Processoravtal

introduktion

Autosoft BV behandlar bland annat personuppgifter för och för kundens räkning. Autosoft BV och kunden är därför skyldiga enligt den allmänna dataskyddsförordningen (GDPR) att ingå ett processoravtal. Enligt GDPR är Autosoft BV en "behandlare" och kunden är en "kontrollant". Detta processoravtal beskriver också hur Autosoft BV hanterar skyldigheten att anmäla dataintrång.

Processoravtal

Består av:
Del 1: Data Pro Statement
Del 2: Standardbearbetningsklausuler

Del 1: Data Pro Statement

Allmän information

1). Detta Data Pro Statement har upprättats av följande databehandlare (behandlare):

• Autosoft BV
  Hengelosestraat 547
  7521 AG Enschede

För frågor om denna Data Pro Statement eller dataskydd, vänligen kontakta:
Arthur van der Lek: arthur@autosoft.eu / +31 (0)53 – 428 00 98

2). Detta Data Pro Statement gäller från 1 augusti 2021
Vi justerar regelbundet detta Data Pro Statement och de säkerhetsåtgärder som beskrivs däri för att säkerställa att vi alltid är förberedda och uppdaterade med avseende på dataskydd. Vi kommer att hålla dig informerad om nya versioner via våra vanliga kanaler.

3). Detta Data Pro Statement gäller för följande databehandlare produkter och tjänster

• AutoWebsite
• Autohandel

4). Beskrivning Bil hemsida
Bilföretag använder Autowebsite. Med Autowebsite kan bilföretag presentera sig på internet.

5). Avsedd användning Bil webbplats
Autowebsite är designad och utrustad för att behandla följande typer av data:
Besökare på webbplatser utvecklade av Autosoft med Autowebsite har möjlighet att lämna sina kontaktuppgifter där så att bilföretaget har möjlighet att kontakta besökaren för ytterligare tjänster. Dessa kontaktuppgifter lagras inte hos Autosoft utan vidarebefordras direkt via e-post till bilföretagets e-postadress.

• Denna tjänst tar inte hänsyn till behandling av särskilda personuppgifter, eller uppgifter om brottsdomar och brott eller personnummer utfärdade av regeringen.

6). Beskrivning Autocommerce
Bilföretag använder Autocommerce. Med Autocommerce kan bilföretag hantera och presentera sina fordon på sin egen webbplats och sökportaler från tredje part.

7). Avsedd användning Autohandel
Autocommerce är designad och inställd för att behandla följande typer av data:
Bilföretag kan placera sina registrerade fordon via Autocommerce på sin egen Bilwebbplats. Dessa registrerade fordon innehåller inga uppgifter som kan spåras tillbaka till personuppgifter i någon form. Besökare på Bilwebbplatsen har möjlighet att lämna sina kontaktuppgifter där så att bilföretaget har möjlighet att kontakta besökaren för ytterligare tjänster. De kontaktuppgifter som besökaren lämnar på sin egen Autowebbplats lagras i Autocommerce.

• Denna tjänst tar inte hänsyn till behandling av särskilda personuppgifter, eller uppgifter om brottsdomar och brott eller personnummer utfärdade av regeringen.

8). Databehandlare använder Standardklausulerna för behandling för Autowebsite och Autocommerce, som finns som bilaga till Avtalet.

9). Databehandlare behandlar sina kunders personuppgifter inom EU/EES för Autowebsite och Autocommerce.

10). Databehandlare använder följande underbehandlare för autohandel:
I vissa fall skickar Autosoft sina registrerade fordon via Autocommerce till tredje parts sökportaler på internet eller underbehandlare på uppdrag av Bilföretaget. En lista över underbehandlare finns tillgänglig på begäran på support@autosoft.eu.

11). Efter uppsägning av Avtalet med en kund kommer databehandlaren i princip inom 3 månader att ta bort de personuppgifter som denne behandlar åt kunden på ett sådant sätt att de inte längre kan användas och inte längre är tillgängliga (gör otillgängliga).

