Az adatátadó garantálja, hogy észszerű erőfeszítéseket tett annak megállapítására, hogy az adatátvevő a megfelelő technikai és szervezési intézkedések végrehajtása révén teljesíteni tudja-e az e feltételek szerinti kötelezettségeit.
(a) Az adatátvevő a személyes adatokat csak az adatátadó dokumentált utasításai alapján kezelheti. Az adatátadó a szerződés teljes időtartama alatt adhat ilyen utasításokat.
(b) Az adatátvevő haladéktalanul tájékoztatja az adatátadót, ha nem tudja követni ezeket az utasításokat.
Az adatátvevő a személyes adatokat kizárólag az I. melléklet B. részében meghatározott konkrét cél(ok)ból kezelheti, amennyiben nem kap további utasításokat az adatátadótól.
Kérésre az adatátadó díjmentesen az érintett rendelkezésére bocsátja e feltételek egy példányát, beleértve a függelék Felek által kitöltött változatát is. Az üzleti titkok vagy más bizalmas információk – köztük a II. mellékletben ismertetett intézkedések és a személyes adatok – védelméhez szükséges mértékben az adatátadó a másolat megosztása előtt kitakarhatja e feltételek függeléke szövegének egy részét, de érdemi összefoglalót kell készítenie, ha máskülönben az érintett nem tudná megérteni annak tartalmát vagy nem képes gyakorolni a jogait. Kérelemre a Felek a lehető legnagyobb mértékben közlik az érintettel a kitakarások okait anélkül, hogy felfednék a kitakart információkat. Ez a feltétel nem érinti az adatátadónak az (EU) 2016/679 rendelet 13. és 14. cikke szerinti kötelezettségeit.
Ha az adatátvevő tudomására jut, hogy az általa továbbított vagy átvett személyes adatok pontatlanok vagy elavulttá váltak, erről indokolatlan késedelem nélkül tájékoztatja az adatátadót. Ebben az esetben az adatátvevő együttműködik az adatátadóval az adatok törlése vagy helyesbítése érdekében.
Az adatátvevő általi adatkezelésre kizárólag az I. melléklet B. részében meghatározott időtartamig kerülhet sor. Az adatkezelési szolgáltatások nyújtásának végét követően az adatátvevő az adatátadó választása szerint törli az adatátadó nevében kezelt valamennyi személyes adatot, és igazolja az adatátadó számára, hogy ezt megtette, vagy visszaküldi az adatátadónak a nevében kezelt valamennyi személyes adatot, és törli a meglévő másolatokat. Az adatok törléséig vagy visszaküldéséig az adatátvevő továbbra is biztosítja az e feltételeknek való megfelelést. Az adatátvevőre alkalmazandó olyan helyi jogszabályok esetén, amelyek tiltják a személyes adatok visszajuttatását vagy törlését, az adatátvevő garantálja, hogy továbbra is biztosítja e feltételek betartását, és az adatokat csak a helyi jog által előírt mértékben és ideig kezeli. Ez nem érinti a 14. feltételt, különösen az adatátvevőnek a 14. feltétel e) pontja szerinti azon kötelezettségét, hogy a szerződés teljes időtartama alatt értesítse az adatátadót, ha okkal feltételezi, hogy olyan jogszabályok vagy gyakorlatok hatálya alá tartozik vagy tartozott, amelyek nincsenek összhangban a 14. feltétel a) pontjában foglalt követelményekkel.
(a) Az adatátvevő és – a továbbítás során – az adatátadó megfelelő technikai és szervezési intézkedéseket vezet be az adatok biztonságának biztosítása érdekében, beleértve a biztonság olyan megsértése elleni védelmet, amely véletlen vagy jogellenes megsemmisítéshez, elvesztéshez, módosításhoz, jogosulatlan nyilvánosságra hozatalhoz vagy az adatokhoz való hozzáféréshez (a továbbiakban: személyes adatok megsértése) vezet. A megfelelő biztonsági szint értékelése során a Feleknek kellően figyelembe kell venni a technika állását, a végrehajtás költségeit, az adatkezelés jellegét, hatókörét, kontextusát és célját/céljait, valamint az érintetteket érintő, az adatkezeléssel járó kockázatokat. A Felek különösen mérlegelik a titkosítás vagy az álnevesítés alkalmazását, többek között a továbbítás során is, amennyiben az adatkezelés célja ily módon teljesíthető. Álnevesítés esetén a személyes adatoknak egy adott érintetthez való hozzárendelésére vonatkozó kiegészítő információk lehetőség szerint az adatátadó kizárólagos ellenőrzése alatt maradnak. Az e bekezdés szerinti kötelezettségének való megfelelés során az adatátvevő végrehajtja legalább a II. mellékletben meghatározott technikai és szervezési intézkedéseket. Az adatátvevő rendszeres ellenőrzéseket végez annak biztosítása érdekében, hogy ezek az intézkedések továbbra is megfelelő biztonsági szintet nyújtsanak.
