Acuerdo procesador

Introducción

Autosoft BV procesa, entre otras cosas, datos personales para y en nombre del cliente. Por lo tanto, Autosoft BV y el cliente están obligados según el Reglamento general de protección de datos (GDPR) a celebrar un Acuerdo de procesador. Según el GDPR, Autosoft BV es un 'procesador' y el cliente es un 'controlador'. Este Acuerdo de procesador también describe cómo Autosoft BV maneja la obligación de notificación de violación de datos.

Acuerdo procesador

Consta de:
Parte 1: Declaración de Data Pro
Parte 2: Cláusulas de procesamiento estándar

Parte 1: Declaración de Data Pro

Información General

1). Esta Declaración de Data Pro ha sido redactada por el siguiente procesador de datos (procesador):

• Autosoft BV
  Hengelosestraat 547
  7521 AG Enschede

Si tiene preguntas sobre esta Declaración de Data Pro o la protección de datos, comuníquese con:
Arthur van der Lek: arthur@autosoft.eu / +31 (0) 53 - 428 00 98

2). Esta declaración de Data Pro se aplica a partir del 1 de agosto de 2021
Regularmente ajustamos esta Declaración de Data Pro y las medidas de seguridad descritas en ella para garantizar que siempre estemos preparados y actualizados con respecto a la protección de datos. Te mantendremos informado de las nuevas versiones a través de nuestros canales habituales.

3). Esta Declaración de Data Pro se aplica a los siguientes productos y servicios del procesador de datos

• AutoSitio web
• Autocommerce

4). Descripción Sitio web del coche
Las empresas de automóviles utilizan Autowebsite. Con Autowebsite, las empresas de automóviles pueden presentarse en Internet.

5). Uso previsto Sitio web del coche
Autowebsite está diseñado y equipado para procesar los siguientes tipos de datos:
Los visitantes de los sitios web desarrollados por Autosoft con Autowebsite tienen la opción de dejar sus datos de contacto allí para que la compañía de automóviles tenga la oportunidad de acercarse al visitante para obtener más servicios. Estos datos de contacto no se almacenan con Autosoft, pero se reenvían directamente por correo electrónico a la dirección de correo electrónico de la empresa de automóviles.

• Este servicio no tiene en cuenta el procesamiento de datos personales especiales, o datos relacionados con condenas y delitos penales o números personales emitidos por el gobierno.

6). Descripción Autocommerce
Las empresas de automóviles utilizan el comercio automático. Con Autocommerce, las empresas automovilísticas pueden gestionar y presentar sus vehículos en su propio sitio web y en portales de búsqueda en Internet de terceros.

7). Uso previsto Comercio automático
El comercio automático está diseñado y equipado para procesar los siguientes tipos de datos:
Las empresas de automóviles pueden colocar sus vehículos registrados a través de Autocommerce en su propio sitio web de automóviles. Estos vehículos registrados no contienen ningún dato que se pueda rastrear a datos personales en cualquier forma. Los visitantes del sitio web de automóviles tienen la opción de dejar sus datos de contacto allí para que la compañía de automóviles tenga la oportunidad de acercarse al visitante para obtener más servicios. Los datos de contacto que deja el visitante en su propio sitio web de Auto se almacenan en Autocommerce.

• Este servicio no tiene en cuenta el procesamiento de datos personales especiales, o datos relacionados con condenas y delitos penales o números personales emitidos por el gobierno.

8). El procesador de datos utiliza las Cláusulas estándar para el procesamiento de Autowebsite y Autocommerce, que se pueden encontrar como un apéndice del Acuerdo.

9). El procesador de datos procesa los datos personales de sus clientes dentro de la UE / EEE para Autowebsite y Autocommerce.

10). El procesador de datos utiliza los siguientes subprocesadores para el comercio automático:
En algunos casos, Autosoft envía sus vehículos registrados a través de Autocommerce a los portales de búsqueda en Internet de terceros o subprocesadores en nombre de la Compañía de Automóviles. Una lista de subprocesadores está disponible a pedido en support@autosoft.eu.

