Kasunduan sa processor

Panimula

Ang mga proseso ng Autosoft BV, bukod sa iba pang mga bagay, ay personal na data para sa at sa ngalan ng customer. Ang Autosoft BV at ang customer samakatuwid ay obligado sa ilalim ng General Data Protection Regulation (GDPR) na magtapos ng isang Processor Agreement. Ayon sa GDPR, ang Autosoft BV ay isang 'processor' at ang customer ay isang 'controller'. Inilalarawan din ng Kasunduan sa Processor na ito kung paano pinangangasiwaan ng Autosoft BV ang obligasyon sa notification ng paglabag sa data.

Kasunduan sa processor

Na binubuo ng mga:
Bahagi 1: Pahayag ng Data Pro
Bahagi 2: Mga Sugnay sa Karaniwang Pagproseso

Bahagi 1: Pahayag ng Data Pro

Pangkalahatang Impormasyon

1). Ang Data Pro Statement na ito ay iginuhit ng sumusunod na data processor (processor):

• Autosoft BV
  Hengelosestraat 547
  7521 AG Enschede

Para sa mga tanong tungkol sa Data Pro Statement na ito o proteksyon ng data, mangyaring makipag-ugnayan sa:
Arthur van der Lek: arthur@autosoft.eu / +31 (0)53 – 428 00 98

2). Nalalapat ang Data Pro Statement na ito mula Agosto 1, 2021
Regular naming isinasaayos ang Data Pro Statement na ito at ang mga hakbang sa seguridad na inilarawan doon upang matiyak na palagi kaming handa at napapanahon patungkol sa proteksyon ng data. Ipapaalam namin sa iyo ang mga bagong bersyon sa pamamagitan ng aming mga normal na channel.

3). Nalalapat ang Data Pro Statement na ito sa mga sumusunod na produkto at serbisyo ng processor ng data

• AutoWebsite
• AutoCommerce

4). Paglalarawan Website ng kotse
Ang mga kumpanya ng kotse ay gumagamit ng Autowebsite. Sa Autowebsite, maaaring ipakita ng mga kumpanya ng kotse ang kanilang sarili sa internet.

5). Nilalayong gamitin ang website ng Kotse
Ang Autowebsite ay dinisenyo at nilagyan upang iproseso ang mga sumusunod na uri ng data:
Ang mga bisita sa mga website na binuo ng Autosoft na may Autowebsite ay may opsyon na iwanan ang kanilang mga detalye sa pakikipag-ugnayan doon upang ang kumpanya ng kotse ay magkaroon ng pagkakataon na lapitan ang bisita para sa karagdagang mga serbisyo. Ang mga detalye ng contact na ito ay hindi naka-imbak sa Autosoft, ngunit direktang ipinapasa sa pamamagitan ng e-mail sa e-mail address ng kumpanya ng kotse.

• Hindi isinasaalang-alang ng serbisyong ito ang pagpoproseso ng espesyal na personal na data, o data na may kaugnayan sa mga paghatol at pagkakasala o mga personal na numero na ibinigay ng pamahalaan.

6). Paglalarawan Autocommerce
Ang mga kumpanya ng kotse ay gumagamit ng Autocommerce. Sa Autocommerce, maaaring pamahalaan at ipakita ng mga kumpanya ng kotse ang kanilang mga sasakyan sa kanilang sariling website at mga portal ng paghahanap sa internet ng mga third party.

7). Nilalayong Gamitin ang Autocommerce
Ang Autocommerce ay idinisenyo at nilagyan upang iproseso ang mga sumusunod na uri ng data:
Maaaring ilagay ng mga kumpanya ng kotse ang kanilang mga rehistradong sasakyan sa pamamagitan ng Autocommerce sa sarili nilang website ng Kotse. Ang mga rehistradong sasakyan na ito ay hindi naglalaman ng anumang data na maaaring masubaybayan pabalik sa personal na data sa anumang anyo. Ang mga bisita sa website ng Kotse ay may opsyon na iwanan ang kanilang mga detalye sa pakikipag-ugnayan doon upang magkaroon ng pagkakataon ang kumpanya ng kotse na lapitan ang bisita para sa karagdagang mga serbisyo. Ang mga detalye sa pakikipag-ugnayan na iniwan ng bisita sa kanilang sariling website ng Auto ay naka-imbak sa Autocommerce.

• Hindi isinasaalang-alang ng serbisyong ito ang pagpoproseso ng espesyal na personal na data, o data na may kaugnayan sa mga paghatol at pagkakasala o mga personal na numero na ibinigay ng pamahalaan.

8). Ginagamit ng tagaproseso ng data ang Mga Karaniwang Clause para sa pagproseso para sa Autowebsite at Autocommerce, na makikita bilang isang apendiks sa Kasunduan.

