SurveyMonkey leverer sine produkter rundt om i verden med sine globale underkontraherede registerførere. I vores kontrakt med dig forpligter vi os til, at enhver overførsel af personoplysninger til os sker i overensstemmelse med gældende databeskyttelseslovgivning. Vi videreoverfører kun personlysninger til underkontraherede registerførere, som beskytter dine personoplysninger ved hjælp af sikkerhedsforanstaltninger, der er lige så byrdefulde som de sikkerhedsforanstaltninger vi anvender for personoplysninger under vores kontrol.

Derudover er de supplerende foranstaltninger, vi har truffet, i overensstemmelse med EU-Domstolens ("CJEU") dom af 16. juli 2020 i sag C-311/18, Data Protection Commissioner v Facebook Ireland Limited and Maximilian Schrems (“Schrems II”) og Det Europæiske Databeskyttelsesråds (“EDPB”) vejledning om supplerende foranstaltninger. Nærmere oplysninger kan findes herunder.

Der henvises til vores Meddelelse om beskyttelse af personlige oplysninger for yderligere oplysninger om hvordan vi generelt behandler personoplysninger.

Del I: Overførsler til SurveyMonkey

Del II: Videreoverførsler til underkontraherede registerførere

Hvis du er amerikansk kunde, vil din kontrakt indeholde et databeskyttelsestillæg ("DPA") med SurveyMonkeys amerikanske enhed: SurveyMonkey Inc. Hvis du er Enterprise-kunde, og har brugere inden for Det Europæiske Økonomiske Samarbejdsområde (”EØS”), Det Forenede Kongerige (”Storbritannien”) eller Schweiz og derfor kræver en overførselsmekanisme til brugerdata til SurveyMonkey, kan du bede om, at vi tilføjer de relevante overførselsmekanismer. Hvis du er selvbetjeningskunde, indeholder vores online DPA automatisk disse overførselsmekanismer.

Ud over standardkontraktbestemmelserne ("SCC'er") certificerer SurveyMonkey Inc. sig også i henhold til EU-USA-databeskyttelsesrammen, den britiske udvidelse af EU-USA-databeskyttelsesramme og principperne for schweizisk-USA-databeskyttelsesrammen Det betyder, at de europæiske, britiske og schweiziske datatilsynsmyndigheder har anset vores behandling for "tilstrækkelig" i henhold til artikel 45(3) i GDPR (og tilsvarende national lovgivning).

Hvis du er kunde baseret i EØS, Storbritannien eller Schweiz, omfatter din kontrakt et databeskyttelsestillæg ("DPA") med SurveyMonkeys irske enhed: SurveyMonkey Europe UC. Da overførslen fra dig til SurveyMonkey sker mellem europæiske enheder (eller mellem enheder, som har anerkendt hinandens tilstrækkelighedsstatus), er der ikke behov for andre overførselsmekanismer.

Hvis du er kunde baseret uden for USA, EØS, Storbritannien eller Schweiz – men har brugere i EØS, Storbritannien eller Schweiz og skal sikre dig, at der er en overførselsmekanisme for videreoverførsel – vil din kontrakt omfatte et databeskyttelsestillæg med SurveyMonkeys irske enhed, SurveyMonkey Europe UC. Hvis du er Enterprise-kunde, kan du bede om, at vi tilføjer den relevante overførselsmekanisme. Hvis du er selvbetjeningskunde, indeholder vores online DPA automatisk disse overførselsmekanismer.

Du overfører personoplysninger til SurveyMonkey, så vi kan behandle personoplysningerne til følgende formål:

Du bør vurdere, om du overfører data til forskellige formål.

Kundens personoplysninger, der overføres til SurveyMonkey, kan indeholde lige så mange eller lige så få personoplysninger, som du beslutter at indsamle i dine spørgsmål i spørgeundersøgelser, formularer og spørgeskemaer. På grund af platformens beskaffenhed antager vi, at en lang række personoplysninger – herunder potentielle særlige kategoridata – indsamles af dig. 

Oplysninger, som vi indsamler, er specificeret i afsnit 2 i vores Meddelelse om beskyttelse af personlige oplysninger.

Som nævnt ovenfor vil du indgå kontrakt med en SurveyMonkey-enhed i USA eller Irland – afhængigt af din placering. Baseret på rådgivning fra en ekstern rådgiver med speciale i databeskyttelse og analyse af de love, som SurveyMonkey er underlagt, mener vi, at risikoen forbundet med den retlige ordning i USA er lav, og at risikoen forbundet med den retlige ordning i Irland ikke udgør nogen betydelig risiko for den registrerede. Se afsnittet ‘Supplerende foranstaltninger: Organisatoriske’ nedenfor for yderligere information om specifikt amerikansk lovgivning.

