Pārstrādātāja līgums

Ievads

Autosoft BV, cita starpā, apstrādā personas datus klienta labā un viņa vārdā. Tādēļ uzņēmumam Autosoft BV un klientam saskaņā ar Vispārīgo datu aizsardzības regulu (VDAR) ir jānoslēdz līgums par apstrādātāju. Saskaņā ar GDPR Autosoft BV ir “apstrādātājs”, un klients ir “pārzinis”. Šajā apstrādātāja līgumā ir arī aprakstīts, kā Autosoft BV apstrādā pienākumu paziņot par datu pārkāpumiem.

Pārstrādātāja līgums

Sastāv no:
1. daļa: Data Pro paziņojums
2. daļa: Standarta apstrādes klauzulas

1. daļa: Data Pro paziņojums

Vispārīga informācija

1). Šo Data Pro paziņojumu ir sagatavojis šāds datu apstrādātājs (apstrādātājs):

• Autosoft BV
  Hengelosestraat 547
  7521 AG Enschede

Ja jums ir jautājumi par šo Data Pro paziņojumu vai datu aizsardzību, lūdzu, sazinieties ar:
Artūrs van der Leks: arthur@autosoft.eu / +31 (0)53 – 428 00 98

2). Šis Data Pro paziņojums ir spēkā no 1. gada 2021. augusta
Mēs regulāri koriģējam šo Data Pro paziņojumu un tajā aprakstītos drošības pasākumus, lai nodrošinātu, ka mēs vienmēr esam gatavi un atjaunināti attiecībā uz datu aizsardzību. Mēs jūs informēsim par jaunajām versijām, izmantojot mūsu parastos kanālus.

3). Šis Data Pro paziņojums attiecas uz šādiem datu apstrādātāja produktiem un pakalpojumiem

• Automātiskā vietne
• Autokomercija

4). Apraksts Auto mājas lapa
Automašīnu uzņēmumi izmanto Autowebsite. Izmantojot Autowebsite, automašīnu uzņēmumi var sevi prezentēt internetā.

5). Paredzētās lietošanas Auto vietne
Automātiskā vietne ir izstrādāta un aprīkota, lai apstrādātu šāda veida datus:
Autosoft izstrādāto vietņu apmeklētājiem ar Autowebsite ir iespēja tur atstāt savu kontaktinformāciju, lai auto kompānijai būtu iespēja vērsties pie apmeklētāja pēc turpmākiem pakalpojumiem. Šī kontaktinformācija netiek glabāta ar Autosoft, bet tiek pārsūtīta tieši pa e-pastu uz automašīnu uzņēmuma e-pasta adresi.

• Šis pakalpojums neņem vērā īpašu personas datu apstrādi vai datus par sodāmību un noziedzīgiem nodarījumiem vai valdības izsniegtos personas numurus.

6). Apraksts Autocommerce
Automašīnu uzņēmumi izmanto Autocommerce. Izmantojot Autocommerce, automašīnu uzņēmumi var pārvaldīt un prezentēt savus transportlīdzekļus savās vietnēs un trešo pušu interneta meklēšanas portālos.

7). Paredzētais lietojums Autocommerce
Autocommerce ir izstrādāta un iestatīta, lai apstrādātu šāda veida datus:
Automašīnu uzņēmumi var ievietot savus reģistrētos transportlīdzekļus, izmantojot Autocommerce, savā automašīnu vietnē. Šie reģistrētie transportlīdzekļi nesatur nekādus datus, kurus jebkādā veidā varētu izsekot līdz personas datiem. Auto mājaslapas apmeklētājiem ir iespēja tur atstāt savu kontaktinformāciju, lai auto kompānijai būtu iespēja vērsties pie apmeklētāja pēc turpmākiem pakalpojumiem. Kontaktinformācija, ko apmeklētājs atstājis savā Auto vietnē, tiek saglabāta Autocommerce.

• Šis pakalpojums neņem vērā īpašu personas datu apstrādi vai datus par sodāmību un noziedzīgiem nodarījumiem vai valdības izsniegtos personas numurus.

8). Datu apstrādātājs Autowebsite un Autocommerce apstrādei izmanto standarta klauzulas, kuras var atrast kā Līguma pielikumu.