9). Pinoproseso ng processor ng data ang personal na data ng mga kliyente nito sa loob ng EU/EEA para sa Autowebsite at Autocommerce.

10). Ginagamit ng processor ng data ang mga sumusunod na sub-processor para sa Autocommerce:
Sa ilang mga kaso, ipinapadala ng Autosoft ang mga rehistradong sasakyan nito sa pamamagitan ng Autocommerce sa mga portal ng paghahanap sa internet ng mga third party o sub-processor sa ngalan ng Kompanya ng Kotse. Available ang isang listahan ng mga sub-processor kapag hiniling sa support@autosoft.eu.

11). Pagkatapos ng pagwawakas ng Kasunduan sa isang kliyente, sa prinsipyo, tatanggalin ng tagaproseso ng data ang personal na data na pinoproseso nito para sa kliyente sa loob ng 3 buwan sa paraang hindi na magagamit ang mga ito at hindi na naa-access (i-render na hindi naa-access).

Patakaran sa Seguridad

Buod ng mga sumusunod na hakbang sa seguridad na isinagawa ng Data processor upang protektahan ang produkto o serbisyo nito:

Patakaran sa pamamahala ng insidente at pagtugon
Kasama sa mga patakaran sa pamamahala ng insidente at pagtugon sa larangan ng seguridad ng impormasyon ang pagsubaybay at pagtuklas ng mga insidente ng seguridad sa isang computer o imprastraktura ng IT, ngunit gayundin ang pagmamasid sa mga kahina-hinalang aktibidad ng mga tauhan, at ang pagpapatupad ng mga tamang tugon sa mga kaganapang ito.

Ang pangunahing layunin ng patakarang ito ay bumuo ng isang naiintindihan at nahuhulaang tugon sa mga nakakahamak na kaganapan at panghihimasok sa computer sa pinakamalawak na kahulugan ng salita.

Ang patakaran sa pamamahala ng insidente at pagtugon ay ang proseso ng pamamahala at pagprotekta sa mga computer, network at mga sistema ng impormasyon at ang impormasyong nakaimbak doon. Alam ng Autosoft ang mga responsibilidad nito pagdating sa pagprotekta sa impormasyong ito para sa kapakinabangan ng mga customer nito at mga kasosyo sa supply chain. Ang responsibilidad na ito ay umaabot sa pagkakaroon ng pamamaraan ng Insidente. Ang pamamahala ng insidente ay isang hanay ng mga aktibidad na tumutukoy at nagpapatupad ng isang proseso na magagamit ng isang organisasyon upang itaguyod ang sarili nitong kagalingan at ang kaligtasan ng publiko.

IT at seguridad
Ang istruktura ng ICT ng Autosoft BV ay sapat na na-secure ng isang firewall at ang software sa pag-scan ng virus ay pinananatiling up-to-date. Ang bawat empleyado ay may profile sa pag-login. Kapag nagsisimula ng isang computer, ang mga empleyado ay dapat magpasok ng isang login name at password at kung saan posible na may 2-step na pagpapatotoo.

Humihingi din ang ilang software ng pangalan sa pag-log in at password at kung saan posible gamit ang 2-step na pagpapatotoo. Pinasisigla ang kamalayan ng mga empleyado tungkol sa ligtas na pagtatrabaho, tulad ng pagtutok sa hindi pagbubukas ng mga kahina-hinalang email, hindi pag-click sa mga kahina-hinalang link, pag-log out kapag umalis sa lugar ng trabaho nang mahabang panahon, at iba pa.

Ang mga file ay naka-back up sa mga araw at gabi-gabi. Para sa mga kadahilanang pangseguridad, ang karagdagang pamamaraan ng pag-iimbak na nakapalibot sa backup ay kumpidensyal. Ang Autosoft BV ay nagtapos ng mga kontrata ng serbisyo para dito sa mga supplier ng computer at internet hosting provider.

Patakaran sa proteksyon ng data
Gumagawa ang Autosoft BV ng naaangkop na mga teknikal at pang-organisasyong hakbang upang maprotektahan ang personal na data ng customer laban sa pagkawala o anumang anyo ng labag sa batas na pagproseso. Ang mga teknikal at organisasyonal na hakbang na ito ay itinuturing na isang naaangkop na antas ng seguridad sa loob ng kahulugan ng Artikulo 1 ng GDPR at iniimbak bilang mga dokumento sa gitnang Basecamp (Proyekto: Organisasyon/Patakaran sa Proteksyon ng Data) ng Autosoft BV

