Acordo de Processador

Introdução

A Autosoft BV processa, entre outras coisas, dados pessoais para e em nome do cliente. A Autosoft BV e o cliente são, portanto, obrigados, de acordo com o Regulamento Geral de Proteção de Dados (GDPR), a celebrar um Contrato do Processador. De acordo com o GDPR, Autosoft BV é um 'processador' e o cliente é um 'controlador'. Este Contrato do Processador também descreve como a Autosoft BV lida com a obrigação de notificação de violação de dados.

Acordo de Processador

Consistindo em:
Parte 1: Declaração do Data Pro
Parte 2: cláusulas de processamento padrão

Parte 1: Declaração do Data Pro

Informações gerais

1). Esta Declaração do Data Pro foi elaborada pelo seguinte processador de dados (processador):

• Autosoft BV
  Hengelosestraat 547
  Esquema 7521 AG

Para perguntas sobre esta Declaração do Data Pro ou proteção de dados, entre em contato com:
Arthur van der Lek: arthur@autosoft.eu / +31 (0) 53 - 428 00 98

2). Esta declaração do Data Pro aplica-se a partir de 1º de agosto de 2021
Regularmente, ajustamos esta Declaração do Data Pro e as medidas de segurança nela descritas para garantir que estejamos sempre preparados e atualizados em relação à proteção de dados. Vamos mantê-lo informado sobre as novas versões por meio de nossos canais normais.

3). Esta Declaração do Data Pro se aplica aos seguintes produtos e serviços de processador de dados

• Site automático
• Comércio Automático

4). Descrição do site do carro
As montadoras usam o Autowebsite. Com o Autowebsite, as montadoras podem se apresentar na internet.

5). Uso pretendido do site do carro
O Autowebsite foi projetado e equipado para processar os seguintes tipos de dados:
Os visitantes dos sites desenvolvidos pela Autosoft com o Autowebsite têm a opção de deixar aí os seus dados de contacto para que a montadora tenha a oportunidade de se dirigir ao visitante para mais serviços. Esses dados de contato não são armazenados na Autosoft, mas são encaminhados diretamente por e-mail para o endereço de e-mail da montadora.

• Este serviço não leva em consideração o processamento de dados pessoais especiais ou dados relativos a condenações criminais e infrações ou números pessoais emitidos pelo governo.

6). Descrição Autocommerce
As montadoras usam o Autocommerce. Com o Autocommerce, as montadoras podem gerenciar e apresentar seus veículos em seu próprio site e em portais de busca na Internet de terceiros.

7). Uso pretendido de comércio automático
O comércio automático foi projetado e configurado para processar os seguintes tipos de dados:
As montadoras podem colocar seus veículos registrados por meio do Autocommerce em seu próprio site de automóveis. Estes veículos registrados não contêm quaisquer dados que possam ser rastreados até dados pessoais de qualquer forma. Os visitantes do site de carros têm a opção de deixar seus dados de contato lá para que a montadora tenha a oportunidade de abordar o visitante para serviços adicionais. Os detalhes de contato deixados pelo visitante em seu próprio site da Auto são armazenados no Autocommerce.

• Este serviço não leva em consideração o processamento de dados pessoais especiais ou dados relativos a condenações criminais e infrações ou números pessoais emitidos pelo governo.

8). O processador de dados usa as cláusulas padrão para processamento para Autowebsite e Autocommerce, que podem ser encontradas como um apêndice do Contrato.

9). O processador de dados processa os dados pessoais de seus clientes dentro da UE / EEA para Autowebsite e Autocommerce.

10). O processador de dados usa os seguintes subprocessadores para comércio automático:
Em alguns casos, a Autosoft envia seus veículos registrados via Autocommerce para os portais de pesquisa da Internet de terceiros ou subprocessadores em nome da Car Company. Uma lista de subprocessadores está disponível mediante solicitação em support@autosoft.eu.

11). Após a rescisão do Contrato com um cliente, o processador de dados irá, em princípio, remover os dados pessoais que processa para o cliente no prazo de 3 meses, de forma que eles não possam mais ser usados ​​e não estejam mais acessíveis (tornem-se inacessíveis).

