Додаток про обробку даних

Цей Додаток є невід’ємною частиною Договору і укладається між : 

1. (i) Клієнтом (« Експортер даних ») ; та
2. (ii) IQUALIF (« Імпортер даних »),

кожен з яких є « Стороною », а разом - « Сторони ».

Передмова

З ОСКІЛЬКИ Імпортер даних надає професійні програмні послуги, ІТ-послуги та подібні послуги (наприклад, Браузери з функціями розширеного пошуку) ;

З ОСКІЛЬКИ, згідно з Договором, Імпортер даних погодився надавати Експортеру даних послуги, визначені в Договорі (далі « Послуги ») ;

З ОСКІЛЬКИ, під час надання Послуг Імпортер даних отримує або має доступ до інформації Експортера даних або до інформації інших осіб, які мають (можливі) відносини з Експортером даних, ця інформація може кваліфікуватися як персональні дані відповідно до значення Регламенту (ЄС) 2016/679 Європейського парламенту та Ради від 27 квітня 2016 року щодо захисту фізичних осіб у зв’язку з обробкою персональних даних і вільного руху таких даних (« RGPD ») та інших застосовних законів про захист даних ;

З ОСКІЛЬКИ цей Додаток містить загальні умови, що застосовуються до збору, обробки та використання цих персональних даних Імпортером даних як уповноваженим процесором від імені Експортера даних, з метою забезпечення дотримання сторонами застосовного законодавства про захист даних.

ТАКИМ ЧИНОМ, і щоб дозволити Сторонам продовжувати їхні відносини у відповідності до закону, Сторони уклали цей Додаток, як зазначено далі :

Частина 1

1. Структура документа та визначення

1.1 Структура

Цей Додаток складається з різних частин, а саме :

Частина 1 :	містить загальні положення, наприклад щодо визначень, що використовуються в цьому Додатку, дотримання місцевих законів, строку дії та припинення ;
Частина 2 :	містить незмінений основний текст Типових положень ;
Додаток 1.1 і далі до Частини 2 :	містить деталі щодо операцій обробки, що виконуються Імпортером даних для Експортера даних як уповноваженим процесором (включаючи предмет обробки, характер та мету обробки, тип персональних даних і категорії суб’єктів даних) відповідно до цього Додатку ;
Додаток 2 до Частини 2 :	містить опис технічних та організаційних заходів безпеки Імпортера даних, які застосовуються послідовно щодо всіх дій обробки, описаних у Додатку 1.1 і далі до Частини 2 ;
Частина 3 :	містить підписи Сторін, які заявляють про своє зобов’язання за цим Додатком і ідентифікує кожного Імпортера даних.

1.2 Термінологія та визначення

Для цілей цього Додатку термінологія та визначення, що застосовуються Регламентом (RGPD), мають силу (також у тексті Типових положень у Частині 2, де визначені терміни не мають великої літери). Крім того, 

« Країна-член"	означає країну-члена Європейського Союзу або Європейської економічної зони ;
« Особливі категорії даних (персональних) »	стосуються персональних даних, що розкривають расове або етнічне походження, політичні погляди, релігійні або філософські переконання, або членство в профспілці, а також генетичні дані, біометричні дані, якщо вони обробляються з метою унікальної ідентифікації фізичної особи, дані про здоров’я або дані про сексуальне життя чи сексуальну орієнтацію особи ;
« Типові положення »	означає типовий договірний текст щодо передачі персональних даних процесорами, що розташовані в третіх країнах, відповідно до Рішення Комісії 2010/87/ЄС від 5 лютого 2010 року, яке було змінено Виконавчим рішенням Комісії (ЄС) 2016/2297 від 16 грудня 2016 року ;
« Процесор »	означає будь-якого процесора даних, розташованого в межах або за межами ЄС/ЄЕЗ, який погоджується отримати від Імпортера даних або будь-якого іншого субпідрядника Імпортера даних персональні дані з виключною метою виконання операцій обробки від імені Експортера даних після передачі відповідно до інструкцій Експортера даних, за умовами цього Додатку та Договору з Імпортером даних.

2. Зобов’язання Експортера даних

2.1 Експортер даних зобов’язаний забезпечити відповідність усім застосовним обов’язкам відповідно до RGPD та будь-якого іншого застосовного законодавства про захист даних, що застосовується до Експортера даних, а також продемонструвати таку відповідність, як того вимагає ст. 5 (2) RGPD. Експортер даних гарантує Імпортеру даних, що заздалегідь отримав згоду суб’єктів даних відповідно до статті 6 (a) RGPD та виконав обов’язки щодо інформування суб’єктів даних відповідно до статей 13 і 14 RGPD.

2.2 Експортер даних зобов’язаний надати Імпортеру даних відповідні реєстри діяльності обробки згідно зі ст. 30 (1) RGPD, що пов’язані з Послугами за цим Додатком, у тій мірі, яка необхідна Імпортеру даних для дотримання обов’язку за ст. 30 (2) RGPD. 

2.3 Експортер даних повинен призначити офіцера з питань захисту даних або представника з питань захисту даних, якщо це вимагається застосовним законодавством про захист даних. Експортер даних зобов’язаний надати Імпортеру даних контактні дані офіцера або представника з питань захисту даних, якщо такі існують. 

2.4. Експортер даних підтверджує до початку обробки, приймаючи цей Додаток, що технічні та організаційні заходи безпеки Імпортера даних, як визначено в Додатку 2 до Частини 2, є належними і достатніми для захисту прав суб’єктів даних і підтверджує, що Імпортер даних надає достатні гарантії в цьому відношенні.

3. Дотримання місцевого законодавства

Щоб задовольнити вимоги щодо призначення процесорів відповідно до ст. 28 RGPD, застосовуються наступні зміни :

3.1 Інструкції

1. (i) Експортер даних надає Імпортеру даних інструкції щодо обробки персональних даних виключно від імені Експортера даних. Інструкції Експортера даних надаються в цьому Додатку та в Договорі. Експортер даних зобов’язаний забезпечити, щоб усі інструкції, надані Імпортеру даних, відповідали застосовним законам про захист даних. Імпортер даних зобов’язаний обробляти персональні дані лише відповідно до інструкцій Експортера даних, за винятком випадків, коли існує вимога зі сторони Європейського Союзу або національного законодавства країни-члена (у такому останньому випадку застосовується Частина 1 Параграф 3.2 (iv) (c)).
2. (ii) Усі інші інструкції, що виходять за межі інструкцій, викладених у цьому Додатку або в Договорі, повинні входити до предмету цього Додатку та Договору. Якщо виконання додаткової інструкції спричинить витрати для Імпортера даних, останній повідомить Експортера даних про ці витрати та надасть пояснення перед виконанням інструкції. Лише після того, як Експортер даних підтвердить прийняття таких витрат на впровадження інструкції, Імпортер даних повинен виконати цю додаткову інструкцію. Експортер даних повинен надавати додаткові інструкції, як правило, в письмовій формі, за винятком випадків, коли терміновість або інші конкретні обставини вимагають іншої форми (наприклад, усної, електронної). Інструкції в іншій формі, ніж письмова, повинні бути підтверджені письмово і без зволікання Експортером даних.