11). Después de la terminación del Acuerdo con un cliente, el procesador de datos, en principio, eliminará los datos personales que procesa para el cliente dentro de los 3 meses de tal manera que ya no se puedan usar y ya no sean accesibles (hacer inaccesibles).

Política de seguridad

Resuma las siguientes medidas de seguridad que el procesador de datos ha tomado para proteger su producto o servicio:

Política de respuesta y gestión de incidentes
Las políticas de gestión y respuesta a incidentes en el campo de la seguridad de la información incluyen el monitoreo y detección de incidentes de seguridad en una computadora o infraestructura de TI, pero también la observación de actividades sospechosas por parte del personal y la implementación de las respuestas correctas a estos eventos.

El objetivo principal de esta política es desarrollar una respuesta predecible y bien entendida a eventos maliciosos e intrusiones informáticas en el sentido más amplio de la palabra.

La política de gestión y respuesta a incidentes es el proceso de gestión y protección de ordenadores, redes y sistemas de información y la información almacenada en ellos. Autosoft es consciente de sus responsabilidades cuando se trata de proteger esta información en beneficio de sus clientes y socios de la cadena de suministro. Esta responsabilidad se extiende a tener un procedimiento de Incidentes. La gestión de incidentes es un conjunto de actividades que definen e implementan un proceso que una organización puede utilizar para promover su propio bienestar y la seguridad del público.

TI y seguridad
La estructura de TIC de Autosoft BV está adecuadamente protegida con un firewall y el software de detección de virus se mantiene actualizado. Cada empleado tiene un perfil de inicio de sesión. Al iniciar una computadora, los empleados deben ingresar un nombre de usuario y contraseña y, cuando sea posible, con autenticación de 2 pasos.

Ciertos programas también solicitan un nombre de inicio de sesión y una contraseña y, cuando sea posible, con autenticación de 2 pasos. Se estimula la conciencia entre los empleados sobre el trabajo seguro, como llamar la atención para no abrir correos electrónicos sospechosos, no hacer clic en enlaces sospechosos, cerrar sesión cuando dejan el lugar de trabajo durante mucho tiempo, etc.

Los archivos se respaldan durante el día y todas las noches. Por razones de seguridad, el procedimiento de almacenamiento adicional que rodea a la copia de seguridad es confidencial. Autosoft BV ha celebrado contratos de servicio para esto con proveedores de computadoras y proveedores de alojamiento de Internet.

Política de protección de datos
Autosoft BV toma las medidas técnicas y organizativas apropiadas para proteger los datos personales del cliente contra pérdidas o cualquier forma de procesamiento ilegal. Estas medidas técnicas y organizativas se consideran un nivel de seguridad adecuado en el sentido del artículo 1 del RGPD y se almacenan como documentos en el Basecamp central (Proyecto: Organización / Política de protección de datos) de Autosoft BV.

Técnico y organizativo

1. Medidas para garantizar que solo el personal autorizado tenga acceso a los Datos personales procesados ​​en el contexto del Acuerdo del procesador;
2. Medidas para proteger los Datos Personales, en particular, contra la destrucción, pérdida, alteración accidental, almacenamiento, acceso o divulgación no autorizados o ilegales;
3. Medidas para proteger los Datos Personales, en particular contra la destrucción, pérdida, alteración accidental, almacenamiento no autorizado o ilegal, acceso o divulgación accidental o ilegal durante el intercambio / transporte de datos;
4. Medidas para garantizar la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resistencia de los sistemas y servicios de edición de forma continua;
5. Medidas para restaurar la disponibilidad y el acceso a los Datos Personales de manera oportuna en caso de un incidente físico o técnico;
6. Medidas para identificar vulnerabilidades con respecto al procesamiento de Datos Personales en los sistemas utilizados para proporcionar los servicios bajo el contrato;

Organizacionales como:

• Limitar el círculo de funcionarios que tienen acceso a ciertos datos personales a aquellas personas que los necesitan para el desempeño de sus funciones;
• otorgar a estas personas acceso solo a los datos personales que necesitan para el desempeño de sus funciones;
• acordar una cláusula de confidencialidad con una cláusula de penalización con todas las personas a las que se les otorgará acceso a los datos personales;
• almacenar datos personales en servidores en un espacio cerrado;
• mantener archivos en papel en gabinetes con cerradura;
• crear conciencia sobre la seguridad de la información entre los empleados;
• establecer protocolos y procedimientos claros para el manejo oportuno y eficaz de incidentes de seguridad de la información y vulnerabilidades de seguridad;

El procesador de datos utiliza sus propias metodologías y procedimientos de gestión que se ajustan al método de trabajo de la organización:

• Los documentos relevantes se gestionan y evalúan periódicamente dentro de Basecamp.