Teknikal at pang-organisasyon

1. Mga hakbang upang matiyak na ang mga awtorisadong tauhan lamang ang may access sa Personal na Data na naproseso sa konteksto ng Kasunduan sa Processor;
2. Mga hakbang upang protektahan ang Personal na Data sa partikular laban sa aksidente o labag sa batas na pagkasira, pagkawala, hindi sinasadyang pagbabago, hindi awtorisado o labag sa batas na pag-iimbak, pag-access o pagsisiwalat;
3. Mga hakbang upang protektahan ang Personal na Data laban, sa partikular, hindi sinasadya o labag sa batas na pagkasira, pagkawala, hindi sinasadyang pagbabago, hindi awtorisado o labag sa batas na pag-iimbak, pag-access o pagsisiwalat sa panahon ng pagpapalitan/transportasyon ng data;
4. Mga hakbang upang matiyak ang kakayahang tiyakin ang pagiging kumpidensyal, integridad, kakayahang magamit at katatagan ng mga sistema at serbisyo sa pag-edit sa patuloy na batayan;
5. Mga hakbang upang maibalik ang pagkakaroon at pag-access sa Personal na Data sa isang napapanahong paraan sa kaganapan ng isang pisikal o teknikal na insidente;
6. Mga hakbang upang matukoy ang mga kahinaan patungkol sa pagpoproseso ng Personal na Data sa mga system na ginagamit upang magbigay ng mga serbisyo sa ilalim ng kontrata;

Organisasyon tulad ng:

• Nililimitahan ang bilog ng mga opisyal na may access sa ilang personal na data sa mga taong nangangailangan ng data para sa pagganap ng kanilang mga tungkulin;
• pagbibigay sa mga taong ito ng access sa personal na data lamang na kailangan nila para sa pagganap ng kanilang mga tungkulin;
• pagsang-ayon sa isang sugnay ng pagiging kumpidensyal na may isang sugnay na parusa sa lahat ng mga tao kung kanino bibigyan ng access sa personal na data;
• pag-iimbak ng personal na data sa mga server sa isang saradong espasyo;
• pag-iingat ng mga papel na file sa mga naka-lock na cabinet;
• paglikha ng kamalayan sa seguridad ng impormasyon sa mga empleyado;
• pagtatatag ng malinaw na mga protocol at pamamaraan para sa paghawak ng mga insidente sa seguridad ng impormasyon at mga kahinaan sa seguridad sa isang napapanahon at epektibong paraan;

Gumagamit ang processor ng data ng sarili nitong mga pamamaraan at pamamaraan para sa pamamahala na akma sa loob ng paraan ng pagtatrabaho ng organisasyon:

• Sa loob ng Basecamp, ang mga nauugnay na dokumento ay pinamamahalaan at pana-panahong sinusuri.

Protocol ng paglabag sa data

Kung sakaling may magkamali, ginagamit ng data processor ang sumusunod na data leak protocol para matiyak na alam ng kliyente ang mga insidente:

Autosoft BV – Pamamaraan ng paglabag sa data

Ano ang data breach at kailan ko ito kailangang iulat sa AP?
Ang data breach ay isang insidente sa seguridad ng impormasyon na kinasasangkutan ng paglabag sa seguridad ng personal na data sa pamamagitan ng pagkakalantad sa pagkawala o labag sa batas na pagproseso gaya ng (ngunit hindi kumpleto):

• Pagsasaayos at/o pagpapalit ng personal na data at hindi awtorisadong pag-access sa personal na data na ito;
• Sa kaganapan ng isang break-in ng isang hacker;
• Nawalan ng USB stick, pagnanakaw ng laptop;
• Pagpapadala ng sensitibong data sa isang maling email address;

Ayon sa batas, ang isang 'malubhang' paglabag sa data ay dapat iulat sa Dutch Data Protection Authority nang walang labis na pagkaantala, at kung maaari nang hindi lalampas sa 72 oras pagkatapos ng pagtuklas.

Hindi kailangang mag-ulat ng Autosoft BV sa Dutch Data Protection Authority kung ang aktwal na pagkakakilanlan ng mga indibidwal na natural na tao ay makatwirang hindi kasama.
Ang lahat ng mga hinala ng isang insidente sa seguridad ng impormasyon ay matutugunan sa unang pagkakataon support@autosoft.eu iniulat at nakarehistro. Iniuulat ng suporta ang insidente sa Management Team at tinutukoy kung anong mga follow-up na aksyon ang dapat gawin.