9). Datu apstrādātājs apstrādā savu klientu personas datus ES/EEZ Autowebsite un Autocommerce vajadzībām.

10). Datu apstrādātājs Autocommerce izmanto šādus apakšapstrādātājus:
Dažos gadījumos Autosoft nosūta savus reģistrētos transportlīdzekļus ar Autocommerce starpniecību uz trešo pušu vai apakšapstrādātāju interneta meklēšanas portāliem Auto uzņēmuma vārdā. Apakšprocesoru saraksts ir pieejams pēc pieprasījuma uz support@autosoft.eu.

11). Pēc Līguma ar klientu izbeigšanas datu apstrādātājs principā 3 mēnešu laikā noņem klientam apstrādātos personas datus tādā veidā, ka tie vairs nav izmantojami un vairs nav pieejami (padarīs nepieejamus).

Drošības politika

Apkopojiet šādus drošības pasākumus, ko datu apstrādātājs ir veicis, lai aizsargātu savu produktu vai pakalpojumu:

Incidentu pārvaldības un reaģēšanas politika
Incidentu pārvaldības un reaģēšanas politikas informācijas drošības jomā ietver drošības incidentu uzraudzību un atklāšanu datorā vai IT infrastruktūrā, kā arī personāla aizdomīgu darbību novērošanu un pareizu reakciju ieviešanu uz šiem notikumiem.

Šīs politikas galvenais mērķis ir izstrādāt labi saprotamu un paredzamu reakciju uz ļaunprātīgiem notikumiem un datoru ielaušanos šī vārda plašākajā nozīmē.

Incidentu pārvaldības un reaģēšanas politika ir datoru, tīklu un informācijas sistēmu un tajos glabātās informācijas pārvaldības un aizsardzības process. Autosoft apzinās savus pienākumus, lai aizsargātu šo informāciju savu klientu un piegādes ķēdes partneru labā. Šī atbildība attiecas arī uz incidenta procedūru. Incidentu vadība ir darbību kopums, kas nosaka un īsteno procesu, ko organizācija var izmantot savas labklājības un sabiedrības drošības veicināšanai.

IT un drošība
Autosoft BV IKT struktūra ir atbilstoši nodrošināta ar ugunsmūri, un vīrusu skenēšanas programmatūra tiek pastāvīgi atjaunināta. Katram darbiniekam ir pieteikšanās profils. Iedarbinot datoru, darbiniekiem jāievada pieteikšanās vārds un parole un, ja iespējams, ar 2 pakāpju autentifikāciju.

Noteikta programmatūra pieprasa arī pieteikšanās vārdu un paroli, kā arī, ja iespējams, divpakāpju autentifikāciju. Tiek stimulēta darbinieku izpratne par drošu darbu, piemēram, pievēršot uzmanību aizdomīgu e-pastu neatvēršanai, neklikšķināšanai uz aizdomīgām saitēm, izrakstīšanās, ilgstoši atstājot darba vietu, utt.

Faili tiek dublēti dienas laikā un katru nakti. Drošības apsvērumu dēļ turpmākā uzglabāšanas procedūra, kas saistīta ar dublējumu, ir konfidenciāla. Par to Autosoft BV ir noslēdzis pakalpojumu līgumus ar datoru piegādātājiem un interneta mitināšanas pakalpojumu sniedzējiem.

Datu aizsardzības politika
Autosoft BV veic atbilstošus tehniskos un organizatoriskos pasākumus, lai aizsargātu klienta personas datus pret nozaudēšanu vai jebkāda veida nelikumīgu apstrādi. Šie tehniskie un organizatoriski pasākumi tiek uzskatīti par atbilstošu drošības līmeni GDPR 1. panta izpratnē un tiek glabāti kā dokumenti Autosoft BV centrālajā Basecamp (projekts: organizācija / datu aizsardzības politika).

