Andmetöötluse lisa

Käesolev lisa on lepingu lahutamatu osa ja selle sõlmivad:

1. (i) Klient (" andmete eksportija ")
2. (ii) IQUALIF (" andmete importija ")

Igaüks neist on " pidu " ja tavaliselt " peod ".

Preambula

KUS Andmete importija pakub professionaalseid tarkvarateenuseid, arvuti- ja seotud teenuseid (nt täpsemate otsingufunktsioonidega brauserid);

KUI Andmete importija on Lepingu kohaselt nõustunud osutama Andmeeksportijale Lepingus nimetatud teenuseid (edaspidi " Teenused ");

KUI Andmeimportija saab teenuseid pakkudes juurdepääsu andmeeksportija teabele või teiste andmete eksportijaga (võimalikes) suhetes olevate isikute teabele või saab sellest kasu, võib sellist teavet kvalifitseerida isikuandmetena määruse tähenduses. Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 üksikisikute kaitsmise kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta ( GDPR ) ja muud kohaldatavad andmekaitseseadused.

KUI käesolev lisa sisaldab tingimusi, mida kohaldatakse selliste isikuandmete kogumise, töötlemise ja kasutamise suhtes andmeimportija kui andmeeksportija volitatud andmetöötlusagendina, et tagada lepinguosaliste vastavus kohaldatavatele andmekaitseseadustele. .

SEEGA ja selleks, et lepinguosalised saaksid oma suhteid seaduslikult jätkata, on pooled sõlminud käesoleva liite järgmiselt:

1. osa

1. Dokumendi ülesehitus ja mõisted

1.1 Struktuur

See liide koosneb järgmistest osadest:

1.2 Terminoloogia ja mõisted

Selle lisa tähenduses kohaldatakse GDPR-is kasutatud terminoloogiat ja määratlusi (lepingu tüüpklausli dokumendi põhiosas 2. osas, kus määratletud termineid ei kirjutata suurtähtedega). 

2. Andmeeksportija kohustused

2.1 Andmeeksportija on kohustatud tagama kõigi GDPR-ist ja muudest andmeeksportija suhtes kohaldatavatest kohaldatavatest andmekaitseseadustest tulenevate kohustuste järgimise ning näitama sellist vastavust GDPR-i artikli 5 lõike 2 kohaselt. Andmeeksportija garanteerib, et andmete importija on saanud andmesubjektide eelneva nõusoleku vastavalt GDPR-i artikli 6 punktile a ning täitnud andmesubjektide teavitamise kohustuse vastavalt GDPR-i artiklitele 13 ja 14.

2.2 Andmeeksportija peab esitama andmeimportijale käesoleva lisa kohaste teenustega seotud töötlemistoimingute vastavad failid vastavalt GDPR artikli 30 lõikele 1 ulatuses, mis on andmete importijale vajalik. GDPR artikli 30 lõige 2.

2.3 Andmeeksportija peab määrama andmekaitseametniku või esindaja kohaldatava andmekaitseseadusega nõutavas ulatuses. Andmeeksportija on kohustatud edastama andmeimportijale andmekaitseagendi või esindaja kontaktandmed, kui need on olemas.

2.4. Andmeeksportija kinnitab enne töötlemise lõpetamist käesoleva lisaga nõustudes, et andmeimportija tehnilised ja organisatsioonilised turvameetmed, mis on sätestatud 2. osa 2. lisas, on andmesubjekti õiguste kaitsmiseks asjakohased ja piisavad. ja kinnitab, et andmeimportija pakub selles osas piisavaid kaitsemeetmeid.

3. Kohalike seaduste järgimine

GDPR-i artiklist 28 tulenevate töötlemisagentide rakendamise nõuete täitmiseks kohaldatakse järgmisi muudatusi:

3.1 Juhised

1. (i) Andmeeksportija annab andmeimportijale ülesandeks töödelda isikuandmeid ainult andmeeksportija nimel. Andmeeksportija juhised on toodud käesolevas lisas ja lepingus. Andmeeksportija on kohustatud tagama, et kõik andmeimportijale antud juhised vastaksid kehtivatele andmekaitseseadustele. Andmete importija peab isikuandmeid töötlema ainult andmeeksportija antud juhiste kohaselt, kui Euroopa Liidu või liikmesriigi õigusega ei nõuta teisiti (viimasel juhul kohaldatakse 1. osa punkti 3.2 alapunkti iv alapunkti c). .
2. (ii) Kõik muud juhised, mis lähevad kaugemale käesolevas lisas või lepingus sisalduvatest juhistest, peavad sisalduma käesoleva lisa ja lepingu esemes. Kui selle lisajuhise rakendamine toob andmeimportijale kulusid, teavitab andmeimportija nendest kuludest andmeeksportijat ja esitab selgituse enne juhise rakendamist. Alles pärast seda, kui andmeeksportija on kinnitanud, et nõustub nende juhiste rakendamisega seotud kuludega, rakendab andmete importija selle täiendava juhise. Andmeeksportija peab andma täiendavaid juhiseid kirjalikult, välja arvatud juhul, kui kiireloomulisus või muud konkreetsed asjaolud nõuavad muud vormi (nt suuline, elektrooniline). Muus vormis kui kirjalikud juhised peab andmeeksportija viivitamata kirjalikult kinnitama.
3. 1. Kui andmeeksportija ei saa ise isikuandmeid parandada, kustutada või piirata, võivad juhised olla seotud ka isikuandmete parandamise, kustutamise ja/või piiramisega, nagu on sätestatud 1. osa punktis 3.3.
4. 2. Andmeimportija peab viivitamatult teavitama Andmeeksportijat, kui tema hinnangul rikub Juhend GDPR-i või muid Euroopa Liidu või liikmesriigi kehtivaid andmekaitsesätteid (“ Vaidlustatud juhendKui järelevalveasutus tunnistab vaidlustatud juhise seaduslikuks, rakendab andmeimportija vaidlustatud juhise. 1. osa punkti 3.1 alapunkt ii jääb kehtima.