1. 1. За винятком випадків, коли Експортер даних не може самостійно виконати виправлення, видалення або обмеження обробки персональних даних, інструкції також можуть стосуватися виправлення, видалення та/або обмеження персональних даних, як встановлено в Частині 1 Параграфі 3.3. 
2. 2. Імпортер даних повинен негайно повідомити Експортера даних, якщо на його думку інструкція порушує RGPD або інші застосовні положення захисту даних Європейського Союзу або країни-члена (« Спірна інструкція »). Якщо Імпортер даних вважає, що інструкція порушує RGPD або інші застосовні положення захисту даних ЄС або країни-члена, Імпортер даних не зобов’язаний виконувати Спірну інструкцію. Якщо Експортер даних підтвердить Спірну інструкцію після отримання інформації від Імпортера даних і визнає свою відповідальність за Спірну інструкцію, Імпортер даних виконає цю Спірну інструкцію, за винятком випадків, коли вона стосується (i) впровадження технічних та організаційних заходів, (ii) прав суб’єктів даних або (iii) залучення процесорів. У випадках (i)-(iii) Імпортер даних може звернутися до компетентного наглядового органу для юридичної оцінки Спірної інструкції. Якщо наглядовий орган визнає, що Спірна інструкція є законною, Імпортер даних повинен застосувати Спірну інструкцію. Частина 1 Параграф 3.1 (ii) залишається застосовною.

3.2 Зобов’язання Імпортера даних

1. (i) Імпортер даних зобов’язаний забезпечити, щоб особи, уповноважені Імпортером даних обробляти персональні дані від імені Експортера даних, зокрема працівники Імпортера даних та працівники будь-якого Процесора, були зобов’язані зберігати конфіденційність або підлягали належному обов’язку конфіденційності за законом, і щоб ці особи, які мають доступ до персональних даних, обробляли їх відповідно до інструкцій Експортера даних.
2. (ii) Імпортер даних зобов’язаний впровадити технічні та організаційні заходи безпеки як встановлено в Додатку 2 до Частини 2 до початку обробки персональних даних від імені Експортера даних. Імпортер даних може час від часу змінювати технічні та організаційні заходи безпеки, якщо вони не надають захисту, що є нижчим за заходи, встановлені в Додатку 2 до Частини 2.
3. (iii) Імпортер даних повинен надати Експортера даних, за запитом останнього, інформацію для демонстрації відповідності зобов’язанням Імпортера даних за цим Додатком. Сторони погоджуються, що цей обов’язок інформування виконується шляхом надання Експортеру даних звіту з аудиту (що охоплює принципи безпеки, доступність системи та конфіденційність) (« Звіт з аудиту »). Якщо додаткові аудиторські дії вимагаються законом, Експортер даних може вимагати проведення інспекцій Експортером даних або іншим аудитором, уповноваженим Експортером даних, за умови, що цей аудитор підпише угоду про конфіденційність з Імпортером даних на розумних для нього умовах (« Аудит »). Цей Аудит підлягає наступним умовам: (i) попереднє письмове формальне погодження Імпортера даних; та (ii) Експортер даних покриє всі витрати, що виникають у зв’язку з або у зв’язку з проведенням аудиту на місці для Експортера даних та Імпортера даних. Експортер даних зобов’язаний складати звіт з аудиту, що узагальнює результати та зауваження з аудиту на місці (« Звіт з аудиту на місці »). Звіти з аудиту на місці, так само як і Звіти з аудиту, є конфіденційною інформацією Імпортера даних і не повинні розголошуватися третім особам, за винятком випадків, коли це вимагає застосовне законодавство про захист даних або за згодою Імпортера даних. 
4. (iv) Імпортер даних зобов’язаний повідомляти Експортера даних без невиправданої затримки :
   1. a. про будь-який юридично обов’язковий запит органу правопорядку на розкриття персональних даних, за винятком випадків іншої заборони, наприклад заборони відповідно до кримінального законодавства для захисту конфіденційності розслідування правоохоронного органу ;
   2. b. про будь-яку скаргу та запит, безпосередньо отримані від суб’єкта даних (наприклад, щодо доступу, виправлення, видалення, обмеження обробки, перенесення даних, заперечення проти обробки даних, автоматизованого прийняття рішень) без відповіді на такий запит, якщо лише Імпортер даних не отримав повноваження відповідати на нього ;
   3. c. якщо він зобов’язаний, відповідно до законодавства Європейського Союзу або країни-члена, якому підпадає Імпортер даних або Процесор, обробляти персональні дані понад інструкції Експортера даних, до початку такої обробки понад інструкцію, за винятком випадків, коли це законодавство ЄС або країни-члена забороняє розкриття такої інформації з важливих підстав загального інтересу, в такому випадку повідомлення Експортера даних має зазначати правову вимогу відповідно до цього законодавства ЄС або країни-члена ; або
   4. d. якщо Імпортер даних має відомості про порушення персональних даних, викликане виключно ним або його процесором, яке могло б вплинути на персональні дані Експортера даних, що охоплюються цим договором; у такому випадку Імпортер даних допомагатиме Експортеру даних у його обов’язку відповідно до застосовного законодавства про захист даних повідомити суб’єктів даних і, за потреби, наглядові органи, надаючи наявну у нього інформацію відповідно до ст. 33 (3) RGPD. 
   5. (v) За запитом Експортера даних Імпортер даних зобов’язаний допомогти йому у виконанні обов’язку щодо проведення оцінки впливу на захист даних, яка може бути вимогливою згідно ст. 35 RGPD, та попередньої консультації, яка може бути вимагана ст. 36 RGPD щодо послуг, що надаються Імпортером даних Експортеру даних за цим Додатком, надавши необхідну і наявну інформацію Експортеру даних. Імпортер даних буде зобов’язаний надавати цю допомогу лише в тій мірі, в якій Експортер даних не може виконати свій обов’язок іншими способами. Імпортер даних повідомить Експортера даних про вартість цієї допомоги. Як тільки Експортер даних підтвердить, що може нести ці витрати, Імпортер даних надасть цю допомогу.
   6. (vi) Після завершення надання послуг Експортер даних може вимагати повернення персональних даних, оброблених Імпортером даних за цим Додатком, протягом одного місяця після закінчення послуг. Якщо законодавство країни-члена або Європейського Союзу не вимагає від Імпортера даних зберігати або утримувати ці персональні дані, Імпортер даних видалить всі такі персональні або неперсональні дані після одного місяця, незалежно від того, чи були вони повернені Експортеру даних за його запитом.