Tehniski un organizatoriski

1. Pasākumi, lai nodrošinātu, ka Apstrādātāja līguma ietvaros apstrādātajiem Personas datiem ir piekļuve tikai pilnvarotām personām;
2. Pasākumi Personas datu aizsardzībai, jo īpaši pret nejaušu vai nelikumīgu iznīcināšanu, nozaudēšanu, nejaušu izmainīšanu, neatļautu vai nelikumīgu uzglabāšanu, piekļuvi vai izpaušanu;
3. Pasākumi Personas datu aizsardzībai, jo īpaši pret nejaušu vai nelikumīgu iznīcināšanu, nozaudēšanu, nejaušu izmainīšanu, neatļautu vai nelikumīgu uzglabāšanu, piekļuvi vai izpaušanu datu apmaiņas/transportēšanas laikā;
4. Pasākumi, lai nodrošinātu spēju pastāvīgi nodrošināt rediģēšanas sistēmu un pakalpojumu konfidencialitāti, integritāti, pieejamību un noturību;
5. Pasākumi, lai savlaicīgi atjaunotu Personas datu pieejamību un piekļuvi tiem fiziska vai tehniska incidenta gadījumā;
6. Pasākumi, lai identificētu ievainojamības attiecībā uz personas datu apstrādi sistēmās, kuras tiek izmantotas pakalpojumu sniegšanai saskaņā ar līgumu;

Organizatoriski, piemēram:

• Ierobežojot to amatpersonu loku, kurām ir pieejami noteikti personas dati, līdz tām personām, kurām dati ir nepieciešami amata pienākumu veikšanai;
• piešķirt šīm personām piekļuvi tikai tiem personas datiem, kas tām nepieciešami darba pienākumu veikšanai;
• vienojoties par konfidencialitātes klauzulu ar soda klauzulu ar visām personām, kurām tiks piešķirta piekļuve personas datiem;
• personas datu glabāšana serveros slēgtā telpā;
• papīra failu glabāšana slēdzamos skapjos;
• informācijas drošības izpratnes veidošana darbinieku vidū;
• skaidru protokolu un procedūru izveide informācijas drošības incidentu un drošības ievainojamību savlaicīgai un efektīvai apstrādei;

Datu apstrādātājs pārvaldībai izmanto savas metodoloģijas un procedūras, kas atbilst organizācijas darba metodei:

• Basecamp ietvaros tiek pārvaldīti un periodiski novērtēti attiecīgie dokumenti.

Datu pārkāpuma protokols

Gadījumā, ja kaut kas noiet greizi, datu apstrādātājs izmanto šādu datu noplūdes protokolu, lai nodrošinātu, ka klients ir informēts par incidentiem:

Autosoft BV – Datu pārkāpuma procedūra

Kas ir datu aizsardzības pārkāpums un kad par to jāziņo AP?
Datu pārkāpums ir informācijas drošības incidents, kas saistīts ar personas datu drošības pārkāpumu, pazaudējot vai veicot nelikumīgu apstrādi, piemēram (bet ne pilnībā):

• Personas datu koriģēšana un/vai mainīšana un nesankcionēta piekļuve šiem personas datiem;
• Hakera ielaušanās gadījumā;
• USB atmiņas kartes pazaudēšana, klēpjdatora zādzība;
• Sensitīvu datu nosūtīšana uz nepareizu e-pasta adresi;

Saskaņā ar likumu par “nopietnu” datu aizsardzības pārkāpumu ir jāziņo Nīderlandes datu aizsardzības iestādei bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā pēc atklāšanas.

Autosoft BV nav jāziņo Nīderlandes datu aizsardzības iestādei, ja ir pamatoti izslēgta atsevišķu fizisko personu faktiskā identifikācija.
Visas aizdomas par informācijas drošības incidentu tiks izskatītas pirmajā instancē support@autosoft.eu ziņots un reģistrēts. Atbalsts ziņo par incidentu vadības komandai un nosaka, kādi turpmākie pasākumi jāveic.

