Databehandleraftale for udlandsmenigheder

Den menighed, der bruger tjenesten uden for Republikken Korea (”Menigheden”), og Wesleysoft (”Virksomheden”) aftaler følgende om Virksomhedens behandling på vegne af Menigheden af de personoplysninger, som Menigheden indtaster i Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) og Wesley Simbang Plus (웨슬리 심방플러스) (”Tjenesten”). Denne aftale gælder sammen med Virksomhedens brugsvilkår, dens privatlivspolitik og ”Tillæg til privatlivspolitikken for udlandsmenigheder” (”Tillægget”). Hvis de afviger fra hinanden med hensyn til behandlingen af personoplysninger, har denne aftale forrang.

Artikel 1 (Roller)

1. For så vidt angår de personoplysninger, som Menigheden indtaster i Tjenesten, fastlægger Menigheden formålene med og hjælpemidlerne til behandlingen (dataansvarlig), og Virksomheden behandler oplysningerne på vegne af Menigheden (databehandler).
2. Menigheden er ansvarlig for, at indsamlingen af personoplysninger og indtastningen af dem i Tjenesten sker i overensstemmelse med lovgivningen i Menighedens land, og underretter medlemmerne om behandlingen og indhenter deres samtykke, hvor det kræves.

Artikel 2 (Nærmere oplysninger om behandlingen)

Behandlingens genstand og varighed, behandlingens karakter og formål, typerne af personoplysninger og kategorierne af registrerede er fastsat i bilag 1.

Artikel 3 (Behandling efter Menighedens instruks)

1. Virksomheden behandler kun personoplysninger efter dokumenteret instruks fra Menigheden. Menighedens brug af funktioner og valg af indstillinger i Tjenestens skærmbilleder betragtes som Menighedens instruks.
2. Virksomheden behandler ikke personoplysninger til andre formål end levering af Tjenesten, medmindre det kræves i henhold til lovgivningen. Hvis lovgivningen kræver behandling, underretter Virksomheden Menigheden før behandlingen, medmindre lovgivningen forbyder dette.
3. Hvis Virksomheden mener, at en instruks fra Menigheden er i strid med databeskyttelseslovgivningen, underretter den straks Menigheden.

Artikel 4 (Fortrolighed)

Virksomheden begrænser de personer, der må behandle personoplysninger, til det nødvendige minimum og sikrer, at de er underlagt tavshedspligt. Denne pligt gælder også, efter at deres arbejde er ophørt.

Artikel 5 (Sikkerhedsforanstaltninger)

Virksomheden træffer tekniske og organisatoriske foranstaltninger, der er passende i forhold til risiciene for personoplysningerne, som fastsat i bilag 2. Virksomheden kan ændre disse foranstaltninger i takt med den tekniske udvikling, men vil ikke sænke beskyttelsesniveauet.

Artikel 6 (Adskillelse pr. menighed)

Virksomheden holder Menighedens oplysninger adskilt fra andre menigheders oplysninger og sikrer, at brugere i andre menigheder ikke kan se Menighedens oplysninger.

Artikel 7 (Brug af underdatabehandlere)

1. Menigheden giver Virksomheden tilladelse til at benytte de underdatabehandlere, der er anført i bilag 3.
2. Hvis Virksomheden har til hensigt at tilføje eller udskifte en underdatabehandler, underretter den Menigheden mindst 30 dage i forvejen, og Menigheden kan inden for denne frist gøre indsigelse med rimelig begrundelse. Hvis Virksomheden ikke imødekommer indsigelsen, kan Menigheden opsige tjenesteaftalen uden bod.
3. Virksomheden pålægger ved kontrakt hver underdatabehandler databeskyttelsesforpligtelser på samme niveau som i denne aftale og forbliver ansvarlig over for Menigheden, hvis en underdatabehandler ikke opfylder disse forpligtelser.

Artikel 8 (Bistand vedrørende de registreredes rettigheder)

1. Når medlemmer eller andre registrerede udøver rettigheder såsom ret til indsigt, berigtigelse, sletning, begrænsning af behandling eller dataportabilitet, stiller Virksomheden de funktioner i Tjenesten og den bistand til rådighed, som Menigheden har brug for til at besvare anmodningen.
2. Hvis en registreret retter en anmodning direkte til Virksomheden, videresender Virksomheden den uden unødig forsinkelse til Menigheden og besvarer den ikke direkte uden Menighedens instruks.

