a)

Käesolevate lepingu tüüptingimuste (edaspidi „tingimused“) eesmärk on tagada vastavus [valida sobiv variant: 1. VARIANT: Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 (füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus)) artikli 28 lõigetele 3 ja 4] / [2. VARIANT: Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määruse (EL) 2018/1725 (mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ) artikli 29 lõigetele 3 ja 4].

b)

I lisas loetletud vastutavad töötlejad ja volitatud töötlejad on kokku leppinud käesolevates tingimustes, et tagada vastavus määruse (EL) 2016/679 artikli 28 lõigetele 3 ja 4 ja/või määruse (EL) 2018/1725 artikli 29 lõigetele 3 ja 4.

c)

Neid tingimusi kohaldatakse II lisas täpsustatud isikuandmete töötlemise suhtes.

d)

I–IV lisa on tingimuste lahutamatu osa.

e)

Käesolevad tingimused ei piira nende kohustuste täitmist, mis kehtivad vastutava töötleja suhtes määruse (EL) 2016/679 ja/või määruse (EL) 2018/1725 alusel.

f)

Käesolevad tingimused ei taga iseenesest isikuandmete rahvusvahelise edastamisega seotud kohustuste täitmist kooskõlas määruse (EL) 2016/679 ja/või määruse (EL) 2018/1725 V peatükiga.

a)

Lepingu tüüptingimuste pooled kohustuvad tingimusi mitte muutma, välja arvatud lisadesse teabe lisamiseks või neis sisalduva teabe ajakohastamiseks.

b)

See ei takista pooli lisamast käesolevates tingimustes sätestatud lepingu tüüptingimusi laiemasse lepingusse või lisamast muid tingimusi või täiendavaid kaitsemeetmeid, tingimusel et need ei lähe käesolevate tingimustega otseselt ega kaudselt vastuollu ega piira andmesubjektide põhiõigusi või -vabadusi.

a)

Kui käesolevates tingimustes kasutatakse vastavalt kas määruses (EL) 2016/679 või määruses (EL) 2018/1725 määratletud mõisteid, on neil mõistetel sama tähendus kui nimetatud määruses.

b)

Käesolevaid tingimusi mõistetakse ja tõlgendatakse vastavalt kas määruse (EL) 2016/679 või määruse (EL) 2018/1725 sätteid silmas pidades.

c)

Käesolevaid tingimusi ei tõlgendata viisil, mis on vastuolus määruses (EL) 2016/679 või määruses (EL) 2018/1725 sätestatud õiguste ja kohustustega, ega viisil, mis piirab andmesubjektide põhiõigusi või -vabadusi.

a)

Üksus, kes ei ole käesolevate tingimuste pool, võib kõigi poolte nõusolekul käesolevate tingimustega igal ajal ühineda vastutava töötleja või volitatud töötlejana, selleks täidab ta lisad ja allkirjastab I lisa.

b)

Pärast punktis a nimetatud lisade täitmist ja allkirjastamist käsitatakse ühinevat üksust käesolevate tingimuste poolena ning tal on vastutava töötleja või volitatud töötleja õigused ja kohustused vastavalt tema tähistusele I lisas.

c)

Ühinevale üksusele ei tulene pooleks saamise eelsel perioodil käesolevatest tingimustest õigusi ega kohustusi.

a)

Volitatud töötleja töötleb isikuandmeid ainult vastutava töötleja dokumenteeritud juhiste alusel, välja arvatud juhul, kui ta on kohustatud seda tegema tema suhtes kohaldatava liidu või liikmesriigi õigusega. Sellisel juhul teatab volitatud töötleja selle õigusliku nõude enne isikuandmete töötlemist vastutavale töötlejale, kui selline teatamine ei ole olulise avaliku huvi tõttu seadusega keelatud. Vastutav töötleja võib anda edasisi juhiseid ka isikuandmete töötlemise kestel. Need juhised tuleb alati dokumenteerida.

b)

Volitatud töötleja teavitab vastutavat töötlejat kohe, kui vastutava töötleja antud juhised lähevad volitatud töötleja arvates vastuollu määruse (EL) 2016/679 või määruse (EL) 2018/1725 või kohaldatavate liidu või liikmesriigi andmekaitsealaste sätetega.

a)

Volitatud töötleja rakendab isikuandmete turvalisuse tagamiseks vähemalt III lisas täpsustatud tehnilisi ja korralduslikke meetmeid. See hõlmab andmete kaitsmist sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (isikuandmetega seotud rikkumine). Vajaliku turvalisuse taseme hindamisel võtavad pooled nõuetekohaselt arvesse tehnika taset, rakendamise kulusid, isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke ning andmesubjektidele kaasnevaid ohte.

b)

Volitatud töötleja annab oma töötajatele töödeldavatele isikuandmetele juurdepääsu üksnes ulatuses, mis on rangelt vajalik lepingu täitmiseks, haldamiseks ja selle täitmise üle tehtavaks järelevalveks. Volitatud töötleja tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

a)

Pooled peavad suutma tõendada käesolevate tingimuste täitmist.

b)

Volitatud töötleja tegeleb viivitamata ja asjakohaselt vastutava töötleja päringutega andmete töötlemise kohta kooskõlas käesolevate tingimustega.

c)

Volitatud töötleja teeb vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik käesolevates tingimustes sätestatud ja otseselt määrusest (EL) 2016/679 ja/või määrusest (EL) 2018/1725 tulenevate kohustuste täitmise tõendamiseks. Volitatud töötleja lubab ja aitab vastutava töötleja taotluse korral mõistlike ajavahemike järel, või kui on tõendeid tingimustele mittevastavuse kohta, teha käesolevate tingimustega hõlmatud töötlemistoimingute auditeid. Vastutav töötleja võib läbivaatamise või auditi tegemise üle otsustamisel võtta arvesse volitatud töötleja asjakohaseid sertifikaate.

d)

Vastutav töötleja võib otsustada teha auditi ise või volitada selleks sõltumatu audiitori. Auditid võivad hõlmata kontrollkäike volitatud töötleja tööruumidesse või füüsilistesse rajatistesse ning vajaduse korral tehakse neid mõistliku etteteatamisega.

e)

Pooled teevad selles tingimuses osutatud teabe, sealhulgas auditite tulemused taotluse korral kättesaadavaks pädeva(te)le järelevalveasutus(t)ele.

a)

1. VARIANT: EELNEV ERILUBA. Volitatud töötleja ei telli käesolevate tingimuste kohaselt vastutava töötleja nimel tehtavate töötlemistoimingute tegemist alamtöötlejalt ilma vastutava töötleja eelneva kirjaliku eriloata. Volitatud töötleja esitab eriloa taotluse vähemalt [MÄRKIDA AJAVAHEMIK] enne kõnealuse alamtöötleja kaasamist koos teabega, mis on vajalik, et vastutav töötleja saaks loa kohta otsuse teha. Vastutava töötleja loa saanud alamtöötlejate loetelu on esitatud IV lisas. Pooled hoiavad IV lisa ajakohasena.

2. VARIANT: ÜLDINE KIRJALIK LUBA. Volitatud töötlejal on vastutava töötleja üldine luba kaasata kokkulepitud loetellu kuuluvad alamtöötlejad. Volitatud töötleja teavitab vastutavat töötlejat kindlasti igast kõnealuse loetelu kavandatud muudatusest, st alamtöötlejate lisamisest või asendamisest, kirjalikult vähemalt [MÄRKIDA AJAVAHEMIK] ette, andes vastutavale töötlejale enne asjaomas(t)e alamtöötleja(te) kaasamist seega piisavalt aega sellistele muudatustele vastuväiteid esitada. Volitatud töötleja esitab vastutavale töötlejale teabe, mis on vajalik, et vastutav töötleja saaks kasutada õigust esitada vastuväiteid.

b)

Kui volitatud töötleja kaasab konkreetsete töötlemistoimingute tegemiseks (vastutava töötleja nimel) alamtöötleja, teeb ta seda lepinguga, millega kehtestatakse alamtöötlejale sisuliselt samad andmekaitsekohustused, mis on volitatud töötlejal käesolevate tingimuste kohaselt. Volitatud töötleja tagab, et alamtöötleja täidab volitatud töötleja suhtes käesolevate tingimuste ning määruse (EL) 2016/679 ja/või määruse (EL) 2018/1725 kohaselt kohaldatavaid kohustusi.

c)

Volitatud töötleja esitab vastutava töötleja taotlusel vastutavale töötlejale sellise alamtöötluslepingu koopia ja kõik hilisemad muudatused. Ulatuses, milles see on vajalik ärisaladuse või muu konfidentsiaalse teabe, sealhulgas isikuandmete kaitsmiseks, võib volitatud töötleja asjaomase osa lepingu tekstist enne koopia edastamist välja jätta.

d)