(b) Az adatátvevő csak a szerződés végrehajtásához, kezeléséhez és nyomon követéséhez feltétlenül szükséges mértékben biztosít hozzáférést a munkavállalói számára a személyes adatokhoz. Biztosítja azt, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaljanak vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt álljanak.
(c) Személyes adatok olyan megsértése esetén, amely az e feltételek alapján az adatátvevő által kezelt személyes adatokat érinti, az adatátvevő megteszi a megfelelő intézkedéseket az adatsértés orvoslására, beleértve a káros hatások enyhítésére irányuló intézkedéseket is. Az adatátvevő az adatsértésről való tudomásszerzést követően indokolatlan késedelem nélkül értesíti az adatátadót is. Az értesítésnek tartalmaznia kell egy olyan kapcsolattartó pont adatait, ahol további információ szerezhető, az adatsértés jellegének leírását (beleértve lehetőség szerint az érintett személyek kategóriáit és a személyes adatok hozzávetőleges számát), annak valószínű következményeit, valamint az incidens kezelésére hozott vagy javasolt intézkedéseket, beleértve adott esetben a lehetséges káros hatások enyhítésére irányuló intézkedéseket is. Ha és amennyiben nem lehetséges egyidejűleg az összes információt megadni, a kezdeti értesítésnek tartalmaznia kell az akkor rendelkezésre álló információt, és amint rendelkezésre állnak, a további információkat a későbbiekben indokolatlan késedelem nélkül meg kell adni.
(d) Az adatátvevőnek együtt kell működnie az adatátadóval és segítenie kell abban, hogy az adatátadó eleget tehessen az (EU) 2016/679 rendelet szerinti kötelezettségeinek, nevezetesen, hogy értesítse az illetékes felügyeleti hatóságot és az érintetteket, figyelembe véve az adatkezelés jellegét és az adatátvevő rendelkezésére álló információkat.
Amennyiben az adattovábbítás faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatot, természetes személy egyedi azonosítását célzó genetikai vagy biometrikus adatokat, egészségi állapotra vagy egy személy szexuális életére vagy szexuális irányultságára vonatkozó adatokat vagy büntetőjogi felelősséget megállapító ítéletekre és bűncselekményekre vonatkozó adatokat tartalmaz (a továbbiakban: különleges adatok), az I. melléklet B. részében leírt egyedi korlátozásokat és/vagy további garanciákat alkalmaz.
Az adatátvevő a személyes adatokat csak az adatátadó dokumentált utasításai szerint teheti közzé harmadik fél számára. Ezenfelül az adatok kizárólag akkor közölhetők az Európai Unión kívüli harmadik féllel (4) (az adatátvevővel azonos országban vagy más harmadik országban, a továbbiakban: további adattovábbítás), ha a harmadik félre nézve az e feltételek a megfelelő modul alapján kötelezők, vagy azokat a harmadik fél vállalja, vagy ha:
(a) a további adattovábbítás olyan országba irányul, amely az (EU) 2016/679 rendelet 45. cikke szerinti, a további adattovábbításra kiterjedő megfelelőségi határozat hatálya alá tartozik;
(b) a harmadik fél egyéb módon biztosítja az (EU) 2016/679 rendelet 46. vagy 47. cikke szerinti megfelelő garanciákat a szóban forgó adatkezelés tekintetében;
(c) a további adattovábbítás konkrét közigazgatási, szabályozási vagy bírósági eljárások keretében jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges; vagy
(d) a további adattovábbítás az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges.
További adattovábbítás esetén az adatátvevő betartja az e feltételek szerinti összes többi garanciát, különösen a célhoz kötöttséget.
(a) Az adatátvevő haladéktalanul és megfelelően foglalkozik az adatátadó azon kérdéseivel, amelyek az e feltételek szerinti adatkezeléssel kapcsolatosak.
(b) A Feleknek igazolniuk kell, hogy eleget tesznek az e feltételek szerinti kötelezettségeiknek. Nevezetesen az adatátvevőnek meg kell őriznie az adatátadó nevében elvégzett adatkezelési tevékenységek megfelelő dokumentációját.
(c) Az adatátvevő az adatátadó rendelkezésére bocsát minden olyan információt, amely az e szerződési feltételekben és az adatátadó kérésére előírt kötelezettségek teljesítésének igazolásához szükséges, lehetővé teszi az e szerződési feltételek hatálya alá tartozó adatkezelési tevékenységek észszerű időközönkénti vagy a megfelelés hiányára utaló jelek előfordulása esetén történő ellenőrzését, valamint hozzájárul ahhoz. A felülvizsgálatra vagy ellenőrzésre vonatkozó döntés meghozatalakor az adatátadó figyelembe veheti az adatátvevő birtokában lévő vonatkozó tanúsítványokat.