Pēcpārbaudes procedūra

Kad man jāpaziņo datu subjektiem?
Par datu aizsardzības pārkāpumu datu subjektam jāziņo, ja pārkāpuma gadījumā pastāv augsts risks, ka pārkāpums radīs nelabvēlīgas sekas viņa privātajā dzīvē. Nelabvēlīgas sekas datu subjektam ir: kaitējums viņa reputācijai, identitātes krāpšana vai diskriminācija. Ja Autosoft BV ir veikusi atbilstošus tehniskos aizsardzības pasākumus, kuru rezultātā attiecīgie personas dati ir kļuvuši nesaprotami vai nepieejami, paziņošana datu subjektam nav nepieciešama. Paziņojumā datu subjektam skaidrā un vienkāršā valodā iekļauj personas datu aizsardzības pārkāpuma būtības aprakstu un vismaz:

• datu aizsardzības inspektora vai cita kontaktpunkta nosaukums un kontaktinformācija, kur var iegūt plašāku informāciju;
• personas datu aizsardzības pārkāpuma iespējamās sekas;
• pārziņa ierosinātie vai veiktie pasākumi personas datu aizsardzības pārkāpuma novēršanai, tostarp attiecīgā gadījumā pasākumi, lai mazinātu jebkādas tā negatīvās sekas. Novērtējums par to, vai par datu pārkāpumu ir jāziņo Nīderlandes datu aizsardzības iestādei un/vai skartajām personām, vienmēr ir Autosoft BV ziņā. Lai noteiktu, vai par incidentu ir jāziņo, Nīderlandes datu aizsardzības iestāde ir izstrādājusi politikas noteikumus (https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/thematic-beleidsreglement/beleidsreglement-meldspraak-datareken-2015) un 29. darba grupa Eiropas uzraugu vadlīnijās, kas publicētas par ziņošanas pienākumu GDPR. Ja Autosoft BV nav ziņojis par datu pārkāpumu, Nīderlandes datu aizsardzības iestāde var pieprasīt, lai Autosoft BV joprojām ziņo. Par neziņošanu var sodīt ar administratīvo sodu.

Kā ziņot par datu pārkāpumu?
Nīderlandes datu aizsardzības iestāde nodrošina tīmekļa veidlapu, kas jāizmanto, lai ziņotu par datu aizsardzības pārkāpumiem (https://dataleks.autoriteitpersoonsgegevens.nl/). Nīderlandes datu aizsardzības iestāde uztur saņemto paziņojumu par datu aizsardzības pārkāpumiem reģistru. Šis reģistrs nav publisks. Ja Nīderlandes datu aizsardzības iestāde datu aizsardzības pārkāpuma dēļ uzliks naudas sodu, šis lēmums tiks publiskots. Datu aizsardzības pārkāpums tiek publiskots arī tad, ja datu subjekti ir jāinformē par datu aizsardzības pārkāpumu. Paziņojumā datu subjektam jebkurā gadījumā jānorāda pārkāpuma būtība un iestādes, kurās datu subjekts var iegūt plašāku informāciju par pārkāpumu. Tāpat ir jānorāda, ko datu subjekts pats var darīt, lai ierobežotu datu aizsardzības pārkāpuma negatīvās sekas. Piemēram, mainīt lietotājvārdus un paroles, ja tos var apdraudēt pārkāpums.

Par ko man jāziņo?
Paziņojums Nīderlandes datu aizsardzības iestādei ietver:

• Ziņotājs par datu pārkāpumu.
• Persona, ar kuru Nīderlandes datu aizsardzības iestāde var sazināties, lai iegūtu papildu informāciju par ziņojumu.
• Kopsavilkums par incidentu, kurā noticis personas datu drošības pārkāpums.
• Pārkāpuma izdarīšanas laiks.
• Pārkāpuma būtība.
• Attiecīgo personas datu veids.
• Sekas, kādas pārkāpums var atstāt uz iesaistīto personu privātumu.
• Tehniskie un organizatoriski pasākumi, ko Autosoft BV ir veicis, lai novērstu pārkāpumu un novērstu turpmākus pārkāpumus.
• Vai Autosoft BV ir ziņojis datu subjektiem par datu pārkāpumu un, ja nē, vai Autosoft BV plāno to darīt:
• Ja tā, datu subjektiem adresētā paziņojuma saturs.
• Ja nē, iemesls, kāpēc Autosoft BV atturas ziņot datu subjektiem par datu pārkāpumu.
• Vai personas dati ir šifrēti, sajaukti vai citādi padarīti nesaprotami vai nepieejami nepiederošām personām?