Säkerhetspolitik

Sammanfattning av följande säkerhetsåtgärder som databehandlare har vidtagit för att skydda sin produkt eller tjänst:

Incidenthantering och hanteringspolicy
Incidenthanterings- och responspolicyer inom informationssäkerhetsområdet inkluderar övervakning och upptäckt av säkerhetsincidenter på en dator eller IT-infrastruktur, men också observation av misstänkta aktiviteter av personalen och implementering av korrekta svar på dessa händelser.

Det primära målet med denna policy är att utveckla en välförstådd och förutsägbar reaktion på skadliga händelser och datorintrång i ordets vidaste bemärkelse.

Incidenthanterings- och responspolicy är processen att hantera och skydda datorer, nätverk och informationssystem och den information som lagras däri. Autosoft är medvetet om sitt ansvar när det gäller att skydda denna information till förmån för sina kunder och leverantörskedjepartners. Detta ansvar sträcker sig till att ha en Incidentprocedur. Incidenthantering är en uppsättning aktiviteter som definierar och implementerar en process som en organisation kan använda för att främja sitt eget välbefinnande och allmänhetens säkerhet.

IT och säkerhet
Autosoft BV:s IKT-struktur är tillräckligt säkrad med en brandvägg och programvaran för virussökning hålls uppdaterad. Varje anställd har en inloggningsprofil. Vid uppstart av en dator ska de anställda ange inloggningsnamn och lösenord och där så är möjligt med 2-stegsautentisering.

Vissa program kräver också ett inloggningsnamn och lösenord och om möjligt med 2-stegs autentisering. Medvetenhet hos anställda om att arbeta säkert stimuleras, som att uppmärksamma att inte öppna misstänkta mejl, att inte klicka på misstänkta länkar, logga ut när man lämnar arbetsplatsen under en längre tid osv.

Filerna säkerhetskopieras under dagarna och varje natt. Av säkerhetsskäl är den ytterligare lagringsproceduren kring säkerhetskopieringen konfidentiell. Autosoft BV har slutit serviceavtal för detta med datorleverantörer och internethotellleverantörer.

Dataskyddspolicy
Autosoft BV vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda kundens personuppgifter mot förlust eller någon form av olaglig behandling. Dessa tekniska och organisatoriska åtgärder betraktas som en lämplig säkerhetsnivå enligt artikel 1 i GDPR och lagras som dokument i det centrala Basecamp (Projekt: Organisation / Data Protection Policy) för Autosoft BV

Tekniskt och organisatoriskt

1. Åtgärder för att säkerställa att endast auktoriserad personal har tillgång till de personuppgifter som behandlas inom ramen för processoravtalet;
2. Åtgärder för att skydda personuppgifterna i synnerhet mot oavsiktlig eller olaglig förstörelse, förlust, oavsiktlig ändring, otillåten eller olaglig lagring, åtkomst eller avslöjande;
3. Åtgärder för att skydda personuppgifterna i synnerhet mot oavsiktlig eller olaglig förstörelse, förlust, oavsiktlig ändring, otillåten eller olaglig lagring, åtkomst eller avslöjande under datautbyte/transport;
4. Åtgärder för att säkerställa förmågan att kontinuerligt säkerställa sekretessen, integriteten, tillgängligheten och motståndskraften hos redigeringssystemen och tjänsterna;
5. Åtgärder för att återställa tillgängligheten och tillgången till personuppgifterna i tid i händelse av en fysisk eller teknisk incident;
6. Åtgärder för att identifiera sårbarheter med avseende på behandling av personuppgifter i de system som används för att tillhandahålla tjänsterna enligt avtalet;

Organisatoriska som:

• Begränsa kretsen av tjänstemän som har tillgång till vissa personuppgifter till de personer som behöver uppgifterna för att kunna utföra sina uppgifter;
• ge dessa personer tillgång till endast personuppgifter som de behöver för att utföra sina uppgifter;
• komma överens om en sekretessklausul med en straffklausul med alla personer som kommer att beviljas tillgång till personuppgifter;
• lagring av personuppgifter på servrar i ett slutet utrymme;
• förvara pappersfiler i låsbara skåp;
• skapa medvetenhet om informationssäkerhet bland anställda;
• upprätta tydliga protokoll och förfaranden för att hantera informationssäkerhetsincidenter och säkerhetssårbarheter på ett snabbt och effektivt sätt;

Databehandlare använder sina egna metoder och rutiner för förvaltning som passar in i organisationens arbetssätt:

• Inom Basecamp hanteras och utvärderas relevanta dokument.