Protocolo de violación de datos

En caso de que algo salga mal, el procesador de datos utiliza el siguiente protocolo de fuga de datos para asegurarse de que el cliente esté al tanto de los incidentes:

Autosoft BV - Procedimiento de violación de datos

¿Qué es una violación de datos y cuándo debo informar a la AP?
Una violación de datos es un incidente de seguridad de la información que involucra una violación de la seguridad de los datos personales a través de la exposición a pérdidas o procesamiento ilegal como (pero no exhaustivamente):

• Ajustar y / o cambiar datos personales y acceso no autorizado a estos datos personales;
• En caso de robo por parte de un pirata informático;
• Perder una memoria USB, robo de una computadora portátil;
• Envío de datos confidenciales a una dirección de correo electrónico incorrecta;

De acuerdo con la ley, una violación de datos "grave" debe notificarse a la Autoridad Holandesa de Protección de Datos sin demoras indebidas y, si es posible, a más tardar 72 horas después del descubrimiento.

Autosoft BV no tiene que informar a la Autoridad Holandesa de Protección de Datos si la identificación real de personas físicas individuales está razonablemente excluida.
Todas las sospechas de un incidente de seguridad de la información se abordarán en primera instancia. soporte@autosoft.eu reportado y registrado. El soporte informa el incidente al equipo de gestión y determina qué acciones de seguimiento se deben tomar.

Procedimiento de seguimiento

¿Cuándo tengo que notificar a los interesados?
Se debe informar de una violación de datos al interesado si, en el caso de una violación, existe un alto riesgo de que la violación tenga consecuencias adversas para su vida privada. Las consecuencias desfavorables para el interesado son: daño a su reputación y reputación, fraude de identidad o discriminación. Si Autosoft BV ha tomado las medidas técnicas de protección adecuadas, como resultado de lo cual los datos personales en cuestión se vuelven incomprensibles o inaccesibles, la notificación al interesado no es necesaria. La notificación al interesado deberá contener una descripción, en un lenguaje claro y sencillo, de la naturaleza de la violación de datos personales y al menos:

• el nombre y los datos de contacto del delegado de protección de datos u otro punto de contacto donde se pueda obtener más información;
• las probables consecuencias de la violación de datos personales;
• las medidas propuestas o adoptadas por el responsable del tratamiento para abordar la violación de los datos personales, incluidas, en su caso, medidas para mitigar sus efectos adversos. La evaluación de si se debe informar una violación de datos a la Autoridad Holandesa de Protección de Datos y / o las personas afectadas siempre depende de Autosoft BV. Para determinar si se debe informar un incidente, la Autoridad Holandesa de Protección de Datos ha elaborado reglas de política (https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/thematic-beleidsreglement/beleidsreglement-meldspraak-datareken-2015) y el grupo de trabajo 29 de las directrices europeas para supervisores publicadas sobre la obligación de informar en el RGPD. Si Autosoft BV no ha informado de la violación de datos, la Autoridad Holandesa de Protección de Datos puede requerir que Autosoft BV aún presente un informe. La falta de denuncia puede ser sancionada con una multa administrativa.