Volitatud töötleja jääb vastutava töötleja ees täielikult vastutavaks alamtöötleja kohustuste täitmise eest vastavalt volitatud töötlejaga sõlmitud lepingule. Volitatud töötleja teavitab vastutavat töötlejat, kui alamtöötleja ei täida oma lepingulisi kohustusi.

e)

Volitatud töötleja lepib alamtöötlejaga kokku soodustatud kolmandat isikut käsitlevas tingimuses, mille kohaselt on vastutaval töötlejal juhul, kui volitatud töötleja on teadaolevalt kadunud, oma seadusjärgse tegevuse lõpetanud või maksejõuetuks muutunud, õigus alamtöötleja leping lõpetada ja anda alamtöötlejale korraldus isikuandmed kustutada või tagastada.

a)

Volitatud töötleja edastab andmeid kolmandale riigile või rahvusvahelisele organisatsioonile üksnes vastutava töötleja dokumenteeritud juhiste alusel või volitatud töötleja suhtes kohaldatavast liidu või liikmesriigi õigusest tuleneva konkreetse nõude täitmiseks ning edastamine toimub kooskõlas määruse (EL) 2016/679 või määruse (EL) 2018/1725 V peatükiga.

b)

Vastutav töötleja nõustub, et kui volitatud töötleja kaasab konkreetsete töötlemistoimingute tegemiseks (vastutava töötleja nimel) tingimuse 7.7 kohaselt alamtöötleja ja need töötlemistoimingud hõlmavad isikuandmete edastamist määruse (EL) 2016/679 V peatüki tähenduses, saavad volitatud töötleja ja alamtöötleja kasutada määruse (EL) 2016/679 V peatüki järgimise tagamiseks komisjoni poolt määruse (EL) 2016/679 artikli 46 lõike 2 kohaselt vastu võetud lepingu tüüptingimusi, kui nende lepingu tüüptingimuste kasutamise tingimused on täidetud.

a)

Volitatud töötleja teavitab vastutavat töötlejat viivitamata igast andmesubjektilt saadud taotlusest. Ta ei vasta taotlusele ise, välja arvatud juhul, kui vastutav töötleja on andnud selleks loa.

b)

Volitatud töötleja aitab vastutaval töötlejal täita kohustust vastata andmesubjektide taotlustele kasutada oma õigusi, võttes arvesse isikuandmete töötlemise laadi. Punktide a ja b kohaste kohustuste täitmisel järgib volitatud töötleja vastutava töötleja juhiseid.

c)

Lisaks volitatud töötleja kohustusele abistada vastutavat töötlejat 8. tingimuse punkti b kohaselt aitab volitatud töötleja vastutavat töötlejat ka järgmiste kohustuste täitmise tagamisel, võttes arvesse andmetöötluse laadi ja volitatud töötlejale kättesaadavat teavet:

d)

Lepingu tüüptingimuste pooled sätestavad III lisas asjakohased tehnilised ja korralduslikud meetmed, mille abil volitatud töötleja peab vastutavat töötlejat käesoleva tingimuse kohaldamisel aitama, ning vajaliku abi ulatuse ja määra.

a)

teavitada pädevat järelevalveasutust / pädevaid järelevalveasutusi isikuandmetega seotud rikkumisest põhjendamatu viivituseta pärast seda, kui vastutav töötleja on rikkumisest teada saanud, kui see on asjakohane / (välja arvatud juhul, kui isikuandmetega seotud rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele);

b)

saada järgmist teavet, mis esitatakse vastavalt [1. VARIANT: määruse (EL) 2016/679 artikli 33 lõikele 3] / [2. VARIANT: määruse (EL) 2018/1725 artikli 34 lõikele 3] vastutava töötleja teates ja peab sisaldama vähemalt järgmist:

c)

täita vastavalt [1. VARIANT: määruse (EL) 2016/679 artiklile 34] / [2. VARIANT: määruse (EL) 2018/1725 artiklile 35] kohustust teavitada andmesubjekti põhjendamatu viivituseta isikuandmetega seotud rikkumisest, kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele.

a)

rikkumise laadi kirjeldus (sealhulgas võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning asjaomased andmekirjed);

b)

isikuandmetega seotud rikkumise kohta lisateavet andva kontaktpunkti andmed;

c)

rikkumise tõenäolised tagajärjed ning rikkumise lahendamiseks, sealhulgas rikkumise võimaliku kahjuliku mõju leevendamiseks võetud või võtmiseks kavandatud meetmed.

a)

Ilma et see piiraks määruse (EL) 2016/679 ja/või määruse (EL) 2018/1725 sätete kohaldamist, võib vastutav töötleja juhul, kui volitatud töötleja ei täida käesolevatest tingimustest tulenevaid kohustusi, anda volitatud töötlejale korralduse peatada isikuandmete töötlemine seniks, kuni volitatud töötleja järgib käesolevaid tingimusi või leping lõpetatakse. Volitatud töötleja teavitab vastutavat töötlejat viivitamata, kui ta ei suuda käesolevaid tingimusi mis tahes põhjusel täita.

b)

Vastutaval töötlejal on õigus lõpetada leping käesolevate tingimuste kohase isikuandmete töötlemise osas, kui:

c)

Volitatud töötlejal on õigus lõpetada leping käesolevate tingimuste kohase isikuandmete töötlemise osas pärast seda, kui ta on vastutavat töötlejat tingimuse 7.1 punkti b kohaselt teavitatud, et tema juhised lähevad vastuollu kohaldatavate õigusnõuetega, kuid vastutav töötleja nõuab nende juhiste järgimist.

d)

Pärast lepingu lõpetamist kustutab volitatud töötleja vastutava töötleja valikul kõik vastutava töötleja nimel töödeldud isikuandmed ja kinnitab vastutavale töötlejale, et ta on seda teinud, või tagastab kõik isikuandmed vastutavale töötlejale ja kustutab olemasolevad koopiad, välja arvatud juhul, kui liidu või liikmesriigi õiguse kohaselt nõutakse isikuandmete säilitamist. Volitatud töötleja jätkab nendele tingimustele vastavuse tagamist seni, kuni andmed kustutatakse või tagastatakse.

1.

Nimi: …

Aadress: …

Kontaktisiku nimi, ametikoht ja kontaktandmed: …

Allkiri ja ühinemise kuupäev: …

2.

1.

Nimi: …

Aadress: …

Kontaktisiku nimi, ametikoht ja kontaktandmed: …

Allkiri ja ühinemise kuupäev: …

2.

isikuandmete pseudonüümimise ja krüpteerimise meetmed;

meetmed, millega tagatakse isikuandmeid töötlevate süsteemide ja teenuste kestev konfidentsiaalsus, terviklus, kättesaadavus ja vastupidavus;

meetmed, millega tagatakse võime taastada õigeaegselt isikuandmete kättesaadavus ja neile juurdepääs füüsilise või tehnilise vahejuhtumi korral;

isikuandmete töötlemise turvalisuse tagamise tehniliste ja korralduslike meetmete toimivuse korrapärase kontrollimise ja hindamise kord;

kasutaja tuvastamise ja autoriseerimise meetmed;

meetmed andmete kaitsmiseks edastamise ajal;

meetmed andmete kaitsmiseks säilitamise ajal;

meetmed isikuandmete töötlemise kohtade füüsilise julgeoleku tagamiseks;

meetmed sündmuste logimise tagamiseks;

meetmed süsteemi konfiguratsiooni, sealhulgas vaikekonfiguratsiooni tagamiseks;

sisemise IT ning IT-turbe valitsemise ja haldamise meetmed;

protsesside ja toodete sertifitseerimise/tagamise meetmed;

meetmed, millega tagatakse võimalikult väheste andmete kogumine;

andmete kvaliteedi tagamise meetmed;

andmete piiratud säilitamise tagamise meetmed;

vastutuse tagamise meetmed;

meetmed andmete porditavuse võimaldamiseks ja kustutamise tagamiseks.

1.

Nimi: …

Aadress: …

Kontaktisiku nimi, ametikoht ja kontaktandmed: …

Töötlemise kirjeldus (sealhulgas selgelt piiritletud kohustused, kui luba on antud mitmele alamtöötlejale): …

2.