Selv hvor der er lav eller ingen væsentlig risiko på grund af den retlige ordning i bestemmelseslandet, har SurveyMonkey implementeret supplerende foranstaltninger for yderligere at beskytte personoplysninger. De supplerende foranstaltninger er opdelt i tre kategorier: (i) kontraktlig, (ii) organisatorisk, (iii) tekniske sikkerhedsforanstaltninger. 

Som beskrevet ovenfor accepterer SurveyMonkey at indgå standardkontraktbestemmelser med kunder. Schrems II-dommen indikerer, at parterne kan bruge SCC'er og (hvor det er relevant) yderligere sikkerhedsforanstaltninger til overførsel af personoplysninger fra Storbritannien, Schweiz og Det Europæiske Økonomiske Samarbejdsområde ("europæiske data") til USA. Hvis du har indgået en aftale med eller på anden måde modtager tjenester fra SurveyMonkey, som vil kræve, at SurveyMonkey behandler personoplysninger om europæiske registrerede, vil SurveyMonkey (afhængigt af den SurveyMonkey-enhed, du indgår kontrakt med): 

For yderligere oplysninger om vores samtykke til at være bundet af standardkontraktbestemmelserne, henvises til Brugsbetingelser (for selvbetjeningskunder), Gældende serviceaftale (for SurveyMonkey Enterprise- eller GetFeedback Digital-kunder), eller en sådan anden aftale, du måske har forhandlet med SurveyMonkey.

CJEU's bekymringer vedrørende dataoverførsler til USA var baseret på den amerikanske regerings indsamling af data i henhold til US Executive Order 12333 ("EO 12333") og afsnit 702 i Foreign Intelligence Surveillance Act (“FISA § 702”), især "opstrøms" overvågning i henhold til afsnit 702 i FISA.  Risici forbundet med disse amerikanske lovbestemmelser gælder enten ikke for SurveyMonkeys behandling af persondata eller kan afbødes tilstrækkeligt af organisatoriske sikkerhedsforanstaltninger, som SurveyMonkey tilbyder.

Derudover vedtog Europa-Kommissionen d. 10. juli 2023 sin afgørelse om tilstrækkeligheden af beskyttelsesniveauet for EU-USA-databeskyttelsesrammen. Afgørelsen om tilstrækkeligheden af beskyttelsesniveauet konkluderer, at USA sikrer et tilstrækkeligt beskyttelsesniveau - sammenlignet med EU - for personoplysninger, der overføres fra EU til amerikanske virksomheder, der deltager i EU-USA-databeskyttelsesrammen.

Afgørelsen om tilstrækkelighed følger USA's underskrivelse af en Executive Order om ‘Enhancing Safeguards for United States Signals Intelligence Activities', som indførte nye bindende sikkerhedsforanstaltninger for at imødekomme de punkter, som Den Europæiske Unions Domstol rejste i sin Schrems II-afgørelse fra juli 2020. De nye forpligtelser var især rettet mod at sikre, at amerikanske efterretningstjenester kun kan få adgang til data i det omfang, det er nødvendigt og proportionelt, og at etablere en uafhængig og upartisk klagemekanisme til at håndtere og løse klager fra europæere vedrørende indsamling af deres data til nationale sikkerhedsformål. (Der henvises til: https://ec.europa.eu/commission/presscorner/detail/en/qanda_23_3752).

SurveyMonkey er ikke berettiget til at modtage "opstrøms" eller masseovervågningsordrer i henhold til afsnit 702 i FISA. SurveyMonkey Inc. fungerer delvist som en elektronisk kommunikationstjeneste ("ECS") og også potentielt en fjerncomputertjeneste ("RCS") (som defineret i henholdsvis afsnit 2510 og 2711 i paragraf 18 USC.) i forbindelse med visse tjenester eller produktfunktioner, vi leverer til kunder.  SurveyMonkey Inc. er således blandt den store gruppe af virksomheder, som USAs regering kunne levere et målrettet direktiv til i henhold til afsnit 702 i FISA.  I forhold til, hvordan den amerikanske regering har fortolket og anvendt afsnit 702 i FISA, er SurveyMonkey dog ikke berettiget til at modtage den type kendelse, som var af største interesse for EU-domstolen i Schrems II-afgørelsen – dvs. ordre til "opstrøms" overvågning i henhold til afsnit 702 i FISA.  Den måde, hvorpå den amerikanske regering har anvendt afsnit 702 i FISA, bruger kun opstrøms-ordrer til at målrette trafik, der flyder igennem internet-backbone-udbydere, der fører internettrafik for tredjeparter (dvs. telekommunikationsselskaber).  Se for eksempel rapporten fra Privacy and Civil Liberties Oversight Board, Report on the Surveillance Program Operated Pursuant to Section 702 i Foreign Intelligence Surveillance Act (2. juli 2014), s. 35-40, som kan findes på https://fas.org/irp/offdocs/pclob-702.pdf.  SurveyMonkey leverer ikke sådanne internet-backbone-tjenester, da vi kun fører trafik, der involverer vores egne kunder.  Som følge heraf er vi ikke berettiget til at modtage den type ordre, der hovedsageligt bliver gennemgået og anses for at være problematisk i Schrems II-afgørelsen.

