Datu nosūtītājs garantē, ka tas ir veicis saprātīgi nepieciešamos pasākumus, lai noskaidrotu, vai datu saņēmējs spēj pildīt savas saistības saskaņā ar šīm Klauzulām, ieviešot atbilstošus tehniskos un organizatoriskos pasākumus.
a) Datu saņēmējs apstrādā personas datus, vadoties tikai pēc datu nosūtītāja dokumentētiem norādījumiem. Datu nosūtītājs var sniegt šādus norādījumus visā līguma darbības laikā.
b) Datu saņēmējs nekavējoties informē datu nosūtītāju, ja tas nespēj sekot šīem norādījumiem.
Datu saņēmējs apstrādā personas datus tikai konkrētam(-iem) pārsūtīšanas mērķim(-iem), kā noteikts I.B pielikumā, ja vien no datu nosūtītāja netiek saņemti turpmāki norādījumi.
Datu nosūtītājam pēc pieprasījuma jāsagatavo šo Klauzulu, tostarp Pušu aizpildītā papildinājuma, kopija un bez maksas jānodrošina datu subjektam. Ciktāl tas nepieciešams, lai aizsargātu biznesa noslēpumus vai citu konfidenciālu informāciju, tostarp II pielikumā aprakstītos pasākumus un personas datus, datu nosūtītājs drīkst rediģēt šo Klauzulu papildinājuma teksta daļu pirms kopijas izplatīšanas, bet tam jānodrošina izsmeļošs kopsavilkums, ja citādi datu subjekts nevarētu saprast tā saturu vai īstenot savas tiesības. Puses pēc pieprasījuma nodrošina datu subjektam rediģēšanas iemeslus, ciktāl tas iespējams, neatklājot rediģēto informāciju. Šīs punkts neskar datu nosūtītāja saistības saskaņā ar Regulas (ES) 2016/679 13. un 14. pantu.
Ja datu saņēmējs uzzina, ka personas dati, ko tas saņēmis, ir neprecīzi vai novecojuši, tas nekavējoties informē datu nosūtītāju. Šajā gadījumā datu saņēmējs sadarbojas ar datu nosūtītāju, lai dzēstu vai labotu datus.
Datu saņēmēja īstenota apstrāde notiek tikai I.B pielikumā norādīto ilgumu. Pēc apstrādes pakalpojumu sniegšanas beigām, datu saņēmējs, pēc datu nosūtītāja izvēles, dzēš visus datu nosūtītāja vārdā apstrādātos personas datus un apliecina datu nosūtītājam, ka ir to paveicis, vai atgriež datu nosūtītājam visus tā vārdā apstrādātos personas datus un dzēš esošās kopijas. Līdz brīdim, kad dati tiek izdzēsti vai atgriezti, datu saņēmējs turpina nodrošināt atbilstību šīm Klauzulām. Gadījumā, ja datu saņēmējam piemērojami vietējie tiesību akti, kas aizliedz personas datu atgriešanu vai dzēšanu, datu saņēmējs garantē, ka tas turpinās nodrošināt atbilstību šīm Klauzulām un apstrādās šos datus tikai tiktāl, ciktāl un cik ilgi nepieciešams saskaņā ar šo vietējo tiesību aktu. Tas neskar 14. punktu, jo īpaši prasību saskaņā ar 14. punktas e) apakšpunktu datu saņēmējam līguma darbības laikā informēt datu nosūtītāju par to, ka pastāv iemesls uzskatīt, ka uz to attiecas vai sāka attiekties tiesību akti vai prakses, kas neatbilst prasībām 14. punktas a) apakšpunktā.