…

a)

Käesolevate lepingu tüüptingimuste eesmärk on tagada isikuandmete edastamisel kolmandasse riiki vastavus Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrusele (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus) (1).

b)

Pooled:

on kokku leppinud järgmistes lepingu tüüptingimustes (edaspidi „tingimused“).

c)

Need tingimused kehtivad I.B lisas sätestatud isikuandmete edastamise kohta.

d)

Liide, mis sisaldab selles osutatud lisasid, moodustab käesolevate tingimuste lahutamatu osa.

a)

Käesolevates tingimustes sätestatakse asjakohased kaitsemeetmed, sealhulgas kohtulikult kaitstavad andmesubjekti õigused ning tõhusad õiguskaitsevahendid vastavalt määruse (EL) 2016/679 artikli 46 lõikele 1 ja artikli 46 lõike 2 punktile c, ning seoses andmete edastamisega vastutavatelt töötlejatelt volitatud töötlejatele ja/või volitatud töötlejatelt volitatud töötlejatele määruse (EL) 2016/679 artikli 28 lõike 7 kohased lepingu tüüptingimused, tingimusel et neid ei ole muudetud, välja arvatud asjakohas(t)e mooduli(te) valimiseks või liites oleva teabe lisamiseks või ajakohastamiseks. See ei takista pooltel lisamast laiemasse lepingusse käesolevates tingimustes sätestatud lepingu tüüptingimusi ja/või lisamast muid tingimusi või täiendavaid kaitsemeetmeid, tingimusel et need ei lähe käesolevate tingimustega otseselt ega kaudselt vastuollu ega piira andmesubjektide põhiõigusi ega -vabadusi.

b)

Käesolevate tingimustega ei piirata kohustusi, mida andmeeksportija suhtes vastavalt määrusele (EL) 2016/679 kohaldatakse.

a)

Andmesubjektid võivad soodustatud kolmandate isikutena neid tingimusi andmeeksportija ja/või andmeimportija suhtes kasutada ja nende täitmist nõuda järgmiste eranditega:

b)

Punktiga a ei piirata määruse (EL) 2016/679 kohaseid andmesubjekti õigusi.

a)

Kui käesolevates tingimustes kasutatakse mõisteid, mis on määratletud määruses (EL) 2016/679, on nendel mõistetel sama tähendus kui selles määruses.

b)

Neid tingimusi loetakse ja tõlgendatakse määruse (EL) 2016/679 sätteid silmas pidades.

c)

Neid tingimusi ei tõlgendata viisil, mis läheb vastuollu määruses (EL) 2016/679 sätestatud õiguste ja kohustustega.

a)

Üksus, kes ei ole käesolevate tingimuste pool, võib kõigi poolte nõusolekul nende tingimustega igal ajal ühineda andmeeksportijana või andmeimportijana; selleks täidab ta liite ja allkirjastab I.A lisa.

b)

Kui ta on liite täitnud ja I.A lisa allkirjastanud, saab ühinev üksus käesolevate tingimuste pooleks ning tal on andmeeksportija või andmeimportija õigused ja kohustused vastavalt tema tähistusele I.A lisas.

c)

Ühinevale üksusele ei tulene pooleks saamise eelsel perioodil käesolevatest tingimustest õigusi ega kohustusi.

i)

ta on hankinud andmesubjekti eelneva nõusoleku;

ii)

see on vajalik teatavates haldus-, regulatiiv- või kohtumenetlustes õigusnõuete koostamiseks, esitamiseks või kaitsmiseks; või

iii)

see on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks.

a)

Selleks et võimaldada andmesubjektidel oma õigusi vastavalt 10. tingimusele tõhusalt kasutada, teavitab andmeimportija neid otse või andmeeksportija kaudu järgmisest:

b)

Punkti a ei kohaldata juhul, kui andmesubjektil on see teave juba olemas, sealhulgas kui andmeeksportija on seda teavet juba andnud, või kui teabe andmine osutub võimatuks või nõuaks andmeimportijalt ebaproportsionaalseid jõupingutusi. Viimasel juhul teeb andmeimportija teabe suurimas võimalikus ulatuses avalikult kättesaadavaks.

c)

Taotluse korral teevad pooled käesolevate tingimuste, sealhulgas nende täidetud liite koopia andmesubjektile tasuta kättesaadavaks. Ulatuses, milles see on vajalik ärisaladuse või muu konfidentsiaalse teabe, sealhulgas isikuandmete kaitsmiseks, võivad pooled käesolevate tingimuste liite tekstiosi enne koopia jagamist redigeerida, kuid siis tuleb neil juhul, kui andmesubjekt ei saaks muidu sisust aru ja/või oma õigusi kasutada, esitada sisukas kokkuvõtte. Taotluse korral esitavad pooled andmesubjektile redigeerimise põhjendused, niivõrd kui see on redigeeritud teavet avaldamata võimalik.

d)

Punktid a–c ei piira määruse (EL) 2016/679 artikli 13 ja 14 kohaseid andmeeksportija kohustusi.

a)

Iga pool tagab, et isikuandmed on täpsed ja vajaduse korral ajakohastatud. Andmeimportija võtab kõik põhjendatud meetmed tagamaks, et töötlemise eesmärki (eesmärke) arvesse võttes kustutatakse või parandatakse ebatäpsed isikuandmed viivitamata.

b)

Kui üks pooltest saab teada, et edastatud või vastu võetud isikuandmed on ebatäpsed või aegunud, teavitab ta teist poolt põhjendamatu viivituseta.

c)

Andmeimportija tagab, et isikuandmed on piisavad ja asjakohased ning piiratud sellega, mis on töötlemise eesmärgil (eesmärkidel) vajalik.

a)

Andmeimportija ja edastamise ajal ka andmeeksportija võtab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada isikuandmete turvalisus, sealhulgas kaitse sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (edaspidi „isikuandmetega seotud rikkumine“). Vajaliku turvalisuse taseme hindamisel võtavad nad nõuetekohaselt arvesse tehnika taset, rakendamise kulusid, töötlemise laadi, ulatust, konteksti ja eesmärki (eesmärke) ning töötlemisega andmesubjektile kaasnevaid ohte. Pooled kaaluvad eelkõige krüpteerimist või pseudonüümimist, kui töötlemise eesmärki saab sel viisil täita.

b)

Pooled on leppinud kokku II lisas sätestatud tehniliste ja korralduslike meetmete kogumi. Andmeimportija teeb korrapäraseid kontrolle, kindlustamaks et nende meetmetega tagatakse jätkuvalt vajalik turvalisuse tase.

c)

Andmeimportija tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

d)

Kui nende isikuandmete puhul, mida andmeimportija käesolevate tingimuste alusel töötleb, ilmneb isikuandmetega seotud rikkumine, võtab andmeimportija asjakohaseid meetmeid selle isikuandmetega seotud rikkumise lahendamiseks, sealhulgas meetmeid selle võimaliku kahjuliku mõju leevendamiseks.

e)

Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab andmeimportija põhjendamatu viivituseta andmeeksportijat ja vastavalt 13. tingimusele ka pädevat järelevalveasutust. Selline teade sisaldab i) rikkumise laadi kirjeldust (sealhulgas võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning isikuandmete asjaomaste kirjete liigid ja ligikaudne arv), ii) selle tõenäolisi tagajärgi, iii) rikkumise lahendamiseks võetud või kavandatud meetmeid ja iv) lisateavet andva kontaktpunkti andmeid. Kui andmeimportijal ei ole võimalik kogu teavet korraga esitada, võib ta teabe esitada järk-järgult ilma põhjendamatu viivituseta.

f)

Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab andmeimportija põhjendamatu viivituseta ka asjaomaseid andmesubjekte isikuandmetega seotud rikkumisest ja selle laadist, vajaduse korral koostöös andmeeksportijaga, koos punkti e alapunktides ii–iv osutatud teabega, välja arvatud juhul, kui andmeimportija on võtnud meetmeid, et märkimisväärselt vähendada ohtu füüsiliste isikute õigustele või vabadustele või kui teatamine nõuaks ebaproportsionaalseid jõupingutusi. Viimasel juhul avaldab andmeimportija selle asemel avaliku teadaande või võtab muu sarnase meetme, millega teavitab üldsust isikuandmetega seotud rikkumisest.

g)

Andmeimportija dokumenteerib kõik asjaomased isikuandmetega seotud rikkumist puudutavad asjaolud, sealhulgas selle mõju ja mis tahes võetud parandusmeetmed, ning peab nende kohta registrit.

i)

need edastatakse riiki, mille kohta kehtib määruse (EL) 2016/679 artikli 45 kohane kaitse piisavuse otsus, mis hõlmab edasisaatmist;

ii)

kolmas isik tagab kõnealuse töötlemise puhul määruse (EL) 2016/679 artiklitele 46 või 47 vastavad asjakohased kaitsemeetmed muul viisil;

iii)

kolmas isik sõlmib andmeimportijaga siduva leppe, millega tagatakse käesolevate tingimustega samaväärne andmekaitsetase, ning andmeimportija esitab andmeeksportijale neid kaitsemeetmeid käsitleva dokumendi koopia;

iv)

see on vajalik teatavates haldus-, regulatiiv- või kohtumenetlustes õigusnõuete koostamiseks, esitamiseks või kaitsmiseks;

v)

see on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks või

vi)

kui neist ükski muu tingimus ei ole täidetud – andmeimportija on konkreetses olukorras andmete edasisaatmiseks saanud andmesubjektilt sõnaselge nõusoleku, pärast tema teavitamist edasisaatmise eesmärgist (eesmärkidest), vastuvõtja isikust ning sellise edastamise võimalikest ohtudest, mida talle põhjustab asjakohaste andmekaitsemeetmete puudumine. Sel juhul teavitab andmeimportija andmeeksportijat ning viimase taotlusel esitab talle koopia andmesubjektile esitatud teabest.