¿Cómo denuncio una violación de datos?
La Autoridad Holandesa de Protección de Datos pone a disposición un formulario web que debe utilizarse para informar sobre violaciones de datos (https://dataleks.autoriteitpersoonsgegevens.nl/). La Autoridad Holandesa de Protección de Datos mantiene un registro de las notificaciones de violación de datos recibidas. Este registro no es público. Si la Autoridad Holandesa de Protección de Datos impone una multa como resultado de la violación de datos, esta decisión se hará pública. Una violación de datos también se hace pública cuando los interesados ​​deben ser informados sobre la violación de datos. En cualquier caso, la notificación al interesado debe indicar la naturaleza de la infracción y las autoridades donde el interesado puede obtener más información sobre la infracción. También debe indicarse lo que el interesado puede hacer por sí mismo para limitar las consecuencias negativas de la violación de datos. Por ejemplo, cambiar los nombres de usuario y las contraseñas cuando pueden haber sido comprometidos por la infracción.

¿Qué debo informar?
Una notificación a la Autoridad holandesa de protección de datos incluye:

• El informante de la violación de datos.
• La persona con la que la Autoridad holandesa de protección de datos puede ponerse en contacto para obtener más información sobre el informe.
• Un resumen del incidente en el que se produjo la violación de la seguridad de los datos personales.
• El momento de la infracción.
• La naturaleza de la infracción.
• El tipo de datos personales en cuestión.
• Las consecuencias que la infracción pueda tener para la privacidad de los implicados.
• Las medidas técnicas y organizativas que Autosoft BV ha tomado para abordar la infracción y prevenir nuevas infracciones.
• Si Autosoft BV ha informado de la violación de datos a los interesados ​​y, de no ser así, si Autosoft BV tiene la intención de hacerlo:
• En caso afirmativo, el contenido de la notificación a los interesados.
• De lo contrario, la razón por la que Autosoft BV se abstiene de informar la violación de datos a los interesados.
• ¿Los datos personales se han cifrado, codificado o hecho incomprensible o inaccesible para personas no autorizadas?

Parte 2: Cláusulas de procesamiento estándar

Versión: Septiembre de 2019
Junto con la Declaración de Data Pro, forma el acuerdo de procesamiento y es un apéndice del Acuerdo y los apéndices que lo acompañan, como los términos y condiciones generales aplicables.

Artículo 1. Definiciones

Los términos a continuación tienen los siguientes significados en estas Cláusulas de procesamiento estándar, en la Declaración de Data Pro y en el acuerdo:

• 1.1 Autoridad holandesa de protección de datos (AP): autoridad de control, como se describe en el Artículo 4, sub 21 de la Avg.
• 1.2 PROMEDIO: el Reglamento General de Protección de Datos.
• 1.3 Procesador de datos: Parte que, como proveedor de TIC, procesa Datos Personales en beneficio de su Cliente en el contexto de la ejecución del Acuerdo.
• 1.4 Declaración de Data Pro: declaración del Procesador de datos en la que proporciona información con respecto al uso previsto de su producto o servicio, medidas de seguridad tomadas, subprocesadores, filtraciones de datos, certificaciones y manejo de derechos de los Interesados.
• 1.5 Sujeto de datos (sujeto de datos): una persona física identificada o identificable.
• 1.6 Cliente: Parte en cuyo nombre el Procesador de datos procesa datos personales. El Cliente puede ser un controlador ("controlador") u otro procesador.
• 1.7 Acuerdo: el contrato entre el Cliente y el Encargado del tratamiento, en base al cual el proveedor de TIC suministra servicios y / o productos al Cliente, del cual forma parte el contrato de tratamiento.
• 1.8 Datos personales: toda la información sobre una persona física identificada o identificable, como se describe en el Artículo 4, sub 1 de AVG, que el Procesador de datos procesa en el contexto del cumplimiento de sus obligaciones derivadas del Acuerdo.
• 1.9 Acuerdo de procesamiento: estas Cláusulas estándar para el procesamiento, que junto con la Declaración del profesional de datos (o información comparable) del Procesador de datos, forman el acuerdo de procesamiento a que se refiere el Artículo 28, párrafo 3 del RGPD.