3.3 Права суб’єктів даних

1. 1. (i) Експортер даних несе основну відповідальність за обробку запитів, поданих суб’єктами даних, та за надання відповідей на них. Імпортер даних не зобов’язаний безпосередньо відповідати суб’єктам даних. 
   2. (ii) Якщо Експортеру даних потрібна допомога Імпортера даних для обробки запитів суб’єктів даних та надання відповідей, він надасть додаткову інструкцію відповідно до Параграфу 3.1 (ii) Частини 1. Імпортер даних допомагатиме Експортеру даних за допомогою належних і можливих технічних та організаційних заходів для відповіді на запити про реалізацію прав суб’єктів даних, викладені нижче в Розділі III RGPD : 
   3. a. Щодо запитів про інформацію, Імпортер даних надасть Експортеру даних інформацію, вимагаюму статтями 13 і 14 RGPD, яку він може мати, лише якщо Експортер даних не може знайти її самостійно.
   4. b. Щодо запитів про доступ (стаття 15 RGPD), Імпортер даних надасть Експортеру даних інформацію, яка має бути надана суб’єкту даних за таким запитом доступу, якщо він має таку інформацію, лише якщо Експортер даних не може знайти її самостійно.
   5. c. Щодо запитів на виправлення (стаття 16 RGPD), запитів на видалення (стаття 17 RGPD), запитів на обмеження обробки (стаття 18 RGPD) або запитів на перенесення даних (стаття 20 RGPD), і лише якщо Експортер даних сам не може виправити або, за потреби, видалити, обмежити чи передати персональні дані іншому сторонньому одержувачу, Імпортер даних надасть Експортеру даних можливість виправити або, за необхідності, видалити, обмежити або передати відповідні персональні дані іншій стороні, або, якщо це неможливо, надасть необхідну допомогу для виправлення або, за потреби, видалення, обмеження або передачі відповідних персональних даних іншій стороні.
   6. d. Щодо повідомлення про виправлення, видалення або обмеження обробки (стаття 19 RGPD), Імпортер даних допомагатиме Експортеру даних, повідомляючи всіх одержувачів персональних даних, які були залучені Імпортером даних як процесори, якщо Експортер даних попросить зробити це і якщо Експортер даних не може зробити це самостійно. 
   7. e. Щодо права на заперечення, реалізованого суб’єктом даних (статті 21 і 22 RGPD), Експортер даних визначить, чи є заперечення обґрунтованим і як його опрацювати.
   8. (iii) Обов’язки допомоги Імпортера даних обмежуються персональними даними, обробленими в межах його інфраструктури (наприклад, бази даних, системи, застосунки, що належать або надаються Імпортером даних).  
   9. (iv) Експортер даних повинен визначити, чи має суб’єкт даних право реалізувати права, викладені в Параграфі 3.1 цієї Частини 1, і повинен повідомити Імпортера даних, у якій мірі необхідна допомога, зазначена в Параграфах 3.3 (ii), (iii) Частини 1.
   10. (v) Якщо Експортер даних запитає додаткові або змінені технічні та організаційні заходи, які виходять за рамки допомоги, що надається Імпортером даних відповідно до Параграфів 3.3 (ii), (iii) Частини 1, останній повинен повідомити Експортера даних про витрати на впровадження таких додаткових або змінених технічних та організаційних заходів.  Після того, як Експортер даних підтвердить, що може покрити ці витрати, Імпортер даних запровадить ці додаткові або змінені технічні та організаційні заходи, щоб допомогти Експортеру даних у відповіді на запити суб’єктів даних.
   11. (vi) Не обмежуючи застосування Параграфу 3.3 (v) Частини 1, Експортер даних зобов’язаний відшкодувати Імпортеру даних його розумні витрати, пов’язані із запитами суб’єктів даних.

3.4 Субпідрядники

1. 1. (i) Експортер даних дозволяє Імпортеру даних залучати субпідрядників для надання послуг за цим Додатком. Імпортер даних буде ретельно відбирати таких субпідрядників. Експортер даних затверджує субпідрядників, зазначених у Додатку 1.1 наприкінці Частини 2.
   2. (ii) Імпортер даних передасть субпідрядникам свої зобов’язання за цим Додатком у тій мірі, в якій це застосовується до субпідрядних послуг. 
   3. (iii) Імпортер даних може за своїм розсудом звільняти, замінювати або призначати інших відповідних і надійних субпідрядників. Якщо Експортер даних попросить письмово, Імпортер даних зобов’язаний дотримуватися процедури, зазначеної нижче:

1. 1. a. Імпортер даних заздалегідь повідомить Експортера даних про будь-які зміни в списку субпідрядників, зазначеному відповідно до Параграфу 3.4 (i) Частини 1. Якщо Експортер даних не висуне заперечення відповідно до Параграфу 3.4. (b) Частини 1 протягом тридцяти днів після отримання повідомлення від Імпортера даних, додаткові субпідрядники вважаються прийнятими.
   2. b. Якщо у Експортера даних є обґрунтовані підстави заперечувати проти додаткового субпідрядника, він повідомить про це Імпортера даних письмово протягом тридцяти днів з моменту отримання повідомлення від Імпортера даних і, у будь-якому випадку, до введення в експлуатацію послуг, що надаватимуться за участю додаткового субпідрядника. Якщо Експортер даних заперечує проти використання додаткового субпідрядника, Імпортер даних має право усунути заперечення одним із наступних варіантів (на свій розсуд): (A) Імпортер даних скасує свої плани використання додаткового субпідрядника щодо персональних даних Експортера даних; (B) Імпортер даних вжене виправних заходів, вимагуваних Експортером даних у його запереченні (що скасує таке заперечення), і використовуватиме додаткового субпідрядника щодо персональних даних Експортера даних; (C) Імпортер даних може припинити надання або Експортер даних може погодитися не використовувати (тимчасово або постійно) певний аспект послуги, який передбачав би використання додаткового субпідрядника щодо персональних даних Експортера даних.

1. 1. (iv) У випадку, якщо субпідрядник розташований за межами ЄС/ЄЕЗ у країні, яка не визнана такою, що забезпечує адекватний рівень захисту даних згідно з рішенням Європейської Комісії, Імпортер даних вживатиме необхідних заходів для забезпечення адекватного рівня захисту даних згідно з RGPD (такі заходи можуть включати - серед іншого та за потреби - використання договорів про обробку даних, базованих на стандартних положеннях ЄС, передачу субпідрядникам, що самосертифіковані в рамках EU-US Privacy Shield, або подібної програми).

3.5 Строк

Строк дії цього Додатку співпадає зі строком відповідного Договору. Якщо інше не передбачено в цьому Додатку, права та обов’язки, пов’язані з припиненням, будуть такими ж, як і передбачені в Договорі.

4. Обмеження відповідальності

4.1 Кожна сторона несе відповідальність за свої зобов’язання, що випливають з цього Додатку та застосовного законодавства про захист даних.