Artikel 9 (Brud på persondatasikkerheden)

1. Hvis Virksomheden bliver opmærksom på en hændelse, hvor Menighedens personoplysninger er blevet lækket eller kan være blevet lækket, underretter den Menigheden uden unødig forsinkelse og under alle omstændigheder senest 48 timer efter at være blevet opmærksom på den.
2. Underretningen beskriver hændelsens karakter og omstændigheder, kategorierne og det omtrentlige antal berørte registrerede og registreringer af personoplysninger, de sandsynlige konsekvenser, de foranstaltninger, som Virksomheden har truffet eller vil træffe, samt en kontaktperson. Oplysninger, der ikke kan gives på én gang, gives trinvis, efterhånden som de bliver kendt.
3. Virksomheden stiller de oplysninger og den bistand til rådighed, som Menigheden har brug for til at underrette tilsynsmyndigheden og de registrerede i henhold til lovgivningen i dens land.

Artikel 10 (Anden bistand)

Under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for Virksomheden, stiller Virksomheden de oplysninger til rådighed, som Menigheden har brug for til at opfylde sine forpligtelser i henhold til lovgivningen i sit land, såsom at sikre sikkerheden, at gennemføre konsekvensanalyser vedrørende databeskyttelse og forudgående høring af tilsynsmyndigheden.

Artikel 11 (Opbevaringssted og internationale overførsler)

1. Virksomheden opbevarer Menighedens oplysninger på servere i Republikken Korea og overfører dem ikke uden for Republikken Korea, bortset fra det i artikel 6 i Tillægget beskrevne tilfælde (rutevejledning).
2. Overførsler fra Menighedens land til Republikken Korea følger artikel 4 i Tillægget. Hvis lovgivningen i det pågældende land kræver en særskilt mekanisme, såsom standardkontraktbestemmelser, etablerer Menigheden og Virksomheden den sammen med denne aftale.

Artikel 12 (Tilbagelevering og destruktion efter tjenesteaftalens ophør)

1. Menigheden kan downloade sine oplysninger ved hjælp af Tjenestens eksportfunktion, før tjenesteaftalen ophører, og i 90 dage efter dens ophør.
2. Efter denne periode destruerer Virksomheden Menighedens oplysninger, så de ikke kan gendannes. Hvis Menigheden anmoder om øjeblikkelig destruktion, destruerer Virksomheden oplysningerne uden unødig forsinkelse. Oplysninger, som lovgivningen kræver opbevaret, opbevares i den krævede periode.
3. Oplysninger, der er tilbage i sikkerhedskopier, destrueres efter 90 dage for sikkerhedskopier på Virksomhedens servere og efter 1 år for sikkerhedskopier på en separat lagerenhed, der forvaltes af Virksomheden. Indtil da anvendes de ikke til andre formål end gendannelse.
4. På Menighedens anmodning bekræfter Virksomheden destruktionen skriftligt.

Artikel 13 (Oplysninger og revision)

1. Virksomheden giver Menigheden de oplysninger, der er nødvendige for at påvise overholdelse af forpligtelserne i denne aftale.
2. Menigheden kan én gang om året stille skriftlige spørgsmål, som Virksomheden besvarer gratis. Hvis Menigheden eller en revisor, som Menigheden har udpeget, ønsker at foretage en revision på stedet, skal anmodningen fremsættes 30 dage i forvejen, og omkostningerne afholdes af Menigheden. Revisoren er underlagt tavshedspligt.

Artikel 14 (Ansvar)

Menigheden og Virksomheden er hver især ansvarlige for skade, som de påfører den anden part ved deres overtrædelse af denne aftale eller af lovgivningen. Virksomhedens ansvar er begrænset til de samlede gebyrer, som Menigheden har betalt i de 12 måneder forud for den dato, hvor skaden indtrådte. Denne begrænsning gælder ikke for skade forårsaget af Virksomhedens forsæt eller grove uagtsomhed, eller hvor lovgivningen ikke tillader, at ansvaret begrænses.

Artikel 15 (Varighed)

Denne aftale gælder fra den dato, hvor Menigheden efter at være blevet godkendt af Virksomheden indgår tjenesteaftalen, indtil forpligtelserne i henhold til artikel 12 er opfyldt efter tjenesteaftalens ophør.

