Dataexportören garanterar att den har använt rimliga ansträngningar för att fastställa att dataimportören kan, genom implementering av lämpliga tekniska och organisatoriska åtgärder, uppfylla sina skyldigheter enligt dessa klausuler.
(a) Dataimportören ska behandla personuppgifterna endast på dokumenterade instruktioner från dataexportören. Dataexportören kan ge sådana instruktioner under hela avtalets löptid.
b) Dataimportören ska omedelbart informera dataexportören om den inte kan följa dessa instruktioner.
Dataimportören ska behandla personuppgifterna endast för det/de specifika ändamålen med överföringen, i enlighet med bilaga I.B, såvida inte detta sker på ytterligare instruktioner från dataexportören.
På begäran ska dataexportören göra en kopia av dessa klausuler, inklusive bilagan som ifyllts av parterna, tillgänglig för den registrerade utan kostnad. I den utsträckning som krävs för att skydda affärshemligheter eller annan konfidentiell information, inklusive de åtgärder som beskrivs i bilaga II och personuppgifter, kan dataexportören redigera en del av texten i tillägget till dessa klausuler innan en kopia delas, men ska tillhandahålla en meningsfull sammanfattning om den registrerade annars inte skulle kunna förstå innehållet i den eller utöva sina rättigheter. På begäran ska parterna förse den registrerade med skälen för redigeringarna, i den utsträckning det är möjligt utan att avslöja den redigerade informationen. Denna klausul påverkar inte dataexportörens skyldigheter enligt artiklarna 13 och 14 i förordning (EU) 2016/679.
Om dataimportören blir medveten om att de personuppgifter som den har tagit emot är felaktiga eller har blivit inaktuella ska den informera dataexportören utan onödigt dröjsmål. I detta fall ska dataimportören samarbeta med dataexportören för att radera eller rätta uppgifterna.
Behandling av dataimportören ska endast ske under den tidsperiod som anges i bilaga I.B. Efter det att tillhandahållandet av behandlingstjänsterna har upphört ska dataimportören, efter dataexportörens val, radera alla personuppgifter som behandlas för dataexportörens räkning och intyga för dataexportören att den har gjort det, eller returnera alla personuppgifter som behandlas för dess räkning till dataexportören och radera befintliga kopior. Tills uppgifterna raderas eller returneras ska dataimportören fortsätta att säkerställa att dessa klausuler följs. I händelse av lokala lagar som är tillämpliga på dataimportören som förbjuder återlämnande eller radering av personuppgifterna, garanterar dataimportören att den kommer att fortsätta att säkerställa efterlevnad av dessa klausuler och endast kommer att behandla dem i den utsträckning och så länge som krävs enligt denna lokala lag. Detta påverkar inte klausul 14, i synnerhet kravet på dataimportören enligt klausul 14(e) att meddela dataexportören under hela avtalets löptid om den har anledning att tro att den omfattas av eller har blivit föremål för lagar eller praxis som inte överensstämmer med kraven i klausul 14(a).
(a) Dataimportören och, under överföringen, även dataexportören ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa uppgifternas säkerhet, inklusive skydd mot ett säkerhetsintrång som leder till oavsiktlig eller olaglig förstörelse, förlust, ändring, obehörigt avslöjande eller åtkomst till dessa data (nedan kallat "personuppgiftsbrott"). När parterna fastställer lämplig säkerhetsnivå ska de ta vederbörlig hänsyn till den senaste tekniken, kostnaderna för implementeringen, arten, omfattningen, sammanhanget och syftet med behandlingen och riskerna med behandlingen för de registrerade. Parterna ska särskilt överväga att använda kryptering eller pseudonymisering, inklusive under överföring, där syftet med behandlingen kan uppfyllas på det sättet. Vid pseudonymisering ska den ytterligare informationen för att tillskriva personuppgifterna till en specifik registrerad, om möjligt, förbli under dataexportörens exklusiva kontroll. Vid fullgörandet av sina skyldigheter enligt denna punkt ska dataimportören åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga II. Dataimportören ska utföra regelbundna kontroller för att säkerställa att dessa åtgärder fortsätter att tillhandahålla en lämplig säkerhetsnivå.
b) Dataimportören ska ge åtkomst till personuppgifterna till medlemmar av sin personal endast i den utsträckning som är strikt nödvändig för genomförande, förvaltning och övervakning av avtalet. Den ska säkerställa att personer som är behöriga att behandla personuppgifterna har åtagit sig att följa sekretess eller omfattas av en lämplig lagstadgad sekretesskyldighet.