2. daļa: Standarta apstrādes klauzulas

Versija: 2019. gada septembris
Kopā ar Data Pro paziņojumu veido apstrādes līgumu un ir Līguma un tam pievienoto pielikumu, piemēram, piemērojamo vispārīgo noteikumu un nosacījumu, pielikums.

1. pants. Definīcijas

Tālāk norādītajiem terminiem šajās apstrādes standarta klauzulās, Data Pro paziņojumā un līgumā ir šāda nozīme:

• 1.1. Nīderlandes datu aizsardzības iestāde (AP): uzraudzības iestāde, kā aprakstīts Vid. 4. panta 21. punktā.
• 1.2 AVG: Vispārīgā datu aizsardzības regula.
• 1.3. Datu apstrādātājs: puse, kas kā IKT piegādātājs apstrādā Personas datus sava Klienta labā Līguma izpildes kontekstā.
• 1.4 Data Pro paziņojums: Datu apstrādātāja izziņa, kurā tas sniedz informāciju par tā produkta vai pakalpojuma paredzēto izmantošanu, veiktajiem drošības pasākumiem, apakšapstrādātājiem, datu noplūdēm, sertifikātiem un Datu subjektu tiesību apstrādi.
• 1.5 Datu subjekts (datu subjekts): identificēta vai identificējama fiziska persona.
• 1.6. Klients: puse, kuras vārdā Datu apstrādātājs apstrādā personas datus. Klients var būt pārzinis (“pārzinis”) vai cits apstrādātājs.
• 1.7. Līgums: līgums starp Klientu un Datu apstrādātāju, uz kura pamata IKT piegādātājs sniedz Klientam pakalpojumus un/vai produktus, kura daļa ir apstrādātāja līgums.
• 1.8. Personas dati: visa informācija par identificētu vai identificējamu fizisku personu, kā aprakstīts AVG 4. panta 1. punktā, ko Datu apstrādātājs apstrādā, pildot no Līguma izrietošās saistības.
• 1.9. Apstrādes līgums: šīs apstrādes standarta klauzulas, kas kopā ar datu apstrādātāja Data Pro paziņojumu (vai salīdzināmu informāciju) veido apstrādes līgumu, kā minēts VDAR 28. panta 3. punktā.

2. pants. Vispārīgi

• 2.1 Šīs standarta apstrādes klauzulas attiecas uz visu personas datu apstrādi, ko datu apstrādātājs veic saistībā ar savu produktu un pakalpojumu piegādi, kā arī uz visiem līgumiem un piedāvājumiem. Klienta apstrādes līgumu piemērojamība ir nepārprotami noraidīta.
• 2.2 Datu apstrādātājs laiku pa laikam var grozīt Data Pro paziņojumu un jo īpaši tajā ietvertos drošības pasākumus, lai atspoguļotu mainīgos apstākļus. Datu apstrādātājs informēs Klientu par būtiskām izmaiņām. Ja Klients nevar saprātīgi piekrist korekcijām, Klientam ir tiesības rakstiski lauzt apstrādes līgumu 30 dienu laikā pēc labojumu paziņošanas.
• 2.3 Datu apstrādātājs apstrādā Personas datus Klienta vārdā un vārdā saskaņā ar Klienta rakstiskiem norādījumiem, kas saskaņoti ar Datu apstrādātāju.
• 2.4 Klients vai tā klients ir pārzinis VDAR izpratnē, kontrolē Personas datu apstrādi un ir noteicis Personas datu apstrādes mērķi un līdzekļus.
• 2.5 Datu apstrādātājs ir apstrādātājs VDAR izpratnē, un tāpēc tam nav nekādas kontroles pār Personas datu apstrādes mērķi un līdzekļiem, un tāpēc tas nepieņem nekādus lēmumus, cita starpā, par Personas datu izmantošanu.
• 2.6 Datu apstrādātājs ievieš GDPR, kā noteikts šajās apstrādes standarta klauzulās, datu aizsardzības paziņojumā un līgumā. Klientam, pamatojoties uz šo informāciju, ir jāizvērtē, vai Datu apstrādātājs piedāvā pietiekamas garantijas attiecībā uz atbilstošu tehnisko un organizatorisko pasākumu piemērošanu, lai apstrāde atbilstu GDPR prasībām un datu subjektu tiesību aizsardzībai. ir pietiekami.garantēts.
• 2.7 Klients garantē Datu apstrādātājam, ka tas darbojas saskaņā ar GDPR, ka tas vienmēr pienācīgi aizsargā savas sistēmas un infrastruktūru un ka Personas datu saturs, izmantošana un/vai apstrāde nav pretlikumīga un nepārkāpj nekādas tiesības. trešās puses.
• 2.8 AP Klientam uzlikto administratīvo sodu no Datu apstrādātāja nevar piedzīt.