a) Datu saņēmējs un pārsūtīšanas laikā arī datu nosūtītājs ievieš atbilstošus tehniskos un organizatoriskos pasākumus, lai nodrošinātu datu drošību, tostarp aizsardzību pret drošības pārkāpumu, kas noved pie netīšas vai pretlikumīgas datu iznīcināšanas, zaudēšanas, sagrozīšanas, nepilnvarotas atklāšanas vai piekļuves šiem datiem (turpmāk — “Personas datu pārkāpums”). Novērtējot drošības līmeņa atbilstību, Pusēm pienācīgi jāņem vērā jaunākie sasniegumi, ieviešanas izmaksas, apstrādes veids, joma, konteksts un mērķi(-s), kā arī apstrādē iesaistītie riski datu subjektiem. Pusēm jo īpaši jāņem vērā šifrēšanas vai pseidonimizācijas izmantošana, tostarp pārsūtīšanas laikā, ja šādā veidā var īstenot apstrādes mērķi. Pseidonimizācijas gadījumā papildu informācijai personas datu attiecināšanai uz konkrētu datu subjektu pēc iespējas jāpaliek vienīgi datu nosūtītāja kontrolē. Izpildot savas saistības saskaņā ar šo punktu, datu saņēmējs ievieš vismaz tos tehniskos un organizatoriskos pasākumus, kas norādīti II pielikumā. Datu saņēmējs veic regulāras pārbaudes, lai pārliecinātos, ka šie pasākumi turpina nodrošināt atbilstošu drošības līmeni.
b) Datu saņēmējs nodrošina piekļuvi personas datiem tikai tā personālam tiktāl, ciktāl tas strikti nepieciešams, lai īstenotu, pārvaldītu un uzraudzītu līgumu. Tas nodrošina, ka personas, kuras ir pilnvarotas apstrādāt personas datus, ir apņēmušās ievērot konfidencialitāti vai tām ir jāievēro atbilstošs tiesību aktos paredzēts konfidencialitātes pienākums.
c) Ja ir noticis Personas datu pārkāpums saistībā ar personas datiem, ko apstrādā datu saņēmējs saskaņā ar šīm Klauzulām, datu saņēmējs veic atbilstošos pasākumus, lai novērstu pārkāpumu, tostarp pasākumus, lai mazinātu tā nelabvēlīgo ietekmi. Datu saņēmējs nekavējoties informē arī datu nosūtītāju, tiklīdz tam ir kļuvis zināms par pārkāpumu. Šādā paziņojumā jāietver detalizēta informācija par kontaktpunktu, kur var iegūt papildinformāciju, pārkāpuma veida apraksts (tostarp, ja iespējams, skarto datu subjektu un personas datu ierakstu kategorijas un aptuvenais skaits), pārkāpuma iespējamās sekas un pasākumi, kas veikti vai ierosināti, lai novērstu pārkāpumu, tostarp attiecīgā gadījumā pasākumi, lai mazinātu pārkāpuma iespējamo nelabvēlīgo ietekmi. Attiecīgā gadījumā un tiktāl, ciktāl nav iespējams vienlaikus nodrošināt visu informāciju, sākotnējam paziņojuma jāsatur tobrīd pieejamā informācija, un pēc tam nekavējoties jāsniedz turpmāka informācija, tiklīdz tā kļūst pieejama.
d) Datu saņēmējs sadarbojas ar datu nosūtītāju un palīdz datu nosūtītājam izpildīt tā saistības saskaņā ar Regulu (ES) 2016/679, jo īpaši informēt kompetento Uzraudzības iestādi un ietekmētos datu subjektus, ņemot vērā apstrādes veidu un datu saņēmējam pieejamo informāciju.
Ja tiek pārsūtīti personas dati, kas atklāj rases vai etnisko izcelsmi, politiskos uzskatus, reliģisko un filozofisko pārliecību vai dalību arodbiedrībā, ģenētiskos datus vai biometriskos datus ar mērķi unikāli identificēt fizisku personu, dati saistībā ar veselību vai personas seksuālo dzīvi vai seksuālo orientāciju vai dati saistībā ar kriminālo sodāmību un nodarījumiem (turpmāk — sensitīvi dati), datu saņēmējs piemēro īpašus ierobežojumus un/vai papildu drošības pasākumus, kas aprakstīti I.B pielikumā.