a)

Iga pool suudab tõendada käesolevatest tingimustest tulenevate kohustuste täitmist. Eelkõige peab andmeimportija säilitama asjakohaseid dokumente oma vastutusalas tehtud töötlemistoimingute kohta.

b)

Andmeimportija teeb sellised dokumendid vastava taotluse korral pädevale järelevalveasutusele kättesaadavaks.

a)

Andmeimportija töötleb isikuandmeid üksnes andmeeksportija dokumenteeritud juhiste alusel. Andmeeksportija võib selliseid juhiseid anda kogu lepingu kehtivuse aja jooksul.

b)

Andmeimportija teavitab andmeeksportijat viivitamata, kui ta ei saa neid juhiseid järgida.

a)

Andmeimportija ja edastamise ajal ka andmeeksportija võtab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada andmete turvalisus, sealhulgas kaitse sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (edaspidi „isikuandmetega seotud rikkumine“). Vajaliku turvalisuse taseme hindamisel võtavad pooled nõuetekohaselt arvesse praegust tehnika taset, rakendamise kulusid, töötlemise laadi, ulatust, konteksti ja eesmärki (eesmärke) ning töötlemisega andmesubjektidele kaasnevaid ohte. Pooled kaaluvad eelkõige krüpteerimist või pseudonüümimist, kui töötlemise eesmärki saab sel viisil täita. Pseudonüümimisel jääb isikuandmeid konkreetse andmesubjektiga seostada võimaldav lisateave võimaluse korral andmeeksportija ainukontrolli alla. Käesoleva lõigu kohaste kohustuse täitmiseks rakendab andmeimportija vähemalt II lisas osutatud tehnilised ja korralduslikud meetmed. Andmeimportija teeb korrapäraseid kontrolle, kindlustamaks et nende meetmetega tagatakse jätkuvalt vajalik turvalisuse tase.

b)

Andmeimportija annab oma töötajatele juurdepääsu isikuandmetele üksnes ulatuses, mis on rangelt vajalik lepingu täitmiseks, haldamiseks ja järelevalveks. See tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

c)

Kui nende isikuandmete puhul, mida andmeimportija käesolevate tingimuste alusel töötleb, ilmneb isikuandmetega seotud rikkumine, võtab andmeimportija asjakohaseid meetmeid selle rikkumise lahendamiseks, sealhulgas meetmeid selle kahjuliku mõju leevendamiseks. Pärast rikkumisest teada saamist teavitab andmeimportija põhjendamatu viivituseta ka andmeeksportijat. Selline teade sisaldab lisateavet andva kontaktpunkti andmeid, rikkumise laadi kirjeldust (sealhulgas võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning isikuandmete asjaomaste kirjete liigid ja ligikaudne arv), selle tõenäolisi tagajärgi, rikkumise lahendamiseks võetud või võtmiseks kavandatud meetmeid ja asjakohasel juhul meetmeid selle võimaliku kahjuliku mõju leevendamiseks. Juhul ja niivõrd, kui kogu teavet ei ole võimalik esitada korraga, sisaldab esialgne teade sel ajal kättesaadavat teavet ning täiendav teave esitatakse pärast selle saamist ja põhjendamatu viivituseta.

d)

Andmeimportija teeb andmeeksportijaga koostööd ja abistab teda, et võimaldada andmeeksportijal täita talle määrusest (EL) 2016/679 tulenevaid kohustusi, eelkõige teavitada pädevat järelevalveasutust ja mõjutatud andmesubjekte, võttes arvesse töötlemise laadi ja andmeimportijale kättesaadavat teavet.

i)

need saadetakse edasi riiki, mille kohta kehtib määruse (EL) 2016/679 artikli 45 kohane kaitse piisavuse otsus, mis hõlmab edasisaatmist;

ii)

kolmas isik tagab kõnealuse töötlemise puhul määruse (EL) 2016/679 artiklitele 46 või 47 vastavad asjakohased kaitsemeetmed muul viisil;

iii)

edasisaatmine on vajalik teatavates haldus-, regulatiiv- või kohtumenetlustes õigusnõuete koostamiseks, esitamiseks või kaitsmiseks või

iv)

edasisaatmine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks.

a)

Andmeimportija tegeleb viivitamata ja asjakohasel viisil andmeeksportija päringutega, mis on seotud käesolevate tingimuste kohase töötlemisega.

b)

Pooled peavad suutma tõendada käesolevate tingimuste täitmist. Eelkõige peab andmeimportija säilitama andmeeksportija nimel tehtud töötlemistoimingute kohta asjakohaseid dokumente.

c)

Andmeimportija teeb andmeeksportijale kättesaadavaks kogu teabe, mis on vajalik, et tõendada käesolevates tingimustes sätestatud kohustuste täitmist, ning andmeeksportija taotlusel võimaldab ta mõistlike ajavahemike järel või tingimustele mittevastavusele osutavate asjaolude ilmnemisel teha käesolevate tingimustega hõlmatud töötlemistoimingute auditeid ja aitab nende tegemisele kaasa. Läbivaatamise või auditi üle otsustamisel võib andmeeksportija võtta arvesse andmeimportija olemasolevaid asjakohaseid sertifikaate.

d)

Andmeeksportija võib otsustada, et teeb auditi ise, või volitada selleks sõltumatu audiitori. Auditid võivad hõlmata kontrollkäike andmeimportija ruumidesse või füüsilistesse rajatistesse ning vajaduse korral tehakse neid mõistliku etteteatamisega.

e)

Pooled teevad punktides b ja c osutatud teabe, sealhulgas mis tahes auditite tulemused, taotluse korral pädevale järelevalveasutusele kättesaadavaks.

a)

Andmeeksportija on andmeimportijat teavitanud, et ta tegutseb volitatud töötlejana vastavalt oma vastutava(te) töötleja(te) juhistele, mille andmeeksportija teeb volitatud töötlejale enne töötlemist kättesaadavaks.

b)

Andmeimportija töötleb isikuandmeid üksnes vastutava töötleja juhiste alusel, mille andmeeksportija on andmeimportijale teatavaks teinud, ning andmeeksportijalt saadud mis tahes dokumenteeritud lisajuhiste alusel. Sellised lisajuhised ei tohi olla vastuolus vastutava töötleja juhistega. Vastutav töötleja või andmeeksportija võib kogu lepingu kestel esitada andmetöötluse kohta täiendavaid dokumenteeritud juhiseid.

c)

Andmeimportija teavitab andmeeksportijat viivitamata, kui ta ei saa neid juhiseid järgida. Kui andmeimportija ei ole võimeline järgima vastutava töötleja juhiseid, teavitab andmeeksportija viivitamata vastutavat töötlejat.

d)

Andmeeksportija garanteerib, et ta on kehtestanud andmeimportijale samad andmekaitsekohustused, mis on vastutava töötleja ja andmeeksportija vahel sätestatud lepinguga või muu liidu või liikmesriigi õiguse kohase õigusaktiga (5).

a)

Andmeimportija ja edastamise ajal ka andmeeksportija võtab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada andmete turvalisus, sealhulgas kaitse sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (edaspidi „isikuandmetega seotud rikkumine“). Vajaliku turvalisuse taseme hindamisel võtavad nad nõuetekohaselt arvesse tehnika taset, rakendamise kulusid, töötlemise laadi, ulatust, konteksti ja eesmärki (eesmärke) ning töötlemisega andmesubjektile kaasnevaid ohte. Pooled kaaluvad eelkõige krüpteerimist või pseudonüümimist, kui töötlemise eesmärki saab sel viisil täita. Pseudonüümimisel jääb isikuandmeid konkreetse andmesubjektiga seostada võimaldav lisateave võimaluse korral andmeeksportija või vastutava töötleja ainukontrolli alla. Käesoleva lõigu kohaste kohustuse täitmiseks rakendab andmeimportija vähemalt II lisas osutatud tehnilised ja korralduslikud meetmed. Andmeimportija teeb korrapäraseid kontrolle, kindlustamaks et nende meetmetega tagatakse jätkuvalt vajalik turvalisuse tase.

b)

Andmeimportija annab oma töötajatele juurdepääsu andmetele üksnes ulatuses, mis on rangelt vajalik lepingu täitmiseks, haldamiseks ja järelevalveks. See tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

c)

