Marzipan Databehandlingstillæg

Dette tillæg til databehandling ("DPA") supplerer og indgår ved henvisning i den kontrakt, der indgås mellem Marzipan og en kunde udelukkende på grundlag af Marzipans servicevilkår, når en kunde tilmelder sig eller får adgang til nogen af tjenesterne, herunder uden begrænsning:

1. tjenesten til generering og hosting af digitale vinlabels, som leveres af Marzipan under navnet "Labls" på labls.io og labls.co (herunder eventuelle underdomæner hertil), og som er udviklet til vinproducenter, der ved lov er forpligtet til at offentliggøre korrekte, lokaliserede oplysninger på et officielt EU-sprog om oprindelse og indhold af vine, der distribueres inden for EU i henhold til forordning (EU) 2021/2117 ("Labls-tjenesterne");
2. den skybaserede e-handels- og dataadministrationsplatform, som Marzipan leverer på marzipan.co (herunder eventuelle underdomæner hertil), og som gør det muligt for vinkældre at samle deres e-handelsaktiviteter ved at administrere lagerbeholdning, ordrer, opfyldelse og forsendelse, betalinger, analyser, marketingkampagner og kundekommunikation på tværs af alle digitale salgskanaler fra ét centralt dashboardgrænseflade og indholdsstyringssystem ("Platformstjenesterne").

Denne DPA finder anvendelse, i det omfang Marzipan behandler personoplysninger på vegne af en kunde som databehandler i forbindelse med leveringen af tjenesterne i henhold til kontrakten. De kategorier af personoplysninger, som Marzipan behandler som led i tjenesterne, er beskrevet udførligt i punkt 4 i denne DPA.

Da forordning (EU) 2021/2117 forbyder vinkældre og andre aktører i branchen at behandle forbrugernes personoplysninger via elektroniske vinlabels, der er knyttet til deres produkter, har Marzipan udformet sin tjeneste til hosting og generering af e-labels på labls.io og labls.co således, at hverken en kunde eller Marzipan kan indsamle og spore personoplysninger i forbindelse med en e-label. Denne DPA finder derfor ikke anvendelse på dette aspekt af tjenesterne.

Ord og udtryk med stort begyndelsesbogstav, som ikke er defineret i denne DPA, har den betydning, der er tillagt dem i kontrakten. For at undgå tvivl omfatter alle henvisninger til "kontrakten" denne DPA (herunder bilagene til denne DPA og SCC'erne). I tilfælde af konflikt mellem kontrakten og denne DPA har DPA'en forrang med hensyn til behandling af personoplysninger.

1. Definitioner

   Tilknyttet virksomhed

   betyder en enhed, der direkte eller indirekte kontrollerer, er kontrolleret af eller er under fælles kontrol med en enhed.

   Forretningsmæssige formål

   de tjenester, som Marzipan skal levere til kunden som defineret i kontrakten.

   Kontrol

   betyder en ejer-, stemme- eller lignende interesse, der repræsenterer halvtreds procent (50 %) eller mere af de samlede udestående interesser i den pågældende enhed. Udtrykket "kontrolleret" skal fortolkes i overensstemmelse hermed.

   Kunde

   den fysiske eller juridiske person eller enhed, der er part i kontrakten.

   Kundekonto

   enhver onlinekonto(r) registreret af kunden hos tjenesterne, der giver autoriseret adgang til tjenesterne.

   Kundedata

   betyder enhver Personoplysning, som Marzipan behandler på vegne af Kunden via Tjenesterne.

   Databeskyttelseslove

   betyder alle gældende love og regler i enhver relevant jurisdiktion vedrørende brug eller behandling af Personoplysninger, herunder: (i) California Consumer Privacy Act 2018 ("CCPA"); (ii) den generelle forordning om databeskyttelse ((EU) 2016/279) ("EU GDPR"); (iii) den schweiziske forbundslov om databeskyttelse; (iv) EU GDPR, i det omfang den udgør en del af lovgivningen i England og Wales, Skotland og Nordirland i henhold til section 3(10) (som suppleret af section 205(4)) i Data Protection Act 2018 ("UK GDPR"); (v) Data Protection Act 2018 (samt forskrifter udstedt i henhold hertil) ("DPA 2018"); og (vi) Privacy and Electronic Communications Regulations 2003 (SI 2003/2426) som ændret ("PECR 2003"); i hvert tilfælde som opdateret, ændret eller erstattet fra tid til anden. Begreberne "Dataansvarlig", "Databehandler", "Registreret", "Anmodning fra registreret", "Personoplysninger", "Brud på persondatasikkerheden", "Behandling", "Underdatabehandler" og "Tilsynsmyndighed" skal have de betydninger, der er fastsat i EU GDPR.

   E-Label

   en dedikeret elektronisk vinlabel hostet på labls.io og labls.co (eller et tredjepartswebsted på vegne af Marzipan), der samler strukturerede oplysninger (e-label-indhold) om en Kundes vin- eller aromatiseret vinprodukt til et specifikt EU-marked på ét af EU's 24 medlemsstatssprog, og som overholder de generelle og sektorspecifikke mærkningskrav fastsat i EU's vinmærkningsforordninger.

   EEA

   det Europæiske Økonomiske Samarbejdsområde.

   Slutkunder

   de forbruger- eller erhvervskunder, som Kunden tilbyder, markedsfører eller leverer produkter eller tjenester til via Tjenesterne.

   EU SCCs

   betyder de standardkontraktbestemmelser mellem dataansvarlige og databehandlere, som Europa-Kommissionen har godkendt ved sin gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021, som aktuelt er tilgængelige her.

   EU Wine Labelling Regulations

   reglerne om mærkning af vine og aromatiserede vinprodukter, der er indført ved Europa-Parlamentets og Rådets forordning (EU) 2021/2117 om ændring af forordning (EU) nr. 1308/2013, herunder i det omfang sådanne regler er gennemført og trådt i kraft i henhold til Kommissionens delegerede forordning (EU) 2019/33 af 17. oktober 2018 om supplering af forordning (EU) nr. 1308/2013/

   Ex-EEA Transfer

   betyder overførslen af Kundedata, som behandles i overensstemmelse med EU GDPR, til en server, et netværk, et computersystem, en virksomhed, en person eller et sted beliggende uden for EEA, og hvor en sådan overførsel ikke er reguleret af en afgørelse om tilstrækkeligt beskyttelsesniveau truffet af Europa-Kommissionen i overensstemmelse med artikel 45 i EU GDPR.