Pamamaraan ng follow-up

Kailan ko kailangang ipaalam ang mga paksa ng data?
Ang isang paglabag sa data ay dapat iulat sa paksa ng data kung, sa kaganapan ng isang paglabag, may mataas na panganib na ang paglabag ay magkakaroon ng masamang kahihinatnan para sa kanyang pribadong buhay. Ang mga hindi kanais-nais na kahihinatnan para sa paksa ng data ay: pinsala sa kanyang reputasyon at reputasyon, pandaraya sa pagkakakilanlan o diskriminasyon. Kung ang Autosoft BV ay nagsagawa ng naaangkop na teknikal na mga hakbang sa proteksyon, bilang isang resulta kung saan ang personal na data ay ginawang hindi maintindihan o hindi naa-access, ang abiso sa paksa ng data ay hindi kinakailangan. Ang abiso sa paksa ng data ay dapat maglaman ng paglalarawan, sa malinaw at payak na wika, ng uri ng paglabag sa personal na data at hindi bababa sa:

• ang pangalan at mga detalye sa pakikipag-ugnayan ng data protection officer o iba pang contact point kung saan makakakuha ng karagdagang impormasyon;
• ang mga posibleng kahihinatnan ng paglabag sa personal na data;
• ang mga hakbang na iminungkahi o isinagawa ng controller upang matugunan ang paglabag sa personal na data, kabilang, kung naaangkop, mga hakbang upang pagaanin ang anumang masamang epekto nito. Ang pagtatasa kung ang isang paglabag sa data ay dapat iulat sa Dutch Data Protection Authority at/o ang mga apektadong tao ay palaging nasa Autosoft BV. Upang matukoy kung ang isang insidente ay dapat iulat, ang Dutch Data Protection Authority ay gumawa ng mga patakaran sa patakaran (https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/thematic-beleidsreglement/beleidsreglement-meldspraak-datareken-2015) at ang working group 29 ng European supervisors guidelines na inilathala sa obligasyon sa pag-uulat sa GDPR. Kung hindi naiulat ng Autosoft BV ang paglabag sa data, maaaring hilingin ng Dutch Data Protection Authority na gumawa pa rin ng ulat ang Autosoft BV. Ang pagkabigong mag-ulat ay maaaring parusahan ng administratibong multa.

Paano ako mag-uulat ng paglabag sa data?
Ginagawa ng Dutch Data Protection Authority na available ang isang web form na dapat gamitin para sa pag-uulat ng mga paglabag sa data (https://dataleks.autoriteitpersoonsgegevens.nl/). Ang Dutch Data Protection Authority ay nagpapanatili ng isang rehistro ng mga abiso sa paglabag sa data na natanggap. Ang rehistrong ito ay hindi pampubliko. Kung ang isang multa ay ipinataw ng Dutch Data Protection Authority bilang resulta ng paglabag sa data, ang desisyong ito ay isapubliko. Isinasapubliko din ang data breach kapag kailangang ipaalam sa mga subject ng data ang tungkol sa data breach. Ang abiso sa paksa ng data ay dapat sa anumang kaso ay nagpapahiwatig ng likas na katangian ng paglabag at ang mga awtoridad kung saan ang paksa ng data ay maaaring makakuha ng higit pang impormasyon tungkol sa paglabag. Dapat ding sabihin kung ano ang maaaring gawin ng paksa ng data sa kanyang sarili upang limitahan ang mga negatibong kahihinatnan ng paglabag sa data. Halimbawa, ang pagpapalit ng mga username at password kapag maaaring nakompromiso ang mga ito ng paglabag.

Ano ang dapat kong iulat?
Kasama sa isang abiso sa Dutch Data Protection Authority ang:

• Ang reporter ng data breach.
• Ang taong maaaring kontakin ng Dutch Data Protection Authority para sa karagdagang impormasyon tungkol sa ulat.
• Isang buod ng insidente kung saan nangyari ang paglabag sa seguridad ng personal na data.
• Ang panahon ng paglabag.
• Ang likas na katangian ng paglabag.
• Ang uri ng personal na data na nababahala.
• Ang mga kahihinatnan na maaaring magkaroon ng paglabag para sa privacy ng mga sangkot.
• Ang mga teknikal at pang-organisasyong hakbang na ginawa ng Autosoft BV upang harapin ang paglabag at upang maiwasan ang higit pang mga paglabag.
• Kung naiulat ng Autosoft BV ang data breach sa mga paksa ng data at kung hindi, kung nilayon ng Autosoft BV na gawin ito:
• Kung gayon, ang nilalaman ng abiso sa mga paksa ng data.
• Kung hindi, ang dahilan kung bakit pinipigilan ng Autosoft BV ang pag-uulat ng paglabag sa data sa mga paksa ng data.
• Ang personal na data ba ay na-encrypt, na-hash o kung hindi man ay ginawang hindi maintindihan o hindi naa-access ng mga hindi awtorisadong tao?

Bahagi 2: Mga Sugnay sa Karaniwang Pagproseso

Bersyon: Setyembre 2019
Kasama ang Data Pro Statement, bumubuo ng kasunduan sa pagpoproseso at ito ay isang apendiks sa Kasunduan at ang mga kasamang apendise gaya ng mga naaangkop na pangkalahatang tuntunin at kundisyon.