Artículo 2. General

• 2.1 Estas Cláusulas de procesamiento estándar se aplican a todo el procesamiento de Datos personales que realiza el Procesador de datos en el contexto de la entrega de sus productos y servicios y a todos los Acuerdos y ofertas. Se rechaza expresamente la aplicabilidad de los acuerdos de procesamiento del Cliente.
• 2.2 La Declaración de Data Pro, y en particular las medidas de seguridad contenidas en ella, pueden ser modificadas por el Procesador de Datos de vez en cuando para reflejar circunstancias cambiantes. El Procesador de datos informará al Cliente de cambios significativos. Si el Cliente no puede estar razonablemente de acuerdo con los ajustes, el Cliente tiene derecho a rescindir el acuerdo de procesamiento por escrito dentro de los 30 días posteriores a la notificación de los ajustes.
• 2.3 El Procesador de datos procesa los Datos personales en nombre y en nombre del Cliente de acuerdo con las instrucciones escritas del Cliente acordadas con el Procesador de datos.
• 2.4 El Cliente, o su cliente, es el controlador en el sentido del RGPD, tiene control sobre el procesamiento de los Datos personales y ha determinado el propósito y los medios para procesar los Datos personales.
• 2.5 El Procesador de datos es un procesador en el sentido del GDPR y, por lo tanto, no tiene control sobre el propósito y los medios de procesamiento de los Datos personales y, por lo tanto, no toma ninguna decisión sobre, entre otras cosas, el uso de los Datos personales.
• 2.6 El Procesador de datos implementa el GDPR según lo establecido en estas Cláusulas estándar para el procesamiento, la Declaración de Data Pro y el Acuerdo. Depende del Cliente evaluar sobre la base de esta información si el Procesador de datos ofrece garantías suficientes con respecto a la aplicación de las medidas técnicas y organizativas adecuadas para que el procesamiento cumpla con los requisitos del GDPR y la protección de los derechos de los interesados. es suficiente garantizado.
• 2.7 El Cliente garantiza al Procesador de Datos que actúa de acuerdo con el GDPR, que protege adecuadamente sus sistemas e infraestructura en todo momento y que el contenido, uso y / o procesamiento de los Datos Personales no son ilícitos y no infringen ningún derecho. de un tercero.
• 2.8 Una multa administrativa impuesta al Cliente por AP no puede recuperarse del Procesador de datos.

Artículo 3. Seguridad

• 3.1 El Procesador de datos toma las medidas de seguridad técnicas y organizativas, como se describe en su Declaración de Data Pro. Al tomar las medidas de seguridad técnicas y organizativas, el Procesador de datos ha tenido en cuenta el estado de la técnica, los costos de implementación de las medidas de seguridad, la naturaleza, el alcance y el contexto del procesamiento, los propósitos y el uso previsto de sus productos y servicios. , los riesgos de procesamiento y los riesgos que difieren en probabilidad y gravedad para los derechos y libertades de los Interesados ​​que podría esperar en vista del uso previsto de sus productos y servicios.
• 3.2 A menos que se indique explícitamente lo contrario en la Declaración de Data Pro, el producto o servicio del Procesador de datos no está diseñado para procesar categorías especiales de Datos personales o datos relacionados con condenas o delitos penales o números personales emitidos por el gobierno.
• 3.3 El Procesador de datos se esfuerza por garantizar que las medidas de seguridad que debe tomar sean apropiadas para el uso previsto del producto o servicio por parte del Procesador de datos.
• 3.4 En opinión del Cliente, las medidas de seguridad descritas ofrecen un nivel de seguridad adaptado al riesgo del procesamiento de los Datos Personales utilizados o proporcionados por el Cliente, teniendo en cuenta los factores mencionados en el Artículo 3.1.
• 3.5 El Procesador de datos puede realizar cambios en las medidas de seguridad tomadas si, en su opinión, esto es necesario para continuar brindando un nivel adecuado de seguridad. El Procesador de datos registrará los cambios importantes, por ejemplo, en una Declaración de Data Pro modificada, e informará al Cliente de esos cambios cuando sea relevante.
• 3.6 El cliente puede solicitar al procesador de datos que tome más medidas de seguridad. El Procesador de datos no tiene la obligación de realizar cambios en sus medidas de seguridad ante tal solicitud. El Procesador de datos puede cobrar los costos relacionados con los cambios realizados a solicitud del Cliente al Cliente. Solo después de que las medidas de seguridad enmendadas deseadas por el Cliente hayan sido acordadas por escrito y firmadas por las Partes, el Procesador de Datos está obligado a implementar realmente estas medidas de seguridad.