   Ex-UK Transfer

   betyder overførslen af Kundedata, som behandles i overensstemmelse med UK GDPR og Data Protection Act 2018, til en server, et netværk, et computersystem, en virksomhed, en person eller et sted beliggende uden for UK, og hvor en sådan overførsel ikke er reguleret af en afgørelse om tilstrækkeligt beskyttelsesniveau truffet af den britiske Secretary of State i overensstemmelse med de relevante bestemmelser i UK GDPR og Data Protection Act 2018.

   Labls Services

   de tjenester til oprettelse, administration og hosting af e-labels, som Marzipan leverer på labls.io på abonnementsbasis (eller på anden vis), og som giver Kunder mulighed for at generere, administrere og offentliggøre E-Labels for deres vine eller aromatiserede vinprodukter.

   Marzipan Privacy Policy

   betyder den oplysningspligt om fair behandling, som Marzipan stiller til rådighed på marzipan.co/privacy, som ændret, erstattet og/eller suppleret fra tid til anden.

   Platform Services

   den cloudbaserede e-handels- og dataadministrationsplatform, som Marzipan leverer på marzipan.co, og som giver vinfremstillingsvirksomheder mulighed for at samle deres e-handelsaktiviteter ved at administrere lagerbeholdning, ordrer, opfyldelse og forsendelse, betalinger, analyser, marketingkampagner og kundekommunikation på tværs af alle digitale salgskanaler fra ét centralt dashboard og indholdsstyringssystem.

   Sikkerhedshændelse

   ethvert uautoriseret eller ulovligt sikkerhedsbrud, der fører til utilsigtet eller ulovlig destruktion, tab eller ændring af, eller uautoriseret videregivelse af eller adgang til, Kundedata på systemer, der administreres eller på anden måde kontrolleres af Marzipan.

   Service Provider

   skal have den betydning, der er angivet i California Consumer Privacy Act of 2018 ("CCPA").

   Services

   betyder, individuelt og samlet, Labels Services og Platform Services.

   Special Category Data

   har den betydning, der er angivet i artikel 4(13), 4(14), 4(15) og 9 i EU GDPR og UK GDPR (alt efter hvad der er gældende).

   Standard Contractual Clauses (SCCs)

   betyder EU SCCs og UK SCCs, alt efter hvad der er gældende.

   UK Addendum

   betyder det internationale dataoverførsels-addendum (version B1.0) udstedt af Information Commissioner's Office i henhold til afsnit 119(A) i UK Data Protection Act 2018, som opdateret eller ændret fra tid til anden.

   UK SCCs

   betyder EU SCCs som revideret og ændret ved UK Addendum.

   Usage Data

   alle data genereret i forbindelse med Kunders adgang til, brug af og konfiguration af Ydelserne samt data afledt heraf. Brugsdata omfatter ikke Kundedata eller personoplysninger i øvrigt.

2. Customer Instructions

   1. Marzipan og Kunden er enige om, at denne DPA og Kontrakten, sammen med Kundens konfiguration af eller brug af eventuelle indstillinger, funktioner eller muligheder i Services (som Kunden måske kan ændre fra tid til anden), udgør Kundens skriftlige dokumenterede instrukser vedrørende Marzipans behandling af Kundedata (herunder til formålene i UK SCCs) (de "Dokumenterede Instrukser"). Marzipan vil udelukkende behandle Kundedata i overensstemmelse med de Dokumenterede Instrukser. Yderligere instrukser uden for rammerne af de Dokumenterede Instrukser (hvis nogen) kræver forudgående skriftlig aftale mellem Marzipan og Kunden.
   2. Marzipan er berettiget til at opsige denne DPA og Kontrakten uden at pådrage sig noget ansvar over for Kunden, hvis Marzipan afviser at følge instrukser, der er i strid med databeskyttelseslovgivningen eller eventuelle gældende databeskyttelsesbestemmelser i EU's vinmærkningsforordninger, eller som falder uden for rammerne af eller afviger fra dem, der er givet eller aftalt at give i denne DPA eller i en anden skriftlig aftale mellem parterne.
   3. Kunden vil ikke levere (eller foranledige levering af) Special Category Data til Marzipan til behandling under Kontrakten, og Marzipan vil ikke have noget ansvar overhovedet for Special Category Data, hvad enten det er i forbindelse med en Sikkerhedshændelse eller på anden måde. For en ordens skyld finder denne DPA ikke anvendelse på Special Category Data.

3. Databehandling

   1. When Marzipan processes Customer Data while providing the Services, Marzipan will:

      (a)i det omfang UK GDPR eller EU GDPR finder anvendelse, behandle Kundedata som Databehandler, der handler på vegne af Kunden (hvad enten denne selv er Dataansvarlig eller Databehandler på vegne af en tredjeparts Dataansvarlig);

      (b)i det omfang CCPA finder anvendelse, behandle Kundedata på vegne af Kunden som Service Provider (se punkt 3.2 nedenfor for yderligere detaljer);

      (c)behandle og opbevare Kundedata udelukkende på servere:

      a.drevet af datacenteroperatøren UpCloud Oy, et finsk anpartsselskab ("UpCloud"), på dets DE-FRA1 datacenter i Frankfurt, Tyskland.

      b.drevet af datacenteroperatøren Scaleway SAS, et fransk forenklet aktieselskab ("Scaleway"), på dets datacenter i Paris.

      c.drevet af datacenteroperatøren Hetzner Online GmbH, et tysk anpartsselskab ("Hetzner"), på dets datacentre i Nürnberg og Falkenstein i Tyskland; og

      d.drevet af cloud-lagringsleverandøren BunnyWay d.o.o., et slovensk anpartsselskab ("BunnyWay"), på dets edge-serverplacering i Nürnberg, Tyskland.

