Износителят на данни гарантира, че е използвал разумни усилия да определи, че вносителят на данни е в състояние, чрез прилагане на подходящи технически и организационни мерки, да изпълни задълженията си съгласно настоящите Клаузи.
а) Вносителят на данни обработва личните данни само при документирани инструкции от износителя на данни. Износителят на данни може да дава такива инструкции през цялата продължителност на договора.
б) Вносителят на данни информира незабавно износителя на данни, ако не е в състояние да спазва тези инструкции.
Вносителят на данни обработва личните данни само за конкретната/ите цел/и от прехвърлянето, посочена/и в Приложение I.B, освен ако не са допълнителни инструкции от износителя на данни.
При поискване, износителят на данни прави копие от настоящите Клаузи, включително Допълнението, попълнено от Страните, което се предоставя на субекта на данни безплатно. До степента, необходима за защита на бизнес тайни или друга поверителна информация, включително мерките, описани в Приложение II и лични данни, износителят на данни може да редактира част от текста на Допълнението към настоящите Клаузи преди споделяне на копие, но предоставя смислено обобщение, когато в противен случай субектът на данни няма да може да разбере съдържанието или да упражнява правата си. При поискване, Страните предоставят на субекта на данни причините за редакциите, до степента, в която е възможно, без да разкриват редактираната информация. Настоящата Клауза не засяга задълженията на износителя на данни съгласно членове 13 и 14 от Регламент (ЕС) 2016/679.
Ако вносителят на данни разбере, че личните данни, които е получил, са неточни или са остарели, той информира износителя на данни без ненужно забавяне. В този случай вносителят на данни си сътрудничи с износителя на данни, за да изтрие или коригира данните.
Обработването от вносителя на данни се извършва само за периода, посочен в Приложение I.B. След края на предоставянето на услугите за обработка, вносителят на данни изтрива всички лични данни, обработвани от името на износителя на данни и удостоверява пред износителя на данни, че го е направил, или връща на износителя на данни всички лични данни, обработвани от негово име, и изтрива съществуващите копия. Докато данните не бъдат изтрити или върнати, вносителят на данни продължава да гарантира спазването на настоящите Клаузи. В случай на местни закони, приложими към вносителя на данни, които забраняват връщането или заличаването на лични данни, вносителят на данни гарантира, че ще продължава да гарантира спазването на настоящите Клаузи и ще ги обработва само до степента и за толкова дълго, колкото се изисква съгласно това местно законодателство. Това не засяга Клауза 14, по-специално изискването вносителят на данни съгласно Клауза 14, буква д) да уведомява износителя на данни през целия срок на договора, ако има причина да смята, че това е или е станало предмет на закони или практики, които не са в съответствие с изискванията по Клауза 14, буква а).
а) Вносителят на данни и, по време на прехвърлянето, износителят на данни прилага подходящи технически и организационни мерки, за да гарантира сигурността на данните, включително защита срещу нарушение на сигурността, което води до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до тези данни (по-долу „нарушение на личните данни“). При оценката на съответното ниво на сигурност, страните по споразумението вземат предвид актуалното състояние на техниката, разходите за изпълнение, естеството, обхват, контекста и целта на обработването, и рисковете, включени в обработването, за субектите на данни. Страните по споразумението обмислят по-специално прибягване до криптиране или псевдонимизация, включително по време на прехвърлянето, когато целта на обработването може да бъде изпълнена по този начин. В случай на псевдонимизация, допълнителната информация за приписване на личните данни на конкретен субект на данни, остава под изключителния контрол на износителя на данни. При спазване на задълженията си съгласно настоящия параграф, вносителят на данни прилага най-малко техническите и организационните мерки, посочени в Приложение II. Вносителят на данни извършва редовни проверки, за да гарантира, че тези мерки продължават да осигуряват подходящо ниво на сигурност.