4.2 Вся відповідальність, що виникає через або у зв’язку з порушенням зобов’язань, що випливають з цього Додатку або застосовного законодавства про захист даних, підлягає положенням про відповідальність, зазначеним у Договорі, або тим, що застосовуються до цього договору, і буде регулюватися ними, якщо інше не передбачено в цьому Додатку. Якщо відповідальність регулюється положеннями про відповідальність, зазначеними в Договорі або застосовними до нього, для цілей обчислення меж відповідальності або визначення застосування інших обмежень відповідальності, відповідальність, що виникла в рамках цього Додатку, вважатиметься такою, що виникла в рамках Договору.

5. Загальні положення

5.1 У разі суперечностей або розбіжностей між Частинами 1 і 2 цього Додатку переважатимуть положення Частини 2. Більш конкретно, навіть у такому випадку положення Частини 1, які лише розширюють Частину 2 (тобто умови Типових положень) без її заперечення, залишаються дійсними.

5.2 У разі розбіжностей між положеннями цього Додатку та іншими договорами, що зв’язують сторони, положення цього Додатку мають пріоритет щодо обов’язків сторін, пов’язаних із захистом даних. У разі сумніву щодо того, чи стосуються положення інших договорів обов’язків сторін у сфері захисту даних, перевага надається цьому Додатку.

5.3 Якщо виявиться, що будь-яке положення цього Додатку недійсне або невиконуване, інша частина цього Додатку залишатиметься повністю дійсною. Недійсне або невиконуване положення буде (i) за потреби змінено, щоб забезпечити його дійсність і застосовність, з максимальним збереженням наміру сторін, або - якщо це неможливо - (ii) тлумачитиметься так, ніби це положення ніколи не було частиною договору.  Вищезазначене також застосовується, якщо в цьому Додатку є упущення.

5.5 У разі потреби Сторони мають право вимагати змін у Частині 1, Параграфі 3 (Дотримання місцевого законодавства)  або в інших частинах Додатку, з метою відповідності тлумаченням, настановам або наказам, виданим компетентними органами Союзу або країн-членів, національним положенням щодо набуття чинності, або будь-яким іншим правовим змінам щодо RGPD чи інших умов делегування для всіх залучених до обробки даних суб’єктів загалом, і зокрема що стосуються використання Типових положень у рамках RGPD. Умови Типових положень не можуть бути змінені або замінені, якщо лише Європейська Комісія не схвалила це явно (наприклад, новими адекватними стандартними положеннями щодо захисту даних).

5.6 Усі посилання в цьому Додатку на «Положення» слід розуміти як віднесені до всіх положень цього Додатку, якщо не передбачено інше. 

5.7 Вибір права, зазначений у Частині 2, параграфі 9, застосовується до всього Договору.

6. Персональні дані, які передаються та обробляються сторонами для власних цілей (передача від контролера до контролера)

6.1 Сторони повністю усвідомлюють, що деякі персональні дані будуть передаватися від Експортера даних до Імпортера та навпаки, і що ці дані обробляються кожною стороною для їх власних цілей. Щодо таких персональних даних інші положення цього Додатку не застосовуються (за винятком цього пункту 6).

6.2 Експортер даних може передавати персональні дані, що стосуються персоналу Імпортера даних, самому цьому Імпортеру, зокрема інформацію про інциденти безпеки, або будь-які інші документи чи файли, створені або підготовлені Експортером даних у зв’язку з Послугами, наданими персоналом Імпортера даних. Імпортер даних може обробляти ці персональні дані для своїх власних цілей, зокрема у зв’язку зі своїми трудовими відносинами з персоналом Імпортера даних, для контролю якості та навчання, або для комерційних цілей.

6.3. Імпортер даних може передавати персональні дані Експортера даних, зокрема ім’я та контактні дані персоналу Імпортера даних. Експортер даних може обробляти такі персональні дані для своїх власних цілей.

6.4 Обидві сторони дотримуються всього чинного законодавства про захист даних, зокрема RGPD, під час збору, обробки та використання цих персональних даних, отриманих від іншої сторони відповідно до цього пункту 1 Частини 1. Обидві сторони, зокрема, повинні вжити належних заходів безпеки, що забезпечують рівень захисту, подібний до заходів безпеки, викладених у Додатку 2 Частини 2. Будь-який доступ до цих персональних даних має бути обмежений необхідністю їх знання.

6.5 Обидві сторони зобов’язані видаляти ці персональні дані якомога швидше після досягнення цілей.

Частина 2

 РІШЕННЯ КОМІСІЇ 

від 5 лютого 2010 року

щодо типових договорних положень для передачі персональних даних процесорам, що розташовані в третіх країнах відповідно до Директиви 95/46/ЄС Європейського парламенту та Ради

Параграф перший 

Визначення 

Для цілей цих положень: 

a) «персональні дані», «особливі категорії даних», «обробляти/обробка», «контролер», «процесор», «суб’єкт даних» та «наглядовий орган» мають те ж значення, що й у Директиві 95/46/ЄС Європейського парламенту та Ради від 24 жовтня 1995 року щодо захисту фізичних осіб у зв’язку з обробкою персональних даних і вільного руху таких даних ( 1 ); 

b) «експортер даних» - це контролер, який передає персональні дані; 

c) «імпортер даних» - це процесор, який погоджується отримати від експортера даних персональні дані, призначені для обробки від імені останнього після передачі відповідно до його інструкцій та умов цих положень і який не підпадає під механізм третьої країни, що забезпечує адекватний захист відповідно до статті 25, пункту 1 Директиви 95/46/ЄС; d) «наступний процесор» - це процесор, найнятий імпортером даних або будь-яким іншим наступним процесором, який погоджується отримати від імпортера даних або будь-якого іншого наступного процесора персональні дані виключно з метою виконання операцій обробки від імені експортера даних після передачі згідно з інструкціями останнього, умовами цих положень і відповідно до письмового договору про субпідряд; 

e) «застосовне право щодо захисту даних» - це законодавство, що захищає свободи та фундаментальні права осіб, зокрема право на приватне життя щодо обробки персональних даних, і яке застосовується до контролера в державі-члені, де заснований експортер даних; 

f) «технічні та організаційні заходи, пов’язані з безпекою» - це заходи, спрямовані на захист персональних даних від випадкового або незаконного знищення, випадкової втрати, зміни, розкриття або несанкціонованого доступу, зокрема коли обробка передбачає передавання даних через мережу, та від будь-якої іншої незаконної форми обробки. 

Параграф 2 

Деталі передачі 

Деталі передачі і, зокрема, за наявності, особливі категорії персональних даних зазначені в додатку 1, який є невід’ємною частиною цих положень. 

