Vývozca údajov garantuje, že vynaložil primerané úsilie na to, aby určil, že dovozca údajov je schopný splniť svoje povinnosti podľa týchto Doložiek prostredníctvom implementácie vhodných technických a organizačných opatrení.
a) Dovozca údajov spracúva osobné údaje iba na základe zdokumentovaných pokynov vývozcu údajov. Vývozca údajov môže dávať takéto pokyny počas doby trvania zmluvy.
b) Dovozca údajov bezodkladne informuje vývozcu údajov, ak nie je schopný dodržať tieto pokyny.
Dovozca údajov spracúva osobné údaje iba na konkrétny účel (účely) prenosu, ako sa uvádza v prílohe I.B, pokiaľ nedostane ďalšie pokyny od vývozcu údajov.
Vývozca údajov na požiadanie bezplatne sprístupní dotknutej osobe kópiu týchto Doložiek vrátane Prílohy, ako ju vyplnili Zmluvné strany. V rozsahu potrebnom na ochranu obchodných tajomstiev alebo iných dôverných informácií vrátane opatrení opísaných v Prílohe II a osobných údajov môže vývozca údajov pred zdieľaním kópie upraviť časť textu Dodatku k týmto Doložkám, ale poskytne zmysluplné zhrnutie, ak by dotknutá osoba inak nebola schopná porozumieť jej obsahu alebo uplatniť svoje práva. Na požiadanie Zmluvné strany poskytnú dotknutej osobe dôvody úprav v rozsahu, v akom je to možné, bez zverejnenia upravených informácií. Touto Doložkou nie sú dotknuté povinnosti vývozcu údajov podľa Článkov 13 a 14 Nariadenia (EÚ) 2016/679.
Ak sa dovozca údajov dozvie, že osobné údaje, ktoré dostal, sú nepresné alebo neaktuálne, bez zbytočného odkladu o tom informuje vývozcu údajov. V tomto prípade dovozca údajov spolupracuje s vývozcom údajov na vymazaní alebo oprave údajov.
Spracovanie dovozcom údajov sa uskutoční len počas obdobia uvedeného v Prílohe I.B. Po ukončení poskytovania spracovateľských služieb dovozca údajov podľa voľby vývozcu údajov vymaže všetky osobné údaje spracúvané v mene vývozcu údajov a potvrdí vývozcovi údajov, že tak urobil, alebo vráti vývozcovi údajov všetky osobné údaje spracúvané v jeho mene a vymaže existujúce kópie. Kým údaje nie sú vymazané alebo vrátené, dovozca údajov naďalej zabezpečuje súlad s týmito Doložkami. V prípade miestnych zákonov vzťahujúcich sa na dovozcu údajov, ktoré zakazujú vrátenie alebo vymazanie osobných údajov, dovozca údajov ručí, že bude naďalej zabezpečovať súlad s týmito Doložkami a bude ich spracovávať len v rozsahu a tak dlho, ako to vyžaduje miestne právo. Tým nie je dotknutá Doložka 14, najmä požiadavka, aby dovozca údajov podľa Doložky 14 písm. (e) informoval vývozcu údajov počas doby trvania zmluvy, ak má dôvod domnievať sa, že podlieha alebo sa stal predmetom zákonov alebo postupov, ktoré nie sú v súlade s požiadavkami podľa Doložky 14 písm. (a).
a) Dovozca údajov a počas prenosu aj vývozca údajov zavedú vhodné technické a organizačné opatrenia na zaistenie bezpečnosti údajov vrátane ochrany pred narušením bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému zverejneniu alebo prístupu k týmto údajom (ďalej len „porušenie ochrany osobných údajov“). Pri posudzovaní primeranej úrovne bezpečnosti Zmluvné strany náležite zohľadnia súčasný stav techniky, náklady na implementáciu, povahu, rozsah, kontext a účel (účely) spracovania a riziká spojené so spracovaním pre dotknuté osoby. Zmluvné strany zvážia najmä použitie šifrovania alebo pseudonymizácie, a to aj počas prenosu, ak možno účel spracovania týmto spôsobom splniť. V prípade pseudonymizácie zostávajú dodatočné informácie na priradenie osobných údajov konkrétnej dotknutej osobe, ak je to možné, pod výhradnou kontrolou vývozcu údajov. Pri plnení svojich povinností podľa tohto odseku dovozca údajov zavedie aspoň technické a organizačné opatrenia uvedené v Prílohe II. Dovozca údajov vykonáva pravidelné kontroly, aby zabezpečil, že tieto opatrenia naďalej poskytujú primeranú úroveň bezpečnosti.