б) Вносителят на данни предоставя достъп до личните данни на членовете на неговия персонал само до степента, която е строго необходима за изпълнението, управлението и наблюдението на договора. Той гарантира, че лицата, упълномощени да обработват личните данни, са се ангажирали с поверителност или са обхванати от подходящо законово задължение за поверителност.
в) В случай на нарушение на личните данни по отношение на лични данни, обработвани от вносителя на данни съгласно настоящите Клаузи, вносителят на данни предприема подходящи мерки за справяне с нарушението, включително мерки за смекчаване на неговите неблагоприятни ефекти. Вносителят на данни уведомява износителя на данни без ненужно забавяне, след като е разбрал за нарушението. Такова уведомление съдържа подробности за точката за контакт, в която може да бъде получена повече информация, описание на естеството на нарушението (включително, когато е възможно, категории и приблизителен брой субекти на данни и съответните записи на лични данни), неговите вероятни последици и мерките, предприети или предложени за справяне с нарушението, включително, когато е приложимо, мерки за смекчаване на възможните неблагоприятни ефекти. Когато и доколкото не е възможно да се предостави цялата информация едновременно, първоначалното уведомление съдържа информацията, която е налична към момента, и впоследствие се предоставя допълнителна информация, когато стане налична, без ненужно забавяне.
г) Вносителят на данни си сътрудничи и подпомага износителя на данни, за да позволи на износителя на данни да спазва задълженията си съгласно Регламент (ЕС) 2016/679, по-специално да уведоми компетентния надзорен орган и засегнатите субекти на данни, като взема предвид естеството на обработването и информацията, която е достъпна за вносителя на данни.
Когато прехвърлянето включва лични данни, разкриващи расов или етнически произход, политически мнения, религиозни или философски убеждения или членство в синдикат, генетични данни или биометрични данни за целите на уникално идентифициране на физическо лице, данни относно здравето, или сексуалния живот, или сексуалната ориентация на дадено лице, или данни, свързани с наказателни присъди и нарушения (наричани по-долу „чувствителни данни“), вносителят на данни прилага специфичните ограничения и/или допълнителни гаранции, описани в Приложение I.B.
Вносителят на данни разкрива личните данни само на трета страна при документирани инструкции от износителя на данни. Освен това данните могат да бъдат разкрити на трета страна, разположена извън Европейския съюз, (4) (в същата държава като вносителя на данни или в друга трета държава, нарично по-долу „последващо прехвърляне“), ако третата страна е или се е съгласила да бъде обвързана с настоящите Клаузи, съгласно подходящия Модул, или ако:
а) последващото прехвърляне е към държава, която се възползва от решение за адекватност съгласно член 45 от Регламент (ЕС) 2016/679, което обхваща по-нататъшното прехвърляне;
б) третата страна осигурява подходящи гаранции съгласно членове 46 или 47 от Регламент (ЕС) 2016/679 по отношение на въпросното обработване;
в) последващото прехвърляне е необходимо за установяването, упражняването или защитата на правни претенции в контекста на специфични административни, регулаторни или съдебни производства; или
г) последващото прехвърляне е необходимо, за да се защитят жизненоважните интереси на субекта на данни или на друго физическо лице.
Всяко следващо прехвърляне подлежи на спазване от вносителя на данни на всички други гаранции съгласно настоящите Клаузи, по-специално ограничаването на целите.
а) Вносителят на данни се занимава бързо и адекватно със запитвания от износителя на данни, които се отнасят до обработването съгласно настоящите Клаузи.
б) Страните по споразумението могат да демонстрират спазването на настоящите Клаузи. По-специално, вносителят на данни съхранява подходяща документация за дейностите по обработване, извършени от името на износителя на данни.