3. pants. Drošība

• 3.1 Datu apstrādātājs veic tehniskos un organizatoriskos drošības pasākumus, kas aprakstīti tā Data Pro paziņojumā. Veicot tehniskos un organizatoriskos drošības pasākumus, datu apstrādātājs ir ņēmis vērā jaunākos sasniegumus, drošības pasākumu īstenošanas izmaksas, apstrādes veidu, apjomu un kontekstu, savu produktu un pakalpojumu mērķus un paredzēto izmantošanu. , apstrādes riskiem un riskiem, kuru iespējamība un nopietnība ir atšķirīga attiecībā uz Datu subjektu tiesībām un brīvībām, ko viņš varētu sagaidīt, ņemot vērā viņa produktu un pakalpojumu paredzēto izmantošanu.
• 3.2 Ja vien Data Pro paziņojumā nav skaidri norādīts citādi, datu apstrādātāja produkts vai pakalpojums nav paredzēts īpašu kategoriju Personas datu vai datu, kas attiecas uz sodāmību vai noziedzīgiem nodarījumiem, vai valdības izdotu personas numuru apstrādei.
• 3.3 Datu apstrādātājs cenšas nodrošināt, lai tā veicamie drošības pasākumi būtu atbilstoši datu apstrādātāja paredzētajam produkta vai pakalpojuma lietojumam.
• 3.4 Klienta ieskatā aprakstītie drošības pasākumi, ņemot vērā 3.1.punktā minētos faktorus, piedāvā drošības līmeni, kas pielāgots tā izmantoto vai sniegto Personas datu apstrādes riskam.
• 3.5 Datu apstrādātājs var veikt izmaiņas drošības pasākumos, ja uzskata to par nepieciešamu, lai turpinātu nodrošināt atbilstošu drošības līmeni. Datu apstrādātājs reģistrēs svarīgas izmaiņas, piemēram, grozītā Data Pro paziņojumā, un informēs Klientu par šīm izmaiņām, ja tas ir nepieciešams.
• 3.6 Klients var pieprasīt Datu apstrādātājam veikt papildu drošības pasākumus. Datu apstrādātājam nav pienākuma pēc šāda pieprasījuma veikt izmaiņas savos drošības pasākumos. Datu apstrādātājs var iekasēt no Klienta izmaksas, kas saistītas ar veiktajām izmaiņām pēc Klienta pieprasījuma. Tikai pēc tam, kad Klienta vēlamie grozītie drošības pasākumi ir rakstiski saskaņoti un tos parakstījušas Puses, Datu apstrādātājam ir pienākums šos drošības pasākumus reāli īstenot.

4. pants. Personas datu pārkāpums

• 4.1 Datu apstrādātājs negarantē, ka drošības pasākumi ir efektīvi visos apstākļos. Ja Datu apstrādātājs atklāj pārkāpumu saistībā ar Personas datiem (kā minēts 4. panta 12. vid. apakšpunktā), tas bez nepamatotas kavēšanās informēs Klientu. Datu Pro paziņojumā (saskaņā ar datu noplūdes protokolu) ir noteikts, kā Datu apstrādātājs informē Klientu par pārkāpumiem saistībā ar Personas datiem.
• 4.2 Pārzinim (Klientam vai tā klientam) ir jāizvērtē, vai par Personas datu pārkāpumu, par kuru ir informējis Datu apstrādātājs, ir jāziņo AP vai Datu subjektam. Ziņošana par pārkāpumiem saistībā ar Personas datiem, par kuriem jāziņo AP un/vai Datu subjektiem saskaņā ar GDPR 33. un 34. pantu, vienmēr ir pārziņa (Klienta vai tā klienta) pienākums. Datu apstrādātājam nav pienākuma ziņot AP un/vai Datu subjektam par personas datu aizsardzības pārkāpumiem.
• 4.3 Datu apstrādātājs nepieciešamības gadījumā sniegs papildu informāciju par pārkāpumu saistībā ar Personas datiem un sadarbosies ar nepieciešamās informācijas sniegšanu Klientam paziņojuma nolūkos, kā minēts 33. un 34. pantā Vid.
• 4.4 Datu apstrādātājs var iekasēt no Klienta saprātīgas izmaksas, kas tam rodas šajā kontekstā, pēc tam piemērojamām likmēm.