b) Dovozca údajov poskytne svojim zamestnancom prístup k osobným údajom len v rozsahu nevyhnutne potrebnom na plnenie, riadenie a monitorovanie zmluvy. Zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo majú primeranú zákonnú povinnosť mlčanlivosti.
c) V prípade porušenia ochrany osobných údajov, ktoré sa týka osobných údajov spracúvaných dovozcom údajov podľa týchto Doložiek, prijme dovozca údajov primerané opatrenia na riešenie tohto porušenia vrátane opatrení na zmiernenie jeho nepriaznivých účinkov. Dovozca údajov informuje aj vývozcu údajov bez zbytočného odkladu po tom, čo sa o porušení dozvedel. Takéto oznámenie obsahuje podrobnosti o kontaktnom mieste, kde možno získať viac informácií, opis povahy porušenia (ak je to možné vrátane kategórií a približného počtu dotknutých osôb a záznamov osobných údajov), jeho pravdepodobné dôsledky a opatrenia prijaté alebo navrhnuté na riešenie porušenia vrátane, ak je to vhodné, opatrení na zmiernenie jeho možných nepriaznivých účinkov. Ak a pokiaľ nie je možné poskytnúť všetky informácie súčasne, prvé oznámenie obsahuje informácie, ktoré sú v tom čase dostupné, a ďalšie informácie sa bez zbytočného odkladu poskytnú, keď budú dostupné.
d) Dovozca údajov spolupracuje s vývozcom údajov a pomáha mu, aby umožnil vývozcovi údajov splniť si povinnosti podľa Nariadenia (EÚ) 2016/679, najmä informovať príslušný dozorný orgán a dotknuté osoby, berúc do úvahy charakter spracovania a informácie, ktoré má dovozca údajov k dispozícii.
Ak prenos zahŕňa osobné údaje odhaľujúce rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odboroch, genetické údaje alebo biometrické údaje na účely jednoznačnej identifikácie fyzickej osoby, údaje týkajúce sa zdravia alebo sexuálneho života alebo sexuálnej orientácie osoby alebo údaje týkajúce sa odsúdení za trestné činy a trestných činov (ďalej len „citlivé údaje“), dovozca údajov uplatní osobitné obmedzenia a/alebo dodatočné záruky opísané v Prílohe I.B.
Dovozca údajov sprístupní osobné údaje tretej strane iba na základe zdokumentovaných pokynov vývozcu údajov. Okrem toho môžu byť údaje poskytnuté tretej strane so sídlom mimo Európskej únie (4) (v rovnakej krajine ako dovozca údajov alebo v inej tretej krajine, ďalej len „ďalší prenos“), ak tretia strana je alebo súhlasí s tým, že bude viazaná týmito Doložkami podľa príslušného Modulu, alebo ak:
a) ďalší prenos sa uskutoční do krajiny, ktorá využíva rozhodnutie o primeranosti podľa Článku 45 Nariadenia (EÚ) 2016/679, ktoré sa vzťahuje na ďalší prenos;
b) tretia strana inak zabezpečí primerané záruky podľa Článkov 46 alebo 47 Nariadenia (EÚ) 2016/679 v súvislosti s príslušným spracovaním;
c) ďalší prenos je potrebný na zriadenie, uplatnenie alebo obhajobu právnych nárokov v kontexte špecifických administratívnych, regulačných alebo súdnych konaní; alebo
d) ďalší prenos je potrebný na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby.
Akýkoľvek ďalší prenos je podmienený tým, že dovozca údajov dodrží všetky ostatné záruky podľa týchto Doložiek, najmä obmedzenie účelu.
a) Dovozca údajov bezodkladne a primerane vybaví otázky od vývozcu údajov, ktoré sa týkajú spracovania podľa týchto Doložiek.
b) Zmluvné strany musia byť schopné preukázať súlad s týmito doložkami. Dovozca údajov vedie najmä príslušnú dokumentáciu o spracovateľských činnostiach vykonávaných v mene vývozcu údajov.
c) Dovozca údajov sprístupní vývozcovi údajov všetky informácie potrebné na preukázanie súladu s povinnosťami stanovenými v týchto Doložkách a na žiadosť vývozcu údajov umožní a prispeje k auditom činností spracovania, na ktoré sa vzťahujú tieto Doložky, v primeraných intervaloch alebo ak existujú náznaky nesúladu. Pri rozhodovaní o preskúmaní alebo audite môže vývozca údajov vziať do úvahy príslušné osvedčenia, ktoré vlastní dovozca údajov.