(d) Az adatátadó dönthet úgy, hogy maga végzi el az ellenőrzést, vagy megbíz egy független könyvvizsgálót. Az ellenőrzések kiterjedhetnek az adatátvevő telephelyein vagy fizikai létesítményeiben végzett vizsgálatokra, amelyeket adott esetben észszerű értesítés mellett kell elvégezni.
(e) A Felek kérésre az illetékes felügyeleti hatóság rendelkezésére bocsátják a b) és c) bekezdésben említett információkat, beleértve az ellenőrzések eredményeit is.
(a) Az adatátvevő rendelkezik az adatátadó általános engedélyével ahhoz, hogy az elfogadott listáról további adatfeldolgozó(ka)t vegyen igénybe. Az adatátvevő írásban kifejezetten tájékoztatja az adatátadót az említett lista bármely tervezett módosításáról a további adatfeldolgozók hozzáadása vagy lecserélése révén, legalább tizennégy nappal korábban, elegendő időt biztosítva az adatátadónak arra, hogy a további adatfeldolgozó(k) megbízása előtt kifogást emelhessen az ilyen változtatásokkal szemben. Az adatátvevő megadja az adatátadónak azokat az információkat, amelyek szükségesek ahhoz, hogy az adatátadó a tiltakozáshoz való jogát gyakorolhassa.
(b) Amennyiben az adatátvevő konkrét adatkezelési tevékenységek végzése céljából további adatfeldolgozót vesz igénybe (az adatátadó nevében), ezt írásbeli szerződés útján teszi, amely lényegében ugyanazokat az adatvédelmi kötelezettségeket írja elő, mint amelyek e feltételek alapján az adatátvevőre nézve kötelezőek, ideértve a harmadik felek kedvezményezettjeit megillető érintetti jogokat is. (8) A Felek megállapodnak abban, hogy e feltétel betartásával az adatátvevő teljesíti a 8.8. feltétel szerinti kötelezettségeit. Az adatátvevő biztosítja, hogy a további adatfeldolgozó teljesítse azokat a kötelezettségeket, amelyek az adatátvevőre e feltételek értelmében vonatkoznak.
(c) Az adatátvevő az adatátadó kérésére átadja az adatátadónak a további adatfeldolgozóra vonatkozó megállapodás másolatát, valamint annak minden későbbi módosítását. Az üzleti titkok vagy más bizalmas információk, köztük a személyes adatok védelméhez szükséges mértékben az adatátvevő a másolat megosztása előtt kivonatolhatja a megállapodás szövegét.
(d) Az adatátvevő továbbra is teljes mértékben felel az adatátadó felé a további adatfeldolgozónak az adatátvevővel kötött szerződése szerinti kötelezettségei teljesítéséért. Az adatátvevő értesíti az adatátadót, ha a további adatfeldolgozó nem teljesíti a szerződésből eredő kötelezettségeit.
(e) Az adatátvevő megállapodik a további adatfeldolgozóval a kedvezményezett harmadik félről szóló záradékról, amelynek értelmében az adatátadó jogosult felmondani a további adatfeldolgozóra vonatkozó szerződést, és a további adatfeldolgozót a személyes adatok törlésére vagy visszaküldésére utasítani, ha az adatátvevő ténylegesen eltűnt, megszűnt létezni a jog szerint, vagy fizetésképtelenné vált.
(a) Az adatátvevő haladéktalanul értesíti az adatátadót az érintettől kapott bármely kérelemről. A kérelemre ő maga nem válaszolhat, hacsak erre az adatátadó fel nem hatalmazza.
(b) Az adatátvevő segíti az adatátadót az érintetteknek az (EU) 2016/679 rendelet szerinti jogaik gyakorlásával kapcsolatos kérelmeinek megválaszolására vonatkozó kötelezettségei teljesítésében. E tekintetben a Felek a II. mellékletben meghatározzák a megfelelő technikai és szervezési intézkedéseket, figyelembe véve a segítségnyújtást igénylő adatkezelés jellegét, valamint a szükséges segítségnyújtás hatókörét és mértékét.
(c) Az a) és b) bekezdés szerinti kötelezettségeinek teljesítése során az adatátvevőnek meg kell felelnie az adatátadó utasításainak.
(a) Az adatátvevő átlátható és könnyen hozzáférhető formában, egyedi értesítés útján vagy honlapján tájékoztatja az érintetteket a panaszok kezelésére felhatalmazott kapcsolattartó pontról. Haladéktalanul kezeli az érintettől kapott panaszokat.
