Anexa procesării datelor

 

Această Anexă face parte integrantă din Contract și este încheiată de către:

 

1. (i) Clientul ("Exportator de date")
2. (ii) IQUALIF ("Importator de date")

 

Părți" și în mod comun "Părți".

 

Preambul

ÎNTRUCÂT importatorul de date furnizează servicii software profesionale, servicii informatice și servicii conexe (cum ar fi browsere cu funcții avansate de căutare);

ÎNTRUCÂT, în conformitate cu Contractul, importatorul de date a fost de acord să furnizeze exportatorului de date serviciile specificate în Contract (denumite "Servicii");

ÎNTRUCÂT, prin furnizarea Serviciilor, importatorul de date primește sau beneficiază de acces la informațiile exportatorului de date sau ale altor persoane care au o relație (potențială) cu exportatorul de date, aceste informații putând fi calificate drept date cu caracter personal în sensul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date ("GDPR") și alte legi aplicabile privind protecția datelor.

ÎNTRUCÂT această Anexă conține termenii și condițiile aplicabile colectării, prelucrării și utilizării acestor date cu caracter personal de către importatorul de date în calitatea sa de agent autorizat de prelucrare a datelor al exportatorului de date, pentru a asigura respectarea de către Părți a legislației aplicabile privind protecția datelor.

 

Partea 1

 

1. Structura documentului și definiții

1.1 Structură

Această Anexă cuprinde diferite părți după cum urmează:

 

Partea 1:	conține prevederi generale, de exemplu referitoare la definițiile utilizate în această Anexă, conformitatea cu legile locale, termenele și încetarea
Partea 2:	conține corpul documentului standard de clauze contractuale nemodificate
Anexa 1.1 din Partea 2:	conține detaliile operațiunilor de prelucrare furnizate de către importatorul de date către exportatorul de date în calitatea sa de agent autorizat de prelucrare a datelor (inclusiv natura, scopul și procesul de prelucrare, tipul de date cu caracter personal și categoriile de subiecți ai datelor) în cadrul acestei Anexe
Anexa 2 din Partea 2:	conține o descriere a măsurilor tehnice și organizaționale de securitate ale importatorului de date, aplicate în legătură cu toate activitățile de prelucrare descrise în Anexa 1.1 din Partea 2
Partea 3:	conține semnăturile Părților pentru a fi legate de această Anexă și identifică fiecare importator de date

 

1.2 Terminologie și definiții

În scopul acestei Anexe, terminologia și definițiile utilizate de GDPR sunt aplicabile (în corpul documentului standard de clauze contractuale din Partea 2, unde termenii definiți nu sunt scriși cu majuscule). 

 

"Stat membru"	înseamnă o țară aparținând Uniunii Europene sau Spațiului Economic European
"Categorii speciale de date (cu caracter personal)"	se referă la datele personale care dezvăluie originea rasială sau etnică, opinii politice, convingeri religioase sau filozofice, apartenență la sindicate, și date genetice, date biometrice, dacă sunt prelucrate în scopul identificării unice a unei persoane, date privind sănătatea, date despre viața sexuală sau orientarea sexuală a unei persoane
"Clauze contractuale standard"	înseamnă Clauzele contractuale standard pentru transferul datelor personale ale agenților de prelucrare stabiliți în țări terțe, conform Deciziei Comisiei 2010/87/UE din 5 februarie 2010, care a fost modificată prin Decizia de punere în aplicare a Comisiei (UE) 2016/2297 din 16 decembrie 2016
"Prelucrare de date"	înseamnă orice agent de prelucrare, situat în interiorul sau în afara UE/SEE, care acceptă să primească de la importatorul de date sau de la orice alt prelucrător al importatorului de date, date personale exclusiv în scopul activităților de prelucrare care urmează a fi efectuate de către exportatorul de date după transfer, în conformitate cu instrucțiunile sale, termenii acestei Anexe și Contractul cu importatorul de date

 

 

2. Obligațiile exportatorului de date

2.1 Exportatorul de date are obligația de a asigura conformitatea cu toate obligațiile aplicabile în temeiul GDPR și orice alte legi aplicabile privind protecția datelor, și de a demonstra această conformitate conform articolului 5 (2) din GDPR. Exportatorul de date garantează că importatorul de date a obținut consimțământul prealabil al subiecților datelor în conformitate cu articolul 6 (a) din GDPR și a respectat obligația de a informa subiecții datelor conform articolelor 13 și 14 din GDPR.

2.2 Exportatorul de date trebuie să furnizeze importatorului de date fișierele respective ale activităților de prelucrare în conformitate cu articolul 30 (1) din GDPR, legate de Servicii în cadrul acestei Anexe, în măsura necesară pentru ca importatorul de date să își îndeplinească obligația conform articolului 30 (2) din GDPR.

2.3 Exportatorul de date trebuie să numească un responsabil cu protecția datelor sau un reprezentant, în măsura în care legea aplicabilă o impune. Exportatorul de date trebuie să furnizeze datele de contact ale agentului sau reprezentantului de protecție a datelor, dacă există.

2.4. Exportatorul de date confirmă, înainte de finalizarea prelucrării, prin acceptarea acestei Anexe, că măsurile tehnice și organizaționale de securitate ale importatorului de date, așa cum sunt stabilite în Anexa 2 din Partea 2, sunt adecvate și suficiente pentru a proteja drepturile subiectului datelor și confirmă că importatorul de date asigură garanții suficiente în acest sens.

 

3. Conformitatea cu legislația locală

Pentru a îndeplini cerințele implementării agenților de prelucrare conform articolului 28 din GDPR, se aplică următoarele modificări:

 

3.1 Instrucțiuni

1. (i) Exportatorul de date instruiește importatorul de date să prelucreze datele personale doar în numele său. Instrucțiunile exportatorului de date sunt furnizate în această Anexă și în Contract. Exportatorul de date are obligația de a se asigura că toate instrucțiunile date importatorului de date respectă legislația aplicabilă privind protecția datelor. Importatorul de date trebuie să prelucreze datele personale doar conform instrucțiunilor furnizate de exportatorul de date, cu excepția cazului în care legislația Uniunii Europene sau a statului membru (în cazul acesta, Clauza 3.2 (iv) din Partea 1 se aplică).
2. (ii) Toate celelalte instrucțiuni care depășesc instrucțiunile din această Anexă sau din Contract trebuie să fie incluse în subiectul acestei Anexe și în Contract. Dacă implementarea acestei instrucțiuni suplimentare implică costuri pentru importatorul de date, acesta trebuie să informeze exportatorul de date despre aceste costuri și să ofere o explicație înainte de a implementa instrucțiunea. Numai după ce exportatorul de date confirmă acceptarea acestor costuri pentru implementarea instrucțiunii, importatorul de date va implementa această instrucțiune suplimentară. Exportatorul de date trebuie să dea instrucțiuni suplimentare în scris, cu excepția cazului în care urgența sau alte circumstanțe speciale impun altă formă (de exemplu, oral, electronic). Instrucțiunile în altă formă decât în scris trebuie confirmate în scris și fără întârziere de către exportatorul de date.
3. 1. În cazul în care exportatorul de date nu poate realiza rectificarea, ștergerea sau restricția datelor personale, instrucțiunile pot, de asemenea, să se refere la rectificarea, ștergerea și/sau restricția datelor personale, așa cum sunt stabilite în Clauza 3.3 din Partea 1.
4. 2. Importatorul de date trebuie să informeze imediat exportatorul de date dacă, în opinia sa, o Instrucțiune încalcă GDPR sau alte prevederi aplicabile privind protecția datelor ale Uniunii Europene sau ale unui stat membru ("Instrucțiune contestată"). Dacă importatorul de date consideră că o Instrucțiune încalcă GDPR sau alte prevederi aplicabile, nu este obligat să o urmeze. Dacă exportatorul de date confirmă Instrucțiunea contestată după primirea informațiilor de la importatorul de date și recunoaște responsabilitatea pentru această Instrucțiune, importatorul de date va implementa Instrucțiunea contestată, cu excepția cazurilor în care aceasta se referă la (i) implementarea măsurilor tehnice și organizaționale de securitate, (ii) drepturile subiecților datelor sau (iii) angajarea prelucrătorilor de date. În aceste cazuri, importatorul de date poate contacta o autoritate de supraveghere competentă pentru a evalua legal această Instrucțiune contestată. Dacă autoritatea de supraveghere declară că Instrucțiunea contestată este legală, importatorul de date va implementa Instrucțiunea contestată. Clauza 3.1 (ii) din Partea 1 rămâne aplicabilă.