      (d)udelukkende behandle Kundedata i det omfang og på den måde, der er nødvendig for Forretningsformålene i overensstemmelse med Kundens lovlige Dokumenterede Instrukser (forudsat at sådanne instrukser er i overensstemmelse med funktionaliteterne i de Services, som Kunden har købt under Kontrakten);

      (e)hvis Marzipan er retligt forpligtet til at behandle Kundedata til andre formål end Forretningsformålene, vil Marzipan give Kunden besked om dette krav inden gennemførelsen af en sådan behandling, medmindre Marzipan ved lov er forhindret i at give en sådan besked;

      (f)straks efterkomme eventuelle lovlige skriftlige instrukser fra Kunden, der kræver, at Marzipan ændrer, overfører, sletter eller på anden måde behandler Kundedataene, eller stopper, mindsker eller afhjælper enhver uautoriseret behandling;

      (g)opretholde fortroligheden af Kundedataene og ikke videregive Kundedataene til tredjeparter, medmindre Kunden eller denne DPA specifikt godkender videregivelsen, eller som krævet i henhold til national lovgivning, domstolsafgørelse eller regulering (herunder enhver instruks fra UK ICO Commissioner eller anden kompetent myndighed i UK og/eller EØS);

      (h)i rimeligt omfang og uden ekstra omkostninger for Kunden bistå Kunden med at opfylde Kundens forpligtelser i henhold til databeskyttelseslovgivningen, under hensyntagen til karakteren af Marzipans behandling og de oplysninger, der er tilgængelige for Marzipan, herunder men ikke begrænset til at give Kunden rimelige oplysninger til brug for eventuelle konsekvensanalyser vedrørende databeskyttelse, som Kunden gennemfører, samt at bistå Kunden med at besvare anmodninger fra registrerede; og

      (i)straks underrette Kunden om eventuelle ændringer i databeskyttelseslovgivningen, der med rimelighed kan fortolkes som havende en negativ indvirkning på Marzipans opfyldelse af sine forpligtelser i henhold til Aftalen eller denne DPA.

   2. CCPA. Parterne anerkender og accepterer, at Marzipan er en tjenesteudbyder ("Service Provider") i forhold til Kundedataene med henblik på CCPA (i det omfang den finder anvendelse), og at Marzipan modtager personoplysninger fra Kunden med henblik på at levere Tjenesterne i henhold til Aftalen, hvilket udgør et forretningsmæssigt formål. Marzipan må ikke sælge sådanne personoplysninger. Marzipan må ikke opbevare, bruge eller videregive personoplysninger, som Kunden har stillet til rådighed i henhold til Aftalen, undtagen i det omfang det er nødvendigt med henblik på det specifikke formål at udføre Tjenesterne for Kunden i henhold til denne Aftale, eller som i øvrigt angivet i denne Aftale eller tilladt i henhold til CCPA. Begreberne "personal information", "Service Provider", "sale" og "sell" skal have den betydning, der er angivet i Section 1798.140 i CPA (som ændret, genvedtaget eller opdateret fra tid til anden). Marzipan bekræfter, at det er bekendt med og vil overholde begrænsningerne i denne bestemmelse (i).
   3. Tredjepartstjenester. Som en del af Tjenesterne tilbyder Marzipan fra tid til anden Kunden mulighed for at integrere og/eller sammenkoble Tjenesterne med visse tredjepartstjenester, integrationer og applikationer ("Tredjepartstjenester"). Bemærk venligst, at Kundens brug af Tredjepartstjenesterne i hvert enkelt tilfælde udelukkende er reguleret af de vilkår og betingelser samt tilhørende privatlivspolitikker (samlet "EULA"), i henhold til hvilke den pågældende tredjeparts tjenesteudbyder stiller de relevante Tredjepartstjenester til rådighed for Kunden ("Tredjeparts tjenesteudbyder"). Hver EULA indgås udelukkende mellem Kunden og den pågældende Tredjeparts tjenesteudbyder, og Marzipan er ikke part i sådanne EULA'er.
   4. Når Kunden instruerer os om at integrere Kundens Marzipan-produkter eller -konti med en eller flere Tredjepartstjenester, accepterer Kunden, at Marzipan overfører Kundedataene til Tredjeparts tjenesteudbyderne, så de kan levere deres tjenester til Kunden. Når Tredjeparts tjenesteudbydere efterfølgende behandler Kundedataene, reguleres dette af de relevante privatlivsbestemmelser i deres EULA, og Marzipan er ikke ansvarlig for en sådan behandling.
   5. Third-Party Services from the following Third-Party Service Providers are currently available to be integrated and/or interfaced with Marzipan.

      Name	Description
      Fathom Analytics	This integration allows Customers who are subscribed to Fathom Analytics’ web analytics service to view their Fathom Analytics dashboard within Marzipan’s e-commerce and data management platform. All EEA and UK traffic processed via the integration is processed solely on EU servers owned and operated by the German cloud service provider etzner Online GmbH, a German legal entity.
      MailChimp	This integration allows Customers who are subscribed to MailChimp’s email marketing service to send data to MailChimp to enable the Customer to send emails to their subscribers.

   6. Bemærk venligst, at hvor Marzipan giver Kunden mulighed for at integrere Tjenesterne med en Tredjepartstjeneste, der ikke er angivet i tabellen ovenfor, vil Kundens brug af en sådan Tredjepartstjeneste være reguleret af den gældende EULA for den relevante Tredjeparts tjenesteudbyder på samme vilkår som i bestemmelse (i) i denne Aftale.
   7. SCCs. Hvis Marzipan og Kunden har indgået Standardkontraktbestemmelser som beskrevet i bestemmelse 10 (Overførsler af Kundedata), vil (i) Kundens instruks til Marzipan i henhold til bestemmelse 3.3 i denne Aftale om at integrere Tredjepartstjenesten/-tjenesterne (som relevant) som en del af Tjenesterne udgøre Kundens forudgående skriftlige samtykke til Marzipans overførsel af Kundedata til Tredjeparts tjenesteudbyderen, hvis et sådant samtykke er påkrævet i henhold til SCCs; (ii) parterne er enige om, at de kopier af aftaler med Tredjeparts tjenesteudbydere, som Marzipan skal stille til rådighed for Kunden i henhold til Klausul 9(c) i EU SCCs eller en relevant klausul i UK SCCs (som relevant), kan have kommercielle oplysninger eller oplysninger, der ikke vedrører Standardkontraktbestemmelserne eller tilsvarende, fjernet af Marzipan på forhånd, og at sådanne redigerede kopier kun vil blive stillet til rådighed af Marzipan på Kundens skriftlige anmodning.
   8. The Customer’s responsibilities. The Customer:

      (a)skal være den Dataansvarlige for så vidt angår Kundedata;