5. pants. Konfidencialitāte

• 5.1 Datu apstrādātājs garantē, ka personām, kuras apstrādā tā atbildībā esošos Personas datus, ir pienākums ievērot konfidencialitāti.
• 5.2 Datu apstrādātājs ir tiesīgs sniegt Personas datus trešajām personām, ja un ciktāl to sniegšana ir nepieciešama saskaņā ar tiesas lēmumu, tiesisko regulējumu vai uz valsts iestādes pilnvarota rīkojuma pamata.
• 5.3 Visi piekļuves un/vai identifikācijas kodi, sertifikāti, informācija par piekļuves un/vai paroļu politiku, ko Datu apstrādātājs sniedz Klientam, un visa informācija, ko Datu apstrādātājs sniedz Klientam, kas īsteno Data Pro paziņojumā ietvertos tehniskos un organizatoriskos drošības pasākumus, ir konfidenciāla. Klients tos par tādiem izturēsies un darīs zināmus tikai pilnvarotiem Klienta darbiniekiem. Klients nodrošina, ka tā darbinieki ievēro šajā pantā noteiktās saistības.

6. pants. Termiņš un izbeigšana

• 6.1 Šis apstrādātāja līgums ir Līguma sastāvdaļa, un jebkurš jauns vai turpmāks līgums, kas no tā izriet, stājas spēkā Līguma noslēgšanas brīdī un ir noslēgts uz nenoteiktu laiku.
• 6.2 Šis apstrādātāja līgums izbeidzas saskaņā ar likumu, izbeidzot Līgumu vai jebkuru jaunu vai turpmāku pušu līgumu.
• 6.3 Apstrādes līguma izbeigšanās gadījumā Datu apstrādātājs Datu Pro paziņojumā ietvertajā termiņā dzēsīs visus tā rīcībā esošos un no Klienta saņemtos Personas datus tādā veidā, ka tos vairs nevarēs izmantot un vairs nevar izmantot. pieejams (padarīt nepieejamu). , vai, ja vienojas, atdot to Klientam mašīnlasāmā formātā.
• 6.4 Datu apstrādātājs var iekasēt no Klienta visas izmaksas, kas tam rodas saistībā ar 6.3. panta noteikumiem. Papildu vienošanos par to var noteikt Data Pro paziņojumā.
• 6.5 6.3. punkta noteikumi nav piemērojami, ja likumā noteiktais regulējums liedz Datu apstrādātājam pilnībā vai daļēji noņemt vai atgriezt Personas datus. Šādā gadījumā Datu apstrādātājs turpinās apstrādāt Personas datus tikai tiktāl, cik tas ir nepieciešams saskaņā ar tā juridiskajām saistībām. 6.3. punkta noteikumi nav piemērojami arī tad, ja Datu apstrādātājs ir pārzinis VDAR izpratnē attiecībā uz Personas datiem.