 

3.2 Obligațiile importatorului de date

1. (i) Importatorul de date trebuie să asigure că persoanele autorizate de către acesta să prelucreze datele personale în numele exportatorului de date, în special angajații săi și angajații subcontractanților, au acceptat să păstreze confidențialitatea sau sunt supuse unei obligații legale de confidențialitate și că aceste persoane care au acces la datele personale le prelucrează în conformitate cu instrucțiunile exportatorului de date.
2. (ii) Importatorul de date trebuie să implementeze măsurile tehnice și organizaționale de securitate, așa cum sunt stabilite în Anexa 2 din Partea 2, înainte de a prelucra datele personale în numele exportatorului de date. Importatorul de date poate schimba măsurile tehnice și organizaționale de securitate din când în când, dacă acestea nu oferă o protecție mai mică decât cele stabilite în Anexa 2 din Partea 2.
3. (iii) Importatorul de date trebuie să pună la dispoziția exportatorului de date, la cerere, informații care să demonstreze respectarea obligațiilor sale în cadrul acestei Anexe. Această obligație de informare este considerată îndeplinită prin furnizarea către exportatorul de date a unui raport de audit (acoperind securitatea principiilor, disponibilitatea sistemului și confidențialitatea) ("Raport de audit"). Dacă sunt necesare activități suplimentare de audit, exportatorul de date poate solicita efectuarea de inspecții de către acesta sau de către un auditor independent numit de acesta, cu condiția ca auditorul să semneze un acord de confidențialitate cu importatorul de date, satisfăcând cerințele rezonabile ale acestuia ("Audit"). Acest Audit se face cu condiția: (i) acceptarea formală prealabilă în scris a importatorului de date; și (ii) că exportatorul de date suportă toate costurile legate de Auditul la fața locului pentru ambele părți. Exportatorul de date trebuie să creeze un raport de audit care să rezume rezultatele și observațiile Auditului la fața locului ("Raport de Audit la fața locului"). Raporturile de Audit la fața locului și Raportele de Audit sunt informații confidențiale ale importatorului de date și nu trebuie divulgate terților, cu excepția cazurilor în care legea aplicabilă impune altfel sau în conformitate cu consimțământul exportatorului de date.
4. (iv) Importatorul de date are obligația să notifice exportatorul de date fără întârziere nejustificată:
   1. a. cu privire la orice solicitare legală obligatorie pentru divulgarea datelor personale de către o autoritate de aplicare a legii, cu excepția cazurilor în care este interzis, cum ar fi interdicția conform legii penale pentru a proteja confidențialitatea unei investigații;
   2. b. cu privire la orice plângere și solicitare primite direct de la subiectul datelor (de exemplu, privind accesul, rectificarea, ștergerea, restricția prelucrării, portabilitatea datelor, opoziția față de prelucrare, decizii automate) fără a răspunde la acea solicitare, cu excepția cazului în care importatorul de date a fost autorizat să o facă;
   3. c. dacă importatorul de date sau prelucrătorul de date este obligat, conform legii Uniunii Europene sau a statului membru la care este supus, să prelucreze datele personale dincolo de instrucțiunile exportatorului de date, înainte de a efectua această prelucrare dincolo de instrucțiuni, cu excepția cazurilor în care legile UE sau ale statului membru interzic această prelucrare pe motive de interes public vital, caz în care notificarea către exportatorul de date trebuie să specifice cerința legală conform legii respective;
   4. d. dacă importatorul de date constată o încălcare a datelor personale, doar din cauza sa sau a subcontractorului său, care ar afecta datele personale ale exportatorului de date acoperite de prezentul contract, caz în care va ajuta exportatorul de date să își îndeplinească obligația, conform legislației aplicabile privind protecția datelor, de a informa subiecții datelor și, dacă este cazul, autoritățile de supraveghere, furnizând informațiile deținute, în conformitate cu Articolul 33 (3) din GDPR.
   5. (v) La cererea exportatorului de date, importatorul de date trebuie să asiste exportatorul de date în realizarea unei evaluări a impactului asupra protecției datelor, conform articolului 35 din GDPR, și în consultarea prealabilă, conform articolului 36 din GDPR, privind serviciile furnizate de importatorul de date în cadrul acestei Anexe, furnizând informațiile și asistența necesare. Importatorul de date va oferi această asistență numai dacă exportatorul de date nu poate îndeplini această obligație prin alte mijloace. Importatorul de date va informa despre costurile acestei asistențe. După ce exportatorul de date confirmă că poate suporta aceste costuri, importatorul de date va oferi această asistență.
   6. (vi) La finalizarea serviciilor, exportatorul de date poate solicita returnarea datelor personale prelucrate de importatorul de date în cadrul acestei Anexe, în termen de o lună de la finalizarea serviciilor. Cu excepția cazului în care legislația statului membru sau a UE impune păstrarea datelor, importatorul de date va șterge toate aceste date personale sau nepersonale după această perioadă de o lună, indiferent dacă au fost returnate sau nu la cererea exportatorului de date.