      (b)forbliver ansvarlig for Kundens forpligtelser i henhold til den gældende databeskyttelseslovgivning, herunder men ikke begrænset til at give eventuelle påkrævede meddelelser og indhente eventuelle påkrævede samtykker, der er nødvendige for, at Marzipan kan behandle Kundedataene til Forretningsformålene;

      (c)må ikke give (eller foranledige at der gives) særlige kategorier af personoplysninger ("Special Category Data") til Marzipan til behandling i henhold til Aftalen, og Marzipan er ikke på nogen måde ansvarlig for særlige kategorier af personoplysninger, hverken i forbindelse med en Sikkerhedshændelse eller i øvrigt. For at undgå tvivl finder denne DPA ikke anvendelse på særlige kategorier af personoplysninger;

      (d)erklærer og garanterer, at det har overholdt og vil fortsætte med at overholde alle gældende love, herunder databeskyttelseslovgivningen, i forbindelse med sin behandling af Kundedata og eventuelle Dokumenterede Instrukser, det udsteder til Marzipan;

      (e)har det fulde ansvar for nøjagtigheden, kvaliteten og lovligheden af Kundedataene samt for de midler, hvormed Kunden har indsamlet Kundedataene. Uden at begrænse det foregående accepterer Kunden, at det er ansvarligt for at overholde alle love (herunder databeskyttelseslovgivningen), der gælder for indhold oprettet, sendt eller administreret via Tjenesterne;

      (f)sikrer, at Marzipans behandling af Kundedataene i overensstemmelse med Kundens Dokumenterede Instrukser ikke medfører, at Marzipan overtræder gældende love, regler eller bestemmelser, herunder uden begrænsning databeskyttelseslovgivningen. Marzipan skal straks skriftligt underrette Kunden, medmindre dette er forbudt i henhold til databeskyttelseslovgivningen, hvis det bliver opmærksomt på eller mener, at en databehandlingsinstruks fra Kunden er i strid med databeskyttelseslovgivningen; og

      (g)i det omfang det handler som databehandler på vegne af en tredjeparts dataansvarlig (eller anden mellemmand til den ultimative dataansvarlige), garanterer, at dets Dokumenterede Instrukser som angivet i Aftalen og denne DPA, herunder dets autorisationer til Marzipan vedrørende udnævnelse af Underdatabehandlere i overensstemmelse med denne DPA, er godkendt af den relevante dataansvarlige.

4. Datatyper og behandlingsformål

   1. Emne. Emnet for databehandlingen i henhold til denne DPA er de Kundedata, der behandles via Tjenesterne.
   2. Varighed. Som mellem Marzipan og Kunden er det Kunden, der fastsætter varigheden af databehandlingen i henhold til denne DPA. Kunden kan suspendere eller afslutte databehandlingen ved at suspendere eller opsige Kundens abonnement på Platformtjenesterne og/eller Labls-tjenesterne (som relevant) eller ved at suspendere eventuelle Marzipan-hostede integrationer (såsom eventuelle proprietære API'er, som Marzipan stiller til rådighed for Kunden), som Kunden anvender som en del af Kundens drift.
   3. Formål. Formålet med databehandlingen i henhold til denne DPA er leveringen af de Tjenester, som Kunden fra tid til anden igangsætter, herunder til illustration Marzipans e-handels- og datastyringplatform og/eller tjeneste til generering og hosting af E-etiketter til Kunden.
   4. Behandlingens karakter. Marzipan giver virksomheder mulighed for at samle deres e-handelsaktiviteter og generere E-etiketter til deres vinprodukter, herunder ved at levere "Tjenesterne" som defineret i bestemmelse 1 i denne DPA. Disse Tjenester omfatter behandling af Kundedata af Marzipan, dets Underdatabehandlere og, hvor relevant, Tredjeparts tjenesteudbyderne. Kundedata kan uploades til og/eller behandles på Tjenesterne af Kunden via Kundekontoen, eventuelle API'er, som Marzipan stiller til rådighed, og som fra tid til anden sammenkobles med Tjenesterne; og (iii) eventuelle Tredjepartstjenester, der deler Kundedata med Tjenesterne.
   5. Types of Customer Data. Customer Data uploaded to the Services:

      (a)af Kunden via Kundekontoen;

      (b)via Marzipans API'er eller webkomponenter, der sammenkobler Tjenesterne med Kundens systemer; og

      (c)via eventuelle Tredjepartstjenester, som Kunden integrerer med Tjenesterne.

      Typer af personoplysninger, der uploades til tjenesterne som en del af kundedata, kan omfatte:

      • Kundenavn, e-mail, kontakt-, fakturerings- og leveringsoplysninger.
      • Købs-, abonnements- (dvs. vinklub) og andre transaktionsoplysninger (herunder uden begrænsning statusoplysninger) fra kundens fysiske og digitale butiksfacader;
      • Slutkundernes aktivitet i kundens digitale butiksfacader, herunder ordrehistorik, viste produkter og produkter i indkøbskurve.
      • Slutkundernes enhedsoplysninger for enheder, der anvendes ved besøg i kundens butiksfacader, herunder IP-adresse, browser og netværksaktivitet.
      • Enhver anden personoplysning, som kunden vælger at gøre tilgængelig via Marzipan.
   6. Kategorier af registrerede. De registrerede kan omfatte (i) kunden, dennes medarbejdere, entreprenører, agenter, leverandører og forhandlere samt (ii) kundens faktiske og potentielle slutkunder.

5. Sikkerhed ved databehandling

   1. Marzipan skal til enhver tid implementere passende tekniske og organisatoriske foranstaltninger mod uautoriseret eller ulovlig behandling, adgang, kopiering, ændring, reproduktion, visning eller distribution af kundedata, samt mod hændelig eller ulovlig tab, ødelæggelse, ændring, videregivelse eller beskadigelse af kundedata, herunder men ikke begrænset til de foranstaltninger, der er beskrevet i Marzipan Sikkerhedsstandarder (Bilag A), i hvert enkelt tilfælde for at sikre et sikkerhedsniveau for kundedata, der er passende i forhold til risikoen i overensstemmelse med artikel 32 EU/UK GDPR.
   2. Marzipan shall implement such measures to ensure a level of security appropriate to the risk involved, including as appropriate:

      (a)pseudonymisering og kryptering af kundedata;

      (b)evnen til at sikre løbende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester;

      (c)evnen til at genoprette tilgængelighed og adgang til kundedata rettidigt i tilfælde af en fysisk eller teknisk hændelse; og

      (d)en proces til regelmæssig afprøvning, vurdering og evaluering af sikkerhedsforanstaltningernes effektivitet.