Política de segurança

Resuma as seguintes medidas de segurança que o processador de dados tomou para proteger seu produto ou serviço:

Gestão de incidentes e política de resposta
As políticas de gestão e resposta a incidentes no campo da segurança da informação incluem o monitoramento e a detecção de incidentes de segurança em um computador ou infraestrutura de TI, mas também a observação de atividades suspeitas por parte do pessoal e a implementação de respostas corretas a esses eventos.

O objetivo principal desta política é desenvolver uma resposta bem compreendida e previsível a eventos maliciosos e intrusões de computador no sentido mais amplo da palavra.

A política de gerenciamento e resposta a incidentes é o processo de gerenciamento e proteção de computadores, redes e sistemas de informação e das informações neles armazenadas. A Autosoft está ciente de suas responsabilidades quando se trata de proteger essas informações para o benefício de seus clientes e parceiros da cadeia de suprimentos. Essa responsabilidade se estende a ter um procedimento de Incidente. Gerenciamento de incidentes é um conjunto de atividades que definem e implementam um processo que uma organização pode usar para promover seu próprio bem-estar e a segurança do público.

TI e segurança
A estrutura ICT da Autosoft BV é adequadamente protegida por um firewall e o software antivírus é mantido atualizado. Cada funcionário tem um perfil de login. Ao inicializar um computador, os funcionários devem inserir um nome de login e uma senha e, sempre que possível, com autenticação em 2 etapas.

Certos softwares também pedem um nome de login e senha e, quando possível, com autenticação em 2 etapas. A conscientização dos funcionários sobre trabalhar com segurança é estimulada, como chamar a atenção para não abrir e-mails suspeitos, não clicar em links suspeitos, desconectar-se ao sair do local de trabalho por muito tempo e assim por diante.

Os arquivos são copiados durante o dia e todas as noites. Por motivos de segurança, o procedimento de armazenamento adicional em torno do backup é confidencial. Autosoft BV celebrou contratos de serviço para este fim com fornecedores de computadores e provedores de hospedagem na Internet.

Política de proteção de dados
Autosoft BV toma medidas técnicas e organizacionais adequadas para proteger os dados pessoais do cliente contra perda ou qualquer forma de processamento ilegal. Estas medidas técnicas e organizacionais são consideradas como um nível de segurança adequado na acepção do Artigo 1 do RGPD e são armazenadas como documentos no Basecamp central (Projeto: Organização / Política de Proteção de Dados) da Autosoft BV

Técnico e organizacional

1. Medidas para garantir que apenas pessoal autorizado tenha acesso aos Dados Pessoais processados ​​no contexto do Contrato do Processador;
2. Medidas para proteger os Dados Pessoais, em particular contra destruição acidental ou ilegal, perda, alteração acidental, armazenamento não autorizado ou ilegal, acesso ou divulgação;
3. Medidas para proteger os Dados Pessoais, em particular contra destruição acidental ou ilegal, perda, alteração acidental, armazenamento não autorizado ou ilegal, acesso ou divulgação durante a troca / transporte de dados;
4. Medidas para assegurar a capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência dos sistemas e serviços de edição de forma contínua;
5. Medidas para restaurar a disponibilidade e o acesso aos Dados Pessoais em tempo hábil no caso de um incidente físico ou técnico;
6. Medidas para identificar vulnerabilidades no que diz respeito ao processamento de Dados Pessoais nos sistemas utilizados para a prestação dos serviços ao abrigo do contrato;

Organizacionais, como:

• Limitar o círculo de funcionários com acesso a determinados dados pessoais às pessoas que precisam dos dados para o desempenho de suas funções;
• conceder a essas pessoas acesso apenas aos dados pessoais de que necessitem para o desempenho das suas funções;
• concordar com uma cláusula de confidencialidade com uma cláusula de penalidade com todas as pessoas a quem será concedido acesso aos dados pessoais;
• armazenamento de dados pessoais em servidores em espaço fechado;
• manter arquivos de papel em armários com chave;
• criar consciência de segurança da informação entre os funcionários;
• estabelecer protocolos e procedimentos claros para o tratamento oportuno e eficaz de incidentes de segurança da informação e vulnerabilidades de segurança;

O processador de dados usa suas próprias metodologias e procedimentos de gestão que se enquadram no método de trabalho da organização:

• Documentos relevantes são gerenciados e avaliados periodicamente dentro do Basecamp.