Kui nende isikuandmete puhul, mida andmeimportija käesolevate tingimuste alusel töötleb, ilmneb isikuandmetega seotud rikkumine, võtab andmeimportija asjakohaseid meetmeid selle rikkumise lahendamiseks, sealhulgas meetmeid selle kahjuliku mõju leevendamiseks. Pärast sellisest rikkumisest teadasaamist teavitab andmeimportija põhjendamatu viivituseta ka andmeeksportijat, ning kui see on asjakohane ja teostatav, vastutavat töötlejat. Selline teade sisaldab lisateavet andva kontaktpunkti andmeid, rikkumise laadi kirjeldust (sealhulgas võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning isikuandmete asjaomaste kirjete liigid ja ligikaudne arv), selle tõenäolisi tagajärgi, andmetega seotud rikkumise lahendamiseks võetud või võtmiseks kavandatud meetmeid, sealhulgas meetmeid selle võimaliku kahjuliku mõju leevendamiseks. Juhul ja niivõrd, kui kogu teavet ei ole võimalik esitada korraga, sisaldab esialgne teade sel ajal kättesaadavat teavet ning täiendav teave esitatakse pärast selle saamist ja põhjendamatu viivituseta.

d)

Andmeimportija teeb andmeeksportijaga koostööd ja abistab teda, et võimaldada andmeeksportijal täita talle määrusest (EL) 2016/679 tulenevaid kohustusi, eelkõige teavitada oma vastutavat töötlejat, et see saaks omakorda teavitada pädevat järelevalveasutust ja mõjutatud andmesubjekte, võttes arvesse töötlemise laadi ja andmeimportijale saadaolevat teavet.

i)

need saadetakse edasi riiki, mille kohta kehtib määruse (EL) 2016/679 artikli 45 kohane kaitse piisavuse otsus, mis hõlmab edasisaatmist;

ii)

kolmas isik tagab määruse (EL) 2016/679 artiklitele 46 või 47 vastavad asjakohased kaitsemeetmed muul viisil;

iii)

edasisaatmine on vajalik teatavates haldus-, regulatiiv- või kohtumenetlustes õigusnõuete koostamiseks, esitamiseks või kaitsmiseks või

iv)

edasisaatmine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks.

a)

Andmeimportija tegeleb viivitamata ja asjakohasel viisil andmeeksportija või vastutava töötleja päringutega, mis on seotud käesolevate tingimuste kohase töötlemisega.

b)

Pooled peavad suutma tõendada käesolevate tingimuste täitmist. Eelkõige peab andmeimportija säilitama vastutava töötleja nimel tehtava töötlemistoimingute kohta asjakohaseid dokumente.

c)

Andmeimportija teeb andmeeksportijale kättesaadavaks kogu teabe, mis on vajalik, et tõendada käesolevates tingimustes sätestatud kohustuste täitmist, ning andmeeksportija esitab selle vastutavale töötlejale.

d)

Andmeimportija võimaldab andmeeksportijal mõistlike ajavahemike järel või tingimustele mittevastavusele osutavate asjaolude ilmnemisel teha käesolevate tingimuste alla kuuluvate töötlemistoimingute auditeid ja aitab nende tegemisele kaasa. Sama kehtib siis, kui andmeeksportija taotleb vastutava töötleja juhiste kohaselt auditit. Auditi üle otsustamisel võib andmeeksportija võtta arvesse andmeimportija olemasolevaid asjakohaseid sertifikaate.

e)

Kui audit tehakse vastutava töötleja juhiste kohaselt, teeb andmeeksportija tulemused vastutavale töötlejale kättesaadavaks.

f)

Andmeeksportija võib otsustada, et teeb auditi ise, või volitada selleks sõltumatu audiitori. Auditid võivad hõlmata kontrollkäike andmeimportija ruumidesse või füüsilistesse rajatistesse ning vajaduse korral tehakse neid mõistliku etteteatamisega.

g)

Pooled teevad punktides b ja c osutatud teabe, sealhulgas mis tahes auditite tulemused, taotluse korral pädevale järelevalveasutusele kättesaadavaks.

a)

Andmeeksportija töötleb isikuandmeid üksnes tema vastutava töötlejana tegutseva andmeimportija antud dokumenteeritud juhiste alusel.

b)

Andmeeksportija teavitab andmeimportijat viivitamata, kui ta ei ole võimeline neid juhiseid järgima, sealhulgas juhul, kui need juhised lähevad vastuollu määrusega (EL) 2016/679 või muude liidu või liikmesriigi andmekaitsealaste õigusaktidega.

c)

Andmeimportija hoidub mis tahes toimingust, mis takistaks andmeeksportijal täitmast määruse (EL) 2016/679 kohaseid kohustusi, sealhulgas alamtöötlemise puhul või pädevate järelevalveasutustega tehtava koostöö asjus.

d)

Pärast töötlemisteenuste osutamise lõpetamist kustutab andmeeksportija andmeimportija valikul kas kõik andmeimportija nimel töödeldud isikuandmed ja esitab andmeimportijale kustutamise kohta tunnistuse või tagastab andmeimportijale kõik tema nimel töödeldud isikuandmed ja kustutab olemasolevad koopiad.

a)

Pooled võtavad asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada andmete turvalisus ka edastamise ajal, ning kaitse sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (edaspidi „isikuandmetega seotud rikkumine“). Vajaliku turvalisuse taseme hindamisel võtavad nad nõuetekohaselt arvesse tehnika taset, rakenduskulusid, isikuandmete laadi, (7) töötlemise laadi, ulatust, konteksti ja eesmärki (eesmärke) ning töötlemisega andmesubjektidele kaasnevaid ohte, ja eelkõige kaaluvad krüpteerimist või pseudonüümimist, sealhulgas edastamise ajal, kui töötlemise eesmärki saab sel viisil täita.

b)

Andmeeksportija aitab andmeimportijal tagada andmete asjakohase turvalisuse kooskõlas punktiga a. Kui nende isikuandmete puhul, mida andmeeksportija käesolevate tingimuste alusel töötleb, ilmneb isikuandmetega seotud rikkumine, teavitab andmeeksportija sellest teada saades viivitamata andmeimportijat ning aitab andmeimportijal rikkumist lahendada.

c)

Andmeeksportija tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

a)

Pooled peavad suutma tõendada käesolevate tingimuste täitmist.

b)

Andmeeksportija teeb andmeimportijale kättesaadavaks kogu teabe, mis on vajalik, et tõendada käesolevate tingimuste kohaste kohustuste täitmist, ning võimaldab teha auditeid ja aitab nende tegemisele kaasa.

a)

1. VARIANT: EELNEV ERILUBA – andmeimportija ei kasuta käesolevate tingimuste kohaste töötlemistoimingute andmeeksportija nimel tegemiseks alltöövõttu alamtöötlejat, kui andmeeksportija ei ole eelnevalt andnud kirjalikku luba. Andmeimportija esitab eriloa taotluse vähemalt [märkida ajavahemik] enne alamtöötleja kaasamist koos teabega, mis on vajalik, et andmeeksportija saaks loa kohta otsuse teha. Andmeeksportijalt juba loa saanud alamtöötlejate loetelu on esitatud III lisas. Pooled hoiavad III lisa ajakohasena.

2. VARIANT: ÜLDINE KIRJALIK LUBA – andmeimportijal on andmeeksportija üldine luba kaasata kokkulepitud loendisse kuuluv(ad) alamtöötleja(d). Andmeimportija teavitab andmeeksportijat eraldi kirjalikult selle loetelu mis tahes kavandatud muudatustest, st alamtöötlejate lisamisest või asendamisest vähemalt [märkida ajavahemik] ette, andes andmeeksportijale enne alamtöötleja(te) kaasamist seega piisavalt aega esitada sellistele muudatustele vastuväiteid. Andmeimportija annab andmeeksportijale teavet, mis on vajalik, et võimaldada andmeeksportijal kasutada õigust esitada vastuväiteid.

b)

Kui andmeimportija kaasab teatavate töötlemistoimingute tegemiseks (andmeeksportija nimel) alamtöötleja, teeb ta seda kirjaliku lepinguga, milles nähakse ette sisuliselt samad andmekaitsekohustused kui need, mis on andmeimportijale käesolevate tingimuste kohaselt siduvad, sealhulgas seoses andmesubjektide kui soodustatud kolmandate isikute õigustega (8). Pooled nõustuvad, et käesoleva tingimuse järgimisega täidab andmeimportija punkti 8.8 kohased kohustused. Andmeimportija tagab, et alamtöötleja täidab käesolevate tingimustega andmeimportijale kehtestatud kohustused.

c)

Andmeimportija esitab andmeeksportija taotlusel andmeeksportijale alamtöötlejaga sõlmitud lepingu koopia ja selle mis tahes edasised muudatused. Ulatuses, milles see on vajalik ärisaladuse või muu konfidentsiaalse teabe, sealhulgas isikuandmete kaitsmiseks, võib andmeimportija lepingu teksti enne koopia jagamist redigeerida.

d)