Datu saņēmējs atklāj personas datus trešajai pusei, saņemot dokumentētus norādījumus no datu nosūtītāja. Turklāt datus drīkst atklāt trešajai pusei, kas atrodas ārpus Eiropas Savienības (4) (tajā pašā valstī, kurā atrodas datu saņēmējs, vai citā trešajā valstī, turpmāk — tālākpārsūtīšana), ja trešajai pusei ir saistošas šīs Klauzulas vai tā piekrīt, ka šīs Klauzulas būs tai saistošas, saskaņā ar atbilstošo Moduli, vai, ja:
(a) tālākpārsūtīšana tiek veikta uz valsti, kas gūst labumu no lēmuma par aizsardzības līmeņa pietiekamību saskaņā ar Regulas (ES) 2016/679 45. pantu, kas attiecas uz tālākpārsūtīšanu;
(b) trešā puse citādi nodrošina atbilstošus drošības pasākumus saskaņā ar Regulas (ES) 2016/679 46. vai 47. pantu attiecībā uz attiecīgo apstrādi;
(c) tālākpārsūtīšana ir nepieciešama juridisko prasību izveidei, īstenošanai vai aizstāvībai īpaša administratīva, regulatīva vai tiesvedības procesa kontekstā; vai
(d) tālākpārsūtīšana ir nepieciešama, lai aizsargātu datu subjekta vai citas fiziskas personas būtiskas intereses.
Jebkādas tālākpārsūtīšanas gadījumā datu saņēmējam ir jānodrošina atbilstība visiem pārējiem drošības pasākumiem saskaņā ar šīm Klauzulām, jo īpaši atbilstība mērķa ierobežojumam.
(a) Datu saņēmējs nekavējoties un atbilstoši sniedz atbildes uz datu nosūtītāja jautājumiem, kas saistīti ar apstrādi saskaņā ar šīm Klauzulām.
(b) Pusēm ir jāspēj ievērot šīs Klauzulas. It īpaši datu saņēmējam ir jāsagatavo atbilstoša dokumentācija par apstrādes darbībām, kas veiktas datu nosūtītāja vārdā.
(c) Datu saņēmējam jāpadara datu nosūtītājam pieejama visa informācija, kas vajadzīga, lai apliecinātu atbilstību šajās Klauzulās noteiktajām saistībām un pēc datu nosūtītāja pieprasījuma tam jāatļauj šo Klauzulu ietvaros veikto apstrādes darbību auditi un jāsekmē tie samērīgos termiņos vai gadījumā, ja pastāv norādes par neatbilstību. Lemjot par pārskatīšanu vai auditu, datu nosūtītājs var ņemt vērā attiecīgās datu nosūtītāja sertifikācijas.
(d) Datu nosūtītājs var izvēlēties veikt auditu pats vai norīkot neatkarīgu auditoru. Auditi var ietvert pārbaudes datu saņēmēja telpās vai fiziskos objektos un attiecīgā gadījumā tie jāveic, laicīgi paziņojot.
(e) Pusēm pēc pieprasījuma jāpadara pieejama (b) un (c) punktā minētā informācija, tostarp jebkādu auditu rezultāti, kompetentajai Uzraudzības iestādei.
(a) Datu saņēmējam ir vispārēja datu nosūtītāja atļauja iesaistīt apakšapstrādātāju(-s) no saskaņotā saraksta. Datu saņēmējs rakstiski īpaši informē datu nosūtītāju par jebkādām plānotajām izmaiņām šajā sarakstā, pievienojot vai aizstājot apakšapstrādātājus vismaz četrpadsmit dienas iepriekš, tādējādi nodrošinot datu nosūtītājam pietiekami daudz laika, lai varētu iebilst pret šādām izmaiņām pirms apakšapstrādātāja(-u) iesaistes. Datu saņēmējs nodrošina datu nosūtītājam informāciju, kas nepieciešama, lai datu nosūtītājs varētu īstenot tā tiesības izteikt iebildumus.