6. Marzipans medarbejdere

   1. Marzipan will ensure its employees, contractors and agents:

      (a)er informeret om kundedata's fortrolige karakter og er underlagt fortrolighedsforpligtelser og anvendelsesbegrænsninger i forbindelse med kundedata;

      (b)har gennemgået uddannelse i databeskyttelseslovgivningen vedrørende håndtering af kundedata og dens anvendelse i relation til deres arbejdsopgaver; og

      (c)er bekendt med både Marzipans forpligtelser og deres egne personlige forpligtelser i henhold til databeskyttelseslovgivningen og kontrakten.

7. Sikkerhed

   1. Marzipan skal til enhver tid implementere passende tekniske og organisatoriske foranstaltninger mod uautoriseret eller ulovlig behandling, adgang, kopiering, ændring, reproduktion, visning eller distribution af kundedata, samt mod hændelig eller ulovlig tab, ødelæggelse, ændring, videregivelse eller beskadigelse af kundedata.
   2. Marzipan shall implement such measures to ensure a level of security appropriate to the risk involved, including for illustrative purposes and as appropriate:

      (a)pseudonymisering og kryptering af kundedata;

      (b)evnen til at sikre løbende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester;

      (c)evnen til at genoprette tilgængelighed og adgang til kundedata rettidigt i tilfælde af en fysisk eller teknisk hændelse; og

      (d)en proces til regelmæssig afprøvning, vurdering og evaluering af sikkerhedsforanstaltningernes effektivitet.

8. Brud på persondatasikkerheden

   1. Marzipan shall within 72 hours and in any event without undue delay notify the Customer if it becomes aware of:

      (a)tab, utilsigtet ødelæggelse eller beskadigelse, korruption eller anden forringelse af en del af eller alle kundedata;

      (b)enhver hændelig, uautoriseret eller ulovlig behandling af kundedata; eller

      (c)ethvert brud på persondatasikkerheden.

   2. Where Marzipan becomes aware of any of the foregoing matters described in clauses 8.1(a), (b) and/or (c) above, it shall, without undue delay, also provide the Customer with the following:

      (a)en beskrivelse af arten af det forhold, der er registreret i relation til klausulerne 8.1(a), (b) og/eller (c), herunder kategorierne af berørte kundedata og det omtrentlige antal af både registrerede og berørte kundedata-poster; eller

      (b)en beskrivelse af de foranstaltninger, der er truffet eller påtænkes truffet for at håndtere de forhold, der er registreret i relation til klausulerne 8.1(a), (b) og/eller (c), herunder foranstaltninger til at afbøde mulige negative virkninger.

   3. Umiddelbart efter enhver hændelig, uautoriseret eller ulovlig behandling af kundedata eller brud på persondatasikkerheden vil Marzipan kontakte kunden, så vi i fællesskab kan koordinere vores undersøgelse af forholdet.
   4. Marzipan vil ikke informere nogen tredjepart om nogen utilsigtet, uautoriseret eller ulovlig behandling af hele eller dele af Kundedata og/eller et Brud på Persondatasikkerhed uden først at indhente Kundens skriftlige samtykke, medmindre en sådan videregivelse er nødvendig som led i de foranstaltninger, der kræves for at håndtere sådan behandling eller Bruddet på Persondatasikkerhed, eller hvor en sådan videregivelse er påkrævet i henhold til gældende lovgivning.
   5. Marzipan vil dække rimelige udgifter forbundet med opfyldelsen af sine forpligtelser i henhold til klausul 8.1 og 8.2, medmindre sagen opstod som følge af Kundens specifikke skriftlige instruktioner, uagtsomhed, forsætlig misligholdelse eller brud på DPA'en eller Kontrakten, i hvilket tilfælde Kunden vil dække alle rimelige udgifter (herunder Marzipans rimelige udgifter og udgifter til dets professionelle rådgivere).

9. Underdatabehandlere

   1. Marzipan uses the following Sub-processors to host and/or process Customer Data, to provide infrastructure and network services to support Marzipan, and to perform service functions on our behalf as part of the Services:

      Name	Description
      Active Campaign LLC	Trading as "Postmark", Active Campaign delivers transactional emails (e.g. password reset emails, notification emails, receipt and invoice emails) on behalf of Marzipan as part of the Services.
      Automattic, Inc.	Trading as "Gravatar." Automattic allows Customers to upload pre-existing image and public profile data to the Platform Services.
      BunnyWay d.o.o	BunnyWay provides Marzipan with Domain Name System (DNS), Website Application Firewall (WAF) and Content Delivery Network (CDN) services.
      Fathom Analytics	Fathom Analytics provides web analytics services that enable Marzipan to track and analyse web traffic’s engagement with the Services.
      Functional Software Inc.	Trading as "Sentry", Functional Software provides Marzipan with crash and error monitoring services in respect of the Services.
      Internet Security Research Group	ISRG’s "Let’s Encrypt" service provides Marzipan with the digital certificate necessary to enable HTTPS (SLS/TLS) on its websites.
      Laravel Holdings Inc.	Laravel provides Marzipan with its: (i) "Forge" server management services in relation to the provisioning and deployment of the Services on Hetzner Online GmbH’s servers; and (ii) "Envoyer" zero downtime deployment services.
      OhMySMTP Ltd	OhMySMTP, trading as "MailPace", provides Marzipan with email services for sending transactional emails (e.g. password reset emails, notification emails, order confirmation emails) on behalf of Marzipan as part of the Services.
      PayPal UK Ltd	PayPal provides Marzipan with authorised payment gateway and payment processing services in respect of payload and payment data submitted to the Services.
      Stripe Payments UK, Ltd.	Stripe provides Marzipan with authorised payment gateway and payment processing services in respect of payload and payment data submitted to the Services.