Protocolo de violação de dados

No caso de algo dar errado, o processador de dados usa o seguinte protocolo de vazamento de dados para garantir que o cliente esteja ciente dos incidentes:

Autosoft BV - procedimento de violação de dados

O que é uma violação de dados e quando devo relatá-la ao AP?
Uma violação de dados é um incidente de segurança da informação envolvendo uma violação da segurança de dados pessoais por meio da exposição à perda ou processamento ilegal, como (mas não exaustivamente):

• Ajustar e / ou alterar dados pessoais e acesso não autorizado a esses dados pessoais;
• Em caso de invasão por hacker;
• Perda de um pendrive USB, roubo de um laptop;
• Envio de dados confidenciais para um endereço de e-mail incorreto;

De acordo com a lei, uma violação de dados 'grave' deve ser relatada à Autoridade de Proteção de Dados holandesa sem atrasos indevidos e, se possível, no máximo 72 horas após a descoberta.

A Autosoft BV não tem que relatar à Autoridade de Proteção de Dados Holandesa se a identificação real de pessoas físicas individuais for razoavelmente excluída.
Todas as suspeitas de um incidente de segurança da informação serão tratadas em primeira instância support@autosoft.eu relatado e registrado. O suporte relata o incidente para a equipe de gerenciamento e determina quais ações de acompanhamento devem ser tomadas.

Procedimento de acompanhamento

Quando devo notificar os titulares dos dados?
Uma violação de dados deve ser relatada ao titular dos dados se, no caso de uma violação, houver um alto risco de que a violação tenha consequências adversas para sua vida privada. As consequências desfavoráveis ​​para o titular dos dados são: danos à sua reputação e reputação, fraude de identidade ou discriminação. Se Autosoft BV tiver tomado medidas de proteção técnica adequadas, que tornem os dados pessoais em questão incompreensíveis ou inacessíveis, a notificação ao titular dos dados não é necessária. A notificação ao titular dos dados deve conter uma descrição, em linguagem clara e simples, da natureza da violação de dados pessoais e, pelo menos:

• o nome e detalhes de contato do responsável pela proteção de dados ou outro ponto de contato onde mais informações possam ser obtidas;
• as prováveis ​​consequências da violação de dados pessoais;
• as medidas propostas ou tomadas pelo responsável pelo tratamento para resolver a violação de dados pessoais, incluindo, se for caso disso, medidas para mitigar os seus efeitos adversos. A avaliação se uma violação de dados deve ser relatada à Autoridade de Proteção de Dados Holandesa e / ou às pessoas afetadas é sempre feita pela Autosoft BV. Para determinar se um incidente deve ser relatado, a Autoridade de Proteção de Dados Holandesa elaborou regras de política (https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/thematic-beleidsreglement/beleidsreglement-meldspraak-datareken-2015) e o grupo de trabalho 29 das diretrizes europeias de supervisores publicadas sobre a obrigação de reporte no RGPD. Se a Autosoft BV não relatou a violação de dados, a Autoridade Holandesa de Proteção de Dados pode exigir que a Autosoft BV ainda faça um relatório. O não comparecimento pode ser punido com multa administrativa.