d) Vývozca údajov sa môže rozhodnúť vykonať audit sám alebo poveriť nezávislého audítora. Audity môžu zahŕňať inšpekcie v priestoroch alebo fyzických zariadeniach dovozcu údajov a v prípade potreby sa vykonajú s primeraným oznámením.
e) Zmluvné strany sprístupnia informácie uvedené v odsekoch b) a c), vrátane výsledkov akýchkoľvek auditov, príslušnému dozornému orgánu na požiadanie.
a) Dovozca údajov má všeobecné oprávnenie vývozcu údajov na zapojenie subdodávateľa (subdodávateľov) z dohodnutého zoznamu. Dovozca údajov osobitne písomne informuje vývozcu údajov o akýchkoľvek zamýšľaných zmenách tohto zoznamu prostredníctvom doplnenia alebo nahradenia subdodávateľov najmenej štrnásť dní vopred, čím poskytne vývozcovi údajov dostatok času na to, aby mohol vzniesť námietky proti takýmto zmenám v zapojení subdodávateľa(ov). Dovozca údajov poskytne vývozcovi údajov informácie potrebné na to, aby umožnil vývozcovi údajov uplatniť svoje právo namietať.
b) Ak si dovozca údajov najme subdodávateľa, aby vykonal konkrétne činnosti spracovania (v mene vývozcu údajov), urobí tak prostredníctvom písomnej zmluvy, ktorá v podstate stanovuje rovnaké povinnosti týkajúce sa ochrany údajov ako tie, ktoré sú záväzné pre dovozcu údajov podľa týchto Doložiek, a to aj pokiaľ ide o práva príjemcov tretích strán pre dotknuté osoby. (8) Zmluvné strany sa dohodli, že dodržiavaním tejto Doložky si dovozca údajov plní svoje povinnosti podľa Doložky 8.8. Dovozca údajov zabezpečí, aby subdodávateľ dodržiaval povinnosti, ktoré sa na dovozcu údajov vzťahujú podľa týchto Doložiek.
c) Dovozca údajov poskytne na žiadosť vývozcu údajov kópiu takejto zmluvy so subdodávateľom a všetkých následných zmien a doplnení týkajúcich sa vývozcu údajov. V rozsahu potrebnom na ochranu obchodných tajomstiev alebo iných dôverných informácií vrátane osobných údajov môže dovozca údajov pred zdieľaním kópie upraviť text zmluvy.
d) Dovozca údajov zostáva plne zodpovedný voči vývozcovi údajov za plnenie povinností subdodávateľa podľa zmluvy s dovozcom údajov. Dovozca údajov oznámi vývozcovi údajov každé zlyhanie zo strany subdodávateľa pri plnení jeho povinností podľa tejto zmluvy.
e) Dovozca údajov dohodne so subdodávateľom doložku o oprávnení tretej strany, podľa ktorej – v prípade, že dovozca údajov fakticky zanikol, prestal zo zákona existovať alebo sa stal platobne neschopným – bude mať vývozca údajov právo ukončiť subdodávateľskú zmluvu a dať subdodávateľovi pokyn, aby osobné údaje vymazal alebo vrátil.
a) Dovozca údajov bezodkladne informuje vývozcu údajov o každej žiadosti, ktorú dostal od dotknutej osoby. Na túto žiadosť sám neodpovie, pokiaľ mu to nepovolí vývozca údajov.
b) Dovozca údajov pomáha vývozcovi údajov pri plnení jeho povinností odpovedať na žiadosti dotknutých osôb o výkon ich práv podľa Nariadenia (EÚ) 2016/679. V tejto súvislosti Zmluvné strany stanovia v Prílohe II vhodné technické a organizačné opatrenia, pričom zohľadnia povahu spracovania, ktorým sa pomoc poskytuje, ako aj šírku a rozsah požadovanej pomoci.
c) Pri plnení svojich povinností podľa odseku a) a b) sa dovozca údajov riadi pokynmi vývozcu údajov.
a) Dovozca údajov informuje dotknuté osoby v transparentnom a ľahko dostupnom formáte prostredníctvom individuálneho oznámenia alebo na svojej webovej stránke o kontaktnom mieste, ktoré je oprávnené vybavovať sťažnosti. Bezodkladne sa bude zaoberať všetkými sťažnosťami, ktoré dostane od dotknutej osoby.