   2. Kunden bemyndiger os til at anvende de Underdatabehandlere, der er angivet i klausul 9.1 ovenfor, som en del af Tjenesterne, og giver os endvidere generel bemyndigelse til at anvende andre Underdatabehandlere til at udføre behandlingsaktiviteter vedrørende Kundedata, som vi indsamler fra Kunden under Kontrakten. Marzipan skal underrette Kunden, hvis der tilføjes eller fjernes Underdatabehandlere, mindst 10 dage inden sådanne ændringer.
   3. Where Marzipan engages a Sub-processor as described in clause 9.1:

      (a)Marzipan vil begrænse Underdatabehandlerens adgang til data til alene det, der er rimeligt nødvendigt for at levere, vedligeholde eller forbedre Tjenesterne; og

      (b)Marzipan vil indgå en skriftlig databehandleraftale med Underdatabehandleren, og i det omfang Underdatabehandleren udfører de samme databehandlingstjenester som dem, Marzipan leverer i henhold til denne DPA, vil Marzipan pålægge Underdatabehandleren de samme kontraktmæssige forpligtelser, som Marzipan er underlagt heri.

   4. If Marzipan and the Customer have entered into Standard Contractual Clauses as described in clause 10 (Transfers of Customer Data):

      (a)ovenstående bemyndigelser vil udgøre Kundens forudgående skriftlige samtykke til Marzipans videredelegering af behandlingen af Kundedata, såfremt et sådant samtykke er påkrævet i henhold til SCC'erne;og

      (b)Marzipan vil indgå en skriftlig databehandleraftale med Underdatabehandleren, og i det omfang Underdatabehandleren udfører de samme databehandlingstjenester som dem, Marzipan leverer i henhold til denne DPA, vil Marzipan pålægge Underdatabehandleren de samme kontraktmæssige forpligtelser, som Marzipan er underlagt heri.

   5. If Marzipan and the Customer have entered into Standard Contractual Clauses as described in clause 10 (Transfers of Customer Data):

      (a)ovenstående bemyndigelser vil udgøre Kundens forudgående skriftlige samtykke til Marzipans videredelegering af behandlingen af Kundedata, såfremt et sådant samtykke er påkrævet i henhold til SCC'erne; og

      (b)Parterne er enige om, at de kopier af aftalerne med Underdatabehandlere, som Marzipan skal stille til rådighed for Kunden i henhold til Klausul 9(c) i EU-SCC'erne eller en relevant klausul i UK-SCC'erne (alt efter hvad der finder anvendelse), på forhånd kan have kommercielle oplysninger eller oplysninger, der ikke vedrører Standardkontraktbestemmelserne eller disses ækvivalenter, fjernet af Marzipan, og at sådanne redigerede kopier kun vil blive stillet til rådighed af Marzipan på Kundens skriftlige anmodning.

10. Overførsler af Kundedata

    1. Parterne er enige om, at Marzipan kan overføre Kundedata, der behandles under Kontrakten, til lande uden for EØS, UK eller Schweiz, i det omfang det er nødvendigt for at levere Tjenesterne. Kunden anerkender, at behandlingsaktiviteterne for mange af Tredjepartsleverandørerne og Underdatabehandlerne finder sted i USA, og at overførslen af Kundedata er nødvendig for at levere Tjenesterne til Kunden. Hvis Marzipan overfører Kundedata, der er beskyttet under denne Kontrakt, til en jurisdiktion, for hvilken Europa-Kommissionen eller UK's Secretary of State (alt efter hvad der finder anvendelse) ikke har udstedt en afgørelse om tilstrækkeligt beskyttelsesniveau, vil Marzipan sikre, at der er indført passende sikkerhedsforanstaltninger for overførslen af Kundedata i overensstemmelse med Databeskyttelseslovgivningen.
    2. Ex-EEA Transfers. The parties agree that ex-EEA Transfers are made pursuant to Module Two (Controller to Processor) of the EU SCCs which is deemed entered (and incorporated into this DPA) and which shall apply as follows (unless stated otherwise, references to clause numbers are references to clause numbers of Module Two of the EU SCCs):

       (a)Den valgfrie tiltrædelsesklausul i Klausul 7 finder ikke anvendelse;

       (b)I Klausul 9 finder Option 2 (generel skriftlig bemyndigelse) anvendelse, og den mindste varsel for forudgående underretning om ændringer af Underdatabehandlere er som angivet i klausul 9.2 i denne DPA;

       (c)I Klausul 11 finder den valgfrie formulering ikke anvendelse;

       (d)Alle firkantede parenteser i Klausul 12 er hermed fjernet;

       (e)I Klausul 17 (Option 10 er EU-SCC'erne underlagt irsk ret);

       (f)I Klausul 18(b) afgøres tvister ved domstolene i Irland;

       (g)Del 1 af Bilag B ("Grænseoverskridende Overførsler") til denne DPA indeholder de oplysninger, der kræves i Bilag I til EU-SCC'erne;

       (h)Del 1 af Bilag B ("Grænseoverskridende Overførsler") til denne DPA indeholder de oplysninger, der kræves i Bilag II til EU-SCC'erne;

       (i)Ved at indgå denne DPA anses parterne for at have underskrevet de EU-SCC'er, der er inkorporeret heri, herunder deres Bilag.

    3. Ex-UK Transfers

       (a)Parterne er enige om, at IDTA DPA'en finder anvendelse på en overførsel uden for UK. Del 2 af Bilag B ("Grænseoverskridende Overførsler") indeholder de oplysninger, der kræves i IDTA DPA'en.

    4. Transfers from Switzerland. The parties agree that transfers from Switzerland are made pursuant to the EU SCCs with the following modifications:

       (a)Betegnelserne "General Data Protection Regulation" eller "Regulation (EU) 2016/679" som anvendt i EU-SCC'erne skal fortolkes til at omfatte den føderale lov om databeskyttelse af 19. juni 2022 (den "FADP"), og som revideret pr. 25. september 2020, den "Revised FADP") for så vidt angår dataoverførsler, der er underlagt FADP.

       (b)Vilkårene i EU-SCC'erne skal fortolkes til at beskytte juridiske enheders data, indtil de træder i kraft i henhold til Revised FADP.

       (c)Klausul 13 i EU-SCC'erne ændres til at fastsætte, at den føderale databeskyttelses- og informationskommissær ("FDPIC") i Schweiz skal have myndighed over dataoverførsler reguleret af FADP, og den relevante EU-tilsynsmyndighed skal have myndighed over dataoverførsler reguleret af EU GDPR. Med forbehold for ovenstående skal alle øvrige krav i Klausul 13 i EU-SCC'erne overholdes.

