a)

‚osobní údaje‘, ‚zvláštní kategorie údajů/citlivé údaje‘, ‚zpracovávat/zpracování‘, ‚správce‘, ‚zpracovatel‘, ‚subjekt údajů‘ a ‚orgán dozoru/orgán‘ mají stejný význam jako ve směrnici 95/46/ES ze dne 24. října 1995 (přičemž ‚orgánem‘ se rozumí orgán příslušný pro ochranu údajů na území, v němž je vývozce údajů usazen);

b)

‚vývozcem údajů‘ se rozumí správce, který předává osobní údaje;

c)

‚dovozcem údajů‘ se rozumí správce, který se zavazuje přijímat od vývozce údajů osobní údaje za účelem jejich dalšího zpracování v souladu s podmínkami těchto doložek a který nepodléhá systému třetí země zajišťující odpovídající ochranu;

d)

‚doložkami‘ se rozumí tyto smluvní doložky, které jsou samostatným dokumentem, který neobsahuje obchodní podmínky stanovené stranami v oddělených obchodních ujednáních.

a)

osobní údaje byly shromážděny, zpracovány a předány v souladu se zákony platnými pro vývozce údajů;

b)

vyvinul přiměřené úsilí, aby určil, že je dovozce údajů schopen dostát svým právním závazkům vyplývajícím z těchto doložek;

c)

na požádání poskytne dovozci údajů kopie příslušných zákonů o ochraně údajů nebo odkazy na ně (pokud je to vhodné, přičemž toto nezahrnuje právní poradu) té země, v níž je vývozce údajů usazen;

d)

zodpoví dotazy subjektů údajů a orgánu týkající se zpracování daných osobních údajů dovozcem údajů, pokud se strany nedohodly, že bude takto odpovídat dovozce údajů, v kterémžto případě vývozce údajů bude i tak odpovídat v přiměřeně možném rozsahu a na základě jemu přiměřeně dostupných informací, pokud dovozce údajů nechce nebo nemůže odpovědět. Odpovězeno bude v přiměřené lhůtě;

e)

na požádání zpřístupní kopii doložek subjektům údajů, kteří jsou oprávněnou třetí stranou podle doložky III, pokud doložky neobsahují důvěrné informace, v kterémžto případě může takovéto informace odstranit. V případě, že jsou informace odstraněny, vývozce údajů písemně informuje subjekty údajů o důvodu odstranění a o jejich právu upozornit na toto odstranění orgán. Vývozce údajů se však řídí rozhodnutím orgánu o přístupu subjektů údajů k úplnému znění doložek, pokud subjekty údajů souhlasily se zachováním důvěrnosti odstraněné důvěrné informace. Vývozce údajů také na požádání poskytne kopii doložek orgánu.

a)

bude uplatňovat vhodná technická a organizační opatření na ochranu osobních údajů proti náhodnému nebo nedovolenému zničení nebo náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu, která zajistí úroveň bezpečnosti odpovídající riziku, které představuje zpracování, a povaze údajů, které mají být chráněny;

b)

bude uplatňovat postupy zajišťující, aby jakákoli třetí strana, kterou oprávní k přístupu k osobním údajům, včetně zpracovatelů, respektovala a zachovávala důvěrnost a bezpečnost osobních údajů. Jakákoli osoba, která jedná z pověření dovozce údajů, včetně zpracovatele údajů, je povinna zpracovávat osobní údaje pouze podle pokynů dovozce údajů. Toto ustanovení se nevztahuje na osoby, které právní nebo správní předpisy opravňují nebo povinují k přístupu k osobním údajům;

c)

v době uzavření těchto doložek nemá důvod se domnívat, že existují jakékoli místní zákony, které by mohly mít zásadní negativní vliv na záruky podle těchto doložek, a pokud se o existenci takových zákonů dozví, bude informovat vývozce údajů (který toto oznámení předá orgánu, pokud je to vyžadováno);

d)

bude osobní údaje zpracovávat za účely popsanými v příloze B a má pravomoc poskytovat záruky a plnit závazky stanovené v těchto doložkách;

e)

uvede vývozci údajů kontaktní místo ve své organizaci oprávněné odpovídat na dotazy týkající se zpracovávání osobních údajů a bude v dobré víře spolupracovat s vývozcem údajů, subjektem údajů a orgánem při všech takových dotazech v přiměřeném čase. V případě právního zrušení vývozce údajů nebo pokud se strany takto dohodly, přijímá dovozce údajů odpovědnost za dodržení ustanovení doložky I písm. e);

f)

na žádost vývozce údajů poskytne vývozci údajů důkaz o dostatečných finančních zdrojích na splnění svých povinností podle doložky III (což může zahrnovat pojistné krytí);

g)