3.2 Andmete importija kohustused

1. (i) Andmete importija peab tagama, et isikud, kelle andmeimportija on volitanud töötlema isikuandmeid andmeeksportija nimel, eelkõige andmeimportija töötajad ja mis tahes alltöövõtja töötajad, on kohustunud järgima konfidentsiaalsust või nende suhtes kohaldatakse asjakohane seadusest tulenev konfidentsiaalsuskohustus ning isikuandmetele juurdepääsu omavad isikud töötleksid neid vastavalt andmeeksportija juhistele.
2. (ii) Andmete importija peab enne isikuandmete töötlemist andmeeksportija nimel rakendama 2. osa 2. lisas sätestatud tehnilisi ja organisatsioonilisi turvameetmeid. Andmete importija võib tehnilisi ja korralduslikke turvameetmeid aeg-ajalt muuta, kui need ei paku vähem kaitset kui 2. osa lisas 2 sätestatu.
3. (iii) Andmeimportija teeb andmeeksportija taotlusel andmeeksportijale kättesaadavaks teabe, mis tõendab andmete importija käesolevast liitest tulenevate kohustuste täitmist. Pooled lepivad kokku, et see teavitamiskohustus on täidetud, esitades andmeeksportijale auditiaruande (mis hõlmab põhimõtete turvalisust, süsteemi käideldavust ja konfidentsiaalsust) (edaspidi "auditiaruanne"). Kui seadusega on vaja täiendavaid auditeerimistoiminguid, võib andmeeksportija nõuda, et kontrolli teostaks andmeeksportija või muu andmeeksportija määratud audiitor, tingimusel et selline audiitor on sõlminud andmete importijaga andmeimportijaga konfidentsiaalsuslepingu. mõistlik rahulolu ("Audit"). Sellele auditile kehtivad järgmised tingimused: (i) andmete importija eelnev ametlik kirjalik nõusolek; ja (ii) andmeeksportija kannab kõik andmeeksportija ja andmete importija kohapealse auditiga seotud kulud. Andmeeksportija peab koostama kohapealse auditi tulemused ja tähelepanekud kokkuvõtva auditi aruande ("Kohapealse auditi aruanne"). Kohapealsed auditiaruanded ja auditiaruanded on andmete importija konfidentsiaalne teave ja neid ei tohi avaldada kolmandatele isikutele, välja arvatud juhul, kui seda nõuavad kohaldatavad andmekaitseseadused või andmete importija nõusolekul.
4. (iv) Andmeimportija on kohustatud andmeeksportijat põhjendamatu viivituseta teavitama:
   1. a. õiguskaitseorganite mis tahes õiguslikult siduva isikuandmete avaldamise taotluse kohta, kui ei ole teisiti keelatud, näiteks kriminaalõiguslik keeld kaitsta õiguskaitselise uurimise konfidentsiaalsust
   2. b. mis tahes kaebuse ja taotluse kohta, mis on saadud otse andmesubjektilt (nt seoses juurdepääsu, parandamise, kustutamise, töötlemise piiramise, andmete teisaldatavuse, andmetöötluse vastuväidete, automatiseeritud otsuste tegemisega) sellele taotlusele vastamata, välja arvatud juhul, kui andmeimportijal on selleks volitused. tee nii
   3. c. kui andmeimportija või andmetöötleja on Euroopa Liidu või selle liikmesriigi õiguse alusel, kuhu andmete importija või töötleja allub, kohustatud töötlema isikuandmeid väljaspool andmeeksportija korraldusi, enne sellise töötlemise läbiviimist pärast seda juhised, välja arvatud juhul, kui Euroopa Liidu või liikmesriigi seadused keelavad sellise töötlemise olulisel avalikul huvil, millisel juhul tuleb andmeeksportijale saadetavas teates täpsustada Euroopa Liidu või liikmesriigi selle õiguse kohane nõue; või
   4. d. kui Andmeimportija mõistab ainuüksi enda või alltöövõtja tõttu isikuandmete rikkumist, mis mõjutaks käesoleva lepinguga hõlmatud andmeeksportija isikuandmeid, mille puhul andmete importija abistab andmeeksportijat tema kohustuse täitmisel, seoses kohaldatava andmekaitseseadusega teavitama andmesubjekte ja vajaduse korral järelevalveasutusi, edastades tema käsutuses oleva teabe vastavalt GDPR-i artikli 33 lõikele 3.
   5. (v) Andmeeksportija taotlusel on andmete importija sunnitud aitama andmeeksportijat tema kohustuse täitmisel viia läbi andmekaitsemõju hindamine, mida võib nõuda GDPR-i artikkel 35, ja eelnev konsultatsioon, mis võib olla nõutav. GDPR artikliga 36 nõutud andmete importija poolt andmeeksportijale käesoleva lisa alusel osutatavate teenuste kohta, andes andmeeksportijale vajaliku ja teabe. Andmete importija on kohustatud sellist abi osutama vaid juhul, kui andmeeksportija ei saa oma kohustust muul viisil täita. Andmete importija teavitab andmeeksportijat sellise abi maksumusest. Niipea, kui andmeeksportija on kinnitanud, et suudab selle kulu kanda, annab andmete importija andmeeksportijale selle abi.
   6. (vi) Teenuste osutamise lõppedes võib andmeeksportija nõuda andmete importija poolt käesoleva lisa alusel töödeldud isikuandmete tagastamist ühe kuu jooksul pärast teenuste osutamist. Kui liikmesriigi või Euroopa Liidu õigusaktid ei kohusta andmeimportijat selliseid isikuandmeid säilitama või säilitama, kustutab andmeimportija kõik sellised isiku- või mitteisikuandmed pärast ühekuulist perioodi, olenemata sellest, kas need on tagastatud andmeeksportija taotlusel või mitte.