(b) Ja datu saņēmējs iesaista apakšapstrādātāju, lai veiktu konkrētas apstrādes darbības (datu nosūtītāja vārdā), tas jāveic ar rakstiska līguma palīdzību, kas pēc būtības nodrošina tādas pašas datu aizsardzības saistības kā tās, kuras ir saistošas datu saņēmējam saskaņā ar šīm Klauzulām, tostarp attiecībā uz datu subjekta trešās puses labuma guvēja tiesībām. (8) Puses vienojas, ka, ievērojot šo punktu, datu saņēmējs izpilda tā saistības saskaņā ar 8.8. punktu. Datu saņēmējs nodrošina, ka apakšapstrādātājs izpilda visas saistības, kas uz to attiecas saskaņā ar šīm Klauzulām.
(c) Datu saņēmējs pēc datu nosūtītāja pieprasījuma nodrošina tam šāda apakšapstrādātāja līguma un jebkādu turpmāku grozījumu kopiju. Tiktāl, ciktāl nepieciešams biznesa noslēpumu vai citas konfidenciālas informācijas, tostarp personas datu, aizsardzībai, datu saņēmējs pirms kopijas nodrošināšanas var rediģēt līguma tekstu.
(d) Datu saņēmējs ir pilnībā atbildīgs pret datu nosūtītāju par apakšapstrādes saistību izpildi saskaņā ar tā līgumu, kas noslēgts ar datu saņēmēju. Datu saņēmējam jāpaziņo datu nosūtītājam par jebkādu apakšapstrādātāja kļūmi, izpildot tā saistības saskaņā ar līgumu.
(e) Datu saņēmējs piekrīt trešās puses labuma guvēja klauzulai ar apakšapstrādātāju, ar kuru gadījumā, ja datu saņēmējs ir faktiski zudis vai juridiski beidzis pastāvēt, vai arī ir kļuvis maksātnespējīgs, datu nosūtītājam ir tiesības izbeigt apakšapstrādātāja līgumu un sniegt apakšapstrādātājam norādījumu dzēst vai atgriezt personas datus.
(a) Datu saņēmējs nekavējoties informē datu nosūtītāju par jebkādu pieprasījumu, ko tas ir saņēmis no datu subjekta. Tas nedrīkst atbildēt uz šo pieprasījumu, ja vien datu nosūtītājs nav to pilnvarojis šādi rīkoties.
(b) Datu saņēmējs palīdz datu nosūtītājam īstenot tā saistības, lai reaģētu uz datu subjektu pieprasījumiem to tiesību īstenošanai saskaņā ar Regulu (ES) 2016/679. Šajā sakarā Puses II pielikumā nosaka atbilstošus tehniskos un organizatoriskos pasākumus, ņemot vērā apstrādes veidu, kādā jāsniedz palīdzība, kā arī nepieciešamās palīdzības jomu un apmēru.
(c) Izpildot saistības saskaņā ar (a) un (b) apakšpunktu, datu saņēmējs ievēro datu nosūtītāja norādījumus.
(a) Datu saņēmējs informē datu subjektus sūdzību apstrādei pilnvarotam kontaktpunktam pārredzamā un viegli pieejamā formātā ar atsevišķa paziņojuma palīdzību vai tā tīmekļa vietnē. Visas no datu subjekta saņemtās sūdzības jāapstrādā nekavējoties.
(b) Ja starp datu subjektu un kādu no Pusēm rodas strīds attiecībā uz šo klauzulu ievērošanu, Puses izmanto visas savas iespējas, lai savlaicīgi atrisinātu problēmu mierpilnā ceļā. Puses informē viena otru par šādiem strīdiem un attiecīgā gadījumā sadarbojas to risināšanā.
(c) Ja datu subjekts īsteno trešās puses labuma guvēja tiesības saskaņā ar 3. punktu, datu saņēmējs akceptē datu subjekta lēmumu:
(i) iesniegt sūdzību tā pastāvīgās dzīvesvietas vai darbavietas dalībvalsts Uzraudzības iestādē vai kompetentā Uzraudzības iestādē saskaņā ar 13. punktu;
(ii) iesniegt strīdu kompetentās tiesās 18. punkta izpratnē.
(d) Puses piekrīt, ka datu subjektu var pārstāvēt bezpeļņas iestāde, organizācija vai asociācija saskaņā ar Regulas (ES) 2016/679 80. panta 1. punktā izklāstītajiem nosacījumiem.