Artikulo 1. Mga Kahulugan

Ang mga termino sa ibaba ay may mga sumusunod na kahulugan sa Mga Karaniwang Clause na ito para sa pagproseso, sa Data Pro Statement at sa kasunduan:

• 1.1 Dutch Data Protection Authority (AP): awtoridad sa pangangasiwa, gaya ng inilarawan sa Artikulo 4, sub 21 ng Avg.
• 1.2 AVG: ang General Data Protection Regulation.
• 1.3 Processor ng Data: partido na, bilang tagapagtustos ng ICT, ay nagpoproseso ng Personal na Data para sa kapakinabangan ng Kliyente nito sa konteksto ng pagpapatupad ng Kasunduan.
• 1.4 Pahayag ng Data Pro: pahayag ng Data Processor kung saan nagbibigay ito ng impormasyon patungkol sa nilalayong paggamit ng produkto o serbisyo nito, mga hakbang sa seguridad na isinagawa, mga sub-processor, mga pagtagas ng data, mga sertipikasyon at pangangasiwa ng mga karapatan ng Mga Paksa ng Data.
• 1.5 Paksa ng datos (paksa ng datos): isang kinilala o makikilalang natural na tao.
• 1.6 Kliyente: partido kung kanino ang Data Processor ay nagpoproseso ng personal na data. Ang Kliyente ay maaaring maging isang controller ("controller") o isa pang processor.
• 1.7 Kasunduan: ang kasunduan sa pagitan ng Kliyente at Tagaproseso ng Data, kung saan ang tagapagtustos ng ICT ay nagbibigay ng mga serbisyo at/o mga produkto sa Kliyente, kung saan bahagi ang kasunduan sa processor.
• 1.8 Personal na data: lahat ng impormasyon tungkol sa isang kinilala o nakikilalang natural na tao, tulad ng inilarawan sa Artikulo 4, sub 1 AVG, na pinoproseso ng Data Processor sa konteksto ng pagganap ng mga obligasyon nito na nagmula sa Kasunduan.
• 1.9 Kasunduan sa pagpoproseso: ang Mga Karaniwang Sugnay na ito para sa pagproseso, na kasama ng Data Pro Statement (o maihahambing na impormasyon) mula sa Data Processor ay bumubuo ng kasunduan sa pagproseso gaya ng tinutukoy sa Artikulo 28, talata 3 ng GDPR.

Artikulo 2. Pangkalahatan

• 2.1 Ang mga Standard Processing Clause na ito ay nalalapat sa lahat ng pagproseso ng Personal na Data na ginagawa ng Data Processor sa konteksto ng paghahatid ng mga produkto at serbisyo nito at sa lahat ng Kasunduan at alok. Ang pagiging angkop ng mga kasunduan sa pagpoproseso ng Kliyente ay tahasang tinatanggihan.
• 2.2 Ang Data Pro Statement, at lalo na ang mga hakbang sa seguridad na nakapaloob dito, ay maaaring baguhin ng Data Processor paminsan-minsan upang ipakita ang pagbabago ng mga pangyayari. Ipapaalam ng Data Processor sa Kliyente ang mga makabuluhang pagbabago. Kung hindi makatwirang sumang-ayon ang Kliyente sa mga pagsasaayos, may karapatan ang Kliyente na wakasan ang kasunduan sa pagpoproseso nang nakasulat sa loob ng 30 araw pagkatapos ng abiso ng mga pagsasaayos.
• 2.3 Pinoproseso ng Data Processor ang Personal na Data sa ngalan ng at sa ngalan ng Kliyente alinsunod sa nakasulat na mga tagubilin ng Kliyente na sinang-ayunan ng Data Processor.
• 2.4 Ang Kliyente, o ang customer nito, ay ang controller sa loob ng kahulugan ng GDPR, may kontrol sa pagproseso ng Personal na Data at natukoy ang layunin at paraan ng pagproseso ng Personal na Data.
• 2.5 Ang Data Processor ay isang processor sa loob ng kahulugan ng GDPR at samakatuwid ay walang kontrol sa layunin at paraan ng pagproseso ng Personal na Data at samakatuwid ay hindi gumagawa ng anumang mga desisyon tungkol, bukod sa iba pang mga bagay, ang paggamit ng Personal na Data.
• 2.6 Ipinapatupad ng Data Processor ang GDPR gaya ng nakasaad sa Mga Karaniwang Clause na ito para sa Pagproseso, ang Data Pro Statement at ang Kasunduan. Nasa Kliyente ang pagtatasa batay sa impormasyong ito kung ang Data Processor ay nag-aalok ng sapat na mga garantiya patungkol sa aplikasyon ng naaangkop na teknikal at organisasyonal na mga hakbang upang matugunan ng pagproseso ang mga kinakailangan ng GDPR at ang proteksyon ng mga karapatan ng mga paksa ng Data. ay sapat. garantisadong.
• 2.7 Ginagarantiyahan ng Kliyente sa Data Processor na kumikilos ito alinsunod sa GDPR, na sapat nitong pinoprotektahan ang mga system at imprastraktura nito sa lahat ng oras at ang nilalaman, paggamit at/o pagproseso ng Personal na Data ay hindi labag sa batas at hindi lumalabag sa anumang karapatan ng isang third party.
• 2.8 Ang isang administratibong multa na ipinataw sa Kliyente ng AP ay hindi mababawi mula sa Data Processor.