3.3 Asjaomaste isikute õigused

1.  
   1. (i) Andmeeksportija haldab andmesubjektide päringuid ja vastab neile. Andmete importija ei ole kohustatud andmesubjektidele otse vastama.
   2. (ii) Kui andmeeksportija vajab andmesubjekti taotluste töötlemisel ja neile vastamisel andmeimportija abi, annab andmeeksportija täiendava juhise vastavalt 1. osa punkti 3.1 alapunktile ii. Andmete importija abistab andmeeksportijat järgmiste asjakohaste ja tehniliste organisatsiooniliste meetmetega, et vastata GDPR III peatükis sätestatud andmesubjektide õiguste teostamise taotlustele järgmiselt:
   3. a. Andmeimportija esitab andmeeksportijale teabepäringute osas üksnes PGRD artiklites 13 ja 14 nõutud teabe, mis võib olla tema käsutuses, kui andmeeksportija ei leia seda ise.
   4. b. Seoses juurdepääsutaotlustega (GDPR-i artikkel 15) edastab andmete importija andmeeksportijale ainult seda teavet, mis tuleb andmesubjektile nimetatud juurdepääsutaotluse jaoks esitada ja mis võib olla tema käsutuses, kui viimane ei leia seda üksi.
   5. c. Mis puudutab parandamistaotlusi (GDPR artikkel 16), kustutamistaotlusi (GDPR artikkel 17), töötlemistaotluste piiramist (GDPR artikkel 18) või teisaldamise taotlusi (GDPR artikkel 20) ja ainult kui andmeeksportija ei saa ise isikuandmeid parandada või kustutada, piirata või teisele kolmandale isikule edastada, pakub andmeimportija võimalust asjaomaseid isikuandmeid parandada või kustutada, piirata või edastada teisele kolmandale isikule, või kui see ei ole võimalik, pakub ta abi asjaomaste isikuandmete parandamiseks või kustutamiseks, piiramiseks või teisele kolmandale isikule edastamiseks.
   6. d. Parandamise, kustutamise või töötlemise piiramisega seotud teatise osas (GDPR artikkel 19) abistab andmeimportija andmeeksportijat, teavitades kõiki isikuandmete saajaid, kelle andmeimportija on töötlejatena kaasanud, kui andmeeksportija seda nõuab ja kui Andmeeksportija ei suuda olukorda ise parandada.
   7. e. Andmesubjekti vastulause esitamise õiguse osas (GDPR artiklid 21 ja 22) otsustab andmeeksportija, kas vastulause on õiguspärane ja kuidas sellega toime tulla.
   8. (iii) Andmete importija abikohustused piirduvad tema infrastruktuuris töödeldavate isikuandmetega (nt Andmeimportija omanduses või pakutavad andmebaasid, süsteemid, rakendused).
   9. (iv) Andmeeksportija teeb kindlaks, kas andmesubjekt võib kasutada käesoleva osa 1. osa punktis 3.1 sätestatud andmesubjektide õigusi, ning teavitab andmeimportijat, mil määral osutatakse punkti 3.3 alapunktis ii nimetatud abi, ( iii) 1. osa on vajalik.
   10. (v) Kui andmeeksportija taotleb andmesubjektide õiguste täitmiseks täiendavaid või muudetud tehnilisi ja korralduslikke meetmeid, mis ületavad andmeimportija poolt 1. osa alapunkti 3.3 alapunkti ii, iii alusel pakutavat abi, esitatakse andmed. Importija teavitab andmeeksportijat selliste täiendavate või muudetud tehniliste ja korralduslike meetmete rakendamise kuludest. Niipea kui andmeeksportija on kinnitanud, et suudab need kulud katta, rakendab andmeimportija selliseid täiendavaid või muudetud tehnilisi ja korralduslikke meetmeid, et aidata andmeeksportijal andmesubjektide taotlustele vastata.
   11. (vi) Piiramata 1. osa punkti 3.3 alapunkti v kohaldamisala, on andmeeksportija kohustatud hüvitama andmeimportijale andmesubjektide taotlustele vastamisel tehtud mõistlikud kulud.

3.4 Alamtöötlus

1.  
   1. (i) Andmeeksportija lubab andmeimportijal kasutada alltöövõtjaid teenuste osutamiseks käesoleva lisa alusel. Andmete importija valib sellise(d) andmetöötleja(d) hoolikalt. Andmeeksportija kinnitab 2. osa lõpus lisas 1.1 loetletud andmetöötleja(d).
   2. (ii) Andmete importija annab oma käesolevast lisast tulenevad kohustused üle andmetöötleja(te)le ulatuses, mis on kohaldatav alltöövõtu teenuste suhtes.
   3. (iii) Andmete importija võib oma äranägemise järgi vallandada, asendada või määrata teise sobiva ja usaldusväärse andmetöötleja(d). Andmeeksportija kirjaliku taotluse korral peab andmete importija järgima alltoodud protseduuri:
2.  
   1. a. Andmeimportija teavitab andmeeksportijat enne 1. osa punkti 3.4 alapunktis i viidatud andmetöötlejate loendi muudatusi. Kui andmeeksportija ei esita punkti 3.4 alusel vastuväiteid. b) 1. osa kolmkümmend päeva pärast andmete importijalt teate saamist loetakse täiendavad andmetöötlejad vastuvõetuks.
   2. b. Kui andmeeksportijal on õigustatud põhjus esitada vastuväiteid täiendava andmetöötleja suhtes, teatab ta sellest eelnevalt andmeimportijale kirjalikult kolmekümne päeva jooksul andmete importija teate saamisest ja enne andmeimportija teenuse käivitamist. Kui andmeeksportija on vastu täiendava andmetöötleja kasutamisele, võib andmeimportija vastuväite tühistada, kasutades ühte järgmistest valikutest (valitud oma äranägemisel): (A) andmete importija tühistab oma plaani kasutada täiendavat töötlejat. Andmeeksportija isikuandmed; (B) Andmeimportija rakendab andmeeksportija poolt vastulauses taotletud parandusmeetmeid (vastulause tühistab) ja kasutab andmeeksportija isikuandmete osas täiendavat töötlejat;
3.  
   1. (iv) kui andmetöötleja asub väljaspool EL-EMP-d riigis, mis ei ole Euroopa Komisjoni otsuse alusel tunnistatud piisava andmekaitsetaseme pakkumiseks, võtab andmete importija meetmed piisava taseme järgimiseks. andmekaitse vastavalt GDPR-ile (sellised meetmed võivad muuhulgas hõlmata ELi mudeli klauslitel põhinevate andmetöötluslepingute kasutamist, edastamist isesertifitseeritud andmetöötlejatele EL-USA kaitsekilbi raames või mõni sarnane programm).