Como faço para relatar uma violação de dados?
A Autoridade de Proteção de Dados holandesa disponibiliza um formulário da web que deve ser usado para relatar violações de dados (https://dataleks.autoriteitpersoonsgegevens.nl/). A Autoridade Holandesa de Proteção de Dados mantém um registro das notificações de violação de dados recebidas. Este registro não é público. Se uma multa for imposta pela Autoridade Holandesa de Proteção de Dados como resultado da violação de dados, esta decisão será tornada pública. Uma violação de dados também é tornada pública quando os titulares dos dados precisam ser informados sobre a violação de dados. A notificação ao titular dos dados deve, em qualquer caso, indicar a natureza da infração e as autoridades onde a pessoa em causa pode obter mais informações sobre a infração. Também deve ser declarado o que o titular dos dados pode fazer por si mesmo para limitar as consequências negativas da violação de dados. Por exemplo, alterar nomes de usuário e senhas quando podem ter sido comprometidos pela violação.

O que devo relatar?
Uma notificação à Autoridade Holandesa de Proteção de Dados inclui:

• O repórter da violação de dados.
• A pessoa com quem a Autoridade de Proteção de Dados Holandesa pode entrar em contato para obter mais informações sobre o relatório.
• Um resumo do incidente onde ocorreu a violação de segurança de dados pessoais.
• A hora da infração.
• A natureza da infração.
• O tipo de dados pessoais em questão.
• As consequências que a violação pode ter para a privacidade das pessoas envolvidas.
• As medidas técnicas e organizacionais que a Autosoft BV tomou para combater a infração e prevenir novas infrações.
• Se a Autosoft BV relatou a violação de dados aos titulares dos dados e, se não, se a Autosoft BV pretende fazê-lo:
• Em caso afirmativo, o conteúdo da notificação aos titulares dos dados.
• Se não, a razão pela qual Autosoft BV se abstém de relatar a violação de dados aos titulares dos dados.
• Os dados pessoais foram criptografados, hash ou tornados incompreensíveis ou inacessíveis para pessoas não autorizadas?

Parte 2: cláusulas de processamento padrão

Versão: setembro de 2019
Junto com a Declaração do Data Pro, forma o acordo de processamento e é um apêndice do Acordo e dos apêndices que o acompanham, como os termos e condições gerais aplicáveis.

Artigo 1. Definições

Os termos abaixo têm os seguintes significados nestas Cláusulas Padrão para processamento, na Declaração do Data Pro e no contrato:

• 1.1 Autoridade Holandesa de Proteção de Dados (AP): autoridade de supervisão, conforme descrito no Artigo 4, sub 21 da Avg.
• 1.2 AVG: o Regulamento Geral de Proteção de Dados.
• 1.3 Processador de dados: parte que, como um fornecedor de TIC, processa Dados Pessoais para o benefício de seu Cliente no contexto da execução do Acordo.
• 1.4 Declaração do Data Pro: declaração do Processador de Dados na qual fornece informações com relação ao uso pretendido de seu produto ou serviço, medidas de segurança tomadas, subprocessadores, vazamentos de dados, certificações e tratamento de direitos dos Titulares dos Dados.
• 1.5 Titular dos dados (titular dos dados): uma pessoa física identificada ou identificável.
• 1.6 Cliente: parte em cujo nome o Processador de Dados processa dados pessoais. O cliente pode ser um controlador (“controlador”) ou outro processador.
• 1.7 Acordo: o acordo entre o Cliente e o Processador de Dados, com base no qual o fornecedor de TIC fornece serviços e / ou produtos ao Cliente, do qual o acordo do processador faz parte.
• 1.8 Dados pessoais: todas as informações sobre uma pessoa física identificada ou identificável, conforme descrito no Artigo 4, sub 1 AVG, que o Processador de Dados processa no contexto do cumprimento de suas obrigações decorrentes do Contrato.
• 1.9 Contrato de processamento: estas cláusulas padrão para processamento que, juntamente com a Declaração do Data Pro (ou informações comparáveis) do Processador de dados, formam o contrato de processamento referido no Artigo 28, parágrafo 3, do GDPR.