(e) Datu saņēmējs pakļaujas lēmumam, kas ir saistošs saskaņā ar ES vai dalībvalsts tiesību aktiem.
(f) Datu saņēmējs piekrīt, ka datu subjekta veiktā izvēle neskars tā materiālās vai procesuālās tiesības saskaņā ar piemērojamajiem tiesību aktiem.
(a) Katra Puse ir juridiski atbildīga pret citu(-ām) Pusi(-ēm) par jebkādiem zaudējumiem, ko tā rada citai(-ām) Pusei(-ēm), pārkāpjot šīs Klauzulas.
(b) Datu saņēmējs ir juridiski atbildīgs pret datu subjektu un datu subjektam ir tiesības saņemt kompensāciju pat jebkādiem materiāliem vai nemateriāliem zaudējumiem, ko datu saņēmējs vai tā apakšapstrādātāji rada datu subjektam, pārkāpjot trešās puses labuma guvēja tiesības saskaņā ar šīm Klauzulām.
(c) Neņemot vērā (b) apakšpunktu, datu nosūtītājs ir juridiski atbildīgs pret datu subjektu un datu subjektam ir tiesības saņemt kompensāciju par jebkādiem materiāliem vai nemateriāliem zaudējumiem, ko datu nosūtītājs vai datu saņēmējs (vai tā apakšapstrādātājs) rada datu subjektam, pārkāpjot šajās Klauzulās noteiktās trešās puses labuma guvēja tiesības. Tas neskar datu nosūtītāja atbildību, kā arī gadījumos, kad datu nosūtītājs ir apstrādātājs, kurš rīkojas pārziņa vārdā — attiecīgā gadījumā Regulā (ES) 2016/679 vai Regulā (ES) 2018/1725 noteikto pārziņa atbildību.
(d) Puses piekrīt, ka gadījumā, ja datu nosūtītājs saskaņā ar (c) apakšpunktu ir juridiski atbildīgs zaudējumiem, ko radījis datu saņēmējs (vai tā apakšapstrādātājs), tam ir tiesības pieprasīt datu saņēmējam izmaksāt to kompensācijas daļu, kas atbilst datu saņēmēja atbildībai par zaudējumiem.
(e) Ja šo Klauzulu pārkāpumu rezultātā par jebkādiem datu subjektam nodarītajiem zaudējumiem ir atbildīga vairāk nekā viena Puse, visas atbildīgās Puses ir kopīgi un atsevišķi juridiski atbildīgas, un datu subjektam ir tiesības iesnigt prasību tiesā pret jebkuru no šīm Pusēm.
(f) Puses piekrīt, ka gadījumā, ja saskaņā ar (e) apakšpunktu, juridiski atbildīga ir viena Puse, tai ir tiesības pieprasīt citai(-ām) Pusei(-ēm) izmaksāt to kompensācijas daļu, kas atbilst tās atbildībai par zaudējumiem.
(g) Datu saņēmējs nedrīkst atsaukties uz apakšapstrādātāja rīcību, lai izvairītos no savas atbildības.
(a) Puses piekrīt, ka Uzraudzības iestāde, kuras pienākums ir nodrošināt, ka datu nosūtītājs ievēro Regulu (ES) 2016/679 attiecībā uz datu pārsūtīšanu, ir Nīderlandes Datu aizsardzības iestāde (Autoriteit Persoonsgegevens), kura rīkojas kā kompetenta Uzraudzības iestāde.
(b) Datu saņēmējs piekrīt pakļauties kompetentās Uzraudzības iestādes jurisdikcijai un sadarboties ar šo iestādi visos procesos, kuru mērķis ir nodrošināt atbilstību šīm Klauzulām. Jo īpaši datu saņēmējs piekrīt reaģēt uz pieprasījumiem, pakļauties auditiem un ievērot Uzraudzības iestādes ieviestos pasākumus, tostarp aizsardzības līdzekļus un kompensācijas pasākumus. Tam jāiesniedz Uzraudzības iestādei rakstisks apstiprinājums, ka ir veiktas nepieciešamās darbības.