3.5 Kehtivusaeg

Käesoleva lisa kehtivusaeg on identne vastava lepingu lõppemise kuupäevaga. Kui käesolevas Lisas ei ole sätestatud teisiti, on ülesütlemisega seotud õigused ja kohustused samad, mis Lepingus sisalduvad.

4. Vastutuse piiramine

4.1 Kumbki pool täidab oma kohustusi, mis tulenevad käesolevast lisast ja kohaldatavatest andmekaitseseadustest.

4.2 Mis tahes vastutus, mis on seotud käesolevast liitest või kohaldatavatest andmekaitsealastest õigusaktidest tulenevate kohustuste rikkumisega, allub lepingus sätestatud või lepingule kohaldatavatele vastutussätetele ja neid reguleeritakse, välja arvatud juhul, kui käesolevas lisas on sätestatud teisiti. Kui vastutust reguleerivad Lepingus sätestatud või sellele kohaldatavad vastutussätted, siis vastutuslimiitide arvutamisel või muude vastutuspiirangute kohaldamise määramisel, loetakse käesolevast lisast tulenevad kohustused tulenevad lepingust.

5. Üldsätted

5.1. Kui käesoleva liite 1. ja 2. osa vahel esineb ebakõlasid või lahknevusi, kohaldatakse 2. osa. Täpsemalt, isegi sellisel juhul jääb kehtima 1. osa, mis lihtsalt läheb kaugemale 2. osast (st standardklauslite tingimused), ilma et see oleks sellega vastuolus.

5.2 Kui käesoleva lisa ja teiste pooli siduvate lepingute sätete vahel ilmneb lahknevus, on poolte andmekaitsekohustuste osas ülimuslik käesolev lisa. Kahtluse korral, kas teiste lepingute punktid puudutavad poolte andmekaitsekohustusi, on ülimuslik käesolev lisa.

5.3 Kui mõni selle lisa säte on kehtetu või jõustamatu, jääb selle lisa ülejäänud osa täielikult jõusse. Kehtetut või jõustamatut sätet (i) muudetakse, et tagada selle kehtivus ja jõustatavus, säilitades nii palju kui võimalik poolte kavatsused, või – kui see ei ole võimalik – (ii) tõlgendatakse nii, nagu oleks kehtetu või jõustamatu osa pole kunagi lepingu osaks olnud. Eelöeldu kehtib ka juhul, kui käesolevas liites on väljajätmine.

5.5 Osapooled võivad vajalikul määral nõuda 1. osa punkti 3 (Kohaliku õiguse järgimine) või liite muude osade muutmist, et järgida liidu pädevate asutuste tõlgendusi, direktiive või korraldusi. liikmesriigid, riiklikud jõustamissätted või muud õiguslikud arengud, mis puudutavad GDPR-i või muid andmetöötlusega seotud üksustele delegeerimise tingimusi ja konkreetselt GDPR-i lepingu tüüptingimuste kasutamist. Lepingu tüüptingimuste tingimusi ei tohi muuta ega asendada, välja arvatud juhul, kui Euroopa Komisjon seda selgesõnaliselt heaks kiidab (nt uute asjakohaste klauslite ja andmekaitsestandarditega).

5.6 Kui ei ole sätestatud teisiti, käesolevas lisas sisalduvaid viiteid "klauslitele" tuleb mõista viitena kõigile selle lisa sätetele.

5.7 Osa 2 punktis 9 toodud õiguse valik kehtib kogu Lepingule.

6. Poolte poolt isiklikel eesmärkidel edastatud ja töödeldavad isikuandmed (vastutavalt vastutavalt töötlejalt vastutavale töötlejale üleandmine)

6.1 Pooled teavad täielikult, et teatud isikuandmed edastatakse andmeeksportijalt andmeimportijale ja vastupidi ning neid andmeid töötleb kumbki pool oma eesmärkidel. Mis puudutab selliseid isikuandmeid, siis see ei mõjuta käesoleva lisa muid sätteid (välja arvatud käesolev punkt 6).

6.2 Andmeeksportija võib andmeimportijale edastada andmeimportija töötajatega seotud isikuandmeid, sealhulgas teavet turvaintsidentide kohta, või mis tahes muid dokumente või faile, mille andmeeksportija on loonud või loonud seoses ettevõtte töötajate pakutavate teenustega. andmete importija. Andmete importija võib selliseid isikuandmeid töödelda oma eesmärkidel, eelkõige ametialastes suhetes andmete importija töötajatega, kvaliteedikontrolliks ja koolituseks või ärilistel eesmärkidel.

6.3. Andmete importija võib andmeeksportijale edastada isikuandmeid, sealhulgas andmeimportija töötajate nime ja kontaktandmeid. Andmeeksportija võib selliseid isikuandmeid töödelda oma eesmärkidel.

6.4 Mõlemad pooled järgivad 1. osa punkti 1 alusel teiselt poolelt saadud isikuandmete kogumisel, töötlemisel ja kasutamisel kõiki kohaldatavaid andmekaitseseadusi, sealhulgas GDPR-i. Eelkõige võtavad mõlemad pooled piisavaid turvameetmeid, tagades 2. osa 2. liites sätestatud turvameetmetega sarnane kaitsetase. Juurdepääs sellistele isikuandmetele piirdub vajadusega neid teada.