Dataintrångsprotokoll

I händelse av att något går fel använder databehandlaren följande dataläckageprotokoll för att säkerställa att klienten är medveten om incidenter:

Autosoft BV – Procedur för dataintrång

Vad är ett dataintrång och när måste jag rapportera det till AP?
Ett dataintrång är en informationssäkerhetsincident som involverar ett brott mot säkerheten för personuppgifter genom exponering för förlust eller olaglig behandling såsom (men inte uttömmande):

• Justera och/eller ändra personuppgifter och obehörig åtkomst till dessa personuppgifter;
• I händelse av ett inbrott av en hacker;
• Förlora ett USB-minne, stöld av en bärbar dator;
• Skicka känslig information till en felaktig e-postadress;

Enligt lagen ska ett "allvarligt" dataintrång rapporteras till den nederländska dataskyddsmyndigheten utan onödigt dröjsmål, och om möjligt senast 72 timmar efter upptäckten.

Autosoft BV behöver inte rapportera till den nederländska dataskyddsmyndigheten om faktisk identifiering av enskilda fysiska personer rimligen är utesluten.
Alla misstankar om en informationssäkerhetsincident kommer att behandlas i första hand support@autosoft.eu anmält och registrerat. Support rapporterar incidenten till ledningsgruppen och bestämmer vilka uppföljningsåtgärder som ska vidtas.

Uppföljningsprocedur

När måste jag meddela de registrerade?
Ett dataintrång ska anmälas till den registrerade om det vid ett intrång finns stor risk att intrånget får negativa konsekvenser för dennes privatliv. Ogynnsamma konsekvenser för den registrerade är: skada på hans anseende och anseende, identitetsbedrägeri eller diskriminering. Om Autosoft BV har vidtagit lämpliga tekniska skyddsåtgärder, till följd av att berörda personuppgifter har gjorts obegripliga eller otillgängliga, är underrättelsen till den registrerade inte nödvändig. Meddelandet till den registrerade ska innehålla en beskrivning, på ett klart och tydligt språk, av personuppgiftsintrångets karaktär och minst:

• namn och kontaktuppgifter för dataskyddsombudet eller annan kontaktpunkt där mer information kan erhållas;
• de sannolika konsekvenserna av personuppgiftsintrånget;
• de åtgärder som föreslagits eller vidtagits av den registeransvarige för att åtgärda personuppgiftsintrånget, inklusive, där så är lämpligt, åtgärder för att mildra eventuella negativa effekter av detta. Bedömningen av om ett dataintrång måste rapporteras till den nederländska dataskyddsmyndigheten och/eller de berörda personerna är alltid upp till Autosoft BV. För att avgöra om en incident måste rapporteras har den nederländska dataskyddsmyndigheten utarbetat policyregler (https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/thematic-beleidsreglement/beleidsreglement-meldspraak-datareken-2015) och arbetsgrupp 29 i de europeiska tillsynsriktlinjerna publicerade om rapporteringsskyldigheten i GDPR. Om Autosoft BV inte har rapporterat dataintrånget kan den holländska dataskyddsmyndigheten kräva att Autosoft BV fortfarande gör en anmälan. Underlåtenhet att anmäla kan bestraffas med administrativa böter.