Artículo 4. Violación de datos personales

• 4.1 El Procesador de datos no garantiza que las medidas de seguridad sean efectivas en todas las circunstancias. Si el Procesador de datos descubre una violación en relación con los Datos personales (como se menciona en el Artículo 4 sub 12 Promedio), informará al Cliente sin demora indebida. La Declaración de Data Pro (según el protocolo de fuga de datos) establece cómo el Procesador de datos informa al Cliente sobre las infracciones en relación con los Datos personales.
• 4.2 Depende del controlador (Cliente, o su cliente) evaluar si la violación de los Datos Personales sobre la cual el Procesador de Datos ha informado debe informarse al AP o al sujeto de los Datos. La notificación de infracciones en relación con los datos personales, que deben informarse al AP y / o los interesados ​​de conformidad con los artículos 33 y 34 del RGPD, sigue siendo responsabilidad del controlador (cliente o su cliente) en todo momento. El Procesador de datos no está obligado a informar las violaciones de datos personales al AP y / o al Interesado.
• 4.3 El Procesador de datos, si es necesario, proporcionará más información sobre la violación en relación con los Datos personales y cooperará en la provisión necesaria de información al Cliente con el propósito de una notificación como se menciona en los Artículos 33 y 34 Promedio.
• 4.4 El Procesador de datos puede cobrar al Cliente los costos razonables en los que incurre en este contexto a las tarifas aplicables en ese momento.

Artículo 5. Confidencialidad

• 5.1 El Procesador de Datos garantiza que las personas que procesan los Datos Personales bajo su responsabilidad tienen el deber de confidencialidad.
• 5.2 El Procesador de datos tiene derecho a proporcionar los Datos personales a terceros, si y en la medida en que la provisión sea necesaria de conformidad con una decisión judicial, un reglamento legal o sobre la base de una orden autorizada de una autoridad gubernamental.
• 5.3 Todos los códigos de acceso y / o identificación, certificados, información con respecto a la política de acceso y / o contraseña proporcionada por el Procesador de datos al Cliente y toda la información proporcionada por el Procesador de datos al Cliente que implementa las medidas de seguridad técnicas y organizativas incluidas en la Declaración de Data Pro son confidenciales. y será tratado como tal por el Cliente y solo se dará a conocer a los empleados autorizados del Cliente. El Cliente asegura que sus empleados cumplen con las obligaciones bajo este artículo.

Artículo 6. Duración y rescisión

• 6.1 Este acuerdo de procesador forma parte del Acuerdo y cualquier acuerdo nuevo o adicional que surja de él, entra en vigencia en el momento de la celebración del Acuerdo y se concluye por un período de tiempo indefinido.
• 6.2 Este acuerdo de procesador finaliza por aplicación de la ley tras la terminación del Acuerdo o cualquier acuerdo nuevo o adicional entre las partes.
• 6.3 En el caso de que finalice el acuerdo de procesamiento, el Procesador de datos eliminará todos los Datos personales en su posesión y recibidos del Cliente dentro del término incluido en la Declaración de Data Pro de tal manera que ya no se puedan usar y ya no accesible (hacer inaccesible). o, si se acuerda, devolverlo al Cliente en un formato legible por máquina.
• 6.4 El Procesador de datos puede cobrar al Cliente cualquier costo en el que incurra en el contexto de las disposiciones del Artículo 6.3. Se pueden establecer más acuerdos sobre esto en la Declaración de Data Pro.
• 6.5 Las disposiciones del Artículo 6.3 no se aplican si una regulación legal impide que el Procesador de Datos elimine o devuelva total o parcialmente los Datos Personales. En tal caso, el Procesador de datos solo continuará procesando los Datos personales en la medida necesaria según sus obligaciones legales. Las disposiciones del artículo 6.3 tampoco se aplican si el procesador de datos es el controlador en el sentido del RGPD con respecto a los datos personales.