6.5 Mõlemad pooled peavad sellised isikuandmed kustutama võimalikult kiiresti pärast eesmärkide saavutamist.

2. osa

KOMISJONI OTSUS

5. veebruaril 2010

lepingu tüüptingimuste kohta isikuandmete edastamiseks kolmandatest isikutest riikides asuvatele andmetöötlejatele vastavalt Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ

Klausel 1

Definitsioonid

Klauslite tähenduses:

a) mõistetel „isikuandmed”, „andmete erikategooriad”, „töötlemine/töötlemine”, „vastutav töötleja”, „töötleja”, „andmesubjekt” ja „järelevalveasutus” on sama tähendus kui direktiivis 95/46/EÜ. Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (1);

b) „andmete eksportija” on isikuandmeid edastav vastutav töötleja;

c) Andmeimportija on andmetöötleja, kes nõustub saama andmeeksportijalt isikuandmeid, mida kavatsetakse töödelda andmeeksportija nimel pärast edastamist vastavalt tema juhistele ja käesolevate punktide tingimustele, ning kes ei ole vastavalt kolmanda riigi mehhanismile, mis tagab piisava kaitse direktiivi 95/46/EÜ artikli 25 lõike 1 tähenduses; d) Andmetöötleja – andmeimportija või andmeimportija muu andmetöötleja kaasatud andmetöötleja, kes nõustub saama andmeimportijalt või muult andmeimportija andmetöötlejalt isikuandmeid ainult selleks, et andmeimportijat töödelda. teostada andmeeksportija nimel pärast edastamist vastavalt andmeeksportija juhistele,

e) kohaldatav andmekaitseseadus – õigusakt, mis kaitseb üksikisikute põhiõigusi ja -vabadusi, sealhulgas õigust eraelu puutumatusele seoses isikuandmete töötlemisega, ja mida kohaldatakse vastutava töötleja suhtes selles liikmesriigis, kus andmeeksportija on registreeritud;

f) "turvalisusega seotud tehnilised ja korralduslikud meetmed" – meetmed, mis on ette nähtud isikuandmete kaitsmiseks juhusliku või ebaseadusliku hävitamise või juhusliku kaotsimineku, muutmise, loata avaldamise või juurdepääsu eest, eriti kui töötlemine hõlmab andmete edastamist võrkude kaudu, ja kõik muud ebaseaduslikud töötlemisviisid.

Punkt 2

Ülekande üksikasjad

Edastamise üksikasjad, sealhulgas vajaduse korral isikuandmete erikategooriad, on täpsustatud 1. lisas, mis on nende klauslite lahutamatu osa.

Punkt 3

Kolmanda osapoole abisaaja klausel

1. Andmesubjekt võib andmeeksportija suhtes jõustada käesoleva klausli punkti 4 punktid b–i, klausli 5 punktid a–e ja g–j ning klausli 6 lõiked 1 ja 2. ), klausel 7, klausli 8 lõige 2 ja klauslid 9–12 kolmandast isikust kasusaajana

2. Andmesubjekt võib käesoleva klausli, punkti 5 alapunktide a–e ja g, klausli 6, klausli 7, punkti 8 lõike 2 ja klausli 9 kuni 12 jõustada andmeimportija suhtes, kui andmeeksportija on füüsiliselt on kadunud või seaduslikult lakanud eksisteerimast, välja arvatud juhul, kui kõik tema juriidilised kohustused on lepingu või seaduse alusel üle antud õigusjärglasele, kellele andmeeksportija õigused ja kohustused seetõttu tagasi lähevad ning kelle vastu andmed subjekt saab seega nimetatud klausleid jõustada.

Andmesubjekt võib käesoleva punkti, punkti 5 alapunktide a–e ja g, punkti 6, punkti 7, punkti 8 lõike 2 ja punktide 9 kuni 12 andmetöötleja suhtes jõustada, kuid ainult juhtudel, kui Andmed Eksportija ja Andmeimportija on füüsiliselt kadunud, seaduslikult lakanud eksisteerimast või muutunud maksejõuetuks, välja arvatud juhul, kui kõik Andmeeksportija juriidilised kohustused on lepingu või seaduse alusel üle läinud õigusjärglasele, kellele kuuluvad õigused ja seega on andmeeksportija kohustused ja kelle suhtes andmesubjekt võib selliseid klausleid jõustada. Andmetöötleja selline vastutus peab piirduma tema enda töötlemistoimingutega nende punktide alusel.

4. Pooled ei ole vastu sellele, et andmesubjekti esindab ühendus või muu organ, kui ta seda soovib ja kui siseriiklikud õigusaktid seda võimaldavad.

Punkt 4

Andmeeksportija kohustused

Andmeeksportija aktsepteerib ja tagab järgmise:

a) töötlemine, sealhulgas isikuandmete tegelik edastamine, on toimunud ja toimub ka edaspidi kooskõlas kohaldatava andmekaitseseaduse asjakohaste sätetega (ja vajaduse korral on sellest teavitatud liikmesriigi pädevaid asutusi kus Andmeeksportija asub) ja ei riku selle riigi asjakohaseid sätteid;

b) nad on andnud andmeimportijale korralduse töödelda isikuandmeid edastatud isikuandmeid ainuisikuliselt andmeeksportija nimel ning kooskõlas kohaldatava andmekaitseseaduse ja käesolevate klauslitega ning teevad seda isikuandmete töötlemise teenuste kestuse jooksul;

c) Andmete importija tagab piisavad kaitsemeetmed käesoleva lepingu lisas 2 nimetatud tehniliste ja organisatsiooniliste turvameetmete osas;

d) pärast kohaldatava andmekaitseseaduse nõuete hindamist on turvameetmed piisavad, et kaitsta isikuandmeid juhusliku või ebaseadusliku hävitamise või juhusliku kaotsimineku, muutmise, volitamata avaldamise või juurdepääsu eest, eriti kui töötlemine hõlmab andmete edastamist. võrgu kaudu ja kõigi muude ebaseaduslike töötlemise vormide eest ning tagama turvalisuse taseme, mis vastab töötlemisega kaasnevatele riskidele ja kaitstavate andmete olemusele, võttes arvesse tehnoloogia taset ja rakenduskulusid;