na přiměřenou žádost vývozce údajů umožní, aby byly jeho zařízení na zpracování údajů, datové soubory a dokumentace potřebná pro zpracování podrobeny revizi, auditu a/nebo certifikaci provedené vývozcem údajů (nebo jakýmikoli nezávislými nebo nestrannými kontrolory či auditory vybranými vývozcem údajů, proti kterým nevznese dovozce údajů odůvodněné námitky), aby se přesvědčil o dodržování záruk a závazků v těchto doložkách, a to po obdržení přiměřeně včasného oznámení a během obvyklé provozní doby. Uvedená žádost bude podléhat případnému nezbytnému souhlasu nebo schválení regulačního orgánu nebo orgánu dozoru v zemi dovozce údajů, přičemž dovozce údajů se bude snažit tento souhlas nebo schválení získat včas;

h)

bude osobní údaje zpracovávat, podle vlastní volby, buď v souladu se:

i)

nesdělí ani nepředá osobní údaje správci údajů, který je třetí stranou, se sídlem mimo Evropský hospodářský prostor (EHP), s výjimkou případů, kdy o předání uvědomí vývozce údajů a

a)

Každá strana je odpovědná vůči druhé straně za škody, které způsobí jakýmkoli porušením těchto doložek. Vzájemná odpovědnost stran je omezena na skutečně utrpěnou škodu. Náhrada škody punitivní povahy (tj. náhrada škody s cílem potrestat stranu za její hrubé chování) je výslovně vyloučena. Každá strana je odpovědná vůči subjektům údajů za škody, které způsobí jakýmkoli porušením práv třetí strany podle těchto doložek. Tím není dotčena odpovědnost vývozce údajů podle jemu příslušného práva na ochranu údajů.

b)

Strany sjednávají, že subjekt údajů má právo vynucovat jako oprávněná třetí strana tuto doložku a doložku I písm. b), d) a e), doložku II písm. a), c), d), e), h) a i), doložku III písm. a), doložku V, doložku VI písm. d) a doložku VII proti dovozci údajů nebo vývozci údajů, pokud tito poruší své smluvní povinnosti v souvislosti s jeho osobními údaji, a rovněž přijímají pro tento účel příslušnost soudů v zemi, v níž je usazen vývozce údajů. V případech týkajících se tvrzení o porušení ze strany dovozce údajů musí subjekt údajů nejdříve požádat vývozce údajů, aby podnikl odpovídající kroky k vynucení jeho práv vůči dovozci údajů; pokud vývozce údajů tyto kroky nepodnikne v přiměřené lhůtě (která za normálních okolností činí jeden měsíc), může subjekt údajů svá práva vynucovat vůči dovozci údajů přímo. Subjekt údajů je oprávněn postupovat přímo proti vývozci údajů, který nevyvinul přiměřené úsilí, aby určil, že je dovozce údajů schopen dostát svým právním závazkům vyplývajícím z těchto doložek (vývozce údajů ponese břemeno důkazu toho, že přiměřené úsilí vyvinul).

a)

V případě sporu nebo nároku vzneseného subjektem údajů nebo orgánem, které se týkají zpracování osobních údajů, proti jedné nebo oběma stranám, se budou strany vzájemně informovat o všech takových sporech nebo nárocích a budou spolupracovat s cílem je smírně a urychleně urovnat.

b)

Strany se zavazují, že budou reagovat na každé obecně dostupné nezávazné mediační řízení zahájené subjektem údajů nebo orgánem. Pokud se strany řízení účastní, mohou si zvolit učinit tak na dálku (například telefonicky nebo pomocí jiných elektronických prostředků). Strany se také zavazují, že zváží svou účast na jakýchkoli ostatních rozhodčích, mediačních či jiných řízeních k řešení sporů vyvinutých pro spory týkající se ochrany údajů.

c)

Každá strana se bude řídit rozhodnutím příslušného soudu země, v níž je usazen vývozce údajů, nebo orgánu, které je konečné a proti kterému není možné podat žádný další opravný prostředek.

a)

Pokud dovozce údajů poruší své závazky podle těchto doložek, může vývozce údajů dočasně zastavit předávání osobních údajů dovozci údajů, dokud není porušení napraveno nebo smlouva vypovězena.

b)

V případě, že:

potom je vývozce údajů, aniž jsou dotčeny jeho případné jiné nároky vůči dovozci údajů, oprávněn vypovědět tyto doložky, v kterémžto případě bude, pokud je to vyžadováno, uvědomen orgán. V případech zahrnutých ve výše uvedených bodech i), ii) nebo iv) může dovozce údajů tyto doložky také vypovědět.

c)

Každá ze stran může tyto doložky vypovědět, pokud i) je vydáno jakékoli kladné rozhodnutí Komise o odpovídající úrovni podle čl. 25 odst. 6 směrnice 95/46/ES (nebo jakéhokoli předpisu, který tento předpis nahradí) týkající se země (nebo jejího odvětví), do které dovozce údajů údaje předává a v níž údaje zpracovává, nebo ii) se směrnice 95/46/ES (nebo jakýkoli předpis, který tento předpis nahradí) stane v takové zemi přímo použitelnou.

d)

Strany sjednávají, že vypovězení těchto doložek kdykoli, za jakýchkoli okolností a z jakéhokoli důvodu (kromě vypovězení podle doložky VI písm. c)) je nezbavuje závazků a/nebo podmínek podle těchto doložek, pokud jde o zpracování předaných údajů.