Параграф 3 

Положення про третю сторону-бенефіціара 

1. Суб’єкт даних може посилатися на це положення проти експортера даних, а також на положення 4, пункти b)-i), положення 5, пункти a)-e) та g)-j), положення 6, параграфи 1 і 2, положення 7, положення 8, параграф 2, та положення 9-12 як прав третьої сторони-бенефіціара. 

2. Суб’єкт даних може посилатися на це положення проти імпортера даних, а також на положення 5, пункти a)-e) та g), положення 6, положення 7, положення 8, параграф 2, та положення 9-12 у випадках, коли експортер даних фактично зник або припинив існування відповідно до права, якщо лише всі його юридичні зобов’язання не були передані, за договором чи в силу закону, правонаступнику, якому відповідно переходять права та обов’язки експортера даних, і проти якого суб’єкт даних може реалізувати вказані положення. 

3. Суб’єкт даних може посилатися на це положення проти наступного процесора, а також на положення 5, пункти a)-e) та g), положення 6, положення 7, положення 8, параграф 2, та положення 9-12, але тільки у випадках, коли експортер даних та імпортер даних фактично зникли, припинили існування або стали неплатоспроможними, якщо лише всі юридичні зобов’язання експортера даних не були передані, за договором або в силу закону, правонаступнику, якому відповідно переходять права та обов’язки експортера даних, і проти якого суб’єкт даних може реалізувати вказані положення. Цивільна відповідальність наступного процесора повинна бути обмежена його власними операціями з обробки відповідно до цих положень. 4. Сторони не заперечують проти того, щоб суб’єкт даних був представлений асоціацією або іншим органом, якщо він цього бажає і якщо національне право це дозволяє. 

Параграф 4 

Зобов’язання експортера даних 

Експортер даних погоджується та гарантує наступне: 

a) обробка, включаючи власне передавання персональних даних, була і продовжуватиметься здійснюватися відповідно до відповідних положень застосовного законодавства про захист даних (і, за потреби, була повідомлена компетентним органам держави-члена, в якій експортер даних заснований) і не порушує відповідних положень цієї держави; 

b) він призначив, і призначатиме протягом усього строку надання послуг з обробки персональних даних, імпортера даних для обробки переданих персональних даних виключно від імені експортера даних і відповідно до застосовного законодавства про захист даних та цих положень; 

c) імпортер даних надасть достатні гарантії щодо технічних та організаційних заходів щодо безпеки, зазначених в додатку 2 цього договору; 

d) після оцінки вимог застосовного законодавства щодо захисту даних заходи безпеки є адекватними для захисту персональних даних від випадкового або незаконного знищення, випадкової втрати, зміни, розкриття або несанкціонованого доступу, зокрема коли обробка передбачає передавання даних через мережу, і від будь-якої іншої незаконної форми обробки, і вони забезпечують рівень безпеки, відповідний ризикам, пов’язаним з обробкою та характером даних, що підлягають захисту, з урахуванням рівня розвитку технологій і витрат на впровадження; 

e) він дбатиме про дотримання заходів безпеки; 

f) якщо передача стосується особливих категорій даних, суб’єкт даних був поінформований або буде поінформований до передачі або якнайшвидше після передачі, що його дані можуть бути передані до третьої країни, яка не забезпечує адекватний рівень захисту згідно з Директивою 95/46/ЄС; 

g) він передаватиме будь-які повідомлення, отримані від імпортера даних або будь-якого наступного процесора відповідно до положення 5, пункту b) та положення 8, параграфу 3), до наглядового органу з питань захисту даних, якщо він вирішить продовжити передачу або скасувати її призупинення; 

h) він надасть суб’єктам даних, якщо ті попросять, копію цих положень, за винятком додатку 2, та стислий опис заходів безпеки, а також копію будь-якого договору з наступним процесором, укладеного відповідно до цих положень, якщо лише положення або договір не містять комерційної інформації, у такому разі він може вилучити цю інформацію; 

i) у випадку наступного процесора, діяльність з обробки здійснюється відповідно до положення 11 наступним процесором, який забезпечує принаймні такий самий рівень захисту персональних даних і прав суб’єкта даних, як імпортер даних відповідно до цих положень; і 

j) він стежитиме за дотриманням положення 4, пунктів a)-i). 

Параграф 5 

Зобов’язання імпортера даних  

Імпортер даних погоджується та гарантує наступне: 

a) він оброблятиме персональні дані виключно від імені експортера даних і відповідно до його інструкцій та цих положень; якщо він з якихось причин не зможе їм слідувати, він погоджується якомога швидше повідомити експортера даних про свою нездатність, у такому випадку останній має право призупинити передачу даних і/або розірвати договір; 

b) він не має підстав вважати, що законодавство, що його стосується, забороняє йому виконувати інструкції експортера даних і зобов’язання, що випливають з договору, і якщо це законодавство зміниться таким чином, що може мати суттєво негативні наслідки для гарантій і зобов’язань, наданих за цими положеннями, він повідомить експортера даних про таку зміну без затримки після її виявлення, у такому випадку останній має право призупинити передачу даних і/або розірвати договір; c) він впровадив технічні та організаційні заходи безпеки, зазначені в додатку 2, перед обробкою переданих персональних даних;

d) він без зволікання повідомлятиме експортера даних: 

i) будь-який обов’язковий запит про розкриття персональних даних від органу підтримання правопорядку, за винятком випадків, коли існує інше положення, таке як кримінальна заборона, спрямована на збереження таємниці поліцейського розслідування; 

ii) будь-який випадковий чи несанкціонований доступ; та 

iii) будь-який запит, отриманий безпосередньо від суб’єктів даних, без відповіді на нього, якщо лише йому не було надано повноваження діяти; 

e) він оперативно і належним чином оброблятиме всі запити про інформацію від експортера даних щодо його обробки переданих персональних даних і прийматиме до уваги рішення наглядового органу щодо обробки переданих даних; 

f) за запитом експортера даних він піддасть свої засоби обробки даних перевірці діяльності з обробки, що охоплюється цими положеннями, яка буде виконана експортером даних або контрольним органом, складеним із незалежних членів, що мають необхідну професійну кваліфікацію, підлягають обов’язку збереження таємниці та обрані експортером даних, за потреби з погодженням наглядового органу; 

g) він надасть суб’єкту даних, якщо той попросить, копію цих положень або будь-якого договору з наступним процесором, якщо такий існує, якщо лише положення або договір не містять комерційної інформації, у такому разі він може вилучити цю інформацію, за винятком додатку 2, який буде замінений стислим описом заходів безпеки, коли суб’єкт даних не може отримати копію від експортера даних; 

h) у випадку наступного процесора він попередньо інформуватиме експортера даних та отримає його письмову згоду; 

i) послуги з обробки, що надаються наступним процесором, відповідатимуть положенню 11; 

j) він якнайшвидше надішле копію будь-якого договору з наступним процесором, укладеного ним відповідно до цих положень, експортеру даних. 