e) nad tagavad turvameetmete järgimise;

f) kui edastamine on seotud andmete erikategooriatega, on andmesubjekti teavitatud või teavitatakse teda enne edastamist või võimalikult kiiresti pärast edastamist, et tema andmed võidakse edastada kolmandasse riiki, mis ei paku piisav kaitsetase direktiivi 95/46/EÜ tähenduses;

g) nad edastavad kõik andmete importijalt või mis tahes andmetöötlejalt punkti 5 punkti b ja lõike 8 lõike 3 alusel saadud teated andmekaitse järelevalveasutusele, kui ta otsustab edastamist jätkata või selle peatamise tühistada;

h) nad teevad andmesubjektidele nende nõudmisel kättesaadavaks nende klauslite, välja arvatud 2. liide, koopia ja turvameetmete kokkuvõtliku kirjelduse ning mis tahes edasise alltöövõtulepingu koopia, mis on sõlmitud nende punktide alusel, välja arvatud juhul, kui Klauslid või leping sisaldavad äriteavet, sel juhul võib ta selle teabe tagasi võtta;

i) andmetöötlusprotsessi alltöövõtu korral teostab töötlemistoimingu vastavalt punktile 11 andmetöötleja, kes tagab isikuandmete ja andmesubjekti õiguste kaitse vähemalt samal tasemel kui andmeimportija käesolevate punktide alusel. ; ja

j) see tagab vastavuse klausli 4 punktidele a–i.

Punkt 5

Andmete importija kohustused

Andmete importija aktsepteerib ja tagab järgmise:

a) nad töötlevad isikuandmeid ainult andmeeksportija nimel ning andmeeksportija juhiste ja käesolevate klauslite alusel; kui ta ei suuda mingil põhjusel järgida, nõustuvad nad andmeeksportijat oma suutmatusest esimesel võimalusel teavitada, sel juhul võib andmeeksportija andmeedastuse peatada ja/või lepingu lõpetada;

b) neil ei ole põhjust arvata, et nende suhtes kohaldatav õigus takistab tal täita andmeeksportija antud juhiseid ja talle lepingust tulenevaid kohustusi, ning kui sellist seadust muudetakse, mis võib oluliselt kahjustada avaldab mõju punktidest tulenevatele garantiidele ja kohustustele, teavitab ta muudatusest viivitamata pärast sellest teadasaamist Andmeeksportijat, millisel juhul võib andmeeksportija andmeedastuse peatada ja/või lepingu lõpetada; c) nad on enne edastatud isikuandmete töötlemist rakendanud 2. liites nimetatud tehnilised ja organisatsioonilised turvameetmed;

d) nad teavitavad andmeeksportijat viivitamata:

i) õiguskaitseasutuse mis tahes siduv taotlus isikuandmete avaldamiseks, kui ei ole sätestatud teisiti, näiteks kriminaalmenetluse keeld, mille eesmärk on säilitada politseijuurdluse saladus;

ii) juhuslik või volitamata juurdepääs; ja

iii) mis tahes päring, mis on saadud otse asjaomastelt isikutelt ilma sellele vastamata, välja arvatud juhul, kui tal on selleks luba; administraatorid

e) nad tegelevad kiiresti ja nõuetekohaselt kõigi andmeeksportijalt esitatud päringutega, mis puudutavad tema poolt edastatavate isikuandmete töötlemist, ning tegutsevad edastatud andmete töötlemise osas järelevalveasutuse arvamuse kohaselt;

f) andmeeksportija taotlusel kontrollivad nad andmeeksportija või nõutava kutsekvalifikatsiooniga sõltumatutest liikmetest koosnev järelevalveorgan tema andmetöötlusrajatisi nendes klauslites käsitletud töötlemistoiminguid; järgib saladuse hoidmise kohustust ja valib andmeeksportija vajaduse korral kokkuleppel järelevalveasutusega;

g) nad teevad andmesubjektile tema nõudmisel kättesaadavaks nende klauslite koopia või mis tahes olemasoleva andmetöötluslepingu alltöövõtulepingu koopia, välja arvatud juhul, kui klauslid või leping sisaldavad äriteavet; sel juhul võib ta sellise teabe eemaldada. teave, välja arvatud lisa 2, mis asendatakse turvameetmete kokkuvõtliku kirjeldusega, kui andmesubjekt ei saa andmeeksportijalt koopiat;

h) konfidentsiaalse edasise andmetöötluse alltöövõtulepingu sõlmimise korral tagab ta, et teavitab sellest eelnevalt andmeeksportijat ja saab andmeeksportijalt kirjaliku nõusoleku;

i) andmetöötleja poolt osutatavad töötlemisteenused peavad vastama punktile 11;

j) nad saadavad nende punktide alusel sõlmitud andmetöötluslepingu mis tahes allhankelepingu koopia viivitamata andmeeksportijale.

Punkt 6

Vastutus

1. Pooled lepivad kokku, et iga andmesubjekt, kes on kandnud kahju ühe poole või andmetöötleja poolt punktis 3 või 11 nimetatud kohustuste rikkumise tõttu, võib saada andmeeksportijalt tekkinud kahju hüvitamist.

2. Kui andmesubjektil ei ole võimalik esitada lõikes 1 osutatud kahju hüvitamise hagi andmeeksportija vastu, kuna andmeimportija või tema andmetöötleja ei ole täitnud mis tahes punktist 3 või punktist 11 tulenevat kohustust, kuna andmed Eksportija on füüsiliselt kadunud, lakanud eksisteerimast seadusega või muutunud maksejõuetuks, andmesubjekt nõustub sellega, et andmesubjekt võib esitada tema peale kaebuse nii nagu ta oleks andmeeksportija, välja arvatud juhul, kui kõik andmeeksportija juriidilised kohustused on lepinguga üle antud. või seaduse alusel selle õigusjärglasele, kelle suhtes andmesubjekt võib seejärel oma õigusi rakendada. Andmete importija ei tohi oma vastutuse vältimiseks tugineda andmetöötleja poolt oma kohustuste rikkumisele.