Artikulo 3. Seguridad

• 3.1 Ginagawa ng Data Processor ang mga teknikal at pangsamahang hakbang sa seguridad, gaya ng inilarawan sa Data Pro Statement nito. Kapag nagsasagawa ng mga teknikal at organisasyonal na mga hakbang sa seguridad, ang Data Processor ay isinasaalang-alang ang estado ng sining, ang mga gastos sa pagpapatupad ng mga hakbang sa seguridad, ang kalikasan, saklaw at konteksto ng pagproseso, ang mga layunin at ang nilalayong paggamit ng mga produkto at serbisyo nito. , ang mga panganib sa pagpoproseso at ang mga panganib na naiiba sa posibilidad at kabigatan para sa mga karapatan at kalayaan ng Mga Paksa ng Data na maaari niyang asahan dahil sa nilalayong paggamit ng kanyang mga produkto at serbisyo.
• 3.2 Maliban kung tahasang nakasaad sa Data Pro Statement, ang produkto o serbisyo ng Data Processor ay hindi idinisenyo upang iproseso ang mga espesyal na kategorya ng Personal na Data o data patungkol sa mga kriminal na paghatol o mga pagkakasala o mga personal na numero na ibinigay ng pamahalaan.
• 3.3 Nagsusumikap ang Data Processor na matiyak na ang mga hakbang sa seguridad na isasagawa nito ay angkop para sa nilalayong paggamit ng produkto o serbisyo ng Data Processor.
• 3.4 Sa opinyon ng Kliyente, ang inilarawan na mga hakbang sa seguridad ay nag-aalok ng antas ng seguridad na iniayon sa panganib ng pagproseso ng Personal na Data na ginamit o ibinigay ng Kliyente, na isinasaalang-alang ang mga salik na tinutukoy sa Artikulo 3.1.
• 3.5 Ang Data Processor ay maaaring gumawa ng mga pagbabago sa mga hakbang sa seguridad na ginawa kung sa tingin nito ay kinakailangan upang magpatuloy sa pagbibigay ng naaangkop na antas ng seguridad. Ang Data Processor ay magtatala ng mahahalagang pagbabago, halimbawa sa isang binagong Data Pro Statement, at ipaalam sa Kliyente ang mga pagbabagong iyon kung saan may kaugnayan.
• 3.6 Maaaring humiling ang kliyente ng Data Processor na gumawa ng karagdagang mga hakbang sa seguridad. Ang Data Processor ay walang obligasyon na gumawa ng mga pagbabago sa mga hakbang sa seguridad nito sa naturang kahilingan. Maaaring singilin ng Data Processor ang mga gastos na nauugnay sa mga pagbabagong ginawa sa kahilingan ng Kliyente sa Kliyente. Pagkatapos lamang na napagkasunduan nang nakasulat at nilagdaan ng Mga Partido ang mga inamyenda na hakbang sa seguridad na ninanais ng Kliyente, obligado ang Data Processor na aktwal na ipatupad ang mga hakbang na ito sa seguridad.