Artikel 16 (Lovvalg og værneting)

Denne aftale er underlagt lovgivningen i Republikken Korea. Bestemmelser i databeskyttelseslovgivningen i Menighedens land, som ikke kan fraviges ved aftale, og beføjelserne for tilsynsmyndigheden i det pågældende land finder dog fortsat anvendelse. Tvister vedrørende denne aftale afgøres af den domstol, der har kompetence for Virksomhedens adresse.

Artikel 17 (Sprog og indgåelse)

1. Den koreanske version af denne aftale er den gældende original. Hvis en oversættelse afviger fra den, har den koreanske original forrang, medmindre lovgivningen i Menighedens land bestemmer andet.
2. Denne aftale indgås, når Menigheden vælger ”Accepter” (동의) for denne aftale i skærmbilledet. Virksomheden opbevarer en registrering heraf og udleverer et underskrevet eksemplar på Menighedens anmodning.

Bilag 1 — Nærmere oplysninger om behandlingen

Genstand	Medlemsoplysninger og økonomiske oplysninger, som Menigheden indtaster i Tjenesten
Kategorier af registrerede	Medlemmer og deres familier, nytilkomne og besøgende, givere, menighedens ansatte og brugere af Tjenesten
Typer af personoplysninger	Oplysningerne i artikel 2 i privatlivspolitikken og artikel 3 i Tillægget — navn (efternavn og fornavn med latinske bogstaver), køn, fødselsdato (frivilligt), kontaktoplysninger, adresse, fotografi, embede i menigheden, distrikt (underinddeling af menigheden) og klassemøde, medlemskategori, oplysninger om dåb og konfirmation, tjenesteopgaver og erhverv, familieforhold, fremmøde, besøgsnotater og bønneemner, omsorgsnotater, oplysninger om kollekter og gaver, registreringer af samtykke vedrørende personoplysninger samt giveroplysninger til gavekvitteringer i det pågældende land
Særlige kategorier af personoplysninger	Oplysningen om medlemskab af menigheden og oplysninger om det religiøse liv (oplysninger, der afslører religiøs overbevisning); helbredsoplysninger, som Menigheden indtaster i omsorgsnotater
Karakter og formål	Levering af Tjenesten — opbevaring, visning, redigering, udskrivning, eksport, sikkerhedskopiering, udsendelse af e-mails og udarbejdelse af besøgstekster (der sendes ingen oplysninger, der identificerer et medlem)
Varighed	Tjenesteaftalens løbetid og 90 dage efter dens ophør (sikkerhedskopier: artikel 12, stk. 3 — 90 dage på servere, 1 år på den separate lagerenhed)

Bilag 2 — Sikkerhedsforanstaltninger

• Kryptering under overførsel (HTTPS)
• Adgangskoder opbevares kun ved hjælp af en irreversibel metode
• Adskillelse af oplysninger pr. menighed — en spærre for hver menighed i databasen, så andre menigheders oplysninger ikke kan læses
• Rollebaserede rettigheder og opbevaring af adgangslogfiler
• Firewall — kun de porte, der er nødvendige for webadgang og administrativ adgang, er åbne; databasen kan ikke tilgås uden for serveren
• Software mod skadelig kode — automatisk opdatering af signaturer og daglige scanninger
• Regelmæssig sikkerhedskopiering — dagligt på serveren, kopieret til en separat lagerenhed, der forvaltes af Virksomheden (servere 90 dage, separat lagerenhed 1 år)

Bilag 3 — Underdatabehandlere (alle etableret og behandler oplysninger i Republikken Korea)

Underdatabehandler	Aktivitet
YourIT Co., Ltd.	Levering af servere og lagerplads; opbevaring af oplysninger
NHN Cloud Corp.	Udsendelse af e-mails (der sendes ingen sms'er til mobilnumre uden for Korea)
Upstage Co., Ltd.	Udarbejdelse af udkast til prædikentekster i Wesley Simbang Plus (der sendes ingen oplysninger, der identificerer et medlem)
Toss Payments Co., Ltd.	Behandling af gebyrbetalinger (Udlandsmenigheder betaler i øjeblikket via bankoverførsel)