Hur rapporterar jag ett dataintrång?
Den nederländska dataskyddsmyndigheten gör ett webbformulär tillgängligt som måste användas för att rapportera dataintrång (https://dataleks.autoriteitpersoonsgegevens.nl/). Den nederländska dataskyddsmyndigheten för ett register över mottagna anmälningar om dataintrång. Detta register är inte offentligt. Om böter utdöms av den nederländska dataskyddsmyndigheten till följd av dataintrånget kommer detta beslut att offentliggöras. Ett dataintrång offentliggörs också när registrerade behöver informeras om dataintrånget. Underrättelsen till den registrerade ska i alla fall ange överträdelsens art och vilka myndigheter där den registrerade kan få mer information om överträdelsen. Det ska också anges vad den registrerade själv kan göra för att begränsa de negativa konsekvenserna av dataintrånget. Till exempel att ändra användarnamn och lösenord när de kan ha äventyrats av intrånget.

Vad ska jag rapportera?
En anmälan till den nederländska dataskyddsmyndigheten inkluderar:

• Rapportören av dataintrånget.
• Den person som den nederländska dataskyddsmyndigheten kan kontakta för ytterligare information om rapporten.
• En sammanfattning av händelsen där personuppgiftsintrånget inträffade.
• Tidpunkten för överträdelsen.
• Överträdelsens art.
• Vilken typ av personuppgifter det gäller.
• De konsekvenser som intrånget kan få för de inblandades integritet.
• De tekniska och organisatoriska åtgärder som Autosoft BV har vidtagit för att ta itu med intrånget och för att förhindra ytterligare intrång.
• Huruvida Autosoft BV har rapporterat dataintrånget till de registrerade och om inte, om Autosoft BV har för avsikt att göra detta:
• Om så är fallet, innehållet i underrättelsen till de registrerade.
• Om inte, anledningen till att Autosoft BV avstår från att rapportera dataintrånget till de registrerade.
• Har personuppgifterna krypterats, hashas eller på annat sätt gjorts obegripliga eller oåtkomliga för obehöriga?

Del 2: Standardbearbetningsklausuler

Version: september 2019
Bildar tillsammans med Data Pro Statement behandlingsavtalet och är en bilaga till avtalet och medföljande bilagor såsom tillämpliga allmänna villkor.

Artikel 1. Definitioner

Termerna nedan har följande betydelser i dessa standardbearbetningsklausuler, i Data Pro Statement och i avtalet:

• 1.1 Nederländska dataskyddsmyndigheten (AP): tillsynsmyndighet, enligt beskrivningen i artikel 4, punkt 21 i Avg.
• 1.2 AVG: den allmänna dataskyddsförordningen.
• 1.3 Databehandlare: part som som IKT-leverantör behandlar personuppgifter till förmån för sin kund i samband med avtalets genomförande.
• 1.4 Data Pro Statement: uppgift från databehandlare där den tillhandahåller information om den avsedda användningen av dess produkt eller tjänst, säkerhetsåtgärder som vidtagits, underbehandlare, dataläckor, certifieringar och hantering av rättigheter för registrerade.
• 1.5 Den registrerade (den registrerade): en identifierad eller identifierbar fysisk person.
• 1.6 Klient: part för vars räkning Databehandlare behandlar personuppgifter. Klienten kan vara antingen en registeransvarig (”kontrollant”) eller en annan processor.
• 1.7 Avtal: avtalet mellan Beställaren och Databehandlaren, på grundval av vilket ICT-leverantören tillhandahåller tjänster och/eller produkter till Kunden, varav processoravtalet ingår.
• 1.8 Personuppgifter: all information om en identifierad eller identifierbar fysisk person, som beskrivs i artikel 4, under 1 AVG, som databehandlaren behandlar i samband med fullgörandet av sina skyldigheter som följer av avtalet.
• 1.9 Behandlingsavtal: dessa standardklausuler för behandling, som tillsammans med Data Pro Statement (eller jämförbar information) från Databehandlare utgör det behandlingsavtal som avses i artikel 28, punkt 3 i GDPR.