b) V prípade sporu medzi dotknutou osobou a jednou zo Zmluvných strán, pokiaľ ide o dodržiavanie týchto Doložiek, táto Zmluvná strana vynaloží maximálne úsilie na vyriešenie problému priateľsky a včas. Strany sa o takýchto sporoch navzájom informujú a prípadne spolupracujú pri ich riešení.
c) Ak dotknutá osoba uplatňuje právo oprávneného tretieho subjektu podľa Doložky 3, dovozca údajov prijme rozhodnutie dotknutej osoby:
(i) podať sťažnosť dozornému orgánu v členskom štáte svojho obvyklého pobytu alebo miesta výkonu práce alebo príslušnému dozornému orgánu podľa Doložky 13;
(ii) postúpiť spor príslušným súdom v zmysle Doložky 18.
d) Zmluvné strany akceptujú, že dotknutú osobu môže zastupovať neziskový orgán, organizácia alebo združenie za podmienok stanovených v Článku 80 ods. 1 Nariadenia (EÚ) 2016/679.
e) Dovozca údajov sa riadi rozhodnutím, ktoré je záväzné podľa platného práva EÚ alebo členského štátu.
f) Dovozca údajov súhlasí s tým, že výber dotknutej osoby neovplyvní jej hmotné a procesné práva domáhať sa nápravy v súlade s platnými zákonmi.
a) Každá Zmluvná strana zodpovedá druhej Zmluvnej strane/stranám za akékoľvek škody, ktoré spôsobí druhej Zmluvnej strane/stranám porušením týchto Doložiek.
(b) Dovozca údajov je zodpovedný voči dotknutej osobe a dotknutá osoba má nárok na kompenzáciu za akúkoľvek materiálnu alebo nemateriálnu škodu, ktorú dovozca údajov alebo jeho subdodávateľ spôsobí dotknutej osobe porušením práv oprávnenej tretej strany podľa týchto Doložiek.
c) Bez ohľadu na odsek (b) je vývozca údajov zodpovedný voči dotknutej osobe a dotknutá osoba má nárok na kompenzáciu za akékoľvek materiálne alebo nemateriálne škody, ktoré vývozca údajov alebo dovozca údajov (alebo jeho subdodávateľ) spôsobí, že dotknutá osoba poruší práva oprávnenej tretej strany podľa týchto Doložiek. Tým nie je dotknutá zodpovednosť vývozcu údajov, a ak je vývozcom údajov sprostredkovateľ konajúci v mene prevádzkovateľa, zodpovednosť prevádzkovateľa podľa Nariadenia (EÚ) 2016/679 alebo Nariadenia (EÚ) 2018/1725, podľa potreby.
d) Zmluvné strany sa dohodli, že ak je vývozca údajov zodpovedný podľa odseku (c) za škody spôsobené dovozcom údajov (alebo jeho subdodávateľom), je oprávnený požadovať od dovozcu údajov späť tú časť kompenzácie prislúchajúcu zodpovednosti dovozcu údajov za škodu.
e) Ak je za akúkoľvek škodu spôsobenú dotknutej osobe v dôsledku porušenia týchto Doložiek zodpovedných viacero Zmluvných strán, všetky zodpovedné Zmluvné strany budú spoločne a nerozdielne zodpovedné a dotknutá osoba má právo podať žalobu na súd proti ktorejkoľvek z týchto Zmluvných strán.
f) Zmluvné strany sa dohodli, že ak je jedna Zmluvná strana braná na zodpovednosť podľa odseku (e), je oprávnená požadovať od druhej Zmluvnej strany späť tú časť náhrady, ktorá zodpovedá jej/ich zodpovednosti za škodu.
g) Dovozca údajov sa nemôže dovolávať konania subdodávateľa, aby sa vyhol svojej vlastnej zodpovednosti.
a) Zmluvné strany sa dohodli, že dozorným orgánom zodpovedným za zabezpečenie súladu vývozcu údajov s Nariadením (EÚ) 2016/679, pokiaľ ide o prenos údajov, bude holandský úrad na ochranu údajov (Autoriteit Persoonsgegevens), ktorý bude konať ako príslušný dozorný orgán.
b) Dovozca údajov súhlasí s tým, že sa podriadi jurisdikcii príslušného dozorného orgánu a bude s ním spolupracovať pri akýchkoľvek postupoch zameraných na zabezpečenie súladu s týmito Doložkami. Dovozca údajov sa predovšetkým zaväzuje odpovedať na otázky, podrobiť sa auditom a dodržiavať opatrenia prijaté dozorným orgánom vrátane nápravných a kompenzačných opatrení. Dozornému orgánu poskytne písomné potvrdenie, že boli prijaté potrebné opatrenia.