3. Kui andmesubjekt ei saa esitada lõigetes 1 ja 2 nimetatud hagi andmeeksportija või andmeimportija vastu, kuna andmetöötleja rikub punktis 3 või 11 sätestatud kohustusi, kuna andmeeksportija ja andmete importija on füüsiliselt kadunud, lakanud eksisteerimast seaduse alusel või muutunud maksejõuetuks, nõustub andmesubjekt, et andmesubjekt võib vastavalt käesolevatele punktidele esitada tema vastu kaebuse enda töötlemistoimingute kohta nii, nagu oleks ta andmeeksportija või -importija, välja arvatud juhul, kui kõik Andmeeksportija või -importija juriidilised kohustused on lepingu või seaduse alusel üle antud õigusjärglasele, kelle vastu andmesubjekt võib seejärel oma õigusi kaitsta.Andmetöötleja vastutus peab piirduma tema enda töötlemistoimingutega vastavalt käesolevatele punktidele.

Punkt 7

Vahendus ja jurisdiktsioon

1. Andmete importija nõustub sellega, et kui andmesubjekt tugineb punktide kohaselt tema vastu kolmandast isikust kasusaaja õigusele ja/või nõuab kahju hüvitamist, nõustub ta andmesubjekti otsusega:

a) anda vaidlus sõltumatule isikule või vajaduse korral järelevalveasutusele vahendajaks;

b) anda vaidlus selle liikmesriigi kohtusse, kus andmete eksportija asub.

2. Pooled lepivad kokku, et andmesubjekti valik ei mõjuta andmesubjekti menetluslikku ega materiaalset õigust saada hüvitist vastavalt siseriikliku või rahvusvahelise õiguse muudele sätetele.

Punkt 8

Koostöö järelevalveasutustega

1. Andmeeksportija nõustub hoiule andma käesoleva lepingu koopia järelevalveasutusele, kui viimane seda nõuab või kui selline hoiuleandmine on ette nähtud kohaldatava andmekaitseseadusega.

2. Pooled lepivad kokku, et järelevalveasutus võib andmeimportija ja mis tahes andmetöötleja juures läbi viia kontrolle samas ulatuses ja samadel tingimustel kui andmeeksportija juures läbiviidavaid kontrolle kooskõlas kehtiva andmekaitseseadusega.

3. Andmete importija teavitab andmeeksportijat niipea kui võimalik andmete importijat või mis tahes andmetöötlejat puudutavate õigusaktide olemasolust, mis takistavad andmete importija või mis tahes andmetöötleja juures lõike 2 kohaselt kontrollimist. Andmete eksportija võib rakendada punkti 5 punktis b sätestatud meetmeid.

Punkt 9

Kohaldatav seadus

Neid klausleid kohaldatakse ja nende suhtes kohaldatakse andmeeksportija asukohaliikmesriigi õigust.

Punkt 10

Lepingu muutmine

Pooled kohustuvad käesolevaid tingimusi mitte muutma. Pooled võivad lisada muid kaubandusklausleid, mida nad vajalikuks peavad, tingimusel et need ei ole käesolevate klauslitega vastuolus.

Punkt 11

Hilisem alltöövõtt

1. Andmeimportija ei sõlmi allhankelepinguid oma andmeeksportija nimel teostatavatest töötlemistoimingutest nende punktide alusel ilma andmeeksportija eelneva kirjaliku nõusolekuta. Andmeimportija sõlmib oma käesolevatest punktidest tulenevate kohustuste täitmise alltöövõtu korras ainult andmeeksportija nõusolekul andmetöötlejaga sõlmitud kirjaliku lepinguga, millega kehtestatakse andmetöötlejale samad kohustused, mis nende punktide alusel on andmeimportijale pandud. Kui andmetöötleja ei suuda täita oma sellest kirjalikust lepingust tulenevaid andmekaitsekohustusi, vastutab andmeimportija nende kohustuste täitmise eest täielikult andmeeksportija ees.

2. Andmeimportija ja andmetöötleja vaheline eelnev kirjalik leping sisaldab ka punktis 3 sätestatud kolmandast isikust kasusaaja klauslit juhtudeks, kui andmesubjektil ei ole võimalik esitada punktis 6 (1) nimetatud kahju hüvitamise nõuet. ), andmeeksportija või andmete importija vastu, kuna andmeeksportija või andmete importija on füüsiliselt kadunud, seaduslikult lakanud eksisteerimast või muutunud maksejõuetuks ning kõik andmeeksportija või andmeimportija juriidilised kohustused ei ole lepingu või tegevusega üle läinud. seaduse alusel teisele õigusjärglasele. Andmetöötleja vastutus peab piirduma tema enda töötlemistoimingutega vastavalt käesolevatele punktidele.

3. Lõikes 1 osutatud lepingu andmetöötluse allhankelepingute sõlmimise andmekaitseaspekte käsitlevaid sätteid reguleerib selle liikmesriigi õigus, kus andmeeksportija on registreeritud.

4. Andmeeksportija peab käesolevate punktide alusel sõlmitud ja Andmeimportija poolt punkti 5 punkti j kohaselt teatavaks tehtud andmetöötluslepingute alltöövõtjate nimekirja, mida ajakohastatakse vähemalt kord aastas. See nimekiri tehakse kättesaadavaks andmeeksportija andmekaitse järelevalveasutusele.

Punkt 12

Kohustus pärast isikuandmete töötlemise teenuste lõpetamist

1. Pooled lepivad kokku, et pärast andmetöötlusteenuste lõpetamist tagastavad andmete importija ja töötleja andmeeksportijale sobival viisil kõik edastatud isikuandmed ja nende koopiad andmeeksportijale või hävitavad kõik sellised andmed ja esitavad tõendi. hävitamine Andmeeksportijale, välja arvatud juhul, kui andmeimportijale kehtestatud õigusaktid ei takista tal kõiki või osa edastatud isikuandmeid tagastada või hävitada. Sellisel juhul garanteerib Andmeimportija, et ta tagab edastatavate isikuandmete konfidentsiaalsuse ning andmeid enam aktiivselt ei töötle.