Artikulo 4. Paglabag sa Personal na Data

• 4.1 Hindi ginagarantiya ng Data Processor na ang mga hakbang sa seguridad ay epektibo sa lahat ng pagkakataon. Kung ang Data Processor ay nakatuklas ng isang paglabag kaugnay ng Personal na Data (tulad ng tinutukoy sa Artikulo 4 sub 12 Avg), ipapaalam nito sa Kliyente nang walang labis na pagkaantala. Itinatakda ng Data Pro Statement (sa ilalim ng data leak protocol) kung paano ipinapaalam ng Data Processor sa Kliyente ang tungkol sa mga paglabag kaugnay ng Personal na Data.
• 4.2 Nasa controller (Client, o customer nito) ang pagtatasa kung ang paglabag sa Personal na Data na ipinaalam ng Data Processor ay dapat iulat sa AP o Data subject. Ang pag-uulat ng mga paglabag kaugnay ng Personal na Data, na dapat iulat sa AP at/o Mga Paksa ng Data alinsunod sa Mga Artikulo 33 at 34 GDPR, ay nananatiling responsibilidad ng controller (Kliyente o customer nito) sa lahat ng oras. Hindi obligado ang Data Processor na mag-ulat ng mga paglabag sa personal na data sa AP at/o sa Paksa ng Data.
• 4.3 Ang Data Processor ay, kung kinakailangan, ay magbibigay ng karagdagang impormasyon tungkol sa paglabag kaugnay ng Personal na Data at makikipagtulungan sa kinakailangang probisyon ng impormasyon sa Kliyente para sa layunin ng isang abiso gaya ng tinutukoy sa Artikulo 33 at 34 Avg.
• 4.4 Maaaring singilin ng Data Processor ang mga makatwirang gastos na natamo nito sa kontekstong ito sa Kliyente sa mga naaangkop na rate nito.

Artikulo 5. Pagkakumpidensyal

• 5.1 Ginagarantiyahan ng Data Processor na ang mga taong nagpoproseso ng Personal na Data sa ilalim ng responsibilidad nito ay may tungkulin ng pagiging kumpidensyal.
• 5.2 Ang Data Processor ay may karapatan na ibigay ang Personal na Data sa mga ikatlong partido, kung at hangga't kinakailangan ang probisyon alinsunod sa isang desisyon ng korte, isang legal na regulasyon o batay sa isang awtorisadong utos mula sa isang awtoridad ng pamahalaan.
• 5.3 Ang lahat ng access at/o identification code, certificate, impormasyon tungkol sa access at/o password policy na ibinigay ng Data Processor sa Client at lahat ng impormasyong ibinigay ng Data Processor sa Client na nagpapatupad ng teknikal at organisasyonal na mga hakbang sa seguridad na kasama sa Data Pro Statement ay kumpidensyal. at ituturing na ganoon ng Kliyente at ipapaalam lamang sa mga awtorisadong empleyado ng Kliyente. Tinitiyak ng Kliyente na ang mga empleyado nito ay sumusunod sa mga obligasyon sa ilalim ng artikulong ito.

Artikulo 6. Termino at pagtatapos

• 6.1 Ang kasunduan sa processor na ito ay bahagi ng Kasunduan at anumang bago o karagdagang kasunduan na magmumula rito, magkakabisa sa oras ng pagtatapos ng Kasunduan at matatapos para sa isang hindi tiyak na yugto ng panahon.
• 6.2 Ang kasunduan sa processor na ito ay nagtatapos sa pamamagitan ng pagpapatakbo ng batas sa pagtatapos ng Kasunduan o anumang bago o karagdagang kasunduan sa pagitan ng mga partido.
• 6.3 Kung sakaling matapos ang kasunduan sa pagpoproseso, tatanggalin ng Data Processor ang lahat ng Personal na Data na hawak nito at natanggap mula sa Kliyente sa loob ng terminong kasama sa Data Pro Statement sa paraang hindi na ito magagamit at hindi na. naa-access (i-render na hindi naa-access). , o, kung napagkasunduan, ibalik ito sa Kliyente sa isang format na nababasa ng makina.
• 6.4 Maaaring singilin ng Data Processor ang anumang mga gastos na natamo nito sa konteksto ng mga probisyon ng Artikulo 6.3 sa Kliyente. Ang mga karagdagang kasunduan tungkol dito ay maaaring ilagay sa Data Pro Statement.
• 6.5 Ang mga probisyon ng Artikulo 6.3 ay hindi nalalapat kung ang isang ayon sa batas na regulasyon ay humahadlang sa Data Processor mula sa ganap o bahagyang pag-alis o pagbabalik ng Personal na Data. Sa ganoong kaso, ang Data Processor ay magpapatuloy lamang sa pagproseso ng Personal na Data sa lawak na kinakailangan sa ilalim ng mga legal na obligasyon nito. Ang mga probisyon ng Artikulo 6.3 ay hindi rin nalalapat kung ang Data Processor ang controller sa loob ng kahulugan ng GDPR patungkol sa Personal na Data.