       (d)Betegnelsen "EU-medlemsstat" som anvendt i EU-SCC'erne må ikke fortolkes på en måde, der udelukker de Registrerede i Schweiz fra at udøve deres rettigheder på deres sædvanlige opholdssted i overensstemmelse med Klausul 18(c) i EU-SCC'erne.

    5. Supplementary Measures. In respect of any ex-EEA Transfer or ex-UK Transfer, the following supplementary measures shall apply:

       (a)På datoen for denne DPA har Dataimportøren ikke modtaget nogen formelle juridiske anmodninger fra nogen efterretnings- eller sikkerhedstjeneste/myndighed i det land, hvortil Kundedata eksporteres, om adgang til (eller kopier af) Kundedata ("Myndighedsanmodninger");

       (b)Hvis Dataimportøren efter datoen for denne DPA modtager nogen Myndighedsanmodninger, vil Marzipan forsøge at omdirigere den pågældende retshåndhævelses- eller regeringsmyndighed til at anmode om data direkte fra Kunden. Som led i denne indsats accepterer Kunden, at vi må udlevere Kundens grundlæggende kontaktoplysninger til myndigheden. Hvis Marzipan er tvunget til at videregive Kundedata til en retshåndhævelses- eller regeringsmyndighed, skal Marzipan give Kunden et rimeligt varsel om kravet og samarbejde om at give Kunden mulighed for at søge en beskyttende kendelse eller anden passende retsmiddel, medmindre Marzipan er juridisk forhindret heri. Marzipan må ikke frivilligt videregive Kundedata til nogen retshåndhævelses- eller regeringsmyndighed. Marzipan skal (så hurtigt som rimeligt praktisk muligt) drøfte og afgøre, om alle eller nogle af overførslerne af Kundedata i henhold til denne DPA bør suspenderes i lyset af sådanne Myndighedsanmodninger;

       (c)Marzipan and the Data Exporter will meet regularly to consider whether:

       a.Den beskyttelse, som lovgivningen i Dataimportørens land giver registrerede, hvis Persondata overføres som en del af Kundedataene, er tilstrækkelig til at give en i store træk tilsvarende beskyttelse som den, der ydes i EØS eller UK, alt efter hvad der er relevant;

       b.Yderligere foranstaltninger er rimeligt nødvendige for at gøre overførslen forenelig med databeskyttelseslovgivningen;

       c.Det er stadig hensigtsmæssigt, at Kundedata overføres til den relevante Dataimportør under hensyntagen til alle relevante oplysninger, der er tilgængelige for parterne, samt vejledning fra tilsynsmyndighederne.

       (d)Hvis databeskyttelseslovgivningen kræver, at Marzipan indgår standardkontraktbestemmelser gældende for en bestemt overførsel af Kundedata til en Dataimportør som en separat aftale, skal Dataimportøren på Marzipans anmodning straks underskrive sådanne standardkontraktbestemmelser med de ændringer, som Marzipan med rimelighed måtte kræve for at afspejle de relevante bilag, overførslens detaljer og kravene i databeskyttelseslovgivningen; og

       (e)Hvis enten (i) et af de midler til legitimering af overførsler uden for EØS, UK eller Schweiz, som er fastsat i denne DPA, ophører med at være gyldigt; eller (ii) en tilsynsmyndighed kræver, at overførsler af Kundedata i henhold til disse midler suspenderes, kan Dataimportøren ved skriftlig meddelelse til Marzipan, med virkning fra den dato, der er angivet i en sådan meddelelse, ændre eller indføre alternative ordninger vedrørende sådanne overførsler, som krævet af databeskyttelseslovgivningen.

    6. Underdatabehandlere. Hvis Kunden giver samtykke til vores udnævnelse af en underdatabehandler beliggende uden for EØS i overensstemmelse med bestemmelserne i punkt 9, eller hvis Kunden vælger at integrere en tredjepartstjeneste fra en tredjepartstjenesteudbyder uden for EØS i overensstemmelse med punkt 3, bemyndiger Kunden os til at indgå standardkontraktbestemmelser med den pågældende part, herunder i Kundens navn og på Kundens vegne.

11. Klager, anmodninger fra registrerede og tredjepartsrettigheder

    1. Marzipan will take such reasonable technical and organisational measures as appropriate, and promptly provide such information to the Customer as the Customer may require, to enable the Customer to comply with:

       (a)the rights of Data Subjects under the Data Protection Laws, including subject access rights, the rights to rectify, port and erase Customer Data, object to the processing and automated processing of Customer Data, and restrict the processing of Customer Data; and/p>

       (b)oplysnings- eller vurderingsmeddelelser forkyndt for Kunden af UK ICO (eller en anden relevant tilsynsmyndighed i EØS) i henhold til databeskyttelseslovgivningen.

    2. Marzipan vil straks underrette Kunden skriftligt, hvis det modtager en klage, meddelelse eller kommunikation, der direkte eller indirekte vedrører behandlingen af Kundedata eller enten Marzipans eller Kundens overholdelse af databeskyttelseslovgivningen.
    3. Marzipan vil underrette Kunden inden for 14 dage, hvis det modtager en anmodning fra en registreret om adgang til vedkommendes Kundedata eller om udøvelse af andre rettigheder i henhold til databeskyttelseslovgivningen.
    4. Marzipan vil yde Kunden assistance med at besvare klager, meddelelser, kommunikation eller anmodninger fra registrerede.
    5. Marzipan vil ikke videregive Kundedata til nogen registreret eller til en tredjepart undtagen i overensstemmelse med Kundens skriftlige instrukser eller som krævet af national lovgivning.

12. Varighed og opsigelse

    1. This DPA will remain in full force and effect so long as:

       (a)Aftalen fortsat er i kraft; eller

       (b)Marzipan opbevarer Kundedata relateret til Aftalen i sin besiddelse eller kontrol ("Løbetiden").

    2. Enhver bestemmelse i denne DPA, der udtrykkeligt eller stiltiende skal træde i kraft eller forblive i kraft ved eller efter aftalens ophør for at beskytte Kundedataene, forbliver fuldt ud i kraft og gyldig.
    3. Marzipans manglende overholdelse af vilkårene i denne DPA udgør et væsentligt brud på Aftalen. I så fald kan Kunden opsige Aftalen med øjeblikkelig virkning ved skriftlig meddelelse til Marzipan uden yderligere ansvar eller forpligtelse.
    4. Hvis en ændring i databeskyttelseslovgivningen forhindrer en af parterne i at opfylde alle eller dele af sine forpligtelser i henhold til Aftalen, kan parterne aftale at suspendere behandlingen af Kundedata, indtil behandlingen er i overensstemmelse med de nye krav. Hvis parterne ikke kan bringe behandlingen af Kundedata i overensstemmelse med databeskyttelseslovgivningen inden for 90 dage, kan begge parter opsige Aftalen med øjeblikkelig virkning ved skriftlig meddelelse til den anden part.