Artigo 2. Geral

• 2.1 Estas Cláusulas de Processamento Padrão se aplicam a todo o processamento de Dados Pessoais que o Processador de Dados faz no contexto da entrega de seus produtos e serviços e a todos os Contratos e ofertas. A aplicabilidade dos acordos de processamento do Cliente é expressamente rejeitada.
• 2.2 A Declaração do Data Pro e, em particular, as medidas de segurança nela contidas, podem ser alteradas pelo Processador de Dados de tempos em tempos para refletir as mudanças nas circunstâncias. O Processador de Dados informará o Cliente sobre mudanças significativas. Se o Cliente não puder concordar razoavelmente com os ajustes, o Cliente tem o direito de rescindir o acordo de processamento por escrito dentro de 30 dias da notificação dos ajustes.
• 2.3 O Processador de Dados processa os Dados Pessoais em nome e em nome do Cliente de acordo com as instruções escritas do Cliente acordadas com o Processador de Dados.
• 2.4 O Cliente, ou seu cliente, é o controlador na acepção do GDPR, tem controle sobre o processamento dos Dados Pessoais e determinou a finalidade e os meios de processamento dos Dados Pessoais.
• 2.5 Processador de dados é um processador na aceção do GDPR e, portanto, não tem controle sobre a finalidade e os meios de processamento dos dados pessoais e, portanto, não toma nenhuma decisão sobre, entre outras coisas, o uso dos dados pessoais.
• 2.6 O Processador de Dados implementa o GDPR conforme estabelecido nestas Cláusulas Padrão para Processamento, na Declaração do Data Pro e no Contrato. Cabe ao Cliente avaliar com base nesta informação se o Processador de Dados oferece garantias suficientes no que diz respeito à aplicação de medidas técnicas e organizacionais adequadas para que o processamento cumpra os requisitos do GDPR e a proteção dos direitos dos titulares dos dados é suficiente. garantido.
• 2.7 O Cliente garante ao Processador de Dados que age de acordo com o GDPR, que protege adequadamente seus sistemas e infraestrutura em todos os momentos e que o conteúdo, uso e / ou processamento dos Dados Pessoais não são ilegais e não violam nenhum direito de um terceiro.
• 2.8 Uma multa administrativa imposta ao Cliente pelo AP não pode ser recuperada do Processador de Dados.

Artigo 3. Segurança

• 3.1 O Data Processor toma as medidas de segurança técnicas e organizacionais, conforme descrito em sua Declaração do Data Pro. Ao tomar as medidas de segurança técnicas e organizacionais, o Processador de Dados levou em consideração o estado da arte, os custos de implementação das medidas de segurança, a natureza, o escopo e o contexto do processamento, as finalidades e o uso pretendido de seus produtos e serviços , os riscos de processamento e os riscos que diferem em probabilidade e seriedade para os direitos e liberdades dos titulares dos dados que ele poderia esperar em vista do uso pretendido de seus produtos e serviços.
• 3.2 A menos que explicitamente declarado de outra forma na Declaração do Data Pro, o produto ou serviço do Processador de Dados não foi projetado para processar categorias especiais de Dados Pessoais ou dados relativos a condenações criminais ou ofensas ou números pessoais emitidos pelo governo.
• 3.3 O Processador de Dados se esforça para garantir que as medidas de segurança a serem tomadas por ele sejam apropriadas para o uso pretendido do produto ou serviço pelo Processador de Dados.
• 3.4 Na opinião do Cliente, as medidas de segurança descritas oferecem um nível de segurança adaptado ao risco de tratamento dos Dados Pessoais utilizados ou fornecidos pelo Cliente, tendo em consideração os factores referidos no Artigo 3.1.
• 3.5 O Processador de Dados pode fazer alterações nas medidas de segurança tomadas se, em sua opinião, isso for necessário para continuar a fornecer um nível apropriado de segurança. O Processador de Dados registrará mudanças importantes, por exemplo, em uma Declaração do Data Pro corrigida e informará o Cliente sobre essas mudanças, quando relevante.
• 3.6 O cliente pode solicitar que o Processador de Dados tome outras medidas de segurança. O Processador de Dados não tem obrigação de fazer alterações em suas medidas de segurança mediante tal solicitação. O Processador de Dados pode cobrar ao Cliente os custos relacionados com as alterações feitas a pedido do Cliente. Somente após as medidas de segurança alteradas desejadas pelo Cliente terem sido acordadas por escrito e assinadas pelas Partes, o Processador de Dados é obrigado a realmente implementar essas medidas de segurança.