Artículo 7.Derechos de los interesados, evaluación de impacto de la protección de datos (DPIA) y derechos de auditoría

• 7.1 El Procesador de datos, cuando sea posible, cooperará con las solicitudes razonables del Cliente que estén relacionadas con los derechos de los Interesados ​​invocados por el Cliente por los Interesados. Si un interesado se acerca directamente al Procesador de datos, lo derivará al Cliente cuando sea posible.
• 7.2 Si el Cliente está obligado a hacerlo, el Procesador de datos cooperará con una evaluación de impacto de protección de datos (DPIA) o una consulta previa posterior como se indica en los Artículos 35 y 36 Avg.
• 7.3 El Procesador de datos cooperará con las solicitudes del Cliente para la eliminación de datos personales en la medida en que el Cliente no pueda realizar esto por sí mismo.
• 7.4 A solicitud del Cliente, el Procesador de datos también pondrá a disposición toda la información adicional que sea razonablemente necesaria para demostrar el cumplimiento de los acuerdos realizados en este acuerdo de procesamiento. Si el Cliente, no obstante, tiene motivos para creer que el procesamiento de Datos Personales no se lleva a cabo de acuerdo con el acuerdo de procesamiento, puede ser consultado como máximo una vez al año por un experto externo certificado, independiente que tenga experiencia demostrable con el tipo de procesamiento que se lleva a cabo sobre la base del Acuerdo., hacer que se lleve a cabo una auditoría a cargo del Cliente. La auditoría se limitará a verificar el cumplimiento de los acuerdos con respecto al procesamiento de Datos Personales según lo establecido en este Acuerdo de Procesador. El experto tendrá el deber de confidencialidad con respecto a lo que encuentre y solo informará al Cliente lo que resulte en una deficiencia en el cumplimiento de las obligaciones que el Procesador de Datos tiene en virtud de este acuerdo de procesador. El experto proporcionará una copia de su informe al Procesador de datos. El Procesador de datos puede rechazar una auditoría o instrucción del experto si, en su opinión, esto viola el GDPR u otra legislación o constituye una violación inadmisible de las medidas de seguridad que ha tomado.
• 7.5 Las partes consultarán lo antes posible sobre los resultados del informe. Las partes seguirán las medidas de mejora propuestas establecidas en el informe en la medida en que sea razonablemente esperado de ellas. El Procesador de Datos implementará las medidas de mejora propuestas en la medida en que sean apropiadas en su opinión, teniendo en cuenta los riesgos de procesamiento asociados con su producto o servicio, el estado de la técnica, los costos de implementación, el mercado en el que opera, y el uso previsto del producto o servicio.
• 7.6 El Procesador de datos tiene derecho a cobrar al Cliente los costos en los que incurra en el contexto de las disposiciones de este artículo.

Artículo 8. Subprocesadores

• 8.1 El Procesador de datos ha indicado en la Declaración del profesional de datos si, y en caso afirmativo, qué terceros (subprocesadores o subprocesadores) El Procesador de datos participa en el procesamiento de los Datos personales.
• 8.2 El Cliente da permiso al Procesador de datos para contratar a otros subprocesadores para que cumplan con sus obligaciones derivadas del Acuerdo.
• 8.3 El Procesador de datos informará al Cliente sobre un cambio en los terceros contratados por el Procesador de datos, por ejemplo, mediante una Declaración de Data Pro modificada. El Cliente tiene derecho a oponerse al cambio mencionado anteriormente por parte del Procesador de datos. El Procesador de datos garantiza que los terceros contratados por él se comprometan con el mismo nivel de seguridad con respecto a la protección de los Datos personales que el nivel de seguridad al que el Procesador de datos está vinculado con el Cliente sobre la base de la Declaración de Data Pro.

Artículo 9. Otros

Estas Cláusulas de procesamiento estándar, junto con la Declaración de Data Pro, forman parte integral del Acuerdo. Todos los derechos y obligaciones en virtud del Acuerdo, incluidos los términos y condiciones generales aplicables y / o las limitaciones de responsabilidad, también se aplican al acuerdo de procesamiento.