13. Returnering og sletning af data

    1. På Kundens anmodning vil Marzipan give Kunden, eller en tredjepart skriftligt udpeget af Kunden, en kopi af eller adgang til alle eller dele af de Kundedata, som Marzipan besidder eller kontrollerer, i det format og på det medie, som Kunden med rimelighed specificerer.
    2. Ved aftalens opsigelse eller udløb af enhver årsag, eller ved afslutningen af Tjenesterne, skal Marzipan returnere eller slette Kundedataene, medmindre yderligere opbevaring af Kundedata er krævet eller tilladt af gældende lovgivning. Hvis returnering eller sletning er upraktisk eller forbudt ved lov, regel eller regulering, skal Marzipan træffe foranstaltninger til at blokere sådanne Kundedata fra enhver videre behandling (undtagen i det omfang det er nødvendigt for fortsat hosting eller behandling krævet ved lov, regel eller regulering) og skal fortsat beskytte Kundedataene i sin besiddelse, varetægt eller kontrol på passende vis. Hvis Marzipan og Kunden har indgået standardkontraktbestemmelser som beskrevet i punkt 10 (Overførsler af Kundedata), aftaler parterne, at den sletningsbekræftelse, der kræves i henhold til Klausul 8.1(d) i EU's standardkontraktbestemmelser og eventuelle relevante bestemmelser i UK's standardkontraktbestemmelser (alt efter hvad der er relevant), alene leveres af Marzipan til Kunden på Kundens skriftlige anmodning.
    3. Hvis en lov, regulering eller en offentlig eller regulerende myndighed kræver, at Marzipan opbevarer dokumenter, materialer eller Kundedata, som Marzipan ellers ville være forpligtet til at returnere eller slette, vil Marzipan underrette Kunden skriftligt om dette opbevaringskrav med angivelse af de dokumenter, materialer eller Kundedata, der skal opbevares, det juridiske grundlag for opbevaringen samt en specifik tidsplan for sletning eller destruktion, når opbevaringskravet ophører.
    4. Marzipan vil skriftligt bekræfte over for Kunden, at det har slettet Kundedataene inden for 30 dage efter, at sletningen eller destruktionen er gennemført.

14. Registre

    1. Marzipan vil føre detaljerede, nøjagtige og ajourførte skriftlige registre vedrørende al behandling af Kundedata, herunder men ikke begrænset til adgang til, kontrol med og sikring af Kundedata, godkendte underleverandører, behandlingsformål, kategorier af behandling, eventuelle overførsler af Kundedata til et tredjeland og tilhørende sikkerhedsforanstaltninger samt en generel beskrivelse af de implementerede tekniske og organisatoriske sikkerhedsforanstaltninger ("Registrene")
    2. Marzipan vil sikre, at Registrene er tilstrækkelige til at sætte Kunden i stand til at verificere Marzipans overholdelse af sine forpligtelser i henhold til denne Kontrakt, og Marzipan vil på anmodning give Kunden kopier af Registrene.

15. Garantier

    1. TMarzipan warrants and represents that:

       (a)dets medarbejdere, underleverandører, agenter og enhver anden person eller andre personer, der tilgår Kundedata på dets vegne, er pålidelige og troværdige og har modtaget den nødvendige træning i databeskyttelseslovgivningen;

       (b)det og enhver, der handler på dets vegne, vil behandle Kundedata i overensstemmelse med databeskyttelseslovgivningen og andre love, retsakter, forordninger, bekendtgørelser, standarder og lignende retskilder;

       (c)det ikke har grund til at tro, at databeskyttelseslovgivningen forhindrer det i at levere nogen af de kontraktmæssige ydelser; og

       (d)under hensyntagen til det aktuelle teknologimiljø og implementeringsomkostninger vil det træffe passende tekniske og organisatoriske foranstaltninger for at forhindre uautoriseret eller ulovlig behandling af Kundedata og utilsigtet tab eller ødelæggelse af eller skade på Kundedata, og sikre et sikkerhedsniveau, der er passende i forhold til:

       (i)den skade, der kan opstå som følge af sådan uautoriseret eller ulovlig behandling eller utilsigtet tab, ødelæggelse eller beskadigelse;

       (ii)karakteren af de Kundedata, der skal beskyttes; og

       (iii)at overholde al gældende databeskyttelseslovgivning samt dets informations- og sikkerhedspolitikker.

16. Indgåelse og ændringer

    1. Vilkårene i denne DPA er indarbejdet ved henvisning i Kontrakten og udgør en del heraf, som om de var fuldt ud angivet i Kontrakten. Ved indgåelsen af Kontrakten anerkender og accepterer Kunden udtrykkeligt at være bundet af vilkårene i denne DPA.
    2. Marzipan kan efter at have givet tredive (30) kalenderdages forudgående skriftligt varsel foretage rimelige ændringer af denne DPA, såfremt dette er påkrævet som følge af ændringer i databeskyttelseslovgivningen eller afgørelser truffet af en kompetent myndighed i henhold hertil, med henblik på at muliggøre behandling af Kundedata (eller fortsat behandling heraf) uden overtrædelse af databeskyttelseslovgivningen. Såfremt Kunden ikke accepterer sådanne ændringer, kan Kunden inden for den nævnte periode på tredive (30) kalenderdage give Marzipan skriftligt varsel om at opsige Kontrakten (herunder denne DPA) med øjeblikkelig virkning i det omfang, den vedrører de Ydelser, der er berørt af de foreslåede ændringer (eller manglen herpå). Kunden skal betale Marzipan alle gebyrer og øvrige beløb, der er opstået i henhold til eller i forbindelse med Kontrakten inden opsigelsesdatoen, og som fortsat er ubetalte på opsigelsesdatoen. Kunden har ingen yderligere krav (herunder om tilbagebetaling for Ydelserne) som følge af eller i forbindelse med opsigelsen af denne Kontrakt i henhold til denne klausul 16.2.