 

3.3 Drepturile persoanelor vizate

1.  
   1. (i) Exportatorul de date gestionează și răspunde solicitărilor făcute de subiecții datelor. Importatorul de date nu este obligat să răspundă direct subiecților datelor.
   2. (ii) Dacă exportatorul de date solicită ajutorul importatorului de date pentru procesarea și răspunsul la solicitările subiectului datelor, acesta va emite o instrucțiune suplimentară conform Clauzei 3.1 (ii) din Partea 1. Importatorul de date va ajuta exportatorul de date cu următoarele măsuri tehnice și organizaționale pentru a răspunde solicitărilor de exercitare a drepturilor subiecților datelor prevăzute în Capitolul III din GDPR:
   3. a. În cazul solicitărilor de informații, importatorul de date va furniza exportatorului de date doar informațiile solicitate de articolele 13 și 14 din GDPR, dacă le are la dispoziție și dacă nu le poate găsi singur.
   4. b. În cazul solicitărilor de acces (articolul 15 din GDPR), importatorul de date va furniza exportatorului de date doar informațiile care trebuie furnizate subiectului datelor pentru solicitarea de acces, dacă le are la dispoziție și dacă nu le poate găsi singur.
   5. c. În cazul solicitărilor de rectificare (articolul 16 din GDPR), ștergere (articolul 17 din GDPR), restricție a prelucrării (articolul 18 din GDPR) sau portabilitate (articolul 20 din GDPR), și numai dacă exportatorul de date nu poate rectifica, șterge, limita sau transmite personal datele către o terță parte, importatorul de date va oferi exportatorului de date posibilitatea de a rectifica, șterge, limita sau transmite datele personale către altă terță parte, sau, dacă acest lucru nu este posibil, va oferi asistență pentru rectificarea, ștergerea, limitarea sau transmiterea datelor către altă terță parte.
   6. d. În cazul notificării privind rectificarea, ștergerea sau restricția prelucrării (articolul 19 din GDPR), importatorul de date va ajuta exportatorul de date notificând toți destinatarii datelor personale implicați, dacă acesta solicită și dacă nu poate remedia situația singur.
   7. e. În cazul exercitării dreptului de opoziție de către un subiect de date (articolul 21 și 22 din GDPR), exportatorul de date va decide dacă opoziția este legitimă și cum trebuie tratată.
   8. (iii) Obligațiile de asistență ale importatorului de date sunt limitate la datele personale prelucrate în cadrul infrastructurii sale (de exemplu, baze de date, sisteme, aplicații deținute sau furnizate de acesta).
   9. (iv) Exportatorul de date va decide dacă un subiect de date poate exercita drepturile subiecților de date prevăzute în Clauza 3.1 din această Partea 1 și va informa importatorul de date despre măsura în care asistența specificată în Clauzele 3.3 (ii), (iii) din Partea 1 este necesară.
   10. (v) Dacă exportatorul de date solicită măsuri tehnice și organizaționale suplimentare sau modificate pentru a satisface drepturile subiecților de date, care depășesc asistența furnizată de importatorul de date conform Sub-Clauzei 3.3 (ii), (iii) din Partea 1, acesta va informa despre costurile implementării acestor măsuri suplimentare sau modificate. După ce exportatorul de date confirmă că poate suporta aceste costuri, importatorul de date va implementa aceste măsuri.
   11. (vi) Fără a limita domeniul de aplicare al Clauzei 3.3 (v) din Partea 1, exportatorul de date va fi obligat să ramburseze importatorului de date cheltuielile rezonabile suportate în răspunsul la solicitările subiecților de date.

 

3.4 Subprocesare

1.  
   1. (i) Exportatorul de date autorizează utilizarea de către importatorul de date a subcontractorilor pentru furnizarea serviciilor în cadrul acestei Anexe. Importatorul de date va selecta cu grijă astfel de prelucrători de date. Exportatorul de date aprobă prelucrătorii de date enumerați în Anexa 1.1 la sfârșitul Partea 2.
   2. (ii) Importatorul de date va transfera obligațiile sale în cadrul acestei Anexe către prelucrătorii de date (dacă este cazul) pentru serviciile subcontractate.
   3. (iii) Importatorul de date poate să concedieze, să înlocuiască sau să numească alți prelucrători de date adecvați și de încredere, după discreția sa. Dacă este solicitat în scris de către exportatorul de date, importatorul de date trebuie să urmeze procedura stabilită mai jos:
2.  
   1. a. Importatorul de date va informa exportatorul de date înainte de orice modificare a listei de prelucrători de date menționați în Clauza 3.4 (i) din Partea 1. Dacă exportatorul de date nu se opune în termen de treizeci de zile de la primirea notificării de la importatorul de date, prelucrătorii suplimentari de date vor fi considerați acceptați.
   2. b. Dacă exportatorul de date are un motiv legitim să se opună unui prelucrător suplimentar de date, va notifica în prealabil în scris importatorul de date în termen de treizeci de zile de la primirea notificării și înainte de punerea în funcțiune a serviciului de către acesta. Dacă exportatorul de date se opune utilizării unui prelucrător suplimentar, importatorul de date poate anula opoziția prin una dintre următoarele opțiuni (aleasă după discreția sa): (A) va anula planurile de utilizare a unui prelucrător suplimentar pentru datele personale ale exportatorului de date; (B) va lua măsurile corective solicitate de exportatorul de date în opoziția sa (anularea opoziției) și va utiliza prelucrătorul suplimentar pentru datele personale ale exportatorului de date; (C) poate înceta să furnizeze sau exportatorul de date poate conveni să nu utilizeze (temporar sau permanent) un anumit aspect al serviciului care implică utilizarea unui alt prelucrător al datelor personale ale exportatorului de date.
3.  
   1. (iv) dacă prelucrătorul de date se află în afara UE-SEE, într-o țară care nu este recunoscută ca oferind un nivel adecvat de protecție a datelor în urma unei decizii a Comisiei Europene, importatorul de date va lua măsuri pentru a obține un nivel adecvat de protecție a datelor în conformitate cu GDPR (aceste măsuri pot include - printre altele - utilizarea contractelor de prelucrare a datelor bazate pe clauzele model ale UE, transferul către prelucrători de date auto-certificați în cadrul EU-US Privacy Shield sau un program similar).

 

3.5 Expirare

Expirarea acestei Anexe este identică cu data de expirare a Contractului corespunzător. Cu excepția cazurilor prevăzute în mod contrar în această Anexă, drepturile și obligațiile referitoare la încetare vor fi aceleași cu cele din Contract.

 

4. Limitarea răspunderii

4.1 Fiecare parte își gestionează obligațiile în cadrul acestei Anexe și legislația aplicabilă privind protecția datelor.

4.2 Orice răspundere legată de încălcarea obligațiilor din această Anexă sau din legislația aplicabilă privind protecția datelor va fi supusă și guvernată de prevederile de răspundere stabilite în, sau aplicabile, Contract, cu excepția cazurilor în care se prevede altfel în această Anexă. Dacă răspunderea este guvernată de prevederile de răspundere din sau aplicabile Contractului, pentru calcularea limitelor de răspundere sau pentru determinarea aplicării altor limitări ale răspunderii, orice răspundere apărută în cadrul acestei Anexe va fi considerată ca fiind apărută în cadrul Contractului.

 

5. Dispoziții generale

5.1 În cazul în care există incongruențe sau discrepanțe între Partea 1 și Partea 2 ale acestei Anexe, Partea 2 va prevala. În mod specific, chiar și în astfel de cazuri, Partea 1, care depășește Partea 2 (adică termenii clauzelor standard), fără a o contrazice, va rămâne valabilă.

5.2 În cazul în care apar discrepanțe între prevederile acestei Anexe și cele ale altor contracte care le leagă pe părți, această Anexă va prevala în ceea ce privește obligațiile de protecție a datelor ale părților. În cazul îndoielii dacă clauzele din alte contracte privesc obligațiile de protecție a datelor ale părților, această Anexă va prevala.