Artikel 2. Allmänt

• 2.1 Dessa standardbehandlingsklausuler gäller all behandling av personuppgifter som databehandlaren gör i samband med leverans av sina produkter och tjänster och för alla avtal och erbjudanden. Tillämpligheten av Kundens behandlingsavtal avvisas uttryckligen.
• 2.2 Data Pro Statement, och i synnerhet säkerhetsåtgärderna som finns däri, kan ändras av databehandlaren från tid till annan för att återspegla ändrade omständigheter. Databehandlaren kommer att informera Kunden om betydande förändringar. Om Kunden inte rimligen kan godkänna justeringarna har Kunden rätt att skriftligen säga upp behandlingsavtalet inom 30 dagar från meddelandet om justeringarna.
• 2.3 Databehandlare behandlar personuppgifterna på uppdrag av och på uppdrag av kunden i enlighet med de skriftliga instruktioner från kunden som överenskommits med databehandlaren.
• 2.4 Kunden, eller dennes kund, är personuppgiftsansvarig i den mening som avses i GDPR, har kontroll över behandlingen av Personuppgifterna och har bestämt syftet med och medlen för behandlingen av Personuppgifterna.
• 2.5 Databehandlare är en personuppgiftsbiträde i den mening som avses i GDPR och har därför ingen kontroll över syftet och medlen för att behandla personuppgifterna och fattar därför inga beslut om bland annat användningen av personuppgifterna.
• 2.6 Databehandlare implementerar GDPR enligt dessa standardklausuler för behandling, Data Pro Statement och avtalet. Det är upp till Kunden att utifrån denna information bedöma om Databehandlaren erbjuder tillräckliga garantier med avseende på tillämpningen av lämpliga tekniska och organisatoriska åtgärder så att behandlingen uppfyller kraven i GDPR och skyddet av de registrerades rättigheter. är tillräckligt garanterat.
• 2.7 Kunden garanterar till Databehandlaren att den agerar i enlighet med GDPR, att den alltid skyddar sina system och infrastruktur på ett adekvat sätt och att innehållet, användningen och/eller behandlingen av Personuppgifterna inte är olaglig och inte gör intrång i någon rättighet av en tredje part.
• 2.8 Ett administrativt vite som AP ålagt Kunden kan inte återkrävas från Databehandlare.

Artikel 3. Säkerhet

• 3.1 Databehandlare vidtar de tekniska och organisatoriska säkerhetsåtgärder som beskrivs i dess Data Pro Statement. När databehandlaren har vidtagit de tekniska och organisatoriska säkerhetsåtgärderna har databehandlaren tagit hänsyn till den senaste tekniken, genomförandekostnaderna för säkerhetsåtgärderna, behandlingens art, omfattning och sammanhang, ändamålen och den avsedda användningen av dess produkter och tjänster , de behandlingsrisker och de risker som skiljer sig åt i sannolikhet och allvar för de registrerades rättigheter och friheter som han kan förvänta sig med tanke på den avsedda användningen av hans produkter och tjänster.
• 3.2 Såvida inte annat uttryckligen anges i Data Pro Statement, är databehandlarens produkt eller tjänst inte utformad för att behandla särskilda kategorier av personuppgifter eller data angående brottsdomar eller brott eller statligt utfärdade personnummer.
• 3.3 Databehandlaren strävar efter att säkerställa att de säkerhetsåtgärder som den ska vidta är lämpliga för den avsedda användningen av produkten eller tjänsten av Databehandlaren.
• 3.4 Enligt kundens uppfattning erbjuder de beskrivna säkerhetsåtgärderna, med hänsyn till de faktorer som avses i artikel 3.1, en säkerhetsnivå som är anpassad till risken för behandlingen av de personuppgifter som används eller tillhandahålls av den.
• 3.5 Databehandlaren kan göra ändringar i de säkerhetsåtgärder som vidtagits om den anser att detta är nödvändigt för att fortsätta att tillhandahålla en lämplig säkerhetsnivå. Databehandlaren kommer att registrera viktiga ändringar, till exempel i ett ändrat Data Pro Statement, och kommer att informera kunden om dessa ändringar där det är relevant.
• 3.6 Kunden kan begära att databehandlaren vidtar ytterligare säkerhetsåtgärder. Databehandlaren är inte skyldig att göra ändringar i sina säkerhetsåtgärder på sådan begäran. Databehandlare kan debitera kostnaderna för de ändringar som görs på kundens begäran till kunden. Först efter att de av Kunden önskade ändrade säkerhetsåtgärderna har avtalats skriftligen och undertecknats av Parterna är Databehandlaren skyldig att faktiskt genomföra dessa säkerhetsåtgärder.