(b) Abban az esetben, ha az érintett és az egyik Fél között vita alakul ki az e feltételeknek való megfelelés tekintetében, az adott Fél mindent megtesz annak érdekében, hogy a kérdés békés úton, kellő időben rendeződjön. A Felek folyamatosan tájékoztatják egymást az ilyen vitákról, és adott esetben együttműködnek azok megoldásában.
(c) Amennyiben az érintett a kedvezményezett harmadik személyre vonatkozó 3. feltétel szerinti jogra hivatkozik, az adatátvevő elfogadja az érintett döntését, miszerint:
(i) panaszt nyújt be a szokásos tartózkodási helye vagy munkahelye szerinti tagállam felügyeleti hatóságánál vagy a 13. feltétel szerinti illetékes felügyeleti hatóságnál;
(ii) a jogvitát a 18. feltétel értelmében illetékes bíróságok elé utalja.
(d) A Felek elfogadják, hogy az érintettet az (EU) 2016/679 rendelet 80. cikkének (1) bekezdésében meghatározott feltételek szerint nonprofit szerv, szervezet vagy egyesület képviselheti.
(e) Az adatátvevő betartja az alkalmazandó uniós/tagállami jog értelmében kötelező erejű határozatot.
(f) Az adatátvevő egyetért azzal, hogy az érintett választása nem sérti az érintett azon anyagi és eljárási jogait, hogy az alkalmazandó jogszabályokkal összhangban jogorvoslatért folyamodjon.
(a) Mindegyik Fél felelősséggel tartozik a másik Féllel/Felekkel szemben minden olyan kárért, amelyet e feltételek megsértésével a másik Fél/Felek okoz(nak).
(b) Az adatátvevő felelősséggel tartozik az érintett felé, és az érintett kártérítésre jogosult minden olyan anyagi vagy nem vagyoni kárért, amelyet az adatátvevő vagy a további feldolgozója okoz az érintettnek azáltal, hogy megsérti a harmadik fél kedvezményezettek e feltételek szerinti jogait.
(c) A b) bekezdésben foglaltak sérelme nélkül az adatátadó felelősséggel tartozik az érintett felé, és az érintett kártérítésre jogosult minden olyan anyagi vagy nem vagyoni kárért, amelyet az adatátadó vagy az adatátvevő (vagy a további feldolgozója) okoz az érintettnek azáltal, hogy megsérti a harmadik fél kedvezményezettek e feltételek szerinti jogait. Ez nem érinti az adatátadó felelősségét és – amennyiben az adatátadó az adatkezelő nevében eljáró adatfeldolgozó – az adatkezelőnek az (EU) 2016/679 rendelet vagy adott esetben az (EU) 2018/1725 rendelet szerinti felelősségét.
(d) A Felek megállapodnak abban, hogy amennyiben az adatátadót a c) bekezdés alapján felelősségre vonják az adatátvevő (vagy annak további feldolgozója) által okozott károkért, jogában áll visszaigényelni az adatátvevőtől a kártérítésnek azt a részét, amely megfelel az adatátvevő károkozásért viselt felelősségének.
(e) Amennyiben egynél több Fél felelős az érintettnek az e feltételek megsértéséből eredően okozott károkért, valamennyi felelős Fél egyetemlegesen felelős, és az érintett jogosult bíróságon keresetet indítani e Felek bármelyikével szemben.
(f) A Felek megállapodnak abban, hogy amennyiben az egyik Felet az e) bekezdés alapján felelősségre vonják, jogosult a másik Féltől/Felektől visszaigényelni a kártérítésnek azt a részét, amely megfelel a másik(ak) kárért való felelősségének.
(g) Az adatátvevő nem hivatkozhat a további feldolgozó magatartására saját felelősségének elkerülése érdekében.
(a) A felek megállapodnak abban, hogy az adatátadó (EU) 2016/679 rendeletnek való, adattovábbítással kapcsolatos megfelelésének biztosításáért felelős felügyeleti hatóság a Holland Adatvédelmi Hatóság (Autoriteit Persoonsgegevens) hatóság, amely illetékes felügyeleti hatóságként jár el.
(b) Az adatátvevő elfogadja az illetékes felügyeleti hatóság illetékességét, és együttműködik vele minden olyan eljárásban, amelynek célja az e feltételeknek való megfelelés biztosítása. Az adatátvevő vállalja, hogy válaszol a megkeresésekre, aláveti magát az ellenőrzéseknek, és betartja a felügyeleti hatóság által elfogadott intézkedéseket, beleértve a korrekciós és kompenzációs intézkedéseket is. Írásbeli megerősítést kell adnia a felügyeleti hatóságnak arról, hogy megtette a szükséges intézkedéseket.