5.3 Dacă orice prevedere a acestei Anexe este invalidă sau inaplicabilă, restul acestei Anexe va rămâne în vigoare și efect. Prevederea invalidă sau inaplicabilă va fi (i) modificată pentru a-i asigura validitatea și aplicabilitatea, păstrând, pe cât posibil, intenția părților, sau - dacă acest lucru nu este posibil - (ii) interpretată ca și cum partea invalidă sau inaplicabilă nu ar fi fost niciodată parte a contractului. Aceasta se aplică și în cazul unei omisiuni în această Anexă.

5.5 În măsura necesară, Părțile pot solicita modificări ale Partea 1, Clauza 3 (Conformitatea cu legislația locală) sau alte părți ale Anexei pentru a respecta interpretările, directivele sau ordinele emise de autoritățile competente ale Uniunii sau ale statelor membre, dispozițiile naționale de aplicare sau orice alte evoluții legale privind GDPR sau alte condiții de delegare către orice entități implicate în prelucrarea datelor și, în mod specific, referitor la utilizarea Clauzelor contractuale standard în GDPR. Termenii Clauzelor contractuale standard nu pot fi modificați sau înlocuiți decât dacă Comisia Europeană le aprobă expres (de exemplu, prin noi clauze adecvate și standarde de protecție a datelor).

5.6 Orice referire în această Anexă la "Clauze" va fi interpretată ca referindu-se la toate prevederile acestei Anexe, cu excepția cazurilor în care se specifică altfel.

5.7 Alegerea legii în Partea 2, Clauza 9 se aplică întregului Contract.

 

6. Datele personale transmise și prelucrate de părți în scopuri personale (transfer de la controlor la controlor)

6.1 Părțile știu pe deplin că anumite date personale vor fi transferate de la exportatorul de date către importatorul de date și viceversa, și că aceste date sunt prelucrate de fiecare Parte în propriile scopuri. În ceea ce privește aceste date personale, nu afectează alte prevederi ale acestei Anexe (cu excepția acestei clauze 6).

6.2 Exportatorul de date poate transfera date personale referitoare la personalul importatorului de date, inclusiv informații despre incidente de securitate sau alte documente sau fișiere create sau stabilite de către exportatorul de date în legătură cu Serviciile furnizate de personalul importatorului de date. Importatorul de date poate prelucra aceste date personale în propriile scopuri, în special în relațiile sale profesionale cu personalul importatorului de date, pentru controlul calității și formare, sau pentru scopuri de afaceri.

6.3 Importatorul de date poate transfera date personale către exportatorul de date, inclusiv numele și datele de contact ale personalului său. Exportatorul de date poate prelucra aceste date în propriile scopuri.

6.4 Ambele părți vor respecta legislația aplicabilă privind protecția datelor, inclusiv GDPR, în colectarea, prelucrarea și utilizarea acestor date personale primite de la cealaltă parte conform clauzei 1 din Partea 1. În special, ambele Părți vor lua măsuri de securitate adecvate, oferind un nivel similar de protecție cu cele stabilite în Anexa 2 din Partea 2. Accesul la aceste date personale va fi limitat la necesitatea cunoașterii lor.

6.5 Ambele Părți trebuie să șteargă aceste date personale cât mai curând posibil după atingerea obiectivelor.

Partea 2

 

DECIZIA COMISIEI

din 5 februarie 2010

privind clauzele contractuale standard pentru transferul datelor personale către prelucrători de date stabiliți în țări terțe conform Directivei 95/46/CE a Parlamentului European și a Consiliului

 

 

 

Clauza 1

Definiții

În sensul clauzelor:

a) 'date cu caracter personal', 'categorii speciale de date', 'prelucrare', 'controlor', 'prelucrător', 'subiect al datelor' și 'autoritate de supraveghere' vor avea același înțeles ca în Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1);

b) 'Exportatorul de date' este controlorul de date care transferă datele personale;

c) 'Importatorul de date' este prelucrătorul de date care acceptă să primească de la exportatorul de date date personale destinate a fi prelucrate în numele său după transfer, conform instrucțiunilor sale și în condițiile acestor clauze și care nu este supus mecanismului unui stat terț care asigură protecție adecvată în sensul articolului 25(1) din Directiva 95/46/CE; (d) 'Prelucrător de date' înseamnă prelucrătorul de date angajat de către importatorul de date sau de către orice alt prelucrător al importatorului de date, care acceptă să primească de la importatorul de date sau de la orice alt prelucrător al importatorului de date, date personale exclusiv pentru activitățile de prelucrare care urmează a fi efectuate în numele exportatorului de date după transfer, conform instrucțiunilor sale, în condițiile stabilite în aceste clauze și în contractul scris de subcontractare a prelucrării datelor;

e) "legislație aplicabilă privind protecția datelor" înseamnă legislația care protejează drepturile și libertățile fundamentale ale persoanelor, inclusiv dreptul la intimitate în ceea ce privește prelucrarea datelor personale, și se aplică unui controlor din statul membru în care este stabilit exportatorul de date;

f) “măsuri tehnice și organizaționale referitoare la securitate” înseamnă măsuri destinate să protejeze datele personale împotriva distrugerii accidentale sau ilegale sau a pierderii accidentale, modificării, divulgării sau accesului neautorizat, în special atunci când prelucrarea implică transmiterea datelor prin rețele, și împotriva tuturor celorlalte forme ilegale de prelucrare.

Clauza 2

Detalii despre transfer

Detaliile transferului, inclusiv, dacă este cazul, categorii speciale de date personale, sunt specificate în Anexa 1, care face parte integrantă din aceste clauze.

Clauza 3

Clauza beneficiarului terț

1. Subiectul datelor poate exercita împotriva exportatorului de date această Clauză, Clauza 4(b) până la (i), Clauza 5(a) până la (e) și (g) până la (j), Clauza 6 (1) și (2), Clauza 7, Clauza 8(2) și Clauzele 9 până la 12 ca beneficiar terț

2. Subiectul datelor poate exercita această Clauză, Clauza 5 (a) până la (e) și (g), Clauza 6, Clauza 7, Clauza 8 (2) și Clauzele 9 până la 12 împotriva importatorului de date dacă exportatorul de date a dispărut fizic sau a încetat să existe în mod legal, cu excepția cazului în care toate obligațiile sale legale au fost transferate, prin contract sau prin operațiunea legii, către entitatea succesoare, către care drepturile și obligațiile exportatorului de date revin, și împotriva căreia subiectul datelor poate exercita aceste clauze.

Subiectul datelor poate exercita această Clauză, Clauza 5 (a) până la (e) și (g), Clauza 6, Clauza 7, Clauza 8 (2) și Clauzele 9 până la 12 împotriva prelucrătorului de date, dar numai în cazurile în care exportatorul de date și importatorul de date au dispărut fizic, au încetat să existe în mod legal sau au devenit insolvenți, cu excepția cazului în care toate obligațiile legale ale exportatorului de date au fost transferate, prin contract sau prin operațiunea legii, către succesorul legal, asupra căruia drepturile și obligațiile exportatorului de date sunt astfel învestite, și împotriva căruia subiectul datelor poate exercita aceste clauze. Răspunderea prelucrătorului de date trebuie limitată la activitățile sale de prelucrare în cadrul acestor clauze.