Artikel 4. Personuppgiftsintrång

• 4.1 Databehandlare garanterar inte att säkerhetsåtgärderna är effektiva under alla omständigheter. Om databehandlaren upptäcker ett intrång i samband med personuppgifter (enligt artikel 4 under 12 Avg), kommer den att informera kunden utan onödigt dröjsmål. Data Pro Statement (under dataläckageprotokollet) anger hur Databehandlaren informerar Kunden om intrång i samband med Personuppgifter.
• 4.2 Det är upp till den personuppgiftsansvarige (Kunden, eller dennes kund) att bedöma om det personuppgiftsintrång som Databehandlaren har informerat om ska rapporteras till AP eller registrerad. Rapporteringen av intrång i samband med personuppgifter, som måste rapporteras till AP och/eller registrerade enligt artiklarna 33 och 34 GDPR, förblir alltid den personuppgiftsansvariges (klienten eller dess kund) ansvar. Databehandlare är inte skyldig att rapportera personuppgiftsintrång till AP och/eller den registrerade.
• 4.3 Databehandlare kommer vid behov att tillhandahålla ytterligare information om intrånget i samband med Personuppgifter och kommer att samarbeta med nödvändig informationsförsörjning till Kunden i syfte att göra ett meddelande enligt artiklarna 33 och 34 Avg.
• 4.4 Databehandlaren kan debitera Kunden för de rimliga kostnader som den ådrar sig i detta sammanhang till sina då gällande taxor.

Artikel 5. Sekretess

• 5.1 Databehandlare garanterar att de personer som behandlar personuppgifter under dennes ansvar har tystnadsplikt.
• 5.2 Databehandlare har rätt att lämna ut personuppgifterna till tredje part, om och i den mån tillhandahållande är nödvändigt enligt ett domstolsbeslut, en lagföreskrift eller på grundval av ett auktoriserat förordnande från myndighet.
• 5.3 All åtkomst- och/eller identifieringskoder, certifikat, information om åtkomst och/eller lösenordspolicy som tillhandahålls av databehandlare till klient och all information som tillhandahålls av databehandlare till klient som implementerar de tekniska och organisatoriska säkerhetsåtgärder som ingår i Data Pro Statement är konfidentiella. och kommer att behandlas som sådan av kunden och endast göras känd för auktoriserade anställda hos kunden. Kunden säkerställer att dess anställda följer skyldigheterna enligt denna artikel.

Artikel 6. Löptid och uppsägning

• 6.1 Detta bearbetaravtal utgör en del av Avtalet och varje nytt eller ytterligare avtal som följer av det, träder i kraft vid tidpunkten för Avtalets ingående och ingås på obestämd tid.
• 6.2 Detta processoravtal upphör enligt lag vid uppsägning av Avtalet eller något nytt eller ytterligare avtal mellan parterna.
• 6.3 Vid upphörande av behandlingsavtalet kommer Databehandlaren att radera alla Personuppgifter som denne innehar och erhållit från Kunden inom den period som ingår i Data Pro Statement på ett sådant sätt att de inte längre kan användas och inte längre är tillgänglig (gör otillgänglig). , eller, om överenskommet, returnera den till kunden i ett maskinläsbart format.
• 6.4 Databehandlaren kan debitera kunden för alla kostnader som den ådrar sig inom ramen för bestämmelserna i artikel 6.3. Ytterligare avtal om detta kan fastställas i Data Pro Statement.
• 6.5 Bestämmelserna i artikel 6.3 gäller inte om en lagstadgad föreskrift hindrar Databehandlaren från att helt eller delvis ta bort eller återsända Personuppgifterna. I ett sådant fall kommer databehandlaren endast att fortsätta att behandla personuppgifterna i den utsträckning det är nödvändigt enligt dess rättsliga skyldigheter. Bestämmelserna i artikel 6.3 gäller inte heller om Databehandlaren är personuppgiftsansvarig i den mening som avses i GDPR med avseende på Personuppgifterna.