1.

Omezení účelu: osobní údaje se musí zpracovat a následně používat nebo dále sdělovat pouze pro účely uvedené v příloze B nebo následně schválené subjektem údajů.

2.

Kvalita a přiměřenost údajů: osobní údaje musí být přesné a tam, kde to je nutné, aktualizované. Údaje musí být přiměřené, relevantní a nikoli přebytečné ve vztahu k účelům, pro které jsou předávány a dále zpracovávány.

3.

Průhlednost: subjektům údajů musí být poskytnuty informace nezbytné pro zajištění řádného zpracování (například informace o účelech zpracování a o předávání), pokud již tyto informace nebyly poskytnuty vývozcem údajů.

4.

Bezpečnost a důvěrnost: správce údajů musí přijmout technická a organizační bezpečnostní opatření, která jsou přiměřená rizikům vyskytujícím se v souvislosti se zpracováním, jako například proti náhodnému nebo nedovolenému zničení či náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu. Každá osoba jednající na základě oprávnění správce údajů, včetně zpracovatele, smí údaje zpracovávat pouze na základě pokynů správce údajů.

5.

Právo na přístup, opravu, výmaz a námitku: jak je stanoveno v článku 12 směrnice 95/46/ES, subjektům údajů musí být, buď přímo nebo prostřednictvím třetí strany, poskytnuty osobní informace o nich, které organizace má, s výjimkou požadavků, které jsou vzhledem ke své nepřiměřené frekvenci nebo počtu nebo opakovanosti či soustavnosti zjevně přehnané, nebo pro něž nemusí být přístup umožněn podle práva země vývozce údajů. Za předpokladu, že orgán vydal předchozí souhlas, nemusí být přístup umožněn také tehdy, pokud by to pravděpodobně vážně poškodilo zájmy dovozce údajů nebo organizací, které s dovozcem údajů obchodují, a takové zájmy nejsou převýšeny zájmy základních práv a svobod subjektu údajů. Původ osobních údajů nemusí být označen, pokud to není možné za použití přiměřeného úsilí nebo pokud by byla porušena práva osob jiných než dotčené fyzické osoby. Subjekty údajů musí mít možnost nechat osobní informace, které se jich týkají, opravit, změnit nebo vymazat, pokud jsou nepřesné nebo jsou zpracovány v rozporu s těmito zásadami. Pokud existují vážné důvody pro zpochybnění oprávněnosti uvedeného požadavku, může organizace před přistoupením k opravě, změně nebo výmazu požadovat další odůvodnění. Oznámení všech úprav, změn nebo výmazů třetím stranám, kterým byly údaje sděleny, není nutné, pokud by to vyžadovalo neúměrné úsilí. Subjekty údajů musí mít rovněž možnost vznést z vážných a legitimních důvodů souvisejících s jeho osobní situací námitku proti zpracování osobních údajů, které se ho týkají. Důkazní břemeno leží v případě jakéhokoliv odmítnutí na dovozci údajů a subjekt údajů může vždy u orgánu odmítnutí napadnout.

6.

Citlivé údaje: dovozce údajů přijme taková dodatečná opatření (například bezpečnostní), která jsou nebytná pro ochranu citlivých údajů v souladu s jeho povinnostmi podle doložky II.

7.

Údaje používané pro účely marketingu: zpracovávají-li se údaje pro účely přímého marketingu, měly by existovat účinné postupy umožňující subjektu údajů kdykoli „zvolit vynětí“, aby údaje o něm již nebyly využívány k takovým účelům.

8.

Automatizovaná rozhodnutí: pro účely těchto doložek se „automatizovaným rozhodnutím“ rozumí rozhodnutí vývozce údajů nebo dovozce údajů, které vůči subjektu údajů zakládá právní účinky nebo které se subjektu údajů významně dotýká, přijaté výlučně na základě automatizovaného zpracování údajů určeného k hodnocení určitých rysů jeho osobnosti, například pracovního výkonu, důvěryhodnosti, spolehlivosti, chování atd. Dovozce údajů neučiní žádné automatizované rozhodnutí týkající se subjektů údajů, s výjimkou případů, kdy:

nebo