4. Părțile nu se opun ca subiectul datelor să fie reprezentat de o asociație sau alt organism dacă acesta dorește și dacă legea națională permite.

Clauza 4

Obligațiile exportatorului de date

Exportatorul de date acceptă și garantează următoarele:

a) prelucrarea, inclusiv transferul efectiv al datelor personale, a fost și va continua să fie realizată în conformitate cu prevederile relevante ale legislației aplicabile privind protecția datelor (și, dacă este cazul, a fost notificată autorităților competente ale statului membru în care are sediul) și nu încalcă prevederile relevante ale acelui stat;

b) au instruit și vor instrui pe durata serviciilor de prelucrare a datelor, importatorul de date să prelucreze datele personale transferate exclusiv în numele exportatorului de date și în conformitate cu legislația aplicabilă privind protecția datelor și aceste clauze;

c) importatorul de date va oferi garanții suficiente privind măsurile tehnice și organizaționale de securitate specificate în Anexa 2 a prezentului contract;

d) după evaluarea cerințelor legislației aplicabile privind protecția datelor, măsurile de securitate sunt adecvate pentru a proteja datele personale împotriva distrugerii accidentale sau ilegale sau a pierderii accidentale, modificării, divulgării sau accesului neautorizat, în special atunci când prelucrarea implică transmiterea datelor prin rețea, și împotriva tuturor celorlalte forme ilegale de prelucrare și asigură un nivel de securitate adecvat riscurilor reprezentate de prelucrare și naturii datelor de protejat, având în vedere nivelul tehnologiei și costul implementării;

e) vor asigura respectarea măsurilor de securitate;

f) dacă transferul se referă la categorii speciale de date, subiectul datelor a fost informat sau va fi informat înainte de transfer că datele sale pot fi transferate către o țară terță care nu oferă un nivel adecvat de protecție în sensul Directivei 95/46/CE;

g) vor transmite orice notificare primită de la importatorul de date sau de la orice prelucrător de date conform Clauzelor 5 (b) și 8 (3) către autoritatea de supraveghere a protecției datelor dacă decide să continue transferul sau să ridice suspendarea;

h) vor pune la dispoziția subiecților datelor, dacă solicită, o copie a acestor Clauze, cu excepția Anexei 2, și o descriere sumară a măsurilor de securitate, precum și o copie a oricărui acord de subcontractare încheiat în baza acestor Clauze, cu excepția cazului în care clauzele sau acordul conțin informații comerciale, caz în care poate retrage aceste informații;

i) în cazul subcontractării procesului de prelucrare a datelor, activitatea de prelucrare trebuie să fie realizată în conformitate cu Clauza 11 de către un prelucrător de date care oferă cel puțin același nivel de protecție a datelor personale și a drepturilor subiectului datelor ca și importatorul de date în cadrul acestor clauze; și

j) va asigura respectarea Clauzei 4 (a) până la (i).

Clauza 5

Obligațiile importatorului de date

Importatorul de date acceptă și garantează următoarele:

a) vor prelucra datele personale doar în numele exportatorului de date și conform instrucțiunilor acestuia și acestor clauze; dacă nu pot respecta din orice motiv, vor informa exportatorul de date despre incapacitatea lor, caz în care acesta poate suspenda transferul de date și/sau poate înceta contractul;

b) nu au motive să creadă că legislația aplicabilă lor împiedică îndeplinirea instrucțiunilor date de exportatorul de date și obligațiilor ce le revin în temeiul contractului, iar dacă această legislație suferă modificări care pot avea un efect advers semnificativ asupra garanțiilor și obligațiilor din aceste clauze, vor notifica fără întârziere exportatorul de date despre schimbare, după ce devin conștienți de aceasta, caz în care exportatorul de date poate suspenda transferul de date și/sau poate înceta contractul; (c) au implementat măsurile tehnice și organizaționale de securitate specificate în Anexa 2 înainte de a prelucra datele personale transferate;

d) vor notifica exportatorul de date fără întârziere:

i) orice solicitare obligatorie pentru divulgarea datelor personale de către o autoritate de aplicare a legii, cu excepția cazurilor în care este specificat altfel, cum ar fi interdicția conform legii penale pentru a păstra secretul unei investigații;

ii) orice acces incidental sau neautorizat; și

iii) orice solicitare primită direct de la persoanele vizate, fără a răspunde la aceasta, cu excepția cazului în care a fost autorizat să o facă; administratorii

e) vor trata prompt și corespunzător toate solicitările primite de la exportatorul de date privind prelucrarea datelor personale transferate și vor acționa conform opiniei autorității de supraveghere privind prelucrarea datelor transferate;

f) la cererea exportatorului de date, vor supune facilitățile sale de prelucrare a datelor unui audit al activităților de prelucrare acoperite de aceste clauze, efectuat de exportatorul de date sau de o autoritate de supraveghere formată din membri independenți cu calificări profesionale necesare, cu obligația de confidențialitate și aleasă de exportatorul de date, dacă este cazul, cu acordul autorității de supraveghere;

g) vor pune la dispoziția subiectului datelor, dacă acesta solicită, o copie a acestor Clauze sau a oricărui contract de subcontractare a prelucrării datelor, cu excepția cazului în care Clauzele sau contractul conțin informații comerciale, caz în care pot elimina aceste informații, cu excepția Anexei 2, care va fi înlocuită cu o descriere sumară a măsurilor de securitate, dacă subiectul datelor nu poate obține o copie de la exportatorul de date;

h) în cazul subcontractării confidențiale a prelucrării datelor, va asigura că informează în avans exportatorul de date și obține consimțământul scris al acestuia;

i) serviciile de prelucrare furnizate de prelucrătorul de date trebuie să fie conforme cu Clauza 11;

j) va trimite prompt o copie a oricărui contract de subcontractare a prelucrării datelor încheiat în cadrul acestor Clauze către exportatorul de date.

Clauza 6

Responsabilitate

1. Părțile convin că orice subiect de date care a suferit prejudiciu din cauza unei încălcări a obligațiilor prevăzute în Clauza 3 sau Clauza 11 de către o parte sau de către un prelucrător de date poate obține despăgubiri de la exportatorul de date pentru prejudiciul suferit.

2. Dacă un subiect de date nu poate intenta acțiune pentru despăgubiri conform alineatului 1 împotriva exportatorului de date pentru neconformitatea importatorului de date sau a prelucrătorului de date cu orice obligație a sa în temeiul Clauzei 3 sau Clauzei 11, deoarece exportatorul de date a dispărut fizic, a încetat să existe în mod legal sau a devenit insolvent, importatorul de date acceptă că subiectul de date poate depune o plângere împotriva sa ca și cum ar fi fost exportatorul de date, cu excepția cazului în care toate obligațiile legale ale exportatorului de date au fost transferate, prin contract sau prin operațiunea legii, către succesorul său, asupra căruia drepturile și obligațiile exportatorului de date revin, și împotriva căruia subiectul datelor poate exercita aceste clauze. Răspunderea prelucrătorului de date trebuie limitată la activitățile sale de prelucrare în cadrul acestor clauze.