Artigo 4. Violação de dados pessoais

• 4.1 O Processador de Dados não garante que as medidas de segurança sejam eficazes em todas as circunstâncias. Se o Processador de Dados descobrir uma violação em conexão com os Dados Pessoais (conforme referido no Artigo 4 sub 12 Avg), ele informará o Cliente sem atrasos indevidos. A Declaração do Data Pro (sob o protocolo de vazamento de dados) define como o Processador de Dados informa o Cliente sobre violações em conexão com Dados Pessoais.
• 4.2 Cabe ao controlador (Cliente ou seu cliente) avaliar se a violação de Dados Pessoais sobre a qual o Processador de Dados informou deve ser relatada ao AP ou ao titular dos Dados. A comunicação de violações relacionadas com Dados Pessoais, que devem ser relatadas ao AP e / ou Titulares dos Dados de acordo com os Artigos 33 e 34 do RGPD, permanece sob a responsabilidade do controlador (Cliente ou seu cliente) em todos os momentos. O Processador de Dados não é obrigado a relatar violações de dados pessoais ao AP e / ou ao Titular dos Dados.
• 4.3 O Processador de Dados fornecerá, se necessário, informações adicionais sobre a violação em conexão com os Dados Pessoais e cooperará no fornecimento de informações necessárias ao Cliente para fins de notificação conforme referido nos Artigos 33 e 34 Avg.
• 4.4 O Processador de Dados pode cobrar do Cliente os custos razoáveis ​​em que incorre neste contexto, de acordo com as taxas então aplicáveis.

Artigo 5. Confidencialidade

• 5.1 O Processador de Dados garante que as pessoas que processam Dados Pessoais sob sua responsabilidade têm o dever de sigilo.
• 5.2 O Processador de Dados tem o direito de fornecer os Dados Pessoais a terceiros, se e na medida em que a provisão for necessária de acordo com uma decisão judicial, um regulamento legal ou com base em uma ordem autorizada de uma autoridade governamental.
• 5.3 Todos os códigos de acesso e / ou identificação, certificados, informações sobre acesso e / ou política de senha fornecidas pelo Processador de Dados ao Cliente e todas as informações fornecidas pelo Processador de Dados ao Cliente que implementam as medidas de segurança técnicas e organizacionais incluídas na Declaração do Data Pro são confidenciais. e será tratado como tal pelo Cliente e apenas divulgado aos funcionários autorizados do Cliente. O Cliente garante que seus funcionários cumpram as obrigações previstas neste artigo.

Artigo 6. Vigência e rescisão

• 6.1 Este contrato de processador faz parte do Contrato e qualquer contrato novo ou posterior dele entra em vigor no momento da conclusão do Contrato e é concluído por um período indefinido de tempo.
• 6.2 Este contrato de processador termina de pleno direito após a rescisão do Contrato ou de qualquer contrato novo ou posterior entre as partes.
• 6.3 No caso de término do contrato de processamento, o Processador de Dados excluirá todos os Dados Pessoais em sua posse e recebidos do Cliente dentro do prazo incluído na Declaração do Data Pro, de forma que não possam mais ser usados ​​e não sejam mais acessível (tornar inacessível)., ou, se acordado, devolvê-lo ao Cliente em um formato legível por máquina.
• 6.4 O Processador de Dados pode cobrar do Cliente quaisquer custos em que incorra no contexto das disposições do Artigo 6.3. Outros acordos sobre isso podem ser estabelecidos na Declaração do Data Pro.
• 6.5 As disposições do Artigo 6.3 não se aplicam se um regulamento estatutário impedir o Processador de Dados de remover ou devolver total ou parcialmente os Dados Pessoais. Nesse caso, o Processador de Dados só continuará a processar os Dados Pessoais na medida necessária de acordo com suas obrigações legais. As disposições do Artigo 6.3 também não se aplicam se o Processador de Dados for o controlador de acordo com o significado do GDPR no que diz respeito aos Dados Pessoais.