Параграф 6 

Відповідальність 

1. Сторони погоджуються, що будь-який суб’єкт даних, який зазнав шкоди внаслідок невиконання зобов’язань, передбачених положенням 3 або положенням 11 однією зі сторін або наступним процесором, має право вимагати від експортера даних відшкодування збитків. 

2. Якщо суб’єкт даних не може пред’явити позов за відшкодування збитків, передбачений у параграфі 1, проти експортера даних через невиконання імпортером даних або його наступним процесором будь-якого зобов’язання, передбаченого у положенні 3 або положенні 11, через те, що експортер даних фактично зник, припинив існувати відповідно до права або став неплатоспроможним, імпортер даних погоджується, що суб’єкт даних може подати позов проти нього так, ніби він є експортером даних, якщо лише всі юридичні зобов’язання експортера даних не були передані, за договором чи в силу закону, правонаступнику, проти якого суб’єкт даних може тоді пред’явити свої вимоги. Імпортер даних не може посилатися на невиконання зобов’язань наступним процесором, щоб уникнути власної відповідальності. 

3. Якщо суб’єкт даних не може пред’явити позов, передбачений у параграфах 1 і 2, проти експортера даних або імпортера даних через невиконання наступним процесором будь-якого зобов’язань, передбачених у положенні 3 або положенні 11, через те, що експортер даних і імпортер даних фактично зникли, припинили існування відповідно до права або стали неплатоспроможними, наступний процесор погоджується, що суб’єкт даних може подати позов проти нього щодо його власних операцій з обробки відповідно до цих положень так, ніби він є експортером даних або імпортером даних, якщо лише всі юридичні зобов’язання експортера даних або імпортера даних не були передані, за договором або в силу закону, правонаступнику, проти якого суб’єкт даних може тоді пред’явити свої вимоги. Відповідальність наступного процесора повинна бути обмежена його власними операціями з обробки відповідно до цих положень. 

Параграф 7 

Медіація та юрисдикція 

1. Імпортер даних погоджується, що якщо, згідно з положеннями, суб’єкт даних висуває проти нього право третьої сторони-бенефіціара та/або вимагає відшкодування збитків, він прийме рішення суб’єкта даних: 

a) передати суперечку на медіацію незалежній особі або, за потреби, наглядовому органу; 

b) звернутися до судів держави-члена, де експортер даних має місце свого встановлення. 

2. Сторони погоджуються, що вибір, зроблений суб’єктом даних, не позбавляє його процесуальних або матеріальних прав на отримання відшкодування згідно з іншими положеннями національного чи міжнародного права. 

Параграф 8 

Співпраця з наглядовими органами 

1. Експортер даних погоджується подати копію цього договору до наглядового органу, якщо останній цього вимагає або якщо таке подання передбачено застосовним законодавством щодо захисту даних. 

2. Сторони погоджуються, що наглядовий орган має право проводити перевірки у імпортера даних та у будь-якого наступного процесора в тій же мірі та на тих самих умовах, що й у разі перевірок у експортера даних відповідно до застосовного законодавства щодо захисту даних. 

3. Імпортер даних інформує експортера даних якнайшвидше про існування законодавства, що стосується його або будь-якого наступного процесора, яке перешкоджає проведенню перевірок у нього або у будь-якого наступного процесора відповідно до параграфу 2. У такому випадку експортер даних має право вжити заходів, передбачених у положенні 5, пункті b). 

Параграф 9 

Застосовне право 

Положення регулюються правом держави-члена, в якій експортер даних має установу., 

Параграф 10 

Зміни до договору 

Сторони зобов’язуються не змінювати ці положення. Сторони залишають за собою право включати інші комерційні положення, які вони вважають необхідними, за умови, що вони не суперечать цим положенням. 

Параграф 11 

Наступна субпідрядна обробка 

1. Імпортер даних не передаватиме у субпідряд жодну зі своїх операцій обробки, що здійснюються від імені експортера даних відповідно до цих положень, без попередньої письмової згоди експортера даних. Імпортер даних може доручити виконання своїх зобов’язань відповідно до цих положень, з погодженням експортера даних, лише на підставі письмового договору з наступним процесором, який накладає на нього ті самі обов’язки, що й на імпортера даних згідно з цими положеннями. У разі порушення наступним процесором своїх зобов’язань у сфері захисту даних відповідно до такого письмового договору імпортер даних залишається повністю відповідальним за дотримання цих зобов’язань перед експортером даних. 

2. Письмовий договір між імпортером даних та наступним процесором також містить положення про третю сторону-бенефіціара, як зазначено в положенні 3, для випадків, коли суб’єкт даних не може пред’явити позов про відшкодування, передбачений у положенні 6, параграфі 1, проти експортера даних або імпортера даних через те, що вони фактично зникли, припинили існування чи стали неплатоспроможними, і якщо всі юридичні зобов’язання експортера даних або імпортера даних не були передані, за договором або в силу закону, іншій правонаступній сутності. Ця цивільна відповідальність наступного процесора має бути обмежена його власними операціями з обробки відповідно до цих положень. 

3. Положення щодо аспектів подальшої субпідрядної обробки, пов’язані з охороною даних у договорі, зазначеному в параграфі 1, регулюються правом держави-члена, у якій експортер даних має свою установу. 

4. Експортер даних веде список договорів про наступну субпідрядну обробку, укладених відповідно до цих положень і повідомлених імпортером даних відповідно до положення 5, пункту j), який оновлюється щонайменше раз на рік. Цей список надається наглядовому органу з питань захисту даних експортера даних. 

Параграф 12 

Обов’язок після припинення надання послуг з обробки персональних даних 

1. Сторони погоджуються, що після завершення надання послуг з обробки даних імпортер даних та наступний процесор повернуть експортеру даних, на його вибір, усі передані персональні дані та копії або знищать усі ці дані та нададуть експортеру даних доказ цього, якщо тільки законодавство, що застосовується до імпортера даних, не забороняє йому повернути або знищити всю або частину переданих персональних даних. У такому випадку імпортер даних гарантує, що він забезпечить конфіденційність переданих персональних даних і більше не оброблятиме такі дані активно. 

2. Імпортер даних та наступний процесор гарантують, що якщо експортер даних і/або наглядовий орган вимагатимуть, вони піддадуть свої засоби обробки даних перевірці заходів, передбачених у параграфі 1. 

Додаток 1.1 до Частини 2

Деталі передачі

Експортер даних

Експортером даних є Клієнт, визначений у Договорі.

Імпортер даних

Імпортером даних є IQUALIF і він залучений до обробки даних, надаючи послуги Експортеру даних.