Artikel 7. Datasubjekts rättigheter, dataskyddskonsekvensbedömning (DPIA) och revisionsrättigheter

• 7.1 Databehandlaren kommer, där så är möjligt, att samarbeta med rimliga förfrågningar från Kunden relaterade till rättigheterna för registrerade som åberopas från Kunden av registrerade. Om databehandlaren kontaktas direkt av en registrerad kommer denne att hänvisa denna person till kunden där så är möjligt.
• 7.2 Om Kunden är skyldig att göra det kommer Databehandlaren att samarbeta med en dataskyddskonsekvensbedömning (DPIA) eller en efterföljande förhandskonsultation enligt artiklarna 35 och 36 Avg.
• 7.3 Databehandlare kommer att samarbeta med begäran från Kund om borttagning av personuppgifter i den mån Kunden inte kan utföra detta själv.
• 7.4 På begäran av Kunden kommer Databehandlaren även att göra all ytterligare information tillgänglig som rimligen är nödvändig för att visa efterlevnad av de överenskommelser som gjorts i detta behandlingsavtal. Om Klienten ändå har anledning att tro att behandlingen av Personuppgifter inte sker i enlighet med behandlingsavtalet, kan den konsulteras högst en gång per år av en oberoende, certifierad, extern expert som har påvisbar erfarenhet av typen av bearbetning som utförs med stöd av Avtalet, låta utföra en revision på Kundens bekostnad. Granskningen kommer att begränsas till att kontrollera efterlevnaden av de avtal om behandling av personuppgifter som fastställs i detta Bearbetaravtal. Experten kommer att ha tystnadsplikt med avseende på vad han finner och kommer endast att rapportera till Klienten det som medför en brist i fullgörandet av skyldigheter som Databehandlaren har enligt detta databehandlaravtal. Experten kommer att ge en kopia av sin rapport till databehandlaren. Databehandlare kan vägra en granskning eller instruktion från experten om detta, enligt dennes uppfattning, bryter mot GDPR eller annan lagstiftning eller utgör ett otillåtet brott mot de säkerhetsåtgärder som denne har vidtagit.
• 7.5 Parterna kommer att samråda så snart som möjligt om resultatet av rapporten. Parterna kommer att följa de föreslagna förbättringsåtgärder som anges i rapporten i den mån det rimligen kan förväntas av dem. Databehandlaren kommer att implementera de föreslagna förbättringsåtgärderna i den mån de är lämpliga enligt dess åsikt, med hänsyn tagen till processriskerna förknippade med dess produkt eller tjänst, den senaste tekniken, implementeringskostnaderna, den marknad som den verkar på och den avsedda användningen av produkten eller tjänsten.
• 7.6 Databehandlaren har rätt att debitera kunden för de kostnader som den ådrar sig inom ramen för bestämmelserna i denna artikel.

Artikel 8. Underbehandlare

• 8.1 Databehandlare har i Data Pro Statement angett om, och i så fall vilka tredje parter (underbehandlare eller underbehandlare) Databehandlare engagerar sig i behandlingen av personuppgifterna.
• 8.2 Kunden ger tillstånd till Databehandlaren att anlita andra underbehandlare för att utföra sina skyldigheter enligt Avtalet.
• 8.3 Databehandlaren kommer att informera Kunden om en ändring i de tredje parter som anlitas av Databehandlaren, till exempel genom ett ändrat Data Pro Statement. Kunden har rätt att invända mot ovannämnda ändring av Databehandlare. Databehandlaren säkerställer att de tredje parter som anlitas av den förbinder sig till samma säkerhetsnivå när det gäller skydd av personuppgifter som den säkerhetsnivå som Databehandlaren är bunden till mot Kunden på grundval av Data Pro Statement.

Artikel 9. Övrigt

Dessa standardbearbetningsklausuler, tillsammans med Data Pro Statement, utgör en integrerad del av avtalet. Alla rättigheter och skyldigheter enligt Avtalet, inklusive gällande allmänna villkor och/eller ansvarsbegränsningar, gäller därför även för behandlingsavtalet.