3. Dacă un subiect de date nu poate intenta acțiunea prevăzută în alineatele 1 și 2 împotriva exportatorului de date sau a importatorului de date pentru încălcarea obligațiilor de către prelucrătorul de date în temeiul Clauzei 3 sau Clauzei 11, deoarece exportatorul de date și importatorul de date au dispărut fizic, au încetat să existe în mod legal sau au devenit insolvenți, prelucrătorul de date acceptă că subiectul de date poate depune o plângere împotriva sa privind activitățile sale de prelucrare în conformitate cu aceste clauze, ca și cum ar fi fost exportatorul de date sau importatorul de date, cu excepția cazului în care toate obligațiile legale ale exportatorului de date sau ale importatorului de date au fost transferate, prin contract sau prin operațiunea legii, către succesorul legal, asupra căruia drepturile și obligațiile exportatorului de date sunt astfel învestite, și împotriva căruia subiectul datelor poate exercita aceste clauze. Răspunderea prelucrătorului de date trebuie limitată la activitățile sale de prelucrare în cadrul acestor clauze.

 

Clauza 7

Medierea și jurisdicția

1. Importatorul de date acceptă că, dacă în temeiul acestor clauze, subiectul datelor invocă împotriva sa dreptul de beneficiar terț și/sau solicită despăgubiri pentru prejudiciul suferit, va accepta decizia subiectului datelor:

a) de a supune disputa medierii de către o persoană independentă sau, dacă este cazul, de către autoritatea de supraveghere;

b) de a aduce disputa în fața instanțelor din statul membru în care are sediul exportatorul de date.

2. Părțile convin că alegerea făcută de subiectul datelor nu va afecta dreptul procedural sau substanțial al subiectului datelor de a obține despăgubiri în conformitate cu alte prevederi ale legii naționale sau internaționale.

Clauza 8

Cooperarea cu autoritățile de supraveghere

1. Exportatorul de date acceptă să depună o copie a prezentului contract la autoritatea de supraveghere dacă aceasta solicită sau dacă această depunere este prevăzută de legislația aplicabilă privind protecția datelor.

2. Părțile convin că autoritatea de supraveghere poate efectua verificări la importatorul de date și la orice prelucrător de date în aceleași condiții și în aceeași măsură ca și verificările efectuate la exportatorul de date, în conformitate cu legislația aplicabilă privind protecția datelor.

3. Importatorul de date va informa cât mai curând posibil exportatorul de date despre existența legislației care împiedică verificarea la importatorul de date sau la orice prelucrător de date, conform alineatului 2. În astfel de cazuri, exportatorul de date poate lua măsurile prevăzute în Clauza 5 (b).

Clauza 9

Legea aplicabilă

Clauzele se aplică și sunt guvernate de legea statului membru în care este stabilit exportatorul de date.

Clauza 10

Modificarea contractului

Părțile se angajează să nu modifice aceste clauze. Părțile rămân libere să includă alte clauze comerciale pe care le consideră necesare, cu condiția ca acestea să nu contravină acestor clauze.

Clauza 11

Subcontractarea ulterioară

1. Importatorul de date nu va subcontracta nicio activitate de prelucrare efectuată în numele său în cadrul acestor clauze fără consimțământul scris prealabil al exportatorului de date. Importatorul de date va subcontracta obligațiile sale doar printr-un acord scris cu prelucrătorul de date, care să impună aceluiași nivel de obligații ca și cele impuse importatorului de date în cadrul acestor clauze. Dacă prelucrătorul de date nu poate respecta obligațiile de protecție a datelor în conformitate cu acest acord scris, importatorul de date rămâne pe deplin responsabil față de exportatorul de date pentru îndeplinirea acestor obligații.

2. Acordul scris prealabil între importatorul de date și prelucrătorul de date trebuie să includă și o clauză de beneficiar terț, conform Clauzei 3, pentru cazurile în care subiectul datelor nu poate intenta acțiunea pentru despăgubiri prevăzută în Clauza 6 (1), împotriva exportatorului de date sau a importatorului de date, deoarece aceștia au dispărut fizic, au încetat să existe în mod legal sau au devenit insolvenți, dacă toate obligațiile legale ale acestora nu au fost transferate, prin contract sau prin operațiunea legii, către succesorul lor legal, asupra căruia drepturile și obligațiile lor revin, și împotriva căruia subiectul datelor poate exercita aceste clauze. Răspunderea prelucrătorului de date trebuie limitată la activitățile sale de prelucrare în cadrul acestor clauze.

3. Dispozițiile referitoare la aspectele de protecție a datelor ale subcontractării prelucrării datelor din contractul menționat la alineatul 1 vor fi guvernate de legea statului membru în care este stabilit exportatorul de date.

4. Exportatorul de date va păstra o listă a contractelor de subcontractare a prelucrării datelor încheiate în cadrul acestor Clauze și notificate de către importatorul de date conform Clauzei 5 (j), care va fi actualizată cel puțin o dată pe an. Această listă va fi pusă la dispoziția autorității de protecție a datelor a exportatorului de date.

Clauza 12

Obligația după încetarea serviciilor de prelucrare a datelor personale

1. Părțile convin că, la finalizarea serviciilor de prelucrare a datelor, importatorul de date și prelucrătorul de date vor, la conveniența exportatorului de date, să returneze toate datele personale transferate și copiile acestora către exportatorul de date sau să distrugă toate aceste date și să furnizeze dovada distrugerii către exportatorul de date, cu excepția cazului în care legislația impusă importatorului de date împiedică returnarea sau distrugerea tuturor sau a unor părți ale datelor personale transferate. În acest caz, importatorul de date garantează că va asigura confidențialitatea datelor personale transferate și că nu va mai prelucra activ aceste date.

2. Importatorul de date și prelucrătorul de date vor asigura, dacă este solicitat de către exportatorul de date și/sau autoritatea de supraveghere, verificarea măsurilor de prelucrare a datelor menționate la alineatul 1.

 

 

 

 

Anexa 1.1 la Partea 2

Detalii despre transfer

 

 

Exportator de date

Exportatorul de date este Clientul definit în acordul contractual.

 

Importator de date

Importatorul de date este IQUALIF și este desemnat să prelucreze datele, furnizând servicii către exportatorul de date.

 

Subiecții datelor

Datele personale transferate se referă la următoarele categorii de subiecți ai datelor:

☒ abonați telefonici enumerați în directorul universal

☐ Alții, inclusiv:

 

Categoriile de date

Datele personale transferate se referă la următoarele categorii de date:

 

Categoriile de date personale ale subiecților de date ai exportatorului, în special,

☒ Numele complet

☒ Adresa poștală

☒ Date de contact (e-mail, telefon, adresă IP etc.)