Artigo 7. Direitos dos titulares dos dados, avaliação do impacto da proteção de dados (DPIA) e direitos de auditoria

• 7.1 O Processador de Dados irá, sempre que possível, cooperar com solicitações razoáveis ​​do Cliente que estejam relacionadas aos direitos dos Titulares dos Dados invocados do Cliente pelos Titulares dos Dados. Se o Processador de Dados for abordado diretamente por um titular dos Dados, ele encaminhará essa pessoa ao Cliente sempre que possível.
• 7.2 Se o Cliente for obrigado a fazê-lo, o Processador de Dados cooperará com uma avaliação de impacto de proteção de dados (DPIA) ou uma consulta prévia subsequente, conforme referido nos Artigos 35 e 36 Avg.
• 7.3 O Processador de Dados cooperará com as solicitações do Cliente para a remoção de dados pessoais, desde que o Cliente não possa fazer isso sozinho.
• 7.4 A pedido do Cliente, o Processador de Dados também disponibilizará todas as informações adicionais que sejam razoavelmente necessárias para demonstrar a conformidade com os acordos feitos neste acordo de processamento. Se, no entanto, o Cliente tiver motivos para acreditar que o processamento de Dados Pessoais não ocorre de acordo com o acordo de processamento, ele pode ser consultado no máximo uma vez por ano por um especialista externo certificado e independente que tenha experiência comprovada com o tipo de processamento que é realizado com base no Acordo., ter uma auditoria realizada às custas do Cliente. A auditoria limitar-se-á a verificar o cumprimento dos acordos relativos ao processamento de Dados Pessoais, conforme estabelecido neste Acordo do Processador. O perito terá o dever de sigilo em relação ao que encontrar e somente relatará ao Cliente o que resultar em uma deficiência no cumprimento das obrigações que o Processador de Dados tem sob este contrato de processador. O especialista fornecerá uma cópia de seu relatório ao Processador de Dados. O Processador de Dados pode recusar uma auditoria ou instrução do especialista se, em sua opinião, isso violar o GDPR ou outra legislação ou constituir uma violação inadmissível das medidas de segurança que tomou.
• 7.5 As partes consultar-se-ão o mais rapidamente possível sobre os resultados do relatório. As partes seguirão as medidas de melhoria propostas estabelecidas no relatório, na medida em que isso possa ser razoavelmente esperado delas. O Processador de Dados implementará as medidas de melhoria propostas na medida em que forem adequadas em sua opinião, levando em consideração os riscos de processamento associados ao seu produto ou serviço, o estado da arte, os custos de implementação, o mercado em que opera, e o uso pretendido do produto ou serviço.
• 7.6 O Processador de Dados tem o direito de cobrar do Cliente os custos em que incorre no contexto das disposições deste artigo.

Artigo 8. Subprocessadores

• 8.1 O Processador de Dados declarou na Declaração do Data Pro se, e em caso afirmativo, quais terceiros (subprocessadores ou subprocessadores) o Processador de Dados se envolve no processamento dos Dados Pessoais.
• 8.2 O Cliente dá permissão ao Processador de Dados para envolver outros subprocessadores para cumprir suas obrigações decorrentes do Contrato.
• 8.3 O Processador de Dados informará o Cliente sobre uma mudança nos terceiros contratados pelo Processador de Dados, por exemplo, por meio de uma Declaração Pro Data alterada. O Cliente tem o direito de se opor à alteração acima mencionada pelo Processador de Dados. O Processador de Dados garante que os terceiros contratados por ele se comprometam com o mesmo nível de segurança em relação à proteção de Dados Pessoais que o nível de segurança ao qual o Processador de Dados está vinculado ao Cliente com base na Declaração do Data Pro.

Artigo 9. Outro

Estas Cláusulas de Processamento Padrão, junto com a Declaração do Data Pro, fazem parte integrante do Contrato. Todos os direitos e obrigações decorrentes do Contrato, incluindo os termos e condições gerais aplicáveis ​​e / ou limitações de responsabilidade, também se aplicam ao contrato de processamento.