(c) I händelse av ett personuppgiftsbrott som rör personuppgifter som behandlas av dataimportören enligt dessa klausuler ska dataimportören vidta lämpliga åtgärder för att hantera överträdelsen, inklusive åtgärder för att mildra dess negativa effekter. Dataimportören ska också underrätta dataexportören utan onödigt dröjsmål efter att ha blivit medveten om överträdelsen. Sådan underrättelse ska innehålla uppgifter om en kontaktpunkt där mer information kan erhållas, en beskrivning av överträdelsens art (inklusive, om möjligt, kategorier och ungefärligt antal registrerade och personuppgiftsposter som berörs), dess sannolika konsekvenser och de åtgärder som vidtagits eller föreslagits för att hantera överträdelsen, inklusive, om lämpligt, åtgärder för att mildra dess eventuella negativa effekter. Om, och i den mån, det inte är möjligt att tillhandahålla all information samtidigt ska den ursprungliga anmälan innehålla den information som då är tillgänglig och ytterligare information ska, allteftersom den blir tillgänglig, därefter tillhandahållas utan onödigt dröjsmål.
d) Dataimportören ska samarbeta med och assistera dataexportören för att göra det möjligt för dataexportören att uppfylla sina skyldigheter enligt förordning (EU) 2016/679, i synnerhet att underrätta den behöriga tillsynsmyndigheten och de berörda registrerade, med beaktande av behandlingens art och den information som är tillgänglig för dataimportören.
Om överföringen involverar personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiösa eller filosofiska övertygelser eller fackföreningsmedlemskap, genetiska data eller biometriska data i syfte att unikt identifiera en fysisk person, data om hälsa eller en persons sexliv eller sexuella läggning, eller data om brottmålsdomar och brott (nedan kallade "känsliga data") ska dataimportören tillämpa de specifika begränsningar och/eller ytterligare skyddsåtgärder som beskrivs i bilaga I.B.
Dataimportören ska endast avslöja personuppgifterna till en tredje part på dokumenterade instruktioner från dataexportören. Dessutom kan uppgifterna endast lämnas ut till en tredje part som är belägen utanför Europeiska unionen (4) (i samma land som dataimportören eller i ett annat tredje land, nedan kallad "vidareöverföring") om den tredje parten är eller samtycker till att vara bunden av dessa klausuler, enligt lämplig modul, eller om:
(a) vidareöverföringen är till ett land som omfattas av ett beslut om adekvat skyddsnivå enligt artikel 45 i förordning (EU) 2016/679 som omfattar vidareöverföringen.
b) den tredje parten på annat sätt säkerställer lämpliga skyddsåtgärder i enlighet med artiklarna 46 eller 47 i förordning (EU) 2016/679 med avseende på den aktuella behandlingen;
(c) vidareöverföringen är nödvändig för att etablera, göra gällande eller försvara rättsliga anspråk i samband med specifika administrativa, reglerande eller rättsliga förfaranden; eller
d) vidareöverföringen är nödvändig för att skydda den registrerades eller en annan fysisk persons vitala intressen.
All vidareöverföring är föremål för dataimportörens efterlevnad av alla andra skyddsåtgärder enligt dessa klausuler, i synnerhet ändamålsbegränsning.
(a) Dataimportören ska snabbt och på ett adekvat sätt hantera förfrågningar från dataexportören som rör behandlingen enligt dessa klausuler.
(b) Parterna ska kunna visa att dessa klausuler efterlevs. I synnerhet ska dataimportören hålla lämplig dokumentation om de behandlingsaktiviteter som utförs på dataexportörens vägnar.