☒ Detalii despre activitățile de marketing referitoare la abonatul telefonic

☒ Altele, inclusiv tipul de locuință, venituri și vârste medii pe oraș, realizate anonim

 

Categorii speciale de date (dacă este cazul)

Datele personale transferate se referă la următoarele categorii speciale de date:

☒ Transferul categoriilor speciale de date nu este prevăzut

☐ Rasă sau origine etnică

☐ Convingeri religioase sau filozofice

☐ Apartenență la sindicate

☐ Opinii politice

☐ Informații genetice

☐ Informații biometrice

☐ Informații despre orientarea sexuală sau viața sexuală

☐ Date despre sănătate

 

Activități de prelucrare

Datele personale transferate vor fi supuse următoarelor activități de prelucrare de bază:

 

•  
  • • Scopul prelucrării

Prelucrarea realizată în numele exportatorului de date se bazează pe următoarele subiecte, în special:

☒ Gestionarea produselor sau serviciilor oferite de exportatorul de date

☒ Oferta unui produs sau serviciu solicitat de persoana apelată

☒ Comenzi primite de la persoanele apelate și prelucrarea ulterioară a acestor comenzi

☒ Chestionare de studiu și analize

☒ Telemarketing

☐ Altele, inclusiv:

 

•  
  • • Natura și scopul prelucrării

Datele personale ale subiecților de date sunt prelucrate de către importatorul de date în numele exportatorului de date pentru a furniza următoarele servicii, și în special:

☒ Vânzări și marketing

☒ Altele, inclusiv actualizarea bazelor de date ale primăriilor și partidelor politice

 

•  
  • • Furnizarea de servicii și angajarea de furnizori de servicii

 

IQUALIF combină, centralizează și furnizează în principal servicii către exportatorul de date. Serviciile furnizate de către furnizorul de servicii menționat pot fi structurate (printre altele, după caz) în jurul următoarelor servicii auxiliare: (i) furnizarea de aplicații, instrumente, sisteme și infrastructură IT în legătură cu centrele de prelucrare a datelor utilizate, pentru a furniza și susține serviciile, inclusiv prelucrarea datelor cu caracter personal ale subiecților de date, așa cum sunt descrise mai sus, prin astfel de aplicații, instrumente și sisteme, (ii) furnizarea de suport IT, întreținere și alte servicii legate de astfel de aplicații, instrumente, sisteme și infrastructură IT, inclusiv accesul potențial la datele personale stocate în astfel de aplicații, instrumente și sisteme, și (iii) furnizarea de servicii de protecție a datelor, monitorizarea protecției și servicii de răspuns la incidente, inclusiv accesul potențial la datele personale în timpul furnizării acestor servicii de protecție. IQUALIF poate angaja prelucrători de date conform celor de mai jos pentru a furniza aceste servicii, inclusiv servicii auxiliare.

 

•  
  • • Furnizori externi de servicii terți, ca sub-enteități desemnate pentru prelucrarea datelor

 

IQUALIF angajează furnizori externi și terți, care nu sunt subsidiare ale IQUALIF, pentru a sprijini furnizarea serviciilor către exportatorul de date. Exportatorul de date aprobă acești furnizori externi ca sub-enteități desemnate pentru prelucrarea datelor.

 

Dacă o sub-enteitate implicată în prelucrarea datelor se află în afara UE/SEE, într-o țară considerată că nu are un nivel adecvat de protecție a datelor conform unei decizii a Comisiei Europene, importatorul de date va lua măsuri pentru a obține un nivel adecvat de protecție a datelor în conformitate cu GDPR și secțiunea 3.4 (iv) din Partea 1.

 

 

Anexa 2, Partea 2

Măsuri tehnice și organizaționale de protecție

 

Importatorul de date va lua următoarele măsuri tehnice și organizaționale de protecție, confirmate de către exportatorul de date, pentru a garanta un nivel adecvat de securitate pentru drepturile și libertățile persoanelor, în funcție de riscuri. În evaluarea nivelului de protecție, exportatorul de date a luat în considerare, în special, riscurile implicate în prelucrare, inclusiv distrugerea accidentală sau ilegală, pierderea, modificarea, divulgarea sau accesul neautorizat la datele personale transmise, stocate sau prelucrate în alt mod. Clarificare: aceste măsuri tehnice și organizaționale de protecție nu se aplică aplicațiilor, instrumentelor, sistemelor și/sau infrastructurii IT furnizate de exportatorul de date.

1. Măsuri generale tehnice și organizaționale de protecție

1.1 Strategii generale de protecție a datelor și informațiilor

Următorii pași trebuie urmați pentru a respecta strategiile generale de protecție a datelor și informațiilor:

a) luarea măsurilor pentru evaluarea celor luate în legătură cu protecția tehnică și organizațională;

b) oferirea de instruire pentru creșterea conștientizării angajaților;

c) realizarea unei descrieri a sistemelor vizate și acordarea de acces angajaților;

d) stabilirea unui proces formal de documentare ori de câte ori sunt implementate sau modificate sisteme;

e) documentarea structurii organizaționale, a proceselor, responsabilităților și evaluărilor respective;

1.2 Organizarea protecției informațiilor

Următoarele măsuri trebuie luate pentru a coordona activitățile de protecție a datelor și informațiilor:

a) responsabilități definite pentru protecția informațiilor și datelor (de exemplu, prin politica de management a protecției datelor);

b) expertiza necesară pentru protejarea informațiilor și datelor, menținându-le disponibile;

c) toți angajații sunt angajați să asigure confidențialitatea datelor personale și au fost informați despre consecințele potențiale ale încălcării acestei angajamente.

1.3 Controlul accesului la zonele de prelucrare

Următoarele măsuri trebuie luate pentru a preveni accesul neautorizat la sistemele de prelucrare a datelor (în special software și hardware) atunci când datele personale sunt prelucrate, stocate sau transmise:

a) stabilirea de zone sigure;

b) protejarea și restricționarea accesului la sistemele de prelucrare a datelor;

c) stabilirea autorizațiilor de acces pentru angajați și terți, inclusiv documentele respective;

d) orice acces la centrele de prelucrare a datelor în care sunt stocate datele personale va fi înregistrat.

1.4 Controlul accesului la sistemele de prelucrare a datelor

Următoarele măsuri trebuie luate pentru a preveni accesul neautorizat la sistemele de prelucrare a datelor:

a) politici și proceduri de autentificare a utilizatorilor;

b) utilizarea parolelor pe toate sistemele informatice;

c) accesul de la distanță la rețea necesită autentificare multi-factor și este acordat persoanei respective în funcție de responsabilități și autorizare;

d) accesul la funcții specifice se bazează pe funcțiile de serviciu și/sau atributele individuale atribuite contului unui utilizator;

e) drepturile de acces legate de datele personale sunt revizuite periodic;

f) se păstrează evidențe ale modificărilor drepturilor de acces.

1.5 Controlul accesului la anumite zone de utilizare a sistemelor de prelucrare a datelor

Următoarele măsuri trebuie luate pentru a asigura că persoanele autorizate cu dreptul de a utiliza sistemul de prelucrare a datelor pot accesa doar datele în limitele responsabilităților și autorizațiilor lor și că datele personale nu pot fi citite, copiate, modificate sau șterse fără autorizare:

a) politici, instrucțiuni și instruirea angajaților privind obligațiile lor de confidențialitate, drepturile de acces la datele personale și domeniul de prelucrare a datelor personale;

b) măsuri disciplinare împotriva persoanelor care accesează datele personale fără autorizare;

c) accesul la datele personale va fi acordat doar persoanelor autorizate, pe baza necesității de cunoaștere;

d) menținerea unei liste a administratorilor de sistem și luarea măsurilor corespunzătoare pentru monitorizarea administratorilor de sistem;

e) evitarea copierii sau reproducerii datelor personale pe orice sistem de stocare pentru a permite persoanelor neautorizate să elimine informațiile despre originar;

f) ștergerea sau distrugerea controlată și documentată a datelor;

g) stocarea sigură a tuturor datelor personale care trebuie păstrate pentru motive legale sau de reglementare (de exemplu, obligații de păstrare a datelor), și doar atât cât impune legea.