SurveyMonkey har ikke modtaget noget direktiv i henhold til afsnit 702 i FISA, og det er usandsynligt, at vi kommer til at modtage noget. På datoen for denne erklæring har SurveyMonkey ikke modtaget noget direktiv i henhold til afsnit 702 i FISA og har ingen grund til at tro, at et sådant direktiv ville blive givet til SurveyMonkey.  Det er højst usandsynligt, at de persondata, SurveyMonkey behandler for vores kunder – feedbackdata – er relevante for de udenlandske efterretningsaktiviteter, der er underlagt afsnit 702 i FISA.  I tilfælde af at sådanne persondata var relevante for en sådan efterretningsaktivitet, er det desuden mere sandsynligt, at regeringen søger sådanne data gennem andre former for juridisk proces (såsom en ransagningskendelse godkendt af en dommer), der opfylder de høje standarder for regeringens adgang til data beskrevet i Schrems II-afgørelsen.  Dette skyldes, at det ville være meget hurtigere og nemmere for regeringen at søge en ordre eller kendelse i henhold til noget andet end afsnit 702 i FISA end at indføre de mekanismer, der kræves for, at regeringen kan udstede direktiver om SurveyMonkey i henhold til afsnit 702 i FISA.

SurveyMonkey hjælper ikke – og kan ikke beordres til at hjælpe – amerikanske myndigheder med deres indsamling af oplysninger i henhold til bekendtgørelse 12333. SurveyMonkey yder ikke og vil ikke yde nogen bistand til amerikanske myndigheder, der udfører overvågning i henhold til EO 12333.  EO 12333 giver ikke den amerikanske regering mulighed for at tvinge virksomheder til at yde assistance med disse aktiviteter, og SurveyMonkey gør det ikke frivilligt.  Som følge heraf foretager SurveyMonkey ikke, og kan ikke pålægges at foretage sig noget for at lette denne form for masseovervågning i henhold til EO 12333, som Schrems II-afgørelsen anså for værende problematisk.

SurveyMonkey tilbyder en række tekniske foranstaltninger, der yderligere bekæmper de centrale mangler, der er nævnt i Schrems II-afgørelsen, der refereres til ovenfor (masseovervågning i henhold til afsnit 702 i FISA og masseaflytninger i henhold til EO 12333).  

SurveyMonkey krypterer alle data, som gemmes i vores datacentre, ved hjælp af AES 256-baseret kryptering. Desuden krypterer SurveyMonkey alle data under overførsel ved hjælp af (i) certifikater baseret på en RSA-nøglelængde på 2048 bit, som er genereret via en offentlig certifikatautoritet, til kommunikation med entiteter uden for SurveyMonkeys datacentre, (ii) RSA 256-certifikater, som genereres via intern certifikatautoritet, for alle dataene i datacenteret. Disse krypteringsbestræbelser er rettet mod at forhindre uautoriseret erhvervelse af data i en forståelig form og forebyggelse af uautoriseret aflytning/manipulation, når data er i transit mellem to endepunkter. 

Nogle SurveyMonkey-kunder (for eksempel kunder hos GetFeedback Digital) har kun deres data gemt i EU. I disse tilfælde lagres dataene ikke i USA, og der gives kun meget minimal adgang til disse data i USA til begrænsede formål (for eksempel med henblik på at yde kundesupport efter anmodning, for at følge suns sikkerhedssupport og/eller begrænsede tekniske ressourcer for at kunne løse tekniske problemer/fejl eller udbygge systemer).

SurveyMonkey gennemfører også strenge administrative, tekniske og fysiske procedurer for at beskytte information, der er gemt på dets servere. Adgang til personoplysninger er begrænset gennem login-legitimationsoplysninger til de medarbejdere, der skal have adgang dertil for at kunne udføre deres arbejdsopgaver. SurveyMonkey implementerer dataminimeringsteknikker for at begrænse mængden af personoplysninger, der overføres fra EU til tredjeparts-jurisdiktioner, for at inkludere, hvor det er relevant, anvendelse af pseudonym eller fjernelse af identifikation af data. Derudover bruger SurveyMonkey adgangskontroller, såsom tofaktorgodkendelse, enkeltlogon, adgang efter behov, stærke adgangskodekontroller og begrænset adgang til administrative konti.  

