar Justikal og þær gerðir persónuupplýsinga sem verða veittar Justikal og skal einungis veita Justikal þær persónuupplýsingar sem eru nauðsynlegar svo Justikal geti veitt þjónustuna á fullnægjandi hátt. Viðskiptavinurinn skal taka á sig alla áhættu sem þessu tengist, þar með talið áhættu í þeim tilvikum þar sem Justikal fær meiri persónuupplýsingar en nauðsynlegt er.

Viðskiptavinurinn lýsir því yfir og ábyrgist að hann hafi fengið og skuli vera með allan gildistíma þjónustuskilmálanna öll nauðsynleg leyfi og heimildir sem þarf til að veita Justikal viðskiptagögnin og ráða Justikal til vinnslu persónuupplýsinga samkvæmt þjónustuskilmálunum og þessum gagnavinnslusamningi.

Justikal skal tilkynna viðskiptavininum um öryggisbrest án ástæðulausrar tafar en eigi síðar en innan 36 klukkustunda eftir að því varð kunnugt um öryggisbrestinn og skal veita viðskiptavininum eftirfarandi upplýsingar að teknu tilliti til eðlis veittrar þjónustu og vinnslu persónuupplýsinga: 

eðli öryggisbrestsins, meðal annars, ef hægt er, þá flokka skráðra aðila sem hann hefur áhrif á og áætlaðan fjölda þeirra; 

mögulegar afleiðingar öryggisbrestsins;

ráðstafanir sem Justikal hefur gert eða leggur til að verði gerðar til að bregðast við öryggisbrestinum, þar með talið, ef við á, ráðstafanir til að draga úr hugsanlegum neikvæðum afleiðingum öryggisbrestsins; 

fullt nafn og samskiptaupplýsingar persónuverndarfulltrúa eða annarra tengiliða sem gætu veitt frekari upplýsingar. Justikal kann að veita viðskiptavininum þessar upplýsingar með því að gera þær aðgengilegar á vefsvæðinu.

Justikal skal skjalfesta alla öryggisbresti, þar á meðal staðreyndir sem varða öryggisbrestinn, áhrif hans og aðgerðir til úrbóta sem gripið hefur verið til. Í tilfellum sem kveðið er á um í lögum skal Justikal láta eftirlitsyfirvöldum slík skjöl í té.

Viðskiptavinurinn ber ábyrgð á því að farið sé að lögum sem kveða á um afhendingu tilkynninga eða upplýsinga til skráðra aðila um öryggisbrestinn.

Viðskiptavinurinn, sem ábyrgðaraðili gagna, er ábyrgur gagnvart skráðum aðilum vegna tjóns sem hinn skráði aðili gæti orðið fyrir vegna ólöglegrar eða rangrar vinnslu persónuupplýsinga við framkvæmd þessa gagnavinnslusamnings.

Að teknu tilliti til eðlis, umfangs, samhengis og tilgangs gagnavinnslu skal ábyrgð Justikal samkvæmt þessum gagnavinnslusamningi takmarkast við og má í öllum tilvikum ekki fara umfram þá fjárhæð sem viðskiptavinurinn hefur greitt Justikal á 12 mánuðum.

Takmörkun ábyrgðar á ekki við ef Justikal brýtur gegn þessum gagnavinnslusamningi af stórfelldu gáleysi eða ásetningi.

Þessi gagnavinnslusamningur öðlast gildi við gildistöku þjónustuskilmálanna og gildir svo lengi sem þeir síðarnefndu eru í gildi.

Við uppsögn gagnavinnslusamningsins eða þegar hann fellur úr gildi skal Justikal eyða viðskiptavinagögnunum eigi síðar en innan 30 daga, nema ástæða sé til að vinna eða hafa umsjón með viðskiptavinagögnum öðrum en þeim sem eru tilkomin vegna þessa gagnavinnslusamnings.

Gagnavinnslusamningur þessi skal lúta íslenskum lögum.

Hvers konar deilu, ágreining eða kröfu sem rís af eða tengist þessum gagnavinnslusamningi, broti hans, uppsögn eða gildi skal leysa með viðræðum milli aðila. Nái aðilar ekki samkomulagi innan 30 daga frá því að deila, ágreiningur eða krafa kom upp skal skera úr slíkri deilu, ágreiningi eða kröfu fyrir íslenskum dómstólum.

Allar tilkynningar frá viðskiptavininum til Justikal sem tengjast samningi þessum skulu sendar með tölvupósti á support@justikal.com og skulu teljast mótteknar þegar Justikal staðfestir móttöku með því að svara tölvupósti viðskiptavinarins.

Justikal mun birta tilkynningar sínar til viðskiptavinarins varðandi þennan gagnavinnslusamning á vefsvæðinu. Justikal skal tilkynna viðskiptavininum um allar breytingar á þessum gagnavinnslusamningi með því að gera slíkar upplýsingar aðgengilegar á vefsvæðinu. 

Breytingar á þessum gagnavinnslusamningi skulu taka gildi eftir að þær hafa verið birtar á vefsvæðinu. Justikal skal tilkynna um fyrirhugaða breytingu á gagnavinnslusamningnum að minnsta kosti 30 dögum fyrir áformaða breytingu. Haldi viðskiptavinurinn áfram að nota þjónustuna eftir að breytingar á gagnavinnslusamningnum hafa verið birtar verður litið svo á að viðskiptavinurinn hafi samþykkt breytingarnar á gagnavinnslusamningnum. Ef viðskiptavinurinn er ósamþykkur breytingunum mun viðskiptavinurinn ekki geta notað þjónustuna og skal hafa rétt til að segja þjónustuskilmálunum upp.