1.6 Controlul transmisiunilor

Următoarele măsuri trebuie luate pentru a preveni ca datele personale să fie citite, copiate, modificate sau șterse de terți neautorizați în timpul transmiterii sau transportului dispozitivelor de stocare a datelor (în funcție de prelucrarea datelor personale efectuată):

a) utilizarea firewall-urilor;

b) evitarea stocării datelor personale pe dispozitive mobile pentru transport sau criptarea dispozitivelor; c) utilizarea pe laptopuri și alte dispozitive mobile doar după activarea protecției criptografice;

d) înregistrarea transmiterilor de date personale.

1.7 Controlul introducerii datelor

Următoarele măsuri trebuie luate pentru a asigura că este posibil să se verifice și să se determine dacă datele personale au fost introduse sau șterse din sistemele de prelucrare a datelor și de către cine:

a) o politică pentru autorizarea citirii, modificării și ștergerii datelor stocate;

b) măsuri de protecție privind citirea, modificarea și ștergerea datelor stocate.

1.8 Controlul muncii

În cazul prelucrării delegate a datelor personale, următoarele măsuri trebuie luate pentru a asigura că aceste date sunt prelucrate conform instrucțiunilor Supervisorului:

a) entități sau sub-enteități desemnate pentru prelucrarea datelor, alese cu grijă (furnizori de servicii care prelucrează date personale în numele controlorului);

b) instrucțiuni privind domeniul oricărei prelucrări a datelor personale către angajați, entități sau sub-enteități desemnate pentru prelucrare;

c) drepturile de audit convenite cu entitățile sau sub-enteitățile desemnate pentru prelucrare;

d) acorduri în vigoare cu entitățile sau sub-enteitățile desemnate pentru prelucrare.

1.9 Separarea de prelucrarea pentru alte scopuri

Următoarele măsuri trebuie luate pentru a asigura că datele colectate pentru alte scopuri pot fi prelucrate separat:

a) acces separat la datele personale în conformitate cu drepturile existente ale utilizatorilor;

b) interfețe, procesare în lot și raportare pentru alte scopuri și funcții, astfel încât datele colectate pentru alte scopuri să poată fi prelucrate separat.

1.10 Pseudonimizare

Următoarele măsuri trebuie luate în ceea ce privește pseudonimizarea datelor personale:

a) Dacă exportatorul de date comandă o anumită operațiune de prelucrare sau dacă aceasta este considerată adecvată de către importatorul de date în conformitate cu legislația în vigoare privind anumite activități de prelucrare, prelucrarea datelor personale va fi realizată astfel încât datele să nu mai poată fi atribuite unei persoane specifice fără utilizarea unor informații suplimentare. Aceste informații suplimentare vor fi păstrate separat;

b) utilizarea tehnicilor de pseudonimizare, inclusiv aleatorizarea listei de alocare; crearea de valori sub formă de caractere speciale.

1.11 Criptare

Următoarele măsuri trebuie luate pentru criptarea datelor personale în aplicații și transmiteri care suportă criptarea:   a) utilizarea tehnicilor de criptare;

b) stabilirea managementului criptografiei pentru a sprijini tehnicile de criptare autorizate;

c) susținerea utilizării criptografiei prin proceduri și protocoale pentru generarea, modificarea, revocarea, distrugerea, distribuirea, certificarea, stocarea, captarea, utilizarea și arhivarea cheilor criptografice pentru a proteja împotriva modificărilor și divulgărilor neautorizate.

1.12 Integritatea sistemelor și serviciilor de prelucrare a datelor

Datele trebuie să fie prelucrate în mod complet, iar sistemele și serviciile trebuie să fie protejate pentru a asigura integritatea acestora:

a) protejarea sistemelor de prelucrare a datelor împotriva manipulării sau distrugerii prin mijloace adecvate (de exemplu, software antivirus, software de prevenire a pierderii datelor și software împotriva malware, patch-uri de software, firewall-uri și protecție gestionată a desktopurilor);

b) interzicerea instalării oricărui serviciu sau software dăunător pentru sistemele, serviciile sau manipularea datelor personale;

c) utilizarea unui sistem de detectare și prevenire a intruziunilor în rețea în structura rețelei în sine.

1.13 Disponibilitatea sistemelor și serviciilor de prelucrare a datelor și posibilitatea de a restabili accesul și utilizarea datelor personale în cazul unui incident material sau tehnic

Următoarele măsuri trebuie luate pentru a asigura disponibilitatea sistemelor de prelucrare a datelor, precum și pentru a putea restabili rapid disponibilitatea și accesul la datele personale în cazul unui incident material sau tehnic (în special, asigurând protecția datelor personale împotriva distrugerii accidentale sau pierderii):

a) existența unor mijloace de control pentru păstrarea copiilor de rezervă și restaurarea datelor pierdute sau șterse;

b) redundanță infrastructurală și testarea performanței;

c) protecție fizică a resurselor informatice;

d) utilizarea unor instrumente pentru monitorizarea stării și disponibilității rețelei interne;

e) politici de raportare și răspuns la incidente, care guvernează procedura de gestionare a incidentelor și reiterarea respectării acestor politici ca parte a instruirii periodice;

f) backup-uri (uneori off-site) pentru a restabili sistemul și a-i permite să își reia funcțiile;

g) planuri de continuitate a afacerii / recuperare în caz de dezastru

1.14 Reziliența sistemelor și serviciilor de prelucrare a datelor

Următoarele măsuri trebuie luate pentru a asigura reziliența sistemelor și serviciilor de prelucrare a datelor:

a) sisteme și configurări armonizate, utilizând parametri de securitate aprobați;

b) redundanță în rețea;

c) protecție de conținut pentru sistemele critice.

1.15 Procedură pentru testarea, evaluarea și verificarea periodică a eficacității măsurilor tehnice și organizaționale pentru asigurarea securității prelucrării datelor

Procedură pentru testarea, evaluarea și verificarea periodică a eficacității măsurilor tehnice și organizaționale pentru protejarea prelucrării datelor.

a) luarea măsurilor necesare pentru evaluarea riscurilor și strategiilor de atenuare;

b) întâlniri de analiză a serviciilor departamentului IT pentru abordarea problemelor curente;

c) planurile de continuitate a afacerii / recuperare în caz de dezastru sunt actualizate periodic.

 

Partea 3

Semnăturile părților și lista importatorilor de date

 

Când completați formularul de comandă online și îl validați bifând caseta de acceptare a termenilor și condițiilor generale de utilizare, se stabilește contractul care guvernează relația dintre Client și IQUALIF.

Trimiterea plății către IQUALIF va considera contractul acceptat și încheiat.

---

Notă: Acest text a fost tradus din limba franceză. Versiunea originală în limba franceză, care este valabilă și restrictivă din punct de vedere legal, este disponibilă aici.