Som ECS/RCS, er SurveyMonkey desuden underlagt US Electronic Communications Privacy Act, 18 USC. § 2701, et seq.  (“ECPA”), som yder beskyttelse til SurveyMonkeys kunder.  For eksempel forbyder ECPA statslige enheder at søge oplysninger om kunder af tjenester såsom SurveyMonkey, medmindre sådanne statslige enheder først opnår en passende juridisk proces, herunder en retskendelse eller ransagningskendelse for andre oplysninger end grundlæggende abonnentoplysninger.  Ligeledes yder både FISA og ECPA SurveyMonkeys kunder erstatning mod den amerikanske regering (herunder monetære skader eller disciplinære handlinger mod de relevante statslige myndigheder), hvis den uretmæssigt indhenter oplysninger om dem (jf. 18 USC. afsnit 2712).

Ydermere har SurveyMonkeys mangeårige eksterne juridiske rådgiver erfaring med besvarelse af amerikanske regeringsanmodninger om brugeroplysninger, herunder amerikanske anmodninger om national sikkerhed i henhold til afsnit 702 i FISA. Det er SurveyMonkeys politik at videresende sådanne anmodninger til SurveyMonkeys eget interne team med ansvar for overholdelse af politikker og, om nødvendigt, til sådanne eksterne advokater til gennemgang.  Hvis det er relevant, har SurveyMonkey til hensigt at bruge tilgængelige juridiske mekanismer til at bestride krav om dataadgang ved hjælp af afsnit 702 i FISA (inklusive eventuelle tavshedspligtbestemmelser eller ordrer knyttet hertil) i det usandsynlige tilfælde, at Momentive modtager et sådant krav.  Kravet vil derefter blive behandlet af en amerikansk domstol (FISA-domstolen). 

SurveyMonkey anerkender også, at en ordre om at give dataadgang i henhold til afsnit 702 I FISA kræver, at SurveyMonkey underretter vores kunder om, at vi ikke længere kunne overholde standardkontraktklausulerne, hvilket giver dem mulighed for at opsige deres aftale med os og suspendere datastrømme til os.  Vi har aldrig haft behov for at udsende en sådan meddelelse.

Under hensyntagen til ovenstående analyse mener vi, at risikoen for skade på den registrerede er ubetydelig.

Tabellen nedenfor opsummerer vores konklusion for vurdering af overførselskonsekvenser.

“Ikke-væsentlig risiko” betyder, at personoplysninger overføres mellem enheder, der begge befinder sig inden for Det Europæiske Økonomiske Samarbejdsområde (EØS).

“Lav risiko” betyder, at importøren/destinationslandet er uden for EØS, men at overførslen finder sted med en GDPR-godkendt mekanisme, og at supplerende foranstaltninger er blevet implementeret. Alle resterende risici, der er identificeret i en overførselskonsekvensvurdering, er blevet reduceret.

“Middel risiko” betyder, at importøren/destinationslandet er uden for EØS, men overførslen finder sted med en GDPR-godkendt mekanisme, og supplerende foranstaltninger er blevet implementeret. Visse resterende risici, der blev identificeret i en overførselskonsekvensvurdering, findes stadig.

“Høj risiko” betyder, at importøren/destinationslandet er uden for EØS, men overførslen finder sted med en GDPR-godkendt mekanisme, og supplerende foranstaltninger er blevet implementeret. Væsentlige resterende risici, der blev identificeret i en overførselskonsekvensvurdering, findes stadig.

Underleverandører er SurveyMonkey-leverandører, der behandler dine brugeres persondata for at hjælpe SurveyMonkey med at levere tjenesten .til dig Alle SurveyMonkeys underkontraherede registerførere er bundet af en kontrakt om beskyttelse af personoplysninger med sikkerhedsforanstaltninger, der ikke er mindre byrdefulde end den standard, vi anvender til personoplysninger, som vi har kontrol over.

Når SurveyMonkey overfører personoplysninger til underleverandører, udfører vi en overførselskonsekvensvurdering (“overførselskonsekvensvurdering”) svarende til trinnene, der er beskrevet nedenfor. Vi gør dette for at sikre, at dine personoplysninger er beskyttet på hvert trin, som krævet i henhold til databeskyttelseslovgivningen og vores kontrakt med dig. Vi har indsat en oversigt over de vigtigste punkter i overførselskonsekvensvurderingen for hver underleverandør nedenfor

Bemærk venligst, at ikke alle underleverandører anvendes til leveringen af alle vores tjenester. Vores liste over underkontraherede registerførere er opdelt efter specifikke SurveyMonkey-tjenester. 

Hvis du vil informeres via e-mail om opdateringer af vores lister over underkontraherede registerførere, kan du tilmelde dig her.

Download en PDF-fil med vores underprocessorliste her.