2. Andmete importija ja andmetöötleja tagavad, et andmeeksportija ja/või järelevalveasutuse nõudmisel kontrollivad nad oma andmetöötlusvahendeid lõikes 1 osutatud meetmete järgimise kohta.

2. osa lisa 1.1

Ülekande üksikasjad

Andmete eksportija

Andmete eksportija on Lepingus määratletud Klient.

Andmete importija

Andmete importija on IQUALIF ja tema ülesanne on töödelda andmeid, pakkudes Andmeeksportijale teenuseid.

Andmete subjektid

Edastatud isikuandmed puudutavad järgmisi andmesubjektide kategooriaid:

˜' universaalses kataloogis loetletud telefoniabonendid

˜ Muud, sealhulgas:

Andmete kategooriad

Edastatud isikuandmed puudutavad järgmisi andmekategooriaid:

Eelkõige andmeeksportija andmesubjektide isikuandmete kategooriad,

˜' Täisnimi

˜' Postiaadress

˜' Kontaktandmed (e-post, telefon, IP-aadress jne)

˜' Telefoni abonenti puudutavate turundustegevuste üksikasjad

„Muud, sealhulgas anonüümselt tehtud eluaseme tüüp, sissetulek ja linna keskmine vanus

Andmete erikategooriad (vajaduse korral)

Edastatavad isikuandmed puudutavad järgmisi andmekategooriaid:

˜' Erikategooriate andmete edastamine ei ole ette nähtud

˜ Rass või etniline päritolu

˜ Religioossed või filosoofilised tõekspidamised

˜ Ametiühingusse kuulumine

˜ Poliitilised vaated

˜ Geneetiline teave

˜ Biomeetriline teave

˜ Teave seksuaalse sättumuse või seksuaalelu kohta

˜ Terviseandmed

Töötlemistegevused

Edastatud isikuandmete suhtes kohaldatakse järgmisi põhilisi töötlemistoiminguid:

•  
  • ¢ Töötlemise eesmärk

Andmeeksportija nimel tehtav töötlemine põhineb järgmistel teemadel, eelkõige:

˜' Andmeeksportija pakutavate toodete või teenuste eest vastutamine

˜' Toote või teenuse pakkumine, mida helistaja saab taotleda

˜' Helistatud isikutelt võetud korraldused ja nende tellimuste edasine töötlemine

˜' Uurige küsimustikke ja analüüse

˜' Telemarketing

˜ Muud, sealhulgas:

•  
  • ¢ Töötlemise olemus ja eesmärk

Andmeimportija töötleb andmesubjektide isikuandmeid andmeeksportija nimel, et pakkuda järgmisi teenuseid, eelkõige:

˜' Müük ja turundus

˜' Muud, sealhulgas raekodade ja erakondade andmebaaside uuendamine

•  
  • ¢ Teenuste pakkumine ja teenuseosutajate palkamine

IQUALIF ühendab, tsentraliseerib ja pakub teenuseid peamiselt andmeeksportijale. Nimetatud teenusepakkuja pakutavad teenused võivad olla struktureeritud (muu hulgas vastavalt vajadusele) järgmiste abiteenuste ümber: (i) rakenduste, tööriistade, süsteemide ja IT-infrastruktuuri pakkumine seoses kasutatavate andmetöötluskeskustega, et pakkuda ja toetada teenuseid, sealhulgas ülalkirjeldatud andmesubjektide isikuandmete töötlemist selliste rakenduste, tööriistade ja süsteemide kaudu, (ii) selliste rakenduste, tööriistade ja süsteemidega seotud IT-toe, hoolduse ja muude teenuste pakkumine. ja IT-infrastruktuur, sealhulgas potentsiaalne juurdepääs sellistes rakendustes, tööriistades ja süsteemides salvestatud isikuandmetele ning iii) andmekaitseteenuste pakkumine, kaitse jälgimine ja intsidentidele reageerimise teenused, sealhulgas võimalik juurdepääs isikuandmetele selliste kaitseteenuste osutamisel. IQUALIF võib teenuste, sealhulgas abiteenuste osutamiseks kaasata andmetöötlejaid, nagu allpool sätestatud.

•  
  • ¢ Andmetöötlusele määratud allüksustena välised kolmandast osapoolest teenusepakkujad

IQUALIF kaasab andmeeksportijale teenuste osutamise toetamiseks väliseid ja kolmandaid teenusepakkujaid, kes ei ole IQUALIFi tütarettevõtted. Andmeeksportija kinnitab sellised välised kolmandatest isikutest teenusepakkujad andmetöötlusele määratud allüksusteks.

Kui andmetöötlusega seotud allüksus asub väljaspool EL-i/EMP-d riigis, mille andmekaitse tase Euroopa Komisjoni otsuse kohaselt ei ole piisav, astub andmete importija meetmeid piisava andmekaitse taseme saavutamiseks. andmekaitse vastavalt GDPR-ile ja 1. osa jaotisele 3.4 (iv).

2. lisa 2. osa

Tehnilised ja organisatsioonilised kaitsemeetmed

Andmete importija rakendab järgmisi Andmeeksportija poolt kinnitatud tehnilisi ja organisatsioonilisi kaitsemeetmeid, et tagada üksikisikute õiguste ja vabaduste asjakohane turvalisuse tase, olenevalt riskidest. Asjaomase kaitsetaseme hindamisel on andmeeksportija võtnud eelkõige arvesse töötlemisega kaasnevaid riske, sealhulgas juhuslikku või ebaseaduslikku hävitamist, muutmist, volitamata avaldamist või juurdepääsu edastatud, salvestatud või muul viisil töödeldavatele isikuandmetele. Selgituseks: need tehnilised ja organisatsioonilised kaitsemeetmed ei kehti andmeeksportija pakutavate rakenduste, tööriistade, süsteemide ja/või IT-infrastruktuuri kohta.