Artikulo 7. Mga Karapatan ng Mga Paksa ng Data, Pagtatasa ng Epekto sa Proteksyon ng Data (DPIA) at Mga Karapatan sa Pag-audit

• 7.1 Ang Data Processor ay, kung posible, ay makikipagtulungan sa mga makatwirang kahilingan mula sa Kliyente na nauugnay sa mga karapatan ng Mga Paksa ng Data na hinihiling mula sa Kliyente ng Mga Paksa ng Data. Kung ang Data Processor ay direktang nilapitan ng isang paksa ng Data, ire-refer niya ang taong ito sa Kliyente kung saan posible.
• 7.2 Kung obligado ang Kliyente na gawin ito, ang Data Processor ay makikipagtulungan sa isang data protection impact assessment (DPIA) o isang kasunod na paunang konsultasyon gaya ng tinutukoy sa Artikulo 35 at 36 Avg.
• 7.3 Makikipagtulungan ang Data Processor sa mga kahilingan mula sa Kliyente para sa pag-alis ng personal na data hangga't hindi ito magagawa ng Kliyente mismo.
• 7.4 Sa kahilingan ng Kliyente, gagawin ding available ng Data Processor ang lahat ng karagdagang impormasyon na makatwirang kinakailangan upang ipakita ang pagsunod sa mga kasunduan na ginawa sa kasunduan sa pagproseso na ito. Kung ang Kliyente gayunpaman ay may dahilan upang maniwala na ang pagpoproseso ng Personal na Data ay hindi nagaganap alinsunod sa kasunduan sa pagpoproseso, maaari itong konsultahin nang hindi hihigit sa isang beses sa isang taon ng isang independyente, sertipikado, panlabas na eksperto na may maipakitang karanasan sa uri ng pagpoproseso na isinasagawa batay sa Kasunduan. , magkaroon ng pag-audit na isinasagawa sa gastos ng Kliyente. Ang pag-audit ay limitado sa pagsuri sa pagsunod sa mga kasunduan tungkol sa pagproseso ng Personal na Data gaya ng nakasaad sa Processor Agreement na ito. Ang eksperto ay magkakaroon ng tungkulin ng pagiging kumpidensyal patungkol sa kung ano ang kanyang nahanap at iuulat lamang sa Kliyente ang nagreresulta sa isang pagkukulang sa pagtupad ng mga obligasyon na mayroon ang Data Processor sa ilalim ng kasunduan sa processor na ito. Magbibigay ang eksperto ng kopya ng kanyang ulat sa Data Processor. Maaaring tanggihan ng Data Processor ang isang pag-audit o tagubilin mula sa eksperto kung, sa opinyon nito, lumalabag ito sa GDPR o iba pang batas o bumubuo ng hindi pinahihintulutang paglabag sa mga hakbang sa seguridad na ginawa nito.
• 7.5 Kumonsulta ang mga partido sa lalong madaling panahon tungkol sa mga resulta ng ulat. Susunod ang mga partido sa iminungkahing mga hakbang sa pagpapabuti na inilatag sa ulat hangga't ito ay makatwirang inaasahan sa kanila. Ipapatupad ng Data Processor ang mga iminungkahing hakbang sa pagpapabuti sa lawak na naaangkop sa opinyon nito, na isinasaalang-alang ang mga panganib sa pagproseso na nauugnay sa produkto o serbisyo nito, ang estado ng sining, ang mga gastos sa pagpapatupad, ang merkado kung saan ito nagpapatakbo, at ang nilalayong paggamit ng produkto o serbisyo, serbisyo.
• 7.6 Ang Data Processor ay may karapatang singilin ang mga gastos na natamo nito sa konteksto ng mga probisyon ng artikulong ito sa Kliyente.

Artikulo 8. Mga Sub-Processor

• 8.1 Sinabi ng Data Processor sa Data Pro Statement kung, at kung gayon, kung aling mga third party (sub-processor o sub-processor) ang Data Processor ang nakikisali sa pagproseso ng Personal na Data.
• 8.2 Nagbibigay ang kliyente ng pahintulot sa Data Processor na makipag-ugnayan sa iba pang mga sub-processor upang gampanan ang mga obligasyon nito na nagmumula sa Kasunduan.
• 8.3 Ipapaalam ng Data Processor sa Kliyente ang tungkol sa isang pagbabago sa mga ikatlong partido na nakikipag-ugnayan ng Data Processor, halimbawa sa pamamagitan ng isang binagong Data Pro Statement. Ang Kliyente ay may karapatang tumutol sa nabanggit na pagbabago ng Data Processor. Tinitiyak ng Data Processor na ang mga third party na kasangkot dito ay nangangako sa parehong antas ng seguridad patungkol sa proteksyon ng Personal na Data bilang ang antas ng seguridad kung saan ang Data Processor ay nakasalalay sa Kliyente batay sa Data Pro Statement.

Artikulo 9. Iba pa

Ang mga Standard Processing Clause na ito, kasama ang Data Pro Statement, ay bumubuo ng mahalagang bahagi ng Kasunduan. Ang lahat ng karapatan at obligasyon sa ilalim ng Kasunduan, kabilang ang mga naaangkop na pangkalahatang tuntunin at kundisyon at/o limitasyon ng pananagutan, samakatuwid ay nalalapat din sa kasunduan sa pagproseso.