Суб’єкти даних

Передані персональні дані стосуються наступних категорій суб’єктів даних :

☒ абоненти телефонного зв’язку, зареєстровані у загальному довіднику

☐ Інші, зокрема :

Категорії даних

Передані персональні дані стосуються наступних категорій даних :

Категорії персональних даних суб’єктів даних Експортера даних, зокрема,

☒ Повне ім’я

☒ Поштова адреса

☒ Контактні дані (електронна пошта, телефон, IP-адреса тощо)

☒ Дані про маркетингову активність щодо абонента телефонного зв’язку

☒ Інші, зокрема : тип житла, середній дохід та вік за містом у анонімізованому вигляді

Особливі категорії даних (за наявності)

Передані персональні дані стосуються наступних особливих категорій даних :

☒ Передача особливих категорій даних не передбачена

☐ Раса або етнічне походження

☐ Релігійні або філософські переконання

☐ Членство в профспілці

☐ Політичні погляди

☐ Генетична інформація 

☐ Біометрична інформація

☐ Інформація про сексуальну орієнтацію або сексуальне життя

☐ Дані про здоров’я

Операції обробки

Передані персональні дані підлягатимуть наступним базовим операціям обробки :

• • • Предмет обробки

Обробка, що здійснюється від імені Експортера даних, зосереджується на наступних темах, зокрема :

☒ Підтримка продуктів або послуг, що пропонуються Експортером даних

☒ Пропозиція продукту або послуги, які особа, що телефонується, може замовити

☒ Прийом замовлень від осіб, що телефонується, та подальша обробка цих замовлень

☒ Опитування для досліджень та аналізу

☒ Телемаркетинг

☐ Інші, зокрема :

• • • Характер і мета обробки

Імпортер даних обробляє персональні дані суб’єктів від імені Експортера даних з метою надання наступних послуг, зокрема :

☒ Продажі та маркетинг

☒ Інше, зокрема : оновлення баз даних міських рад та політичних партій

• • • Надання послуг та використання постачальників послуг

IQUALIF об’єднує, централізує та надає переважно послуги Експортеру даних. Послуги, що надаються зазначеним постачальником послуг, можуть включати (серед іншого та за потреби) такі допоміжні послуги: (i) надання застосунків, інструментів, систем та ІТ-інфраструктури, пов’язаної з використовуваними центрами обробки даних, з метою надання та підтримки послуг, зокрема обробки персональних даних суб’єктів, як описано вище, через такого роду застосунки, інструменти та системи; (ii) надання ІТ-підтримки, обслуговування та інших послуг щодо цих застосунків, інструментів, систем та ІТ-інфраструктури, зокрема потенційний доступ до персональних даних, що зберігаються в цих застосунках, інструментах та системах; та (iii) надання послуг з охорони даних, моніторингу захисту та реагування на інциденти, зокрема потенційний доступ до персональних даних під час надання такого роду послуг охорони. IQUALIF може залучати субпідрядників, як зазначено нижче, для надання послуг, зокрема допоміжних послуг.

• • • Зовнішні постачальники послуг як підрозділи, залучені до обробки даних

IQUALIF залучає зовнішніх третіх постачальників послуг, які не є дочірніми компаніями IQUALIF, для підтримки надання послуг Експортеру даних. Експортер даних затверджує цей тип зовнішніх третіх постачальників послуг як підрозділи, залучені до обробки даних

Якщо підрозділ, залучений до обробки даних, розташований за межами ЄС/ЄЕЗ, у країні, яка вважається такою, що не забезпечує адекватний рівень захисту даних відповідно до рішення Європейської Комісії, Імпортер даних вживатиме заходів для досягнення належного рівня захисту даних відповідно до RGPD, а також до розділу 3.4 (iv) Частини 1.

Додаток 2, Частина 2

Технічні та організаційні заходи захисту

Імпортер даних вживає наступні технічні та організаційні заходи захисту, які за потреби підтверджуються Експортером даних, щоб гарантувати належний рівень безпеки прав і свобод осіб, залежно від ризиків. Оцінюючи відповідний рівень захисту, Експортер даних зокрема врахував ризики, пов’язані з обробкою, зокрема випадкове або незаконне знищення, зміну, незаконне розкриття або доступ до переданих, збережених або будь-яким іншим чином оброблюваних персональних даних. Для ясності: ці технічні та організаційні заходи захисту не стосуються застосунків, інструментів, систем та/або ІТ-інфраструктури, що надаються Експортером даних.

1 Загальні технічні та організаційні заходи захисту

1.1 Загальні стратегії захисту інформації та даних

Необхідно вжити наступних заходів для реалізації загальних стратегій захисту даних та інформації :

a) вжити заходів для оцінки застосованих технічних та організаційних заходів захисту ;

b) проводити навчання для підвищення обізнаності працівників ;

c) мати опис відповідних систем та надавати доступ працівникам ;

d) запровадити офіційний процес документування щоразу, коли системи впроваджуються або змінюються ;

e) документування організаційної структури, процесів, відповідальностей та відповідних оцінок ;

1.2 Організація захисту інформації

Необхідно вжити наступних заходів для координації діяльності з захисту даних та інформації :

a) визначення відповідальностей за захист інформації та даних (наприклад, через політику управління захистом даних) ;

b) забезпечення наявності необхідних компетенцій у сфері захисту інформації та даних ;

c) всі працівники зобов’язані забезпечувати конфіденційність персональних даних і були поінформовані про можливі наслідки порушення цього зобов’язання.

1.3 Контроль доступу до зон обробки

Необхідно вжити наступних заходів, щоб запобігти несанкціонованому доступу до систем обробки даних (зокрема до програмного та апаратного забезпечення), коли персональні дані обробляються, зберігаються або передаються :

a) встановити захищені зони ;

b) захищати та обмежувати доступ до систем обробки даних ;

c) встановити дозволи на доступ для працівників і третіх осіб, включаючи відповідні документи ;

d) всі доступи до центрів обробки даних, де розміщені персональні дані, повинні фіксуватися.

1.4 Контроль доступу до систем обробки даних

Необхідно вжити наступних заходів, щоб запобігти несанкціонованому доступу до систем обробки даних:

a) політики та процедури автентифікації користувачів ;

b) використання паролів на всіх ІТ-системах ;

c) віддалений доступ до мережі вимагає багатофакторної автентифікації і надається персоналу відповідно до їхніх обов’язків та на підставі дозволу ;

d) доступ до певних функцій надається на основі професійних функцій та/або атрибутів, призначених індивідуально для облікового запису користувача ;

e) права доступу, пов’язані з персональними даними, переглядаються регулярно ;

f) ведення записів про зміни в правах доступу.