Andmeimportija jääb andmeeksportija ees täielikult vastutavaks andmeimportija ja alamtöötleja lepingu kohaste alamtöötleja kohustuste täitmise eest. Andmeimportija teavitab andmeeksportijat alamtöötleja mis tahes suutmatusest täita selle lepingu kohaseid kohustusi.

e)

Andmeimportija lepib alamtöötlejaga kokku soodustatud kolmanda isiku tingimuses, mille kohaselt on andmeeksportijal juhul, kui andmeimportija on teadaolevalt kadunud, oma seadusjärgse tegevuse lõpetanud või maksejõuetuks muutunud, õigus alamtöötleja leping lõpetada ning anda alamtöötlejale korraldus isikuandmed kustutada või tagastada.

a)

1. VARIANT: EELNEV ERILUBA – andmeimportija ei kasuta käesolevate tingimuste kohaste töötlemistoimingute andmeeksportija nimel tegemiseks alltöövõttu alamtöötlejat, kui vastutav töötleja ei ole eelnevalt andnud kirjalikku luba. Andmeimportija esitab eriloa saamiseks taotluse vähemalt [märkida ajavahemik] enne alamtöötleja kaasamist koos teabega, mis on vajalik, et vastutav töötleja saaks loa üle otsustada. Ta teavitab sellest kaasamisest andmeeksportijat. Vastutavalt töötlejalt juba loa saanud alamtöötlejate loetelu on esitatud III lisas. Pooled hoiavad III lisa ajakohasena.

2. VARIANT: ÜLDINE KIRJALIK LUBA – andmeimportijal on vastutava töötleja üldine luba kaasata kokkulepitud loendisse kuuluv(ad) alamtöötleja(d). Andmeimportija teavitab vastutavat töötlejat eraldi kirjalikult selle loetelu mis tahes kavandatud muudatustest, st alamtöötlejate lisamisest või asendamisest vähemalt [märkida ajavahemik] ette, andes vastutavale töötlejale enne alamtöötleja(te) kaasamist seega piisavalt aega esitada sellistele muudatustele vastuväiteid. Andmeimportija annab vastutavale töötlejale teavet, mis on vajalik, et võimaldada vastutaval töötlejal kasutada õigust esitada vastuväiteid. Andmeimportija teavitab alamtöötleja(te) kaasamisest andmeeksportijat.

b)

Kui andmeimportija kaasab teatavate töötlemistoimingute tegemiseks (vastutava töötleja nimel) alamtöötleja, teeb ta seda kirjaliku lepinguga, milles nähakse sisuliselt ette samad andmekaitsekohustused kui need, mis on andmeimportijale käesolevate tingimuste kohaselt siduvad, sealhulgas seoses andmesubjektide kui soodustatud kolmandate isikute õigustega (9). Pooled nõustuvad, et käesoleva tingimuse järgimisega täidab andmeimportija punkti 8.8 kohased kohustused. Andmeimportija tagab, et alamtöötleja täidab käesolevate tingimustega andmeimportijale kehtestatud kohustused.

c)

Andmeimportija esitab andmeeksportija või vastutava töötleja taotlusel alamtöötlejaga sõlmitud kõnealuse lepingu ja selle mis tahes edasised muudatused. Ulatuses, milles see on vajalik ärisaladuse või muu konfidentsiaalse teabe, sealhulgas isikuandmete kaitsmiseks, võib andmeimportija lepingu teksti enne koopia jagamist redigeerida.

d)

Andmeimportija jääb andmeeksportija ees täielikult vastutavaks andmeimportija ja alamtöötleja lepingu kohaste alamtöötleja kohustuste täitmise eest. Andmeimportija teavitab andmeeksportijat alamtöötleja mis tahes suutmatusest täita selle lepingu kohaseid kohustusi.

e)

Andmeimportija lepib alamtöötlejaga kokku soodustatud kolmanda isiku tingimuses, mille kohaselt on andmeeksportijal juhul, kui andmeimportija on teadaolevalt kadunud, oma seadusjärgse tegevuse lõpetanud või maksejõuetuks muutunud, õigus alamtöötleja leping lõpetada ning anda alamtöötlejale korraldus isikuandmed kustutada või tagastada.

a)

Andmeimportija tegeleb – asjakohasel juhul andmeeksportija abiga – mis tahes päringute ja taotlustega, mis talle andmesubjektilt saabuvad seoses andmesubjekti isikuandmete töötlemisega ja käesolevate tingimuste kohaste õiguste kasutamisega, viivitamata ja hiljemalt ühe kuu jooksul alates sellise päringu või taotluse saamisest (10). Andmeimportija võtab asjakohaseid meetmeid selliste päringute, taotluste ja andmesubjekti õiguste kasutamise hõlbustamiseks. Kogu andmesubjektile antav teave esitatakse arusaadavas ja kergesti juurdepääsetavas vormis ning selges ja lihtsas sõnastuses.

b)

Eelkõige teeb andmeimportija andmesubjekti taotlusel tasuta järgmist:

c)

Kui andmeimportija töötleb isikuandmeid otseturunduse eesmärkidel, lõpetab ta neil eesmärkidel töötlemise, kui andmesubjekt esitab selle suhtes vastuväite.

d)

Andmeimportija ei tee otsust üksnes edastatud isikuandmete automaatse töötlemise põhjal (edaspidi „automaatne otsus“), mis põhjustaks andmesubjektile õiguslikke tagajärgi või mõjutaks teda sarnasel viisil märkimisväärselt, välja arvatud juhul, kui selleks on andmesubjekti sõnaselge nõusolek või kui selline teguviis on sihtriigi seadustega lubatud, tingimusel et selliste seadustega on sätestatud sobivad meetmed andmesubjekti õiguste ning õigustatud huvide kaitsmiseks. Sel juhul teeb andmeimportija vajaduse korral koostöös andmeeksportijaga järgmist:

e)

Kui andmesubjekti taotlused on ülemäärased, eelkõige oma korduva iseloomu tõttu, võib andmeimportija nõuda taotluse rahuldamise halduskulusid arvesse võttes mõistlikku tasu või keelduda taotlust menetlemast.

f)

Andmeimportija võib keelduda andmesubjekti taotlusest, kui sihtriigi õiguses on selline keeldumine lubatud ning see on demokraatlikus ühiskonnas vajalik ja proportsionaalne mõne määruse (EL) 2016/679 artikli 23 lõikes 1 loetletud eesmärgi kaitsmiseks.

g)

Kui andmeimportija kavatseb andmesubjekti taotlusest keelduda, teavitab ta andmesubjekti keeldumise põhjustest ja võimalusest esitada pädevale järelevalveasutusele kaebus ja/või pöörduda kohtusse.

a)

Andmeimportija teavitab andmeeksportijat viivitamata mis tahes taotlusest, mille ta on andmesubjektilt saanud. Ta ei vasta sellele taotlusele ise, välja arvatud juhul, kui andmeeksportija on volitanud teda seda tegema.

b)

Andmeimportija aitab andmeeksportijal täita tolle kohustusi vastata andmesubjektide taotlustele kasutada määruse (EL) 2016/679 kohaseid õigusi. Sellega seoses sätestavad pooled II lisas asjakohased tehnilised ja korralduslikud meetmed, võttes arvesse, millist laadi töötlemisega abi antakse, ning ka vajaliku abi ulatust ja määra.

c)

Punktide a ja b kohaste kohustuste täitmisel järgib andmeimportija andmeeksportijalt saadud juhiseid.

a)

Andmeimportija teavitab andmeeksportijat ja asjakohasel juhul vastutavat töötlejat viivitamata mis tahes taotlusest, mille ta on andmesubjektilt saanud, vastamata sellele taotlusele, välja arvatud juhul, kui vastutav töötleja on volitanud teda seda tegema.

b)

Asjakohasel juhul aitab andmeimportija koostöös andmeeksportijaga vastutaval töötlejal täita tolle kohustust vastata andmesubjektide taotlustele kasutada vastavalt kas määruse (EL) 2016/679 või määruse (EL) 2018/1725 kohaseid õigusi. Sellega seoses sätestavad pooled II lisas asjakohased tehnilised ja korralduslikud meetmed, võttes arvesse, millist laadi töötlemisega abi antakse, ning ka vajaliku abi ulatust ja määra.

c)

Punktide a ja b kohaste kohustuste täitmisel järgib andmeimportija vastutava töötleja juhiseid, mille andmeeksportija on talle edastanud.

a)

Andmeimportija teeb andmesubjektidele arusaadavas ja hõlpsasti juurdepääsetavas vormis individuaalse teatisega või oma veebisaidi kaudu teatavaks kaebustega tegelemiseks volitatud kontaktpunkti. Ta võtab talle andmesubjektilt saabunud kaebused viivitamata töösse.