7. pants. Datu subjektu tiesības, datu aizsardzības ietekmes novērtējums (DPIA) un revīzijas tiesības

• 7.1 Datu apstrādātājs, ja iespējams, sadarbosies ar pamatotiem Klienta pieprasījumiem, kas saistīti ar Datu subjektu tiesībām, uz kurām no Klienta atsaucas Datu subjekti. Ja Datu subjekts tieši vēršas pie Datu apstrādātāja, viņš, ja iespējams, nosūtīs šo personu pie Klienta.
• 7.2 Ja Klientam tas ir jādara, datu apstrādātājs sadarbojas ar datu aizsardzības ietekmes novērtējumu (DPIA) vai sekojošu iepriekšēju konsultāciju, kā minēts 35. un 36. pantā Vid.
• 7.3 Datu apstrādātājs sadarbosies ar Klienta pieprasījumiem par personas datu izņemšanu, ciktāl Klients pats to nevarēs veikt.
• 7.4 Pēc Klienta pieprasījuma Datu apstrādātājs arī darīs pieejamu visu papildu informāciju, kas ir pamatoti nepieciešama, lai pierādītu atbilstību šajā apstrādes līgumā noslēgtajiem līgumiem. Ja Klientam tomēr ir pamats uzskatīt, ka Personas datu apstrāde nenotiek saskaņā ar apstrādes līgumu, ar to ne retāk kā reizi gadā var konsultēties neatkarīgs, sertificēts, ārējs eksperts, kuram ir pierādāma pieredze saistībā ar datu apstrādes veidu. apstrādi, kas tiek veikta, pamatojoties uz Līgumu. , veikt auditu uz Klienta rēķina. Audits aprobežosies ar to, lai pārbaudītu atbilstību līgumiem par personas datu apstrādi, kā noteikts šajā apstrādātāja līgumā. Ekspertam ir pienākums ievērot konfidencialitāti attiecībā uz to, ko viņš atklāj, un viņš Klientam ziņos tikai par to, kas rada nepilnības datu apstrādātāja pienākumu izpildē saskaņā ar šo apstrādātāja līgumu. Eksperts iesniegs sava ziņojuma kopiju datu apstrādātājam. Datu apstrādātājs var atteikt auditu vai eksperta norādījumu, ja, pēc viņa domām, tas pārkāpj GDPR vai citus tiesību aktus vai ir neatļauts tā veikto drošības pasākumu pārkāpums.
• 7.5 Puses pēc iespējas ātrāk apspriedīsies par ziņojuma rezultātiem. Puses ievēros ziņojumā izklāstītos ierosinātos uzlabošanas pasākumus, ciktāl to no tām var pamatoti sagaidīt. Datu apstrādātājs ieviesīs ierosinātos uzlabošanas pasākumus, ciktāl tie ir atbilstoši tā atzinumam, ņemot vērā apstrādes riskus, kas saistīti ar tā produktu vai pakalpojumu, tehnikas līmeni, ieviešanas izmaksas, tirgu, kurā tas darbojas, un preces vai pakalpojuma paredzētā izmantošana.pakalpojums.
• 7.6 Datu apstrādātājam ir tiesības iekasēt no Klienta izmaksas, kas tam rodas saistībā ar šī panta noteikumiem.

8. pants. Apakšprocesori

• 8.1 Datu apstrādātājs Datu Pro paziņojumā ir norādījis, vai un ja jā, kuras trešās personas (apakšapstrādātāji vai apakšapstrādātāji) Datu apstrādātājs iesaistās Personas datu apstrādē.
• 8.2 Klients dod atļauju Datu apstrādātājam piesaistīt citus apakšapstrādātājus savu no Līguma izrietošo saistību izpildei.
• 8.3 Datu apstrādātājs informēs Klientu par izmaiņām Datu apstrādātāja piesaistītajās trešajās personām, piemēram, ar grozītu Data Pro paziņojumu. Klientam ir tiesības iebilst pret iepriekš minētajām Datu apstrādātāja izmaiņām. Datu apstrādātājs nodrošina, ka tā piesaistītās trešās personas apņemas ievērot tādu pašu drošības līmeni attiecībā uz Personas datu aizsardzību kā drošības līmeni, kāds Datu apstrādātājam ir saistīts ar Klientu, pamatojoties uz Data Pro paziņojumu.

9. pants. Citi

Šīs standarta apstrādes klauzulas kopā ar Data Pro paziņojumu ir Līguma neatņemama sastāvdaļa. Visas tiesības un pienākumi saskaņā ar Līgumu, tostarp piemērojamie vispārīgie noteikumi un/vai atbildības ierobežojumi, tādējādi attiecas arī uz apstrādes līgumu.