1.4 Контроль доступу до певних областей використання систем обробки даних

Необхідно вжити наступних заходів, щоб упевнитися, що уповноважені особи, які мають право використовувати систему обробки даних, можуть отримувати доступ лише до даних, що стосуються їхніх посадових обов’язків і відповідних дозволів на доступ, і щоб персональні дані не могли бути прочитані, скопійовані, змінені або видалені без дозволу:

a) політики, інструкції та навчання працівників щодо їхніх обов’язків у сфері конфіденційності, прав доступу до персональних даних та меж обробки персональних даних;

b) дисциплінарні заходи проти осіб, які отримують доступ до персональних даних без дозволу ;

c) доступ до персональних даних надається лише уповноваженим особам відповідно до принципу необхідності знання ;

d) ведення списку системних адміністраторів та вживання заходів щодо моніторингу системних адміністраторів ;

e) не копіювати та не відтворювати персональні дані на всіх системах зберігання, щоб не дозволяти несанкціонованим особам вилучати інформацію про її автора ;

f) контрольоване та задокументоване видалення або знищення даних ;

g) надійне зберігання всіх персональних даних, які потрібно зберігати з правових або регуляторних причин (наприклад, обов’язки щодо зберігання даних), і лише стільки, скільки це вимагає закон.

1.6 Контроль передач

Необхідно вжити наступних заходів, щоб запобігти тому, щоб персональні дані були прочитані, скопійовані, змінені або видалені несанкціонованими третіми особами під час передачі або транспортування носіїв збереження даних (залежно від здійснюваної обробки персональних даних) :

a) використання міжмережевих екранів (firewalls) ;

b) уникати зберігання персональних даних на мобільних носіях для цілей транспортування, або шифрувати пристрої c) використовувати їх на ноутбуках та інших мобільних пристроях лише після увімкнення захисту шляхом шифрування ;

d) реєстрація передач персональних даних.

1.7 Контроль введення даних

Необхідно вжити наступних заходів, щоб забезпечити можливість перевірити та визначити, чи були персональні дані введені в системи обробки даних або видалені, і хто це зробив :

a) політика, що регулює права на читання, зміну та видалення збережених даних ;

b) заходи захисту щодо читання, зміни та видалення збережених даних.

1.8 Контроль виконання робіт

У разі делегованої обробки персональних даних необхідно вжити наступних заходів, щоб гарантувати, що такі дані обробляються відповідно до інструкцій контролера:

a) відбір підрозділів або субпідрозділів, залучених до обробки даних, із належною ретельністю (постачальники послуг, що обробляють персональні дані від імені контролера);

b) інструкції щодо обсягу будь-якої обробки персональних даних для працівників, підрозділів або субпідрозділів, залучених до обробки даних ;

c) узгоджені права на аудит з підрозділами або субпідрозділами, залученими до обробки даних

d) договори з підрозділами або субпідрозділами, залученими до обробки даних.

1,9 Розмежування обробки за іншими цілями

Необхідно вжити наступних заходів, щоб гарантувати, що дані, зібрані для інших цілей, можуть оброблятися окремо :

a) розмежувати доступ до персональних даних відповідно до діючих прав користувачів ;

b) інтерфейси, пакетна обробка та звіти призначені для інших цілей та функцій, щоб дані, зібрані для інших цілей, могли оброблятися окремо.

1.10 Псевдонімізація

Необхідно вжити наступних заходів щодо псевдонімізації персональних даних :

a) Якщо Експортер даних наказує про конкретну обробку або якщо Імпортер даних вважає це доречним і відповідно до чинного законодавства щодо захисту даних щодо певних операцій обробки, обробка персональних даних буде здійснюватися таким чином, щоб дані більше не могли бути віднесені до конкретної особи без використання додаткової інформації. Ця додаткова інформація зберігатиметься окремо ;

b) використання технік псевдонімізації, зокрема рандомізації з розподілом по списку; створення значень у вигляді хешів.

1,11 Шифрування

Необхідно вжити наступних заходів для шифрування персональних даних у рамках застосунків і передач, що підтримують шифрування : a) використання технік шифрування ;

b) впровадження управління шифруванням для підтримки дозволених технік шифрування ;

c) підтримка використання криптографії за допомогою процедур і протоколів для генерації, зміни, відкликання, знищення, розповсюдження, сертифікації, зберігання, введення, використання і архівування криптографічних ключів як захисту від несанкціонованої зміни та розкриття.

1.12 Цілісність систем обробки даних і послуг

Необхідно вжити наступних заходів, щоб гарантувати цілісність систем обробки даних і послуг :

a) захист систем обробки даних від маніпуляцій або знищення за допомогою відповідних засобів (наприклад, антивірусне програмне забезпечення, програмне забезпечення для запобігання втраті даних та протидії шкідливому ПЗ, оновлення програмного забезпечення, міжмережеві екрани та керований захист настільних комп’ютерів) ;

b) заборона встановлення будь-яких служб або програмного забезпечення, що завдають шкоди системам обробки даних, послугам або маніпуляції персональними даними ;

c) використання системи виявлення та запобігання вторгненням у мережу в самій структурі мережі.

1,14 Доступність систем обробки даних і послуг, а також можливість відновити доступ і використання персональних даних у разі апаратного або технічного інциденту

Необхідно вжити наступних заходів, щоб гарантувати доступність систем обробки даних, а також можливість швидко відновити доступність персональних даних і доступ до них у разі апаратного або технічного інциденту (зокрема забезпечивши захист персональних даних від будь-якого випадкового знищення або втрати):

a) мати засоби контролю для збереження резервних копій і відновлення втрачених або видалених даних ;

b) інфраструктурна надмірність та тестування працездатності ;

c) фізичний захист ІТ-ресурсів ;

d) використання інструментів для моніторингу стану та доступності внутрішньої мережі ;

e) звітність про інциденти та політики реагування, що регулюють процедуру управління інцидентами, та повторне підкреслення дотримання цих політик у межах регулярного навчання ;

f) резервні копії (іноді поза сайтом), що дозволяють відновити систему й відновити її функціональність ;

g) плани безперервності бізнесу / відновлення після катастроф.

1.12 Стійкість систем обробки даних і послуг

Необхідно вжити наступних заходів для забезпечення стійкості систем обробки даних і послуг :

a) системи налаштовані узгоджено з використанням затверджених параметрів безпеки ;

b) надмірність мережі ;

c) ізоляція захистом критичних систем.

1,16 Процедура регулярного тестування, оцінки і перевірки ефективності технічних та організаційних заходів, спрямованих на забезпечення безпеки обробки

Процедура регулярного тестування, оцінки і перевірки ефективності технічних та організаційних заходів, спрямованих на захист обробки даних

a) вжити необхідних заходів для оцінки ризиків та стратегій їх зменшення ;

b) проведення нарад з аналізу обслуговування ІТ-відділу для вирішення актуальних проблем ;

c) плани безперервності бізнесу / відновлення після катастроф регулярно оновлюються.

Частина 3

Підписи сторін та список Імпортерів даних

Після заповнення вашого онлайн-замовлення та підтвердження його, поставивши позначку про прийняття загальних умов використання, договір, що регулює відносини між Клієнтом і IQUALIF, вважається укладеним. 

Надсилання платежу до IQUALIF вважатиметься достатнім для визнання договору укладеним.