[VARIANT: andmeimportija nõustub, et andmesubjektid võivad kaebuse esitada ka sõltumatule vaidluste lahendamise organile (11) ning see on andmesubjektile tasuta. Ta teavitab andmesubjekte punktis a osutatud viisil sellest õiguskaitsemehhanismist ning sellest, et nad ei pea seda kasutama ega pea õiguskaitse saamiseks astuma samme kindlas järjekorras.]

b)

Kui andmesubjekti ja ühe poole vahel tekib käesolevatele tingimustele vastavuse üle vaidlus, teeb see pool kõik endast oleneva, et probleem aegsasti kompromissiga lahendada. Pooled teavitavad pidevalt üksteist sellistest vaidlustest ning asjakohasel juhul teevad nende lahendamiseks koostööd.

c)

Kui andmesubjekt tugineb soodustatud kolmanda isiku õigustele vastavalt 3. tingimusele, aktsepteerib andmeimportija andmesubjekti otsust

d)

Pooled nõustuvad, et andmesubjekti võib vastavalt määruse (EL) 2016/679 artikli 80 lõikes 1 sätestatud tingimustele esindada mittetulunduslik asutus, organisatsioon või ühendus.

e)

Andmeimportija järgib otsust, mis on kohaldatava ELi või liikmesriigi õiguse kohaselt talle siduv.

f)

Andmeimportija nõustub, et andmesubjekti tehtud valik ei piira tema materiaal- ja menetlusõigusi kohaldatavate seaduste kohaselt kohtusse pöördumisel.

a)

Iga pool vastutab teis(t)e pool(t)e ees mis tahes kahjude eest, mida ta teis(t)ele pool(t)ele käesolevate tingimuste rikkumisega põhjustab.

b)

Iga pool vastutab andmesubjekti ees ning andmesubjektil on õigus saada hüvitist mis tahes varalise või mittevaralise kahju eest, mida pool on andmesubjektile põhjustanud käesolevate tingimuste kohaste soodustatud kolmandate isikute õiguste rikkumisega. See ei piira määruse (EL) 2016/679 artikli kohast andmeeksportija vastutust.

c)

Kui käesolevate tingimuste rikkumisega on andmesubjektile kahju põhjustanud rohkem kui üks pool, vastutavad kõik asjaomased pooled solidaarselt ning andmesubjektil on õigus pöörduda iga sellise poole vastu kohtusse.

d)

Pooled nõustuvad, et kui üks pool on punkti c kohaselt vastutav, on tal õigus nõuda teis(t)elt pool(t)elt tagasi see osa hüvitisest, mis vastab tema/nende vastutusele kahju eest.

e)

Andmeimportija ei tohi enda vastutuse vältimiseks tugineda volitatud töötleja või alamtöötleja tegevusele.

a)

Iga pool vastutab teis(t)e pool(t)e ees mis tahes kahjude eest, mida ta teis(t)ele pool(t)ele käesolevate tingimuste rikkumisega põhjustab.

b)

Andmeimportija vastutab andmesubjekti ees ning andmesubjektil on õigus saada hüvitist mis tahes varalise või mittevaralise kahju eest, mida andmeimportija või tema alamtöötleja on andmesubjektile põhjustanud käesolevate tingimuste kohaste soodustatud kolmandate isikute õiguste rikkumisega.

c)

Olenemata punktist b vastutab andmeeksportija andmesubjekti ees ning andmesubjektil on õigus saada hüvitist mis tahes varalise või mittevaralise kahju eest, mida andmeeksportija või andmeimportija (või tema alamtöötleja) on andmesubjektile põhjustanud käesolevate tingimuste kohaste soodustatud kolmandate isikute õiguste rikkumisega. See ei piira määruse (EL) 2016/679 või asjakohasel juhul määruse (EL) 2018/1725 kohast andmeeksportija vastutust, ja kui andmeeksportija on vastutava töötleja nimel tegutsev volitatud töötleja, siis selle määruse kohast vastutava töötleja vastutust.

d)

Pooled nõustuvad, et kui andmeeksportija on punkti c kohaselt vastutav andmeimportija (või tema alamtöötleja) põhjustatud kahju eest, on tal õigus nõuda andmeimportijalt tagasi see osa hüvitisest, mis vastab andmeimportija vastutusele kahju eest.

e)

Kui käesolevate tingimuste rikkumisega on andmesubjektile kahju põhjustanud rohkem kui üks pool, vastutavad kõik asjaomased pooled solidaarselt ning andmesubjektil on õigus pöörduda iga sellise poole vastu kohtusse.

f)

Pooled nõustuvad, et kui üks pool on punkti e kohaselt vastutav, on tal õigus nõuda teis(t)elt pool(t)elt tagasi see osa hüvitisest, mis vastab tema/nende vastutusele kahju eest.

g)

Andmeimportija ei tohi enda vastutuse vältimiseks tugineda alamtöötleja käitumisele.

a)

[Kui andmeeksportija asub ELi liikmesriigis:] Järelevalveasutus, kes vastutab andmeeksportija vastavuse tagamise eest määruse (EL) 2016/679 kohaselt seoses andmete edastamisega, nagu on osutatud I.C lisas, tegutseb pädeva järelevalveasutusena.

[Kui andmeeksportija ei asu ELi liikmesriigis, kuid kuulub määruse (EL) 2016/679 artikli 3 lõike 2 kohaselt selle määruse territoriaalsesse kohaldamisalasse ja on määranud esindaja vastavalt määruse (EL) 2016/679 artikli 27 lõikele 1:] Selle liikmesriigi järelevalveasutus, kus esindaja – määruse (EL) 2016/679 artikli 27 lõike 1 tähenduses – asub, nagu on osutatud I.C lisas, tegutseb pädeva järelevalveasutusena.

[Kui andmeeksportija ei asu ELi liikmesriigis, kuid kuulub määruse (EL) 2016/679 artikli 3 lõike 2 kohaselt selle määruse territoriaalsesse kohaldamisalasse ja ei ole seejuures määranud esindajat vastavalt määruse (EL) 2016/679 artikli 27 lõikele 2:] Pädeva järelevalveasutusena tegutseb järelevalveasutus, mille asukoht on ühes liikmesriikidest, kus asuvad – nagu on osutatud I.C lisas – andmesubjektid, kelle isikuandmeid käesolevate tingimuste kohaselt neile kaupade või teenuste pakkumiseks edastatakse või kelle käitumist jälgitakse.

b)

Andmeimportija nõustub sellele pädevale järelevalveasutusele alluma ning tegema temaga koostööd mis tahes menetlustes, mille eesmärk on tagada vastavus käesolevatele tingimustele. Eelkõige nõustub andmeimportija vastama päringutele, võimaldama enda juures auditeid ning järgima järelevalveasutuse võetud meetmeid, sealhulgas parandus- ja hüvitusmeetmeid. Ta esitab järelevalveasutusele kirjaliku kinnituse, et vajalikud meetmed on võetud.

a)

Pooled garanteerivad, et neil ei ole põhjust arvata, nagu takistaksid andmeimportija poolse isikuandmete töötlemisele suhtes kohaldatavad kolmanda sihtriigi seadused ja tavad, sealhulgas mis tahes nõuded avalikustada isikuandmed, või meetmed, millega lubatakse avaliku sektori asutustele juurdepääs, andmeimportijal käesolevate tingimuste kohaste kohustuste täitmist. See põhineb arusaamisel, et kohalikud seadused ja tavad, mis järgivad põhiõiguste ja -vabaduste olemust ega lähe kaugemale sellest, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne, et kaitsta mõnd määruse (EL) 2016/679 artikli 23 lõikes 1 loetletud eesmärkidest, ei ole käesolevate tingimustega vastuolus.

b)

Pooled kinnitavad, et punktis a osutatud garantii andmisega on nad võtnud nõuetekohaselt arvesse eeskätt järgmisi elemente:

c)

Andmeimportija garanteerib, et ta on punkti b kohasel hindamisel teinud kõik endast oleneva, et anda andmeeksportijale asjakohast teavet, ning nõustub, et ta jätkab koostööd andmeeksportijaga käesolevate tingimuste täitmise tagamisel.

d)

Pooled nõustuvad punkti b kohast hindamist dokumenteerima ja tegema selle pädevale järelevalveasutusele taotluse korral kättesaadavaks.

e)

Andmeimportija nõustub andmeeksportijat viivitamata teavitama, kui tal on käesolevate tingimuste kokkuleppimise järel ja lepingu kestuse ajal põhjust arvata, et tema suhtes kohaldatakse või on hakatud kohaldama seadusi või tavasid, mis ei ole kooskõlas punkti a nõuetega, sealhulgas pärast kolmanda riigi seaduste või meetme (näiteks avalikustamisnõue) muutmist, mis osutab sellele, et nende seaduste praktiline kohaldamine ei vasta punkti a nõuetele. [Kolmanda mooduli puhul: andmeeksportija edastab teate vastutavale töötlejale.]

f)