(c) Dataimportören ska tillhandahålla dataexportören all information som är nödvändig för att visa att de skyldigheter som anges i dessa klausuler efterlevs och på dataexportörens begäran, tillåta och bidra till revisioner av de bearbetningsaktiviteter som omfattas av dessa klausuler, på rimliga intervall eller om det finns indikationer på bristande efterlevnad. Vid beslut om en granskning eller revision kan dataexportören ta hänsyn till relevanta certifieringar som innehas av dataimportören.
(d) Dataexportören kan välja att utföra revisionen själv eller ge ett mandat åt en oberoende revisor. Revisioner kan omfatta inspektioner i dataimportörens lokaler eller fysiska anläggningar och ska, i förekommande fall, utföras med rimligt varsel.
(e) Parterna ska göra den information som avses i punkterna (b) och (c), inklusive resultaten av eventuella revisioner, tillgänglig för den behöriga tillsynsmyndigheten på begäran.
(a) Dataimportören har dataexportörens allmänna tillstånd för engagemang av underentreprenörer från en överenskommen lista. Dataimportören ska specifikt informera dataexportören skriftligen om eventuella avsedda ändringar i den listan genom tillägg eller utbyte av underentreprenörer minst 14 dagar i förväg, vilket ger dataexportören tillräckligt med tid för att kunna invända mot sådana ändringar innan underentreprenör(er) engageras. Dataimportören ska förse dataexportören med den information som krävs för att göra det möjligt för dataexportören att utöva sin rätt att göra invändningar.
(b) Om dataimportören engagerar en underentreprenör för att utföra specifika behandlingsaktiviteter (på uppdrag av dataexportören) ska den göra det genom ett skriftligt avtal som i sak föreskriver samma dataskyddsskyldigheter som de som binder dataimportören enligt dessa klausuler, inklusive i termer av tredjepartsförmånstagares rättigheter för registrerade. (8) Parterna är överens om att dataimportören, genom att följa denna klausul, uppfyller sina skyldigheter enligt klausul 8.8. Dataimportören ska säkerställa att underentreprenören uppfyller de skyldigheter som dataimportören omfattas av i enlighet med dessa klausuler.
(c) Dataimportören ska tillhandahålla, på dataexportörens begäran, en kopia av ett sådant avtal om underentreprenörer och eventuella efterföljande ändringar av dataexportören. I den utsträckning som krävs för att skydda affärshemligheter eller annan konfidentiell information, inklusive personuppgifter, kan dataimportören redigera texten i avtalet innan en kopia delas.
(d) Dataimportören ska förbli fullt ansvarig inför dataexportören för utförandet av underentreprenörens skyldigheter enligt sitt avtal med dataimportören. Dataimportören ska underrätta dataexportören om eventuella underlåtenheter av underentreprenören att uppfylla sina skyldigheter enligt det avtalet.
(e) Dataimportören ska komma överens om en tredje parts förmånstagarklausul med underentreprenören enligt vilken – i händelse av att dataimportören faktiskt har försvunnit, upphört att existera i lag eller har blivit insolvent – dataexportören ska ha rätt att säga upp underentreprenörsavtalet och att instruera underentreprenören att radera eller returnera personuppgifterna.
(a) Dataimportören ska omedelbart underrätta dataexportören om varje begäran som den har tagit emot från en registrerad. Den ska inte svara på den begäran i sig om den inte har godkänts att göra det av dataexportören.
(b) Dataimportören ska assistera dataexportören när den uppfyller sina skyldigheter att svara på registrerades förfrågningar om att utöva sina rättigheter enligt förordning (EU) 2016/679. I detta avseende ska parterna i bilaga II ange lämpliga tekniska och organisatoriska åtgärder, med beaktande av behandlingens art, genom vilken det ska tillhandahållas, samt omfattningen av och i den utsträckning som krävs.
(c) Vid uppfyllandet av sina skyldigheter enligt punkterna (a) och (b) ska dataimportören följa instruktionerna från dataexportören.
(a) Dataimportören ska informera de registrerade i ett transparent och lättillgängligt format, genom individuellt meddelande eller på sin webbplats, om en kontaktpunkt som är behörig att hantera klagomål. Den ska omedelbart hantera eventuella klagomål som den tar emot från en registrerad.