в) Вносителят на данни предоставя на износителя цялата информация, необходима за демонстриране на спазването на задълженията, посочени в настоящите Клаузи, и по искане на износителя на данни, позволява и допринася за одитите на дейностите по обработване, обхванати от настоящите Клаузи, на разумни интервали или ако има индикации за несъответствие. При вземането на решение за преглед или одит, износителят на данни може да вземе предвид съответните сертификати, притежавани от вносителя на данни.
г) Износителят на данни може да избере да извърши одита самостоятелно или да го възложи на независим одитор. Одитите могат да включват проверки в помещенията или физическите съоръжения на вносителя на данни и се извършват с разумно предизвестие.
д) Страните по споразумението предоставят информацията, посочена в параграфи б) и в), включително резултатите от всички одити, на компетентния надзорен орган при поискване.
а) Вносителят на данни има общото разрешение на износителя на данни за ангажирането на подизпълнител/и от съгласуван списък. Вносителят на данни информира по-специално износителя на данни писмено за всички планирани промени в този списък чрез добавянето или подмяната на подизпълнители най-малко четиринадесет дни по-рано, като по този начин дава на износителя на данни достатъчно време, за да бъде в състояние да възрази срещу такива промени преди ангажираността на подизпълнителя/ите. Вносителят на данни предоставя на износителя информацията, необходима за да позволи на износителя на данни да упражни правото си на възражение.
б) Когато вносителят на данни ангажира подизпълнител, за да извърши специфични дейности по обработка (от името на износителя на данни), той го прави чрез писмен договор, който предвижда, по същество същите задължения за защита на данните като тези, които обвързват вносителя на данни съгласно настоящите Клаузи, включително по отношение на правата на трети страни бенефициери за субекти на данни. (8) Страните по споразумението се съгласяват, че като се спазват тази Клауза, вносителят на данни изпълнява задълженията си съгласно Клауза 8.8. Вносителят на данни гарантира, че подизпълнителят спазва задълженията, на които вносителят на данни е подчинен съгласно настоящите Клаузи.
в) Вносителят на данни предоставя по искане на износителя на данни копие от такова споразумение с подизпълнител и всички последващи изменения на износителя на данни. До степента, необходима за защита на бизнес тайни или друга поверителна информация, включително лични данни, вносителят на данни може да редактира текста на споразумението преди споделяне на копие.
г) Вносителят на данни остава напълно отговорен пред износителя на данни за изпълнението на задълженията на подизпълнителя по договора му с вносителя на данни. Вносителят на данни уведомява износителя на данни за всяко неизпълнение от страна на подизпълнителя на задълженията му съгласно този договор.
д) Вносителят на данни се съгласява с клауза на трети страни бенефициер с подизпълнителя, при която, в случай че вносителят на данни фактически е изчезнал, е престанал да съществува по право или е станал неплатежоспособен, износителят на данни има право да прекрати договора с подизпълнителя и да инструктира подизпълнителя да изтрие или да върне личните данни.
а) Вносителят на данни уведомява незабавно износителя на данни за всяко заявление, което е получил от субект на данни. Той не отговаря на това искане сам, освен ако не е упълномощен от износителя на данни да го направи.
б) Вносителят на данни подпомага износителя на данни при изпълнение на задълженията си за отговор на исканията на субектите на данни за упражняването на техните права съгласно Регламент (ЕС) 2016/679. В това отношение страните по споразумението определят в Приложение II подходящите технически и организационни мерки, като вземат предвид естеството на обработването, чрез което се предоставя помощта, както и обхвата и степента на изискваната помощ.
в) При изпълнение на задълженията си съгласно параграфи а) и б), вносителят на данни спазва инструкциите от износителя на данни.
а) Вносителят на данни информира субектите на данни в прозрачен и лесно достъпен формат, чрез индивидуално уведомление или на неговия уебсайт, за точка за контакт, упълномощена да обработва оплакванията. Той се занимава бързо с всички оплаквания, които получава от субект на данни.