Pärast punkti e kohast teavitamist või kui andmeeksportijal on muul põhjusel alust arvata, et andmeimportija ei suuda käesolevate tingimuste kohaseid kohustusi enam täita, selgitab andmeeksportija viivitamata välja asjakohased meetmed (näiteks tehnilised või korralduslikud meetmed turvalisuse ja konfidentsiaalsuse tagamiseks), mida andmeeksportija ja/või andmeimportija peab olukorra lahendamiseks võtma, [kolmanda mooduli puhul: asjakohasel juhul vastutava töötlejaga konsulteerides]. Andmeeksportija peatab andmete edastamise, kui ta arvab, et sellise edastamise puhul ei saa tagada asjakohaseid kaitsemeetmeid, või kui [kolmanda mooduli puhul: vastutav töötleja või] pädev järelevalveasutus on andnud juhise seda teha. Sel juhul on andmeeksportijal õigus leping lõpetada, kuivõrd see puudutab käesolevate tingimuste kohast isikuandmete töötlemist. Kui lepinguga on hõlmatud üle kahe poole, võib andmeeksportija kasutada seda lõpetamisõigust üksnes seoses asjaomase poolega, välja arvatud juhul, kui pooled on kokku leppinud teisiti. Kui leping lõpetatakse selle tingimuse kohaselt, kohaldatakse 16. tingimuse punkte d ja e.

a)

Andmeimportija nõustub teavitama andmeeksportijat ja võimaluse korral andmesubjekti (kui vajalik, siis andmeeksportija abiga) viivitamata, kui:

[Kolmanda mooduli puhul: andmeeksportija edastab teate vastutavale töötlejale.]

b)

Kui andmeimportijal on sihtriigi seaduste kohaselt keelatud teavitada andmeeksportijat ja/või andmesubjekti, nõustub andmeimportija tegema kõik endast oleneva, et saavutada sellest keelust loobumine, eesmärgiga edastada võimalikult kiiresti võimalikult palju teavet. Andmeimportija nõustub dokumenteerima kõik ette võetud jõupingutused, et taotluse korral neid andmeeksportijale tõendada.

c)

Kui see on sihtriigi seadustega lubatud, nõustub andmeimportija esitama andmeeksportijale lepingu kestuse ajal korrapäraste ajavahemike järel võimalikult palju asjakohast teavet saadud taotluste kohta (eelkõige taotluste arv, taotletud andmete liik, taotlev(ad) asutus(ed), kas taotlusi on vaidlustatud ja selliste vaidlustuste tulemus jne). [Kolmanda mooduli puhul: andmeeksportija edastab teabe vastutavale töötlejale.]

d)

Andmeimportija nõustub säilitama teavet lepingu kestuse ajal vastavalt punktidele a–c ning tegema selle pädevale järelevalveasutusele taotluse korral kättesaadavaks.

e)

Punktid a–c ei piira 14. tingimuse punkti e ja 16. tingimuse kohast andmeimportija kohustust viivitamata teavitada andmeeksportijat oma suutmatusest käesolevaid tingimusi järgida.

a)

Andmeimportija nõustub vaatama läbi avalikustamistaotluse seaduslikkuse, eelkõige kas see kuulub taotlevale avaliku sektori asutusele antud volituste piiresse, ning seda vaidlustama, kui ta pärast hoolikat hindamist järeldab, et sihtriigi seaduste, rahvusvahelise õiguse kohaste kohustuste ning rahvusvahelise viisakuse põhimõtete kohaselt on põhjendatult alust pidada taotlust ebaseaduslikuks. Andmeimportija kasutab samadel tingimustel kaebuse esitamise võimalusi. Taotluse vaidlustamisel püüab andmeimportija võtta ajutisi meetmeid, eesmärgiga peatada taotluse mõju, kuni pädev järelevalveasutus on taotluse põhjendatuse kohta otsuse teinud. Ta ei avalikusta taotletud isikuandmeid enne, kui seda temalt nõutakse kohaldatavate menetlusnormide kohaselt. Need nõuded ei piira 14. tingimuse punkti e kohaseid andmeimportija kohustusi.

b)

Andmeimportija nõustub dokumenteerima oma õiguslikku hinnangut ning avalikustamistaotluse mis tahes vaidlustust ja tegema sellised dokumendid andmeeksportijale sihtriigi seadustega lubatavas ulatuses kättesaadavaks. Samuti teeb ta sellised dokumendid vastava taotluse korral kättesaadavaks pädevale järelevalveasutusele. [Kolmanda mooduli puhul: andmeeksportija teeb hinnangu vastutavale töötlejale kättesaadavaks.]

c)

Andmeimportija nõustub avalikustamistaotlusele vastates andma lubatud minimaalsel hulgal teavet, tuginedes taotluse põhjendatud tõlgendusele.

a)

Andmeimportija teavitab andmeeksportijat viivitamata, kui ta ei saa mis tahes põhjusel neid tingimusi järgida.

b)

Juhul kui andmeimportija rikub käesolevaid tingimusi või ei suuda neid järgida, peatab andmeeksportija isikuandmete edastamise andmeimportijale, kuni vastavus on jälle tagatud või leping lõpetatud. See ei piira 14. tingimuse punkti f kohaldamist.

c)

Andmeeksportijal on õigus leping lõpetada, kuivõrd see puudutab käesolevate tingimuste kohast isikuandmete töötlemist, juhul kui:

Sellistel juhtudel teavitab ta pädevat järelevalveasutust [kolmanda mooduli puhul: ja vastutavat töötlejat] sellisest mittevastavusest. Kui lepinguga on hõlmatud üle kahe poole, võib andmeeksportija kasutada seda lõpetamisõigust üksnes seoses asjaomase poolega, välja arvatud juhul, kui pooled on kokku leppinud teisiti.

d)

[Esimese, teise ja kolmanda mooduli puhul: isikuandmed, mis on vastavalt punktile c enne lepingu lõpetamist edastatud, kas tagastatakse andmeeksportija valikul viivitamata andmeeksportijale või kustutatakse täielikult. Sama kehtib andmete mis tahes koopiate kohta.] [Neljanda mooduli puhul: isikuandmed, mida andmeeksportija on ELis kogunud ja mis on edastatud enne punkti c kohast lepingu lõpetamist, kustutatakse viivitamata täielikult, sealhulgas ka nende andmete kõik koopiad.] Andmeimportija tõendab andmeeksportijale andmete kustutamist. Andmeimportija jätkab nendele tingimustele vastavuse tagamist seni, kuni andmed kustutatakse või tagastatakse. Kui andmeimportija suhtes kohaldatavate kohalike seadustega keelatakse edastatud isikuandmete tagastamine või kustutamine, garanteerib andmeimportija, et ta jätkab nendele tingimustele vastavuse tagamist ning töötleb andmeid üksnes selle kohaliku õigusega nõutavas ulatuses ja ajavahemikus.

e)

Kumbki pool võib tühistada kokkuleppe, et käesolevad tingimused on talle siduvad, kui i) Euroopa Komisjon võtab määruse (EL) 2016/679 artikli 45 lõike 3 kohaselt vastu otsuse, mis hõlmab selliste isikuandmete edastamist, mille suhtes kohaldatakse käesolevaid tingimusi; või ii) määrus (EL) 2016/679 muutub osaks selle riigi õigusraamistikust, kuhu isikuandmeid edastatakse. See ei piira muid kohustusi, mida kõnealuse töötlemise suhtes vastavalt määrusele (EL) 2016/679 kohaldatakse.

a)

Käesolevatest tingimustest tulenev mis tahes vaidlus lahendatakse ELi liikmesriigi kohtutes.

b)

Pooled nõustuvad, et need on _____ (märkida liikmesriik) kohtud.

c)

Andmesubjekt võib algatada ka kohtumenetluse andmeeksportija ja/või andmeimportija vastu selle liikmesriigi kohtutes, kus on andmesubjekti alaline elukoht.

d)

Pooled nõustuvad nendele kohtutele alluma.

Käesolevatest tingimustest tulenev mis tahes vaidlus lahendatakse _____ (märkida riik) kohtutes.

1.

Aadress: …

Kontaktisiku nimi, ametikoht ja kontaktandmed: …

Käesolevate tingimuste kohaselt edastatud andmete puhul olulised toimingud: …

Allkiri ja kuupäev: …

Roll (vastutav töötleja/volitatud töötleja): …

2.

1.

Aadress: …

Kontaktisiku nimi, ametikoht ja kontaktandmed: …

Käesolevate tingimuste kohaselt edastatud andmete puhul olulised toimingud: …

Allkiri ja kuupäev: …

Roll (vastutav töötleja/volitatud töötleja): …

2.

1.

Aadress: …

Kontaktisiku nimi, ametikoht ja kontaktandmed: …

Töötlemise kirjeldus (sealhulgas selgelt piiritletud kohustused, kui luba on antud mitmele alamtöötlejale): …

2.