(b) I händelse av en tvist mellan en registrerad och en av parterna om efterlevnaden av dessa klausuler ska den parten göra sitt bästa för att lösa problemet i godo. Parterna ska hålla varandra informerade om sådana tvister och, i förekommande fall, samarbeta för att lösa dem.
(c) Om den registrerade åberopar en tredjepartsförmånstagares rätt i enlighet med klausul 3 ska dataimportören acceptera den registrerades beslut att:
(i) lämna in ett klagomål till tillsynsmyndigheten i den medlemsstat där han/hon har sin vanliga bostad eller arbetsplats, eller den behöriga tillsynsmyndigheten i enlighet med klausul 13;
(ii) hänvisa tvisten till de behöriga domstolarna i den mening som avses i klausul 18.
(d) Parterna accepterar att den registrerade kan representeras av ett icke-vinstdrivande organ, en organisation eller en association utan vinstsyfte enligt de villkor som anges i artikel 80.1 i förordning (EU) 2016/679.
(e) Dataimportören ska följa ett beslut som är bindande enligt tillämplig EU- eller medlemsstats lag.
(f) Dataimportören samtycker till att det val som den registrerade gör inte kommer att påverka hans/hennes materiella och processuella rättigheter att söka gottgörelse i enlighet med tillämpliga lagar.
(a) Varje part ska vara ansvarig inför den andra parten/parterna för eventuella skador som den orsakar den andra parten genom brott mot dessa klausuler.
(b) Dataimportören ska vara ansvarig för den registrerade, och den registrerade ska vara berättigad att få ersättning, för eventuella materiella eller icke-materiella skador som dataimportören eller dess underentreprenör orsakar den registrerade genom att bryta mot tredjepartsförmånstagarens rättigheter enligt dessa klausuler.
(c) Trots punkt (b) ska dataexportören vara ansvarig för den registrerade, och den registrerade ska vara berättigad att få ersättning, för eventuella materiella eller icke-materiella skador som dataexportören eller dataimportören (eller dess underleverantör) orsakar den registrerade genom att bryta mot tredjepartsförmånstagarens rättigheter enligt dessa klausuler. Detta påverkar inte dataexportörens ansvar och, om dataexportören är en processor som agerar på uppdrag av en personuppgiftsansvarig, till den personuppgiftsansvariges ansvar enligt förordning (EU) 2016/679 eller förordning (EU) 2018/1725, i förekommande fall.
(d) Parterna är överens om att om dataexportören hålls ansvarig enligt punkt (c) för skador som orsakas av dataimportören (eller dess underentreprenör), ska det vara möjligt att kräva tillbaka från dataimportören den del av ersättningen som motsvarar dataimportörens ansvar för skadan.
(e) Om mer än en part är ansvarig för eventuella skador som orsakas den registrerade till följd av ett brott mot dessa klausuler ska alla ansvariga parter vara gemensamt och solidariskt ansvariga och den registrerade är berättigad att väcka talan i domstol mot någon av dessa parter.
(f) Parterna är överens om att om en part hålls ansvarig enligt punkt (e) ska den vara berättigad att kräva tillbaka från den andra parten/parterna den del av ersättningen som motsvarar hans/hennes ansvar för skadan.
(g) Dataimportören får inte åberopa en underentreprenörs beteende för att undvika sitt eget ansvar.
(a) Parterna är överens om att den tillsynsmyndighet som ansvarar för att säkerställa dataexportörens efterlevnad av förordning (EU) 2016/679 när det gäller dataöverföringen ska vara den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens), som ska agera som behörig tillsynsmyndighet.
(b) Dataimportören samtycker till att underkasta sig den jurisdiktion som råder i och samarbeta med den behöriga tillsynsmyndigheten i alla förfaranden som syftar till att säkerställa efterlevnaden av dessa klausuler. I synnerhet samtycker dataimportören till att svara på frågor, underkasta sig revisioner och följa de åtgärder som antagits av tillsynsmyndigheten, inklusive korrigerande och kompenserande åtgärder. Den ska förse tillsynsmyndigheten med skriftlig bekräftelse på att nödvändiga åtgärder har vidtagits.