б) В случай на спор между субект на данни и една от страните по отношение на спазването на настоящите Клаузи, тази страна използва най-добрите си усилия за разрешаване на този въпрос по приятелски начин своевременно. Страните по споразумението се държат взаимно информирани за такива спорове и когато е уместно, си сътрудничат при разрешаването им.
в) Когато субектът на данни се позове на право на трета страна бенефициер съгласно Клауза 3, вносителят на данни приема решението на субекта на данни да:
i) подаде жалба до надзорния орган в държавата членка на обичайното му местопребиваване или месторабота, или на компетентния надзорен орган съгласно Клауза 13;
ii) сезира компетентните съдилища за спора по смисъла на Клауза 18.
г) Страните по споразумението приемат, че субектът на данни може да бъде представен от орган с нестопанска цел, организация или асоциация при условията, посочени в член 80, параграф 1 от Регламент (ЕС) 2016/679.
д) Вносителят на данни се придържа към решение, което е обвързващо съгласно приложимото законодателство на ЕС или на държавите членки.
е) Вносителят на данни се съгласява, че изборът на субекта на данни няма да засяга неговите съществени и процедурни права за търсене на средства за защита в съответствие с приложимите закони.
а) Всяка Страна носи отговорност пред другата/ите страна/и за всички щети, които причинява на другата/ите страна/и чрез всяко нарушение на настоящите Клаузи.
б) Вносителят на данни носи отговорност към субекта на данни и субектът на данни има право да получи обезщетение, за всички материални или нематериални щети, причинени от вносителя на данни или от неговия подизпълнител на субекта на данни чрез нарушаване на правата на трети страни бенефициери съгласно настоящите Клаузи.
в) Независимо от параграф б), износителят на данни носи отговорност пред субекта на данни и субектът на данни има право да получи обезщетение, за всички материални или нематериални щети, причинени от износителя на данни или от вносителя на данни (или неговият подизпълнител) на субекта на данни чрез нарушаване на правата на трети страни бенефициери съгласно настоящите Клаузи. Това не засяга отговорността на износителя на данни и когато износителят на данни е обработващ лични данни от името на администратор, на отговорността на администратора съгласно Регламент (ЕС) 2016/679 или Регламент (ЕС) 2018/1725, според случая.
г) Страните по споразумението се съгласяват, че ако износителят на данни е държан отговорен съгласно параграф в) за вреди, причинени от вносителя на данни (или от неговия подизпълнител), той има право да претендира обратно от вносителя на данни за тази част от обезщетението, която съответства на отговорността на вносителя на данни за щетите.
д) Когато повече от една страна е отговорна за всички щети, причинени на субекта на данни в резултат на нарушение на настоящите Клаузи, всички отговорни страни по споразумението са солидарно отговорни и субектът на данни има право да предяви иск пред съда срещу която и да е от тези Страни.
е) Страните по споразумението се съгласяват, че ако една Страна е държана отговорна съгласно параграф д), тя има право да претендира обратно от другата/ите страна/и частта от обезщетението, съответстваща на нейната/тяхната отговорност за щетите.
ж) Вносителят на данни не може да се позове на поведението на подизпълнител, за да избегне собствената си отговорност.
а) Страните се съгласяват, че надзорният орган с отговорност за гарантиране на спазването от износителя на данни с Регламент (ЕС) 2016/679 по отношение на прехвърлянето на данни е Холандският орган за защита на данните (Autoriteit Persoonsgegevens), който действа като компетентен надзорен орган.
б) Вносителят на данни се съгласява да се представи на компетентната юрисдикция и да си сътрудничи с компетентния надзорен орган във всички процедури, насочени към гарантиране на спазването на настоящите Клаузи. По-специално, вносителят на данни се съгласява да отговори на запитвания, да премине одити и да спазва мерките, приети от надзорния орган, включително коригиращи и компенсаторни мерки. Той предоставя на надзорния орган писмено потвърждение